E-Mail-Authentifizierungsmethoden erklärt: SPF, DKIM, DMARC & mehr (Leitfaden 2026)

Die E-Mail-Authentifizierung ist einer der wichtigsten Aspekte der E-Mail-Zustellbarkeit und gleichzeitig einer der am häufigsten missverstandenen.

Die meisten Versender wissen, dass sie SPF, DKIM und DMARC brauchen, aber nur wenige verstehen, was die einzelnen Methoden tatsächlich tun, wie sie zusammenarbeiten oder warum E-Mails trotzdem im Spam landen können, obwohl alle drei konfiguriert sind.

Ein Teil der Verwirrung rührt daher, dass die Authentifizierung als Lösung für die Zustellbarkeit angesehen wird, was sie jedoch nicht ist. Die Authentifizierung hilft Posteingangsanbietern zu überprüfen, wer eine Nachricht gesendet hat und ob ihr vertraut werden kann. Ohne sie werden deine E-Mails möglicherweise abgelehnt oder gefiltert. Mit ihr erfüllst du lediglich eine grundlegende Mindestanforderung.

In diesem Leitfaden erfährst du, was die einzelnen Authentifizierungsmethoden tun, wie sie zusammenarbeiten, wie du sie korrekt einrichtest und welche häufigen Fehler dazu führen, dass die Authentifizierung fehlschlägt, selbst wenn die Einträge richtig konfiguriert zu sein scheinen. 

Was ist E-Mail-Authentifizierung? 

Die E-Mail-Authentifizierung ist eine Reihe von Methoden, mit denen empfangende Anbieter wie Gmail und Outlook überprüfen können, ob eine E-Mail tatsächlich von der angegebenen Domain stammt und während der Übertragung weder gefälscht noch verändert wurde. 

Sie funktioniert über DNS-Einträge, die die Absender-Domain veröffentlicht: 

1. SPF listet die zum Senden autorisierten Server auf.
2. DKIM fügt eine kryptografische Signatur hinzu, die bestätigt, dass die Nachricht nicht manipuliert wurde.
3. DMARC legt die Richtlinie fest, die beide mit der sichtbaren From-Adresse verknüpft und den Empfängern vorgibt, was bei einer fehlgeschlagenen Prüfung zu tun ist. 

Zusammen bestätigen diese Protokolle die Identität des Absenders – eines der Signale, die Anbieter abwägen, bevor sie entscheiden, ob sie eingehende E-Mails akzeptieren, filtern oder ablehnen.

Die 3 wichtigsten E-Mail-Authentifizierungsmethoden

Die E-Mail-Authentifizierung basiert auf drei Protokollen, die Hand in Hand arbeiten, um zu überprüfen, wer eine E-Mail sendet und ob dieser Nachricht vertraut werden kann. Jedes hat eine andere Aufgabe, und zu verstehen, wie sie zusammenhängen, ist entscheidend, um die Zustellbarkeit und Authentifizierungsprobleme zu beheben.

SPF (Sender Policy Framework)

SPF (Sender Policy Framework) ist eine E-Mail-Authentifizierungsmethode, die einen DNS-TXT-Eintrag nutzt, um festzulegen, welche Server und IP-Adressen E-Mails im Namen deiner Domain versenden dürfen.

Wenn eine E-Mail eingeht, schaut der Postfachanbieter nach dem SPF-Eintrag der Absenderdomain und gleicht die IP-Adresse des sendenden Servers mit der Liste der autorisierten Absender ab. Ist der Server autorisiert, ist der SPF-Check erfolgreich. Andernfalls schlägt er fehl.

Der Zweck von SPF ist zu bestätigen, dass der Server, der die E-Mail sendet, dies auch für diese Domain tun darf. Es wird jedoch nicht der Inhalt, die Reputation, das Engagement oder die Frage überprüft, ob die E-Mail tatsächlich den Posteingang erreichen soll.

