Letztes Jahr haben gefälschte E-Mails Unternehmen und Menschen über 10 Milliarden Dollar gekostet. Alle drei Sekunden klickt jemand auf eine Phishing-E-Mail. Diese Angriffe passieren, weil E-Mails ein großes Problem haben: Jeder kann sich für jemand anderen ausgeben.
Wenn du eine E-Mail verschickst, gibt es keine eingebaute Möglichkeit zu beweisen, dass sie wirklich von dir stammt. Betrüger nutzen diese Schwäche, um jeden Tag Millionen von gefälschten E-Mails zu verschicken. Sie geben vor, Banken, Unternehmen oder sogar dein Chef zu sein.
Ohne den richtigen Schutz können E-Mail-Anbieter nicht zwischen echten und gefälschten Mails unterscheiden. SPF, DKIM und DMARC lösen dieses Problem. Betrachte sie als eine dreiteilige ID-Prüfung für jede E-Mail, die du versendest.
In diesem Artikel erkläre ich, wie DMARC, SPF und DKIM zusammenarbeiten, um deine ausgehenden E-Mails zu verifizieren und sicherzustellen, dass deine Nachrichten immer ankommen.
Brauche ich SPF, DKIM und DMARC wirklich für meine E-Mails?
Ja, du brauchst alle drei, und hier ist der Grund, warum das nicht mehr optional ist.
Ab Februar 2024 machen Google und Yahoo diese Protokolle für alle, die mehr als 5.000 E-Mails pro Tag versenden, zur Pflicht. Aber auch wenn du nur 10 E-Mails im Monat versendest, brauchst du sie. Ohne eine ordnungsgemäße E-Mail-Authentifizierung könnten bis zu 76 % deiner legitimen E-Mails in Spam-Ordnern landen oder ganz abgewiesen werden.
Die Zahlen erzählen eine erschreckende Geschichte. Laut dem Internet Crime Report 2024 des FBI kostete der Business Email Compromise (BEC)-Betrug die Opfer allein im letzten Jahr 2,9 Milliarden Dollar. Und das nur in den Vereinigten Staaten. Diese Angriffe funktionieren, weil die meisten Domänen immer noch keine angemessene E-Mail-Sicherheit verwenden.
Wenn du SPF, DKIM und DMARC nicht eingerichtet hast, können Kriminelle E-Mails versenden, die genauso aussehen, als kämen sie von dir. Hier erfährst du, was sie bewirken und warum du keine von ihnen auslassen darfst:
- SPF verhindert Server-Spoofing. Es erstellt eine Liste von Servern, die E-Mails für deine Domain senden dürfen. Aber SPF funktioniert nicht, wenn E-Mails weitergeleitet werden. Das ist das Problem Nummer eins.
- DKIM fügt eine Signatur hinzu. Jede E-Mail erhält eine einzigartige verschlüsselte Signatur, die beweist, dass sie nicht verändert wurde. Aber DKIM allein hält niemanden davon ab, deinen Domainnamen zu benutzen. Das ist Problem Nummer zwei.
- DMARC verbindet alles miteinander. Es sagt den empfangenden Servern, was zu tun ist, wenn SPF oder DKIM versagen. Ohne DMARC sind die anderen beiden nur Vorschläge, die die Server ignorieren können.
Die Quintessenz? Bei der E-Mail-Authentifizierung geht es nicht mehr darum, Regeln zu befolgen oder Spam-Ordner zu vermeiden. Es geht darum, dein Unternehmen, deinen Ruf und alle, die deinen E-Mails vertrauen, zu schützen.
Repariere deine WordPress-E-Mails jetzt
Wo kann ich SPF-, DKIM- und DMARC-Einträge hinzufügen?
Die Einrichtung von SPF, DKIM und DMARC dauert etwa 15 Minuten, wenn du weißt, wo du suchen musst. Alle drei werden als TXT-Einträge in den DNS-Einstellungen deiner Domain hinzugefügt. Dort verwaltest du auch die Nameserver deiner Website und andere Einträge.
Die Suche nach deinen DNS-Einträgen dauert 30 Sekunden:
- Wenn du Domain und Hosting zusammen gekauft hast: Logge dich in dein Hosting-Konto ein (z.B. Bluehost, SiteGround oder HostGator). Suche in deinem Control Panel nach "DNS Zone Editor" oder "DNS Management".
- Wenn du sie separat gekauft hast: Gehe zu deinem Domain-Registrar (GoDaddy, Namecheap, Google Domains). Finde "DNS-Einstellungen" oder "DNS verwalten" in deinem Domain-Dashboard.
