Das Gespräch beginnt meist so: „Wir haben das Angebot am Montag verschickt, der Kunde sagt, er habe es nie erhalten.“ Oder: „Die Rechnung wurde verschickt, ist aber im Spam gelandet, und jetzt ist die Zahlung drei Wochen überfällig.“
Wer diese Sätze hört, hält sie meist für Zufälle. Das sind sie nicht. In der überwiegenden Mehrheit der Fälle sind sie das vorhersehbare Ergebnis einer fehlenden Konfiguration. Und die gute Nachricht: Die Lösung ist schnell, günstig und dauerhaft.
Dieser Artikel erklärt ohne Fachjargon, was dahintersteckt. Sie müssen nichts konfigurieren. Sie müssen nur wissen, was Sie fragen sollten.
Das Problem, das diese drei Abkürzungen lösen
E-Mail wurde in den 1980er-Jahren entworfen, in einem Netz, in dem sich alle kannten. Sie kam daher mit einer eingebauten Schwäche zur Welt: jeder Computer der Welt kann eine Nachricht senden, die behauptet „Ich bin Ihre Bank“, „Ich bin Ihr Lieferant“ oder „Ich bin der Finanzleiter Ihres Unternehmens“. Das Protokoll verlangt keine Legitimation. Es akzeptiert die Behauptung.
Jahrzehntelang lautete die Antwort: Filtern. Die empfangenden Systeme lernten, misstrauisch zu sein, Muster zu analysieren und alles, was verdächtig aussah, in den Spam-Ordner zu verschieben. Der Nebeneffekt ist jedem Unternehmen vertraut: Auch legitime Nachrichten bleiben im Netz hängen.
SPF, DKIM und DMARC packen dieses Problem an der Wurzel. Statt zu raten, wem man vertrauen kann, erlauben sie jeder Organisation, öffentlich zu erklären, wer in ihrem Namen versenden darf, und erlauben den empfangenden Systemen, diese Erklärung zu prüfen.
Die drei, in einfachen Worten
Stellen Sie sich einen Brief vor, der an einem Empfang ankommt.
SPF ist die Liste derer, die senden dürfen. Das Unternehmen veröffentlicht in einem öffentlichen Eintrag seiner Domain, welche Server berechtigt sind, in seinem Namen Nachrichten zu senden. Trifft eine Nachricht ein, schaut das empfangende System in die Liste und prüft, ob der Absender darauf steht. Das entspricht einer Liste zugelassener Kuriere am Empfang.
DKIM ist das Wachssiegel. Jede gesendete Nachricht trägt eine kryptografische Signatur, die nur die Organisation erzeugen kann. Der Empfänger prüft die Signatur und erfährt zwei Dinge: dass die Nachricht wirklich von dem stammt, der sie angeblich gesendet hat, und dass niemand sie unterwegs verändert hat. Es ist das Siegel auf dem Umschlag.
DMARC ist die Anweisung, was zu tun ist, wenn etwas fehlschlägt. Ohne DMARC entscheidet jedes System für sich. Mit DMARC sagt die Organisation ausdrücklich: Wenn eine Nachricht vorgibt, von mir zu stammen, und die Prüfungen nicht besteht, ignoriere sie, stelle sie in Quarantäne oder weise sie ab. Und, entscheidend: DMARC sendet Berichte zurück. So wird sichtbar, wer versucht, Nachrichten im Namen des Unternehmens zu senden.
Die drei wirken zusammen. Für sich allein löst jedes nur die Hälfte des Problems.
Was sich 2024 und 2025 geändert hat
Jahrelang galt das als technische Empfehlung. Das ist vorbei.
Im Februar 2024 begannen Google und Yahoo, SPF, DKIM und DMARC von allen zu verlangen, die mehr als fünftausend Nachrichten pro Tag an ihre Verbraucherpostfächer senden, zusammen mit einer Spam-Beschwerderate unter 0,3 % und einer Abmeldung mit einem Klick. Im Mai 2025 übernahm Microsoft gleichwertige Anforderungen und begann, nicht konforme Nachrichten in seinen Verbraucherdiensten abzuweisen.