DKIM (DomainKeys Identified Mail)

DKIM (DomainKeys Identified Mail) ist eine E-Mail-Authentifizierungsmethode, die deinen ausgehenden E-Mails eine kryptografische Signatur hinzufügt. Dabei wird ein öffentliches und privates Schlüsselpaar verwendet, damit empfangende Anbieter bestätigen können, dass die Nachricht von deiner Domain signiert wurde und unterwegs nicht verändert wurde.

Wenn eine E-Mail eingeht, sucht der Postfachanbieter nach dem öffentlichen Schlüssel, der im DNS deiner Domain unter einem bestimmten Selektor hinterlegt ist, und nutzt ihn, um die Signatur deiner Versandplattform zu überprüfen. Ist die Signatur gültig und die Nachricht unverändert, ist DKIM erfolgreich. Stimmen die Schlüssel nicht überein oder wurde die Nachricht manipuliert, schlägt DKIM fehl.

Der Zweck von DKIM besteht darin, zu bestätigen, dass die E-Mail von einer in der DKIM-Signatur autorisierten Domain signiert wurde und die signierten Teile der Nachricht nach dem Versand nicht verändert wurden. Es beweist für sich allein jedoch nicht, dass die sichtbare „Von“-Domain mit der authentifizierten Domain übereinstimmt. Diese Ausrichtung wird über DMARC geregelt.

DMARC (und die Frage: MAIL FROM im Vergleich zur From:-Kopfzeile)

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist eine E-Mail-Authentifizierungsmethode, die einen DNS-Eintrag nutzt, um deine SPF- und DKIM-Ergebnisse mit der Domain in deiner sichtbaren „Von:“-Adresse zu verknüpfen und den empfangenden Anbietern mitzuteilen, was bei einem Authentifizierungsfehler geschehen soll.

Wenn eine E-Mail eingeht, prüft der Postfachanbieter, ob die Domain, die SPF oder DKIM bestanden hat, mit der Domain in der „Von:“-Adresse übereinstimmt, die der Empfänger tatsächlich sieht. Stimmen sie überein, ist DMARC erfolgreich. Tun sie das nicht, schlägt DMARC fehl und der Anbieter wendet die von dir veröffentlichte Richtlinie an: p=none (nur überwachen), p=quarantine (in den Spam-Ordner verschieben) oder p=reject (Nachricht blockieren).

Der Zweck von DMARC ist zu bestätigen, dass die authentifizierte Domain mit derjenigen übereinstimmt, die dein Empfänger sieht – das stoppt Betrüger, die deine Domain fälschen wollen, und gibt dir die Kontrolle darüber, wie mit Fehlern umgegangen wird.

Überprüfe, ob deine Einträge tatsächlich gültig sind – nicht nur, ob sie existieren.

Eine DNS-Abfrage bestätigt lediglich, dass ein Eintrag veröffentlicht ist. Sie zeigt dir jedoch nicht, ob SPF und DKIM auch dann gültig sind, wenn Gmail und Outlook deine E-Mail empfangen. Der kostenlose SPF Checker und DKIM Checker von MailReach testen das Ende-zu-Ende und melden Probleme mit SPF, DKIM, DMARC, Blacklists sowie Reverse-DNS in einem einzigen Bericht.

BIMI (und warum es für B2B-Cold-Outreach optional ist)

BIMI (Brand Indicators for Message Identification) ist ein E-Mail-Standard, der dein verifiziertes Markenlogo neben deinen Nachrichten in unterstützten Posteingängen anzeigt – allerdings erst, wenn für deine Domain die DMARC-Durchsetzung aktiv ist.

Wenn eine E-Mail eingeht, prüfen unterstützte Anbieter, ob für deine Domain DMARC erzwungen wird (p=quarantine oder p=reject), und rufen einen BIMI-Eintrag in deinem DNS ab, der auf dein Logo verweist. Sind diese Bedingungen erfüllt, wird dein Logo neben der Nachricht angezeigt. Die meisten großen Anbieter verlangen zudem ein Verified Mark Certificate (VMC) als Nachweis, dass dir das Logo gehört, bevor sie es anzeigen.