- Wenn du Cloudflare oder einen ähnlichen Dienst nutzt: Rufe dein Cloudflare-Dashboard auf, wähle deine Domain aus und klicke dann im linken Menü auf den Reiter "DNS". Hier ist ein Beispiel von Cloudflare:
Auf die Reihenfolge der Einrichtung kommt es an (die meisten Leute machen das falsch):
Zuerst SPF hinzufügen → 1 Stunde warten → DKIM hinzufügen → 1 Stunde warten → DMARC hinzufügen
Warum diese Reihenfolge?
DMARC prüft, ob SPF und DKIM funktionieren. Wenn du DMARC zuerst hinzufügst, schlägt es sofort fehl und kann deine E-Mails blockieren. Bei vielen Anbietern darfst du DMARC erst dann hinzufügen, wenn SPF die Validierung bestanden hat.
Was du tatsächlich hinzufügen wirst:
- SPF: Ein TXT-Eintrag, der mit "v=spf1" beginnt (dauert 2 Minuten)
- DKIM: Ein oder zwei TXT-Einträge mit langen Zeichenketten (dauert 3 Minuten)
- DMARC: Ein TXT-Eintrag unter "_dmarc.yourdomain.com" (dauert 2 Minuten)
Zeit, bis sie funktionieren:
- SPF: Aktiv in 5-30 Minuten
- DKIM: Aktiv in 1-4 Stunden
- DMARC: Aktiv in 1-24 Stunden (muss aber zuerst SPF/DKIM funktionieren)
Häufige Fehler bei der Einrichtung, die alles kaputt machen:
- Zwei SPF-Einträge haben (sie zu einem zusammenfassen)
- Falscher DKIM-Selektorname (überprüfe das genaue Format deines E-Mail-Anbieters)
- DMARC mit p=reject starten (immer mit p=none beginnen, dann erhöhen)
- Hinzufügen von Datensätzen zur falschen Subdomain
- Zusätzliche Leerzeichen oder Anführungszeichen in den Datensatzwerten
Schnelltest nach der Einrichtung:
Sende eine Test-E-Mail an Gmail und überprüfe die Kopfzeilen der Nachricht (klicke auf die drei Punkte und dann auf Original anzeigen). Achte auf diese Zeilen:
- SPF: PASS
- DKIM: PASS
- DMARC: PASS
Was sind DMARC, SPF und DKIM?
Was ist DMARC?
DMARC hilft dabei, Domain-Spoofing zu verhindern und erstellt E-Mail-Berichte, wenn verdächtige Aktivitäten entdeckt werden. Die Abkürzung DMARC steht für Domain-based Authentication, Reporting, and Conformance (Domain-basierte Authentifizierung, Berichterstattung und Konformität), der Hinweis steckt also schon im Namen.
Grundsätzlich fungiert dein DMARC-Eintrag als Bindeglied zwischen deinen SPF- und DKIM-Einträgen. Und er erfüllt 3 Aufgaben:
- Es vergleicht die Absender-IP mit dem autorisierten Absender für die Domain anhand von SPF und DKIM. So arbeiten diese 3 Datensätze zusammen, um zu verhindern, dass WordPress-E-Mails an Spam gehen.
- Wenn diese Prüfung fehlschlägt, teilt sie dem E-Mail-Server mit, was zu tun ist. Die E-Mail kann zum Beispiel zurückgewiesen oder unter Quarantäne gestellt werden.
- DMARC kann auch E-Mail-Berichte erstellen, wenn es E-Mails entdeckt, die nicht richtig authentifiziert sind. Im DMARC-Eintrag kannst du die E-Mail-Adresse angeben, die diese Berichte erhalten soll. Sie werden als XML-Dateien an dich gesendet.
Wenn du DMARC-Meldungen erhältst, mach dir keine Sorgen. Dein DMARC-Eintrag tut, was er tun soll. Es ist wichtig, die Berichte nicht zu ignorieren, denn sie könnten ein Zeichen dafür sein, dass jemand deine Domain zum Versenden von Spam missbraucht. Du kannst den Bericht an deinen E-Mail-Anbieter weiterleiten, wenn du Hilfe brauchst, um den Inhalt zu verstehen.
