SPF, DKIM und DMARC einrichten, ohne Website-E-Mails zu unterbrechen

Authentifizieren Sie jeden Dienst, der E-Mails für Ihre Website versendet, bevor Sie die Ablehnungsrichtlinie der Domain verschärfen. Dazu gehören Belege, Passwortzurücksetzungen, Supportantworten und alle anderen legitimen Sendesysteme. Ein übersehener Absender kann eine Sicherheitsverbesserung wie einen unerklärlichen Ausfall wichtiger Nachrichten wirken lassen.

SPF, DKIM und DMARC sind zusammenhängende Kontrollen, keine drei austauschbaren Gütesiegel. Beginnen Sie mit Inventarisierung und Überprüfung. Einen Eintrag von einer anderen Website zu kopieren ist besonders riskant, weil Ihre Domain andere Anbieter, andere Versand-Subdomains und einen anderen Weg für Rückläufer verwenden kann.

Erfassen Sie die tatsächlichen Absender vor DNS-Änderungen

Listen Sie jeden Nachrichtentyp, den versendenden Dienst, die sichtbare From-Adresse und die für das Konto verantwortliche Person auf. Senden Sie über jeden Weg einen autorisierten Test und bewahren Sie dessen Header privat auf. Eine manuell aus dem Postfach versandte Nachricht testet nicht den Beleg- oder Passwortdienst Ihrer Anwendung.

SPF autorisiert Sendesysteme für die beim Mailtransport verwendete Envelope-Sender-Domain. DKIM ergänzt eine Nachricht um die kryptografische Signatur einer Domain. DMARC prüft anschließend, ob eine authentifizierte Domain mit der Domain übereinstimmt, die Empfänger im From-Feld sehen. Diese Unterschiede erläutert die DMARC-Spezifikation.

Eine hypothetische Website könnte Supportantworten über ihren Postfachanbieter und Kaufbelege über einen separaten Handelsdienst versenden. Beide Nachrichten können dieselbe Marke zeigen und trotzdem verschiedene technische Wege nehmen. Prüfen Sie beide, statt anzunehmen, die DNS-Anleitung des Postfachanbieters decke sämtliche Geschäftsmails ab.

Dokumentieren Sie vor Änderungen die aktuellen DNS-Werte und wer sie wiederherstellen kann. Benötigt ein Anbieter Verifizierungseinträge, verwenden Sie die exakten Werte für Ihre Domain. Überschreiben Sie bei der Reparatur ausgehender Authentifizierung keine sachfremden Mailrouting-Einträge. Eingehender Mailverkehr und Absenderauthentifizierung sind getrennte Themen.

Ergänzen Sie Authentifizierung ohne bestehende Absender zu stören

Die SPF-Spezifikation erlaubt nicht mehrere SPF-Einträge für denselben Domainnamen. Benötigt ein zweiter Anbieter eine Autorisierung, passen Sie die bestehende Richtlinie gezielt an, statt einen weiteren eigenständigen v=spf1-Eintrag anzulegen. Mehrere unterschiedliche TXT-Einträge sind normal; mehrere konkurrierende SPF-Richtlinien sind das Problem.

Die SPF-Auswertung begrenzt außerdem die DNS-Abfragen auslösenden Mechanismen und Modifikatoren auf zehn. Verschachtelte Includes können dieses Kontingent verbrauchen, weshalb das Zählen sichtbarer Anbieternamen nicht genügt. Lassen Sie die gesamte Richtlinie von der zuständigen Mailadministration prüfen, statt Includes hinzuzufügen, bis ein Anbieterdashboard grün wird.

Befolgen Sie für DKIM die Schlüssel- und Selektoranweisungen jedes Absenders und prüfen Sie anschließend eine tatsächlich von diesem Dienst verschickte Nachricht. Ein veröffentlichter Schlüssel beweist noch nicht, dass der Dienst damit signiert. Private Schlüssel bleiben privat; in einen geteilten Konfigurationsnachweis gehört nur das vom Anbieter vorgesehene öffentliche DNS-Material.