Der Zweck von BIMI ist visuelle Markenerkennung im Posteingang, nicht die Zustellbarkeit. Es hat keinen Einfluss auf die Absenderreputation, deine Authentifizierungsergebnisse oder darauf, ob deine E-Mail den Posteingang erreicht. Für B2B-Cold-Outreach ist es optional und hat eine niedrige Priorität. Es ist eine Branding-Ebene und kein Hebel für die Zustellbarkeit. Wenn du also als Outbound-Sender überlegst, wofür du deine Zeit investieren sollst, steht BIMI ziemlich weit unten auf der Liste.

Wie SPF, DKIM und DMARC zusammenarbeiten

SPF, DKIM und DMARC sind als Kette konzipiert, bei der jede Komponente einen anderen Teil des E-Mail-Authentifizierungsproblems löst.

• SPF verifiziert, dass der E-Mail-Server berechtigt ist, im Namen der Domain zu senden. 
• DKIM verifiziert, dass die Nachricht nach dem Versand nicht verändert wurde. 
• DMARC baut auf beidem auf und prüft, ob die Domain, die SPF oder DKIM bestanden hat, mit der Domain übereinstimmt, die der Empfänger im Von:-Feld sieht.

Eine E-Mail muss nicht zwingend sowohl SPF als auch DKIM bestehen, damit DMARC erfolgreich ist. Es reicht, wenn einer der beiden Standards bestanden wird und mit der sichtbaren From:-Domain übereinstimmt. Wenn keine von beiden übereinstimmt, schlägt DMARC fehl – selbst wenn SPF oder DKIM einzeln erfolgreich waren.

Deshalb können Authentifizierungsprobleme oft verwirrend sein. Eine Nachricht kann SPF und DKIM bestehen und trotzdem bei DMARC durchfallen, weil die authentifizierten Domains nicht zur From:-Adresse passen. Umgekehrt kann eine E-Mail bei SPF durchfallen, aber dennoch DMARC bestehen, wenn DKIM erfolgreich ist und korrekt übereinstimmt.

Zusammen helfen diese drei Standards den Postfachanbietern dabei, zu überprüfen, wer die E-Mail gesendet hat, ob sie unterwegs verändert wurde und ob der Absender vertrauenswürdig ist. Ohne dieses Zusammenspiel haben die Anbieter weniger Vertrauen in die Nachricht und stufen sie eher als Spam ein oder lehnen sie direkt ab.

Anforderungen der Anbieter: Google, Yahoo und Microsoft

Seit Februar 2024 machen Google und Yahoo die Authentifizierung zur Grundvoraussetzung für Massenversender. Massenversender benötigen SPF und DKIM, eine DMARC-Richtlinie von mindestens p=none, eine abgestimmte Authentifizierung, niedrige Spam-Beschwerderaten sowie einen funktionierenden Abmeldelink für Marketing- oder abonnierte Nachrichten.

Auch Microsoft hat Anforderungen für High-Volume-Sender eingeführt, die mehr als 5.000 E-Mails pro Tag an Outlook.com-Consumer-Adressen (darunter outlook.com, hotmail.com, live.com und msn.com) senden. Zu diesen Anforderungen gehört die Einhaltung von SPF, DKIM und DMARC.

Das Fazit für die Praxis ist einfach: Selbst wenn du technisch gesehen noch unter den Grenzwerten für Massenversender liegst, ist die Authentifizierung mittlerweile absolute Pflicht. Du solltest SPF, DKIM und DMARC korrekt eingerichtet haben, bevor du größere Versandmengen planst.

E-Mail-Authentifizierung einrichten und überprüfen (Schritt für Schritt)

E-Mail-Authentifizierung funktioniert am besten, wenn SPF, DKIM und DMARC Hand in Hand gehen. Da die Protokolle aufeinander aufbauen, ist eine bestimmte Reihenfolge bei der Einrichtung sinnvoll.