Hinzufügen eines DMARC-Eintrags
Wenn dein E-Mail-Anbieter dir einen bestimmten DMARC-Eintrag vorgibt, solltest du diesen zu deinem DNS hinzufügen. Wenn dein Anbieter dir nicht sagt, was du einfügen sollst, lies unseren Artikel darüber, was ein DMARC-Eintrag ist und wie du ihn erstellst. Er enthält einen allgemeinen DMARC-Eintrag, den du kopieren und einfügen kannst und der für jede Domain funktioniert.
Das einzige Mal, dass du nicht DMARC brauchst du, wenn du von einer Domain sendest, die du nicht kontrollierst. Zum Beispiel kann ein Gmail-Konto mit einer @gmail.com E-Mail-Adresse braucht kein DMARC, aber ein Google Workspace-Konto mit einem benutzerdefinierten Domainnamen schon.
Was ist SPF?
Der SPF-Eintrag ist ein TXT-Eintrag in deinem DNS. Der Name steht für Sender Policy Framework. SPF ist dafür zuständig zu überprüfen, ob eine IP-Adresse berechtigt ist, E-Mails von der sendenden Domain zu versenden. Er funktioniert ein bisschen wie ein Absender auf einem Brief.
Wenn du keinen SPF-Eintrag hast, werden deine WordPress-E-Mails wahrscheinlich als Spam markiert. In manchen Fällen werden sie sogar verworfen.
Gmail blockiert zum Beispiel E-Mails ohne SPF-Authentifizierung. Ein fehlender SPF-Eintrag ist also eine häufige Ursache dafür, dass WordPress keine E-Mails versendet.
Es kann sogar sein, dass WordPress E-Mails generiert und sie ohne Probleme versendet. Aber die E-Mails werden wahrscheinlich im weiteren Verlauf verworfen, weil es keinen SPF-Eintrag gibt, um sie zu validieren.
Nicht mehr als 1 SPF-Eintrag verwenden
Es ist wichtig, einen SPF-Eintrag zu erstellen. Dein Anbieter wird dir genaue Anweisungen geben, was du zu deinem DNS hinzufügen musst.
Dabei ist es wichtig, dass du nur einen SPF-Eintrag für deine Domain hast, also überprüfe zuerst, ob es bereits Regeln gibt.
Du hast zum Beispiel bereits einen SPF-Eintrag für deinen E-Mail-Marketing-Anbieter erstellt. Wenn du dann einen weiteren für deinen Transaktions-E-Mail-Anbieter hinzufügen möchtest, musst du diese SPF-Einträge zu einem einzigen zusammenfassen.
Wie du das am einfachsten machst, erfährst du in unserer Anleitung zum Zusammenführen mehrerer SPF-Einträge.
Was ist DKIM?
Dein DKIM-Eintrag ist dafür verantwortlich, deine Domain mithilfe eines Schlüssels zu verifizieren. Er steht für DomainKeys Identified Mail.
Das Hauptziel von DKIM ist es, zu beweisen, dass der Inhalt zwischen Absender und Empfänger nicht verändert wurde. DKIM ist also ein bisschen so, als würdest du jede E-Mail, die du versendest, mit deiner eigenen Signatur versehen.
In deinem DNS hast du einen Teil des DKIM-Eintrags: den öffentlichen Schlüssel. Und der Mailserver hat den privaten Schlüssel, der dazu passt. Durch den Vergleich dieser beiden Schlüssel können die Mailserver überprüfen, ob die E-Mail wirklich von dir stammt.
Später überprüft der DMARC-Datensatz diese Überprüfung und entscheidet dann, ob die E-Mail legitim ist.
Hinzufügen eines DKIM-Datensatzes
Um einen DKIM-Eintrag zu deinem DNS hinzuzufügen, musst du dich an deinen E-Mail-Anbieter wenden, um herauszufinden, was du eintragen musst. Bei den meisten Anbietern findest du eine Anleitung in der Einrichtungsdokumentation.
Wenn du WP Mail SMTP verwendest, haben wir auch eine detaillierte Anleitung für alle von uns unterstützten E-Mail-Anbieter:
| Mailer in allen Versionen verfügbar | Mailer in WP Mail SMTP Pro |
|---|---|
| SendLayer | Amazon SES |
| SMTP.de | Microsoft 365 / Outlook.com |
| Brevo (ehemals Sendinblue) | Zoho Mail |
| Google Workspace / Gmail | |
| Mailgun | |
| Poststempel | |
| SendGrid | |
| SparkPost | |
| Andere SMTP |
Manchmal musst du einen DKIM-Eintrag in zwei Zeilen aufteilen. Wir haben einen Leitfaden zum Aufteilen eines DKIM-Datensatzes, der erklärt, wie das geht.
