Checkliste für die E-Mail-Zustellbarkeit: SPF, DKIM und DMARC für SaaS

Sie können die perfekte Willkommens-E-Mail schreiben, sie in Millisekunden versenden – und sie trotzdem an den Spam-Ordner verlieren. Postfach-Anbieter wie Gmail, Outlook und Yahoo entscheiden, wo eine Nachricht landet, lange bevor sie jemand liest, und als Erstes prüfen sie, ob der Absender der ist, der er zu sein behauptet.

Drei DNS-Einträge beantworten diese Frage: SPF, DKIM und DMARC. Diese Checkliste erklärt jeden davon verständlich und zeigt, wie Sie sie für die Domain einrichten, von der Sie senden.

Warum das wichtiger ist denn je

Im Februar 2024 haben Google und Yahoo begonnen, strengere Regeln für alle durchzusetzen, die an ihre Nutzer senden:

• Alle Absender müssen sich per SPF oder DKIM authentifizieren, über TLS senden und ihre Spam-Beschwerderate niedrig halten (Google verlangt unter 0,3 %).
• Massenabsender, also etwa ab 5.000 Nachrichten pro Tag an Gmail, brauchen SPF und DKIM und eine DMARC-Richtlinie, wobei die sichtbare From-Domain darauf abgestimmt sein muss. Marketing-E-Mails benötigen außerdem eine Abmeldung mit einem Klick.

Andere Anbieter sind gefolgt. Nachrichten, die diese Prüfungen nicht bestehen, werden zunehmend direkt abgelehnt, statt nur im Spam abgelegt zu werden.

Wo Inbixio ins Spiel kommt

Mit Inbixio werden Ihre E-Mails von Ihrem eigenen SMTP-Server zugestellt: dem Postfach, das Sie unter Email Servers (E-Mail-Server) verbunden haben. Ihre Authentifizierungseinträge beschreiben also Ihren Mail-Anbieter (Google Workspace, Microsoft 365, Zoho, Ihren Hoster), nicht Inbixio. Richten Sie sie einmal für Ihre Domain ein, und jede über die API gesendete E-Mail profitiert davon.

Die folgenden Beispiele verwenden yourco.com. Ersetzen Sie es durch Ihre Domain.

1. SPF: wer für Ihre Domain senden darf

SPF (Sender Policy Framework) ist ein TXT-Eintrag, der die Server auflistet, die E-Mails für Ihre Domain senden dürfen. Empfänger gleichen den Server, der eine Nachricht zugestellt hat, mit dieser Liste ab.

Fügen Sie im Stamm Ihrer Domain einen TXT-Eintrag hinzu:

yourco.com.  TXT  "v=spf1 include:_spf.google.com ~all"

Der include:-Teil hängt von Ihrem Anbieter ab:

Regeln, über die viele stolpern:

• Ein SPF-Eintrag pro Domain. Nutzen Sie zwei Dienste, kombinieren Sie sie: v=spf1 include:_spf.google.com include:spf.protection.outlook.com ~all. Zwei separate SPF-Einträge machen beide ungültig.
• Höchstens 10 DNS-Abfragen. Jedes include: zählt, und ebenso die darin enthaltenen Includes. Entfernen Sie Dienste, die Sie nicht mehr nutzen.
• Enden Sie mit ~all (Softfail), solange Sie noch einrichten. Wechseln Sie zu -all (Hardfail), sobald Sie sicher sind, dass die Liste vollständig ist.

2. DKIM: eine Signatur auf jeder Nachricht

DKIM (DomainKeys Identified Mail) versieht jede E-Mail mit einer kryptografischen Signatur. Ihr Mail-Anbieter signiert mit einem privaten Schlüssel, und Sie veröffentlichen den passenden öffentlichen Schlüssel im DNS, damit Empfänger prüfen können, dass die Nachricht nicht verändert wurde und wirklich von Ihrer Domain stammt.

Diesen Eintrag schreiben Sie nicht von Hand. Ihr Anbieter erzeugt ihn:

• Google Workspace: Admin-Konsole → Apps → Google Workspace → Gmail → Authenticate email (E-Mails authentifizieren).
• Microsoft 365: Microsoft Defender-Portal → Einstellungen für die E-Mail-Authentifizierung → DKIM.
• Zoho Mail: Admin-Konsole → Domains → Ihre Domain → Email configuration → DKIM.