Schritt 1: Finde heraus, wer alles E-Mails in deinem Namen versendet

Erstelle zunächst eine Liste aller Plattformen, die E-Mails über deine Domain verschicken. Dazu gehören typischerweise:

• Dein E-Mail-Anbieter (Google Workspace, Microsoft 365 usw.)
• Marketing-Plattformen
• CRM-Systeme
• Tools für Cold Outreach
• Helpdesk- und Support-Plattformen
• Abrechnungs- und Rechnungssysteme
• Alle anderen Anwendungen, die E-Mails in deinem Namen versenden

Eine vollständige Übersicht macht es einfacher, die Authentifizierung korrekt einzurichten und sicherzustellen, dass keine legitimen Absender übersehen werden.

Schritt 2: SPF konfigurieren

Veröffentliche einen SPF-Eintrag in deinem DNS, der die Server autorisiert, die E-Mails für deine Domain versenden dürfen.

Beachte beim Erstellen deines SPF-Eintrags:

• Veröffentliche einen einzigen SPF-TXT-Eintrag für die Domain
• Füge jede legitime Versandplattform hinzu
• Nutze die vom Anbieter empfohlenen Include-Mechanismen, falls verfügbar
• Überprüfe den Eintrag, sobald ein neues Versandtool hinzukommt
• Haltet den Eintrag korrekt und auf dem neuesten Stand

Der Eintrag sollte jede legitime Versandquelle enthalten und gleichzeitig aktuell und fehlerfrei bleiben, wenn neue Tools hinzukommen.

Schritt 3: DKIM konfigurieren

Aktiviert DKIM für jede Plattform, die in eurem Namen E-Mails versendet.

DKIM ermöglicht es empfangenden Providern zu überprüfen, ob eine Nachricht nach dem Versand verändert wurde.

Für jede E-Mail-Plattform:

• Generiert ein DKIM-Schlüsselpaar innerhalb der Plattform
• Veröffentlicht den öffentlichen Schlüssel im DNS
• Verwendet den vom Anbieter bereitgestellten Selector
• Aktiviert die DKIM-Signierung für ausgehende E-Mails
• Überprüft, ob DKIM-Signaturen bei zugestellten Nachrichten erfolgreich validiert werden

Die meisten Anbieter generieren einen DKIM-Eレコード, den ihr im DNS veröffentlicht. Einmal konfiguriert, werden ausgehende Nachrichten automatisch signiert, damit empfangende Provider die Integrität der Nachrichten überprüfen können.

Schritt 4: DMARC konfigurieren

Veröffentlicht einen DMARC-Eintrag, um festzulegen, wie empfangende Provider mit Nachrichten umgehen sollen, die die Authentifizierung nicht bestehen.

Beginnt mit:

• Einem DMARC-Eintrag unter _dmarc.euredomain.com
• Einer Monitoring-Richtlinie (p=none)
• Einer Adresse für Berichte (rua=)
• Regelmäßigen Überprüfungen der DMARC-Berichte

Bevor ihr zu einer strengeren Durchsetzung wechselt:

• Bestätigt, dass alle legitimen Absender authentifiziert sind
• Behebt Ausrichtungsfehler
• Validiert die SPF- und DKIM-Ergebnisse über alle Versandplattformen hinweg

Die meisten Organisationen beginnen mit einer Monitoring-Richtlinie (p=none), um die Authentifizierungsergebnisse zu überprüfen, bevor sie zu strengeren Richtlinien wie p=quarantine oder p=reject übergehen.

Schritt 5: Authentifizierungsergebnisse überprüfen

Überprüfe nach der Einrichtung, ob SPF, DKIM und DMARC bei zugestellten Nachrichten tatsächlich greifen.

Stelle sicher, dass:

• SPF greift bei zugestellten Nachrichten
• DKIM greift bei zugestellten Nachrichten
• DMARC greift und ist korrekt ausgerichtet
• Die Authentifizierung bleibt auch nach dem Hinzufügen neuer Tools oder Anbieter intakt

Ein DNS-Eintrag allein bestätigt nur, dass die Konfiguration existiert. Die Verifizierung zeigt, dass Postfachanbieter deine E-Mails unter realen Empfangsbedingungen erfolgreich authentifizieren können.