Zum Schluss noch ein kurzer Blick auf eine einfache Möglichkeit, deine DNS-Einträge in WordPress zu überprüfen.
Wie prüfe ich DMARC, SPF, DKIM in WP Mail SMTP?
Wenn du E-Mails von WordPress aus versendest, musst du sicherstellen, dass DMARC, SPF und DKIM auf deiner Domain richtig konfiguriert sind. Mit WP Mail SMTP ist das ganz einfach.
Du kannst jederzeit eine Test-E-Mail verschicken, um sicherzustellen, dass deine WordPress-E-Mails funktionieren. Dabei werden gleichzeitig diese 3 wichtigen DNS-Einträge überprüft.
Wenn das Plugin feststellt, dass einer deiner DNS-Einträge fehlt oder fehlerhaft ist, wird es dich sofort informieren.
Und damit du ganz beruhigt sein kannst, siehst du die Warnmeldungen des Domain-Checkers auch auf deinem Site Health-Bildschirm. Und das war's! Jetzt weißt du, wie DMARC, SPF und DKIM zusammenarbeiten, um die Zustellbarkeit von E-Mails zu verbessern.
FAQs zu SPF-, DKIM- und DMARC-Einträgen
Hast du weitere Fragen zu DNS-Einträgen und der Zustellbarkeit von E-Mails? Ich werde sie weiter unten beantworten.
Wie erstelle ich einen DMARC-Eintrag?
Du kannst einen DMARC-Eintrag kopieren und ihn in die DNS-Zone deiner Domain einfügen. Ein Beispiel für einen DMARC-Eintrag findest du in unserer Anleitung, wie du einen DMARC-Eintrag erstellst und zu deiner Domain hinzufügst.
Wie kann ich SPF-Einträge für WordPress und WP Mail SMTP hinzufügen?
Suche zunächst deine DNS-Einstellungen bei deinem Domainanbieter (wie GoDaddy oder Namecheap). Füge einen neuen TXT-Eintrag mit deinem Domänennamen als Host hinzu. Beginne für den Wert mit "v=spf1" und gib deinen Mailserver an.
Bei WP Mail SMTP hängt der genaue Eintrag davon ab, welchen Mailer du verwendest. Wenn du SendLayer benutzt, füge hinzu: "v=spf1 includesendlayer.net ~all". Für Gmail, verwende: "v=spf1 include:_spf.google.com ~all".
Der Fehler, den die meisten Leute machen? Sie fügen zwei SPF-Einträge hinzu. Du kannst nur einen haben. Wenn du mehrere Dienste benötigst, kombiniere sie wie folgt: "v=spf1 includesendlayer.net include:_spf.google.com ~all". Speichere den Datensatz und warte etwa 15 Minuten. Das war's.
Warum braucht WP Mail SMTP eine DKIM-Konfiguration?
WP Mail SMTP braucht DKIM, weil WordPress die E-Mails nicht selbst signiert. Wenn du eine E-Mail über WordPress versendest, wird sie unsigniert versendet. E-Mail-Anbieter wie Gmail sehen unsignierte E-Mails als verdächtig an, selbst wenn sie echt sind.
DKIM fügt jeder E-Mail, die du versendest, eine spezielle Signatur hinzu. Stell dir das wie ein Wachssiegel auf einem alten Brief vor. Diese Signatur beweist zwei Dinge: Die E-Mail stammt wirklich von deiner Website, und niemand hat sie unterwegs verändert.
Ohne DKIM könnten etwa 30 % deiner WordPress-E-Mails in Spam-Ordnern landen. Mit DKIM steigt deine Zustellrate auf über 95%. Das Plugin macht die Einrichtung von DKIM ganz einfach. Es generiert die Schlüssel für dich und sagt dir genau, was du zu deinem DNS hinzufügen musst.
Welchen SPF-Eintrag sollte ich für WP Engine Hosting verwenden?
Für WP Engine kannst du diesen SPF-Eintrag verwenden: "v=spf1 include:mail1.wpengine.com ~all"
Aber es gibt einen Haken: Wenn du WP Engine für das Hosting nutzt, aber deine E-Mails über einen anderen Dienst versendest, brauchst du stattdessen dessen SPF. Viele WP Engine-Nutzer senden ihre E-Mails über SendGrid oder Mailgun. In diesem Fall müsstest du deren SPF-Einträge verwenden, nicht die von WP Engine.