In Managementsprache: die größten E-Mail-Betreiber der Welt behandeln Authentifizierung nicht mehr als Option, sondern als Bedingung für die Zustellung. Eine Organisation ohne diese Einstellungen riskiert nicht nur den Spam-Ordner. Sie riskiert die vollständige Abweisung.
Was es kostet, wenn es nicht gemacht wird
Der Schaden taucht selten auf einer Rechnung auf, und genau deshalb bleibt er unbemerkt.
| Symptom | Tatsächliche Kosten |
|---|---|
| Verkaufsangebote, die im Spam landen | Verlorene Aufträge, ohne je zu erfahren, warum |
| Rechnungen, die nicht ankommen | Verspätete Zahlungen und Zeit der Buchhaltung für erneutes Versenden |
| Kunden, die fragen: „Ist diese E-Mail wirklich von Ihnen?“ | Stunden im Kundensupport und Misstrauen gegenüber der Marke |
| Dritte, die die Domain für Phishing nutzen | Reputationsschaden und eine beschädigte Domain-Reputation |
| Kampagnen mit extrem niedrigen Öffnungsraten | Kommunikationsausgaben ohne Ertrag |
Der letzte Punkt verdient besondere Aufmerksamkeit von allen, die regelmäßig kommunizieren. Ein Newsletter mit sehr niedriger Öffnungsrate wird fast immer als Versagen des Inhalts gewertet. Oft ist es ein Versagen der Authentifizierung: Die Nachricht hat den Hauptposteingang nicht erreicht, sie landete im Werbe- oder Spam-Ordner, und niemand hat sie gesehen, um sie zu öffnen.
Einen Schritt weiter: die Marke im Posteingang sichtbar machen
Sind alle drei korrekt konfiguriert, eröffnet sich eine zusätzliche Möglichkeit: BIMI, mit dem das Logo der Organisation neben ihren Nachrichten im Posteingang des Empfängers erscheint.
Das ist kein kosmetisches Detail. In einer Liste von dreißig schwarz-weißen Nachrichten fällt die mit Logo auf, noch bevor sie gelesen wird. Und es wirkt als Zeichen der Legitimität: Systeme, die BIMI unterstützen, zeigen das Logo nur Absendern mit korrekter Authentifizierung, was seine Anwesenheit zu einer kleinen Garantie dafür macht, dass die Nachricht echt ist.
Was Sie denjenigen fragen sollten, die Ihre E-Mail verwalten
Sie müssen nicht wissen, wie man es konfiguriert. Sie müssen fünf Fragen stellen und klare Antworten verlangen:
- Sind für unsere Domain SPF, DKIM und DMARC konfiguriert? Lautet die Antwort „Ich glaube schon“, dann nein.
- Auf welche Richtlinie ist unser DMARC eingestellt? Die Optionen sind: nichts tun, Quarantäne oder Abweisung. Viele Organisationen bleiben jahrelang bei der ersten, die zum Beobachten nützlich ist, aber nicht schützt.
- Wer empfängt und liest die DMARC-Berichte? Sie sind es, die Versuche des Domain-Missbrauchs aufdecken. Ohne jemanden, der sie liest, funktioniert der Mechanismus nur zur Hälfte.
- Sind alle Dienste, die in unserem Namen versenden, autorisiert? Newsletter-Plattformen, Rechnungssysteme, CRM, Onlineshops. Hier tauchen die Überraschungen fast immer auf.
- Wer übernimmt die Verantwortung für diese Konfiguration und pflegt sie? Domains ändern sich, Anbieter wechseln, neue Dienste kommen hinzu. Eine Konfiguration, die 2023 korrekt war, kann heute unvollständig sein.
Das Fazit, in zwei Zeilen
Das ist keine technische Angelegenheit, die die Geschäftsleitung delegieren und vergessen kann. Es ist der Unterschied zwischen Kommunikation, die ankommt, und Kommunikation, die nicht ankommt, und zwischen einer Marke, die zur Täuschung von Kunden missbraucht wird, und einer, die es nicht wird.
Die Konfiguration dauert Stunden. Sie nicht vorzunehmen kostet Sie jeden Monat Geschäft, und niemand kann es beziffern.