Entfernen Sie einen alten Versanddienst erst, nachdem Sie geplante Aufgaben und die Nutzung durch andere Teams geprüft haben. Eine aufgeräumte DNS-Zone kann einen defekten monatlichen Rechnungslauf verbergen. Entziehen Sie die Autorisierung erst, wenn die betriebliche Abhängigkeit beseitigt und der Ersatz getestet ist.

Nutzen Sie DMARC-Berichte vor einer Ablehnungsrichtlinie

Beginnen Sie mit Beobachtung, wenn noch nicht alle legitimen Absender bekannt sind. Eine DMARC-Richtlinie mit p=none fordert keine DMARC-basierte Quarantäne oder Ablehnung an. Berichte können dabei Authentifizierungs- und Alignment-Probleme sichtbar machen. Das ist eine Überwachungsphase, kein Nachweis, dass gefälschte Nachrichten blockiert werden.

Ein DMARC-Erfolg benötigt ausgerichtetes SPF oder ausgerichtetes DKIM, nicht nur eine erfolgreiche Authentifizierung für irgendeine fremde Domain. Prüfen Sie die authentifizierten Domains einer zugestellten Testnachricht. Der sichtbare Markenname ist kein Alignment-Test, und eine einmalige erfolgreiche Zustellung beweist keine korrekte Richtlinie.

Bestimmen Sie vor einer Richtlinienänderung, wer aggregierte Berichte auswertet und unbekannte Quellen untersucht. Schützen Sie das Berichtsziel und begrenzen Sie den Zugang zu Betriebsdaten. Eine Berichtsadresse, die niemand liest, fügt Konfiguration hinzu, aber keine wirksame Kontrolle.

Verschärfen Sie die Behandlung erst, wenn legitime Versandwege die Prüfungen bestehen und ein dokumentierter Rücksetzplan vorliegt. Testen Sie nach Änderungen an Anbieter, From-Domain oder Signaturkonfiguration erneut. Ziel ist die Zurückweisung von Identitätsmissbrauch, ohne normale Kundennachrichten zum Kollateralschaden zu machen.

Prüfen Sie Empfängeranforderungen und tatsächliche Zustellung

Gmails Absenderrichtlinien verlangen SPF oder DKIM für alle Absender an persönliche Gmail-Konten und SPF, DKIM sowie DMARC für Massenversender. Google behandelt außerdem Alignment, Transportsicherheit und andere Zustellpraktiken. Authentifizierung ist eine notwendige Grundlage, keine Garantie für die Platzierung im Posteingang.

Wenden Sie eine Regel für Massenwerbung nicht blind auf jede Transaktionsnachricht an. Bestimmen Sie Zielgruppe, Nachrichtenzweck und einschlägige Empfängeranforderungen. Halten Sie Belege und Kontomitteilungen von Marketing getrennt, damit Zustellprobleme nicht mit sachfremdem Werbeverhalten vermischt werden.

Prüfen Sie nach der Umsetzung Nachrichten jedes erfassten Absenders und mögliche Ablehnungsmitteilungen. Bewahren Sie Zeitstempel und Fehlerdetails auf, veröffentlichen Sie aber weder Zugangsdaten noch private Kundeninhalte in öffentlichen Ticketsystemen. Gleichen Sie Fehler mit der konkreten Änderung ab, statt wiederholt mehrere DNS-Einträge gleichzeitig anzupassen.

Nehmen Sie Absenderprüfungen in Ihre Website-Wartungsroutine auf und führen Sie sie durch, wenn Hosting- oder Infrastrukturänderungen den Mailverkehr betreffen. Das Ziel sind nicht drei DNS-Einträge. Es sind eine getestete Liste legitimer Absender, eine beobachtete Richtlinie und eine klar verantwortliche Person für die nächste Änderung.