Eine Verifizierung im DNS ist nicht dasselbe wie eine Überprüfung im Posteingang.

Das ist der Schritt, den die meisten Absender überspringen. Der kostenlose E-Mail-Zustbarkeitstest von MailReach sendet deine E-Mail an Testpostfächer bei Google, Microsoft und Yahoo und zeigt dir genau, wo sie landet: im Posteingang, im Spam oder in spezifischen Ordnern wie den Gmail-Werbeaktionen. Du erhältst außerdem die SPF-, DKIM- und DMARC-Ergebnisse der empfangenen Nachricht sowie eine priorisierte Liste mit Punkten, die du zuerst beheben solltest.

Häufige Fehler bei der E-Mail-Authentifizierung (und wie du sie behebst)

Die meisten Fehler bei der E-Mail-Authentifizierung werden durch kleine Konfigurationsfehler verursacht, die unbemerkt bleiben, bis E-Mails im Spam landen, Authentifizierungsprüfungen fehlschlagen oder ganz abgelehnt werden.

Die folgenden Fehler treten bei Absendern am häufigsten auf. Wenn du verstehst, wie sie entstehen, kannst du sie viel leichter erkennen, beheben und verhindern, bevor sie deine Zustellbarkeit beeinträchtigen.

SPF-Eintrag überschreitet das Limit von 10 Lookups

Für SPF sind maximal 10 DNS-Lookups zulässig. Jede E-Mail-Plattform, die du über eine include:-Anweisung autorisierst, verbraucht einen Teil dieses Limits. Wenn im Laufe der Zeit immer mehr Tools hinzukommen, wird das Limit schnell unbemerkt überschritten.

Wird das Limit überschritten, können Postfachanbieter den SPF-Eintrag nicht mehr vollständig auswerten, wodurch SPF-Prüfungen fehlschlagen, obwohl der Eintrag im DNS nach wie vor existiert.

So behebst du es:

• Überprüfe jede Plattform, die derzeit E-Mails für deine Domain versendet.
• Entferne veraltete oder ungenutzte include:-Anweisungen.
• Führe sich überschneidende Versanddienste nach Möglichkeit zusammen.
• Behalte die Anzahl der Lookups im Blick, sobald ein neues Sendetool hinzugefügt wird.
• Teste SPF nach jeder Änderung, um sicherzustellen, dass es weiterhin funktioniert.

Fehlende DKIM-Einträge für neue Versandplattformen

DKIM wird für jede Versandplattform separat konfiguriert. Ein DKIM-Eintrag, der für Google Workspace funktioniert, authentifiziert nicht automatisch E-Mails, die über dein CRM, deine Outreach-Plattform, dein Abrechnungssystem oder deinen Helpdesk versendet werden.

Das passiert oft, wenn ein neues Tool verbunden wird und sofort mit dem Senden beginnt, aber die DKIM-Konfiguration nicht abgeschlossen wird. Einige E-Mails passieren die Authentifizierung, während andere fehlschlagen, was das Problem schwer erkennbar macht.

So behebst du es:

• Erstelle einen DKIM-Eintrag für jede Versandplattform, die deine Domain nutzt.
• Veröffentliche genau den Selektor und den öffentlichen Schlüssel, die von der jeweiligen Plattform bereitgestellt werden.
• Überprüfe DKIM nach der Einrichtung, anstatt einfach anzunehmen, dass der Eintrag funktioniert.
• Führe eine Inventarliste aller Sendesysteme und ihrer DKIM-Selektoren.
• Überprüfe DKIM erneut, sobald ein Anbieter seine Schlüssel rotiert oder aktualisiert.

Einen DMARC-Eintrag ohne Prüfung der Alignment-Werte veröffentlichen

DMARC ist nur dann erfolgreich, wenn SPF oder DKIM mit der Domain in der sichtbaren Von:-Adresse übereinstimmt.

Ein Eintrag kann im DNS existieren und trotzdem bei DMARC scheitern, wenn die authentifizierte Domain nicht mit der für den Empfänger sichtbaren Domain übereinstimmt.