Jeder liefert Ihnen einen Eintrag zum Veröffentlichen, typischerweise einen TXT- oder CNAME-Eintrag unter einem Namen wie google._domainkey.yourco.com. Fügen Sie ihn in Ihrem DNS hinzu, warten Sie, bis er sich verbreitet hat, und klicken Sie dann in der Konsole des Anbieters auf Start authentication (Authentifizierung starten) oder die entsprechende Option. Verwenden Sie einen 2048-Bit-Schlüssel, wenn Sie die Wahl haben.

3. DMARC: die Richtlinie, die alles verbindet

DMARC teilt Empfängern mit, was sie tun sollen, wenn eine Nachricht SPF und DKIM nicht besteht, und bittet sie, Ihnen Berichte zu senden. Außerdem prüft DMARC die Ausrichtung (Alignment): Die Domain in der sichtbaren From-Adresse muss mit der Domain übereinstimmen, die SPF oder DKIM bestanden hat.

Beginnen Sie im Überwachungsmodus:

_dmarc.yourco.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourco.com; adkim=r; aspf=r"

• p=none überwacht nur. Nichts wird blockiert, während Sie die Berichte prüfen.
• rua= ist die Adresse, an die tägliche Sammelberichte gehen. Es sind XML-Dateien – ein kostenloser DMARC-Report-Viewer macht sie lesbar.

Nach zwei bis vier Wochen sauberer Berichte verschärfen Sie die Richtlinie schrittweise: p=quarantine (fehlschlagende E-Mails landen im Spam), dann p=reject (fehlschlagende E-Mails werden abgelehnt). Erst dieser letzte Schritt hindert andere daran, in Ihrem Namen Phishing zu versenden.

4. Absenderadressen einheitlich halten

Mit Inbixio werden E-Mails von der Adresse des verbundenen SMTP-Benutzernamens gesendet, zum Beispiel notifications@yourco.com. So bleibt die Ausrichtung einfach:

• Senden Sie von einer Adresse auf derselben Domain, für die Sie SPF, DKIM und DMARC eingerichtet haben,
• verwenden Sie eine kleine, stabile Auswahl an Absenderadressen (notifications@, security@, billing@), und
• sollen verschiedene Dienste verschiedene Adressen verwenden, verbinden Sie einen Server pro Adresse und binden Sie jeden API-Schlüssel an seinen Server.

5. Gewohnheiten, die Ihre Reputation schützen

Authentifizierung beweist, wer Sie sind; Ihr Verhalten entscheidet, ob Empfänger Ihnen vertrauen:

• Senden Sie nur an Menschen, die die E-Mail erwarten. Transaktions-E-Mails (Quittungen, Resets, Codes) haben sehr niedrige Beschwerderaten. Halten Sie Marketing getrennt und auf Opt-in-Basis.
• Entfernen Sie Adressen, die bouncen. Wiederholtes Senden an ungültige Postfächer sieht nach der Liste eines Spammers aus. Bounce-Meldungen kommen in dem Postfach an, von dem Sie senden (dem, das Sie mit Inbixio verbunden haben). Prüfen Sie es also und entfernen Sie diese Adressen aus Ihren Listen.
• Schreiben Sie wie ein Mensch. Ein klarer Betreff, ein Layout, das auch als Nur-Text funktioniert, eine Absenderadresse, die Antworten annimmt, und keine Linkverkürzer.
• Steigern Sie das Volumen schrittweise. Eine neue Domain, die plötzlich 50.000 E-Mails versendet, wirkt verdächtig. Erhöhen Sie das Volumen über einige Wochen.

So prüfen Sie Ihre Einrichtung

1. Senden Sie über Inbixio eine Test-E-Mail an eine Gmail-Adresse, auf die Sie Zugriff haben.
2. Öffnen Sie die Nachricht in Gmail, klicken Sie auf ⋮ → Show original (Original anzeigen) und suchen Sie nach SPF: PASS, DKIM: PASS und DMARC: PASS.
3. Für die laufende Überwachung registrieren Sie Ihre Domain bei den Google Postmaster Tools, um Ihre Spamrate und Reputation zu sehen.

Die Checkliste

• Ein SPF-Eintrag, der Ihren Mail-Anbieter einschließt, unter 10 Abfragen
• DKIM bei Ihrem Anbieter aktiviert, mit veröffentlichtem und verifiziertem DNS-Eintrag
• DMARC auf p=none, mit Berichten an eine überwachte Adresse
• Absenderadressen auf derselben Domain wie Ihre SPF-, DKIM- und DMARC-Einträge
• Gmails „Original anzeigen“ zeigt für alle drei PASS
• Eine Erinnerung, DMARC auf quarantine und dann auf reject umzustellen

Setzen Sie das als Nächstes bei den E-Mails ein, auf die Nutzer am meisten warten: OTP- und Bestätigungscodes und Passwort-Resets.