So behebst du es:

• Stelle sicher, dass SPF zur sichtbaren Von:-Domain passt.
• Stelle sicher, dass DKIM dieselbe Domain verwendet, die im Von:-Header angezeigt wird.
• Überprüfe DMARC-Berichte auf Ausrichtungsfehler.
• Teste echte E-Mails, um zu verifizieren, dass DMARC bei der Zustellung erfolgreich ist.
• Behebe Alignment-Probleme, bevor du zu p=none hinausgehst.

Zu früh zu p=Reject wechseln

Die DMARC-Durchsetzung ist schrittweise ausgelegt. Wenn du sofort zu p=reject wechselst, ohne jede legitime Versandquelle zu kennen, kannst du echte Unternehmens-E-Mails blockieren.

Das Problem tritt meistens auf, wenn vergessene Tools, Drittanbietersysteme oder interne Anwendungen immer noch E-Mails senden, die nicht korrekt authentifiziert wurden.

So behebst du es:

• Starte mit p=none und sammle DMARC-Berichte.
• Identifiziere jedes System, das E-Mails über deine Domain versendet.
• Behebe Authentifizierungs- und Alignment-Fehler zuerst.
• Erwäge p=quarantine oder eine schrittweise Einführung vor p=reject, wenn du einen sichereren Übergang möchtest.
• Aktiviere die Ablehnung erst, wenn eine durchgehende Überwachung bestätigt, dass alle legitimen E-Mails durchgehen.

Sich nur auf DNS-Checks verlassen

Eine DNS-Abfrage bestätigt lediglich, dass ein Eintrag existiert. Sie beweist nicht, dass Postfachanbieter deine E-Mails beim Empfang erfolgreich authentifizieren.

Das erzeugt ein falsches Sicherheitsgefühl. Im DNS sieht alles korrekt aus, während Nachrichten weiterhin im Spam landen oder bei der Zustellung die Authentifizierungstests nicht bestehen.

So behebst du es:

• Sende Test-E-Mails an Gmail- und Outlook-Postfächer.
• Überprüfe die SPF-, DKIM- und DMARC-Ergebnisse in der empfangenen Nachricht.
• Teste nach jeder Änderung am DNS oder an der Versandplattform.
• Überwache die Authentifizierungsergebnisse regelmäßig, nicht nur während der Einrichtung.
• Nutze Tests zur Postfachplatzierung und Authentifizierung, um die reale Leistung zu überprüfen.

Eine Subdomain für Cold Outreach nutzen

Viele Versender nutzen eine Subdomain für Cold Outreach in der Annahme, dass dies das Risiko vollständig isoliert. Auch wenn die Trennung organisatorisch hilft, können Postfachanbieter Subdomains dennoch mit der Hauptdomain verknüpfen.

Wenn Outreach Beschwerden oder geringes Engagement erzeugt, können sich Reputationssignale auf andere E-Mails der Marke auswirken.

So behebst du es:

• Verwende für Cold Outreach eine separate Zweitdomain anstelle deiner Hauptgeschäftsdomain. Halte sie sauber: Vermeide Bindestriche, Zahlen und exotische TLDs und authentifiziere sie unabhängig vor dem Versand.
• Authentifiziere die Zweitdomain unabhängig.
• Wärme die Outreach-Domain auf, bevor du das Volumen erhöhst.
• Halte Marketing-, Transaktions- und Outreach-Traffic am besten getrennt.
• Schütze deine primäre Geschäfts-Domain vor unnötigen Reputationsrisiken.

Blacklists hinterherjagen, statt die Reputation zu reparieren

Ein Blacklist-Eintrag sieht oft bedrohlich aus, aber die meisten öffentlichen Blacklists haben kaum Einfluss darauf, ob E-Mails im Posteingang von Gmail und Outlook landen. Moderne Postfachanbieter verlassen sich in erster Linie auf ihre eigenen Reputationssysteme, Engagement-Signale und Beschwerdedaten.

Viele Versender verbringen Tage damit, Blacklist-Einträge zu untersuchen, während das eigentliche Problem eine schlechte Absender-Reputation ist.

So behebst du es:

• Prüfe, ob die betreffende Blacklist überhaupt von den großen Postfachanbietern genutzt wird.
• Konzentriere dich zuerst auf Beschwerderaten, Engagement und Listenqualität.
• Verbessere die Authentifizierung und deine Versandmethoden.
• Überwache lieber, wo deine E-Mails landen, anstatt nur den Blacklist-Status zu checken.
• Betrachte Blacklist-Checks als Diagnose-Signal und nicht als wichtigsten Deliverability-Messwert.

E-Mail-Authentifizierung vs. Posteingangsplatzierung

Postfachanbieter betrachten Authentifizierung zunehmend als Grundvoraussetzung statt als Vertrauenssignal. Da Filtersysteme immer ausgefeilter werden, wird die Lücke zwischen authentifizierten und im Posteingang eintreffenden E-Mails weiter wachsen. Anbieter achten heute mehr denn je auf Reputation, Engagement, Konsistenz und das Sendeverhalten.

Deshalb betrachten die erfolgreichsten Versender die E-Mail-Authentifizierung als Teil eines fortlaufenden Deliverability-Prozesses. Jede neue Versandplattform, jeder Domainwechsel, jedes Marketing-Tool oder jede Outreach-Kampagne bietet die Gelegenheit, dass die Authentifizierung unbemerkt nicht mehr richtig sitzt.

Der nächste Schritt besteht darin, kontinuierlich zu verifizieren, dass alles unter realen Empfangsbedingungen funktioniert, und Probleme zu erkennen, bevor es die Postfachanbieter tun.

Jedes neue Tool, jede neue Domain oder Kampagne birgt das Risiko, dass SPF, DKIM oder DMARC unbemerkt nicht mehr stimmen. Mach einen kostenlosen MailReach deliverability test, um zu sehen, wo deine E-Mails aktuell landen, und kombiniere ihn mit email warmup, um die Absender-Reputation aufzubauen, die reine Authentifizierung allein nicht leisten kann.

FAQs

Was sind die drei wichtigsten Methoden zur E-Mail-Authentifizierung? 

SPF, DKIM und DMARC. SPF listet auf, welche Server für deine Domain senden dürfen, DKIM fügt eine Signatur hinzu, die beweist, dass die Nachricht nicht verändert wurde, und DMARC verknüpft beides mit deiner sichtbaren Absenderdomain (From:) und sagt dem Empfänger, was bei einem Fehler zu tun ist.

Brauche ich DMARC, wenn ich nur über Google Workspace sende? 

Ja. Es wird für jeden Versender empfohlen und ist bei großen Versandvolumen Pflicht. Google Workspace ist die Plattform, über die du sendest; das Veröffentlichen einer DMARC-Richtlinie liegt jedoch in deiner Verantwortung und wird von Workspace nicht automatisch erledigt. 

Was ist der Unterschied zwischen SPF, DKIM und DMARC? 

SPF autorisiert sendende Server. DKIM signiert die Nachricht, damit Empfänger überprüfen können, ob sie verändert wurde. DMARC legt die Richtlinie fest und erfordert eine Übereinstimmung zwischen dem, was erfolgreich war, und der Absenderdomain (From:), die dein Empfänger sieht.

Wie lange sollte ich bei p=none bleiben, bevor ich zu p=reject wechsle? 

Bleibe so lange bei p=none, bis DMARC-Berichte zeigen, dass jedes legitime System, das über deine Domain sendet, erfasst wurde. Ein zu früher Wechsel birgt das Risiko, echte Unternehmens-Mails zu blockieren.

Verbessert die E-Mail-Authentifizierung die Deliverability? 

Sie ist Voraussetzung, um überhaupt mitzuspielen, und ohne sie landet man nicht im Posteingang. Sie allein verbessert die Platzierung im Posteingang jedoch nicht – das tun Reputation und Inhalt. Authentifizierung öffnet das Tor; Reputation und Inhalt gewinnen den Posteingang.