Wenn du beide brauchst, kombiniere sie: "v=spf1 include:mail1.wpengine.com include:sendgrid.net ~all". Füge dies als TXT-Eintrag in deinem DNS hinzu. Füge ihn nicht im WP Engine-Kontrollzentrum hinzu, sondern in den DNS-Einstellungen deines Domain-Registrars.
Kann ich DMARC auch ohne SPF und DKIM nutzen?
Ja, DMARC funktioniert mit nur einem von beiden, aber das ist riskant. DMARC funktioniert, wenn entweder SPF oder DKIM funktioniert und mit deiner Domain übereinstimmt. Technisch gesehen brauchst du also nur eines.
Aber hier ist der Grund, warum das eine schlechte Idee ist: SPF bricht, wenn E-Mails weitergeleitet werden. DKIM kann kaputt gehen, wenn dein E-Mail-Dienst die Nachrichten verändert. Wenn du nur eines hast und es nicht funktioniert, versagt DMARC komplett. Deine E-Mails werden zurückgewiesen.
Ich habe schon erlebt, dass Unternehmen Tausende von Dollar verloren haben, weil sie sich nur auf SPF verlassen haben. Ein Kunde hat seine Rechnung an die Buchhaltung weitergeleitet, SPF war defekt, und die Rechnung kam nie an. Beginne mit SPF und DKIM und füge dann DMARC hinzu. Das dauert insgesamt vielleicht 20 Minuten und erspart später große Kopfschmerzen.
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF ist eine Liste von Servern, die E-Mails für deine Domain versenden dürfen. Das ist so, als ob du sagen würdest: "Nur diese Postämter dürfen meine E-Mails verschicken." Das Problem dabei? Es prüft den Server, nicht den eigentlichen Absender.
DKIM ist eine Signatur, die beweist, dass eine E-Mail nicht verändert wurde. Jede E-Mail erhält einen einzigartigen verschlüsselten Stempel. Aber DKIM hält niemanden davon ab, deinen Domainnamen auf einem anderen Server zu verwenden.
DMARC ist der Chef, der prüft, ob SPF oder DKIM bestanden wurden, und dann den empfangenden Servern sagt, was sie mit Fehlern machen sollen. Ohne DMARC sind die anderen beiden nur Vorschläge. Die Server können sie ignorieren.
Hier ist die einfache Wahrheit: SPF sagt, wer senden darf, DKIM beweist, dass E-Mails echt sind, und DMARC setzt die Regeln durch. Du brauchst alle drei, denn jeder korrigiert, was die anderen übersehen.
Wie prüfe ich, ob SPF, DKIM und DMARC richtig funktionieren?
Sende eine Test-E-Mail an ein Gmail-Konto, das du kontrollierst. Sobald sie ankommt, öffne die E-Mail und klicke auf das Menü mit den drei Punkten. Wähle "Original anzeigen", um die technischen Details zu sehen.
Achte auf diese drei Zeilen:
- SPF: PASS (mit deiner Domain)
- DKIM: PASS (zeigt 'header.d' mit deiner Domain an)
- DMARC: PASS
Wenn einer davon FAIL anzeigt, hast du ein Problem. SPF-Fehler bedeuten falsche Servereinstellungen. DKIM-Fehler bedeuten falsche DNS-Einträge oder Schlüssel. DMARC-Fehler treten auf, wenn SPF und DKIM nicht mit deiner "Von"-Domäne übereinstimmen.
Für schnelle Tests kannst du die E-Mail-Testfunktion von WP Mail SMTP nutzen. Sende eine E-Mail an eine beliebige Testadresse und erhalte sofortige Ergebnisse.
Muss ich mich sowohl mit SPF als auch mit DKIM authentifizieren, oder nur mit einem?
Du solltest beide einrichten, auch wenn technisch gesehen eine für die grundlegende Authentifizierung ausreicht. Google und Yahoo verlangen jetzt beides für alle, die täglich mehr als 5.000 E-Mails versenden. Aber auch kleine Absender profitieren davon, beide zu verwenden.
Hier ist, was mit nur einem passiert: SPF allein versagt, wenn jemand deine E-Mail weiterleitet. DKIM allein beweist nicht, welcher Server die E-Mail gesendet hat. Wenn du beides hast, kann eines davon ausfallen und deine E-Mail wird trotzdem weitergeleitet.
Reales Beispiel: Ein Kunde hatte nur SPF. Sein Newsletter funktionierte gut, bis die Abonnenten anfingen, ihn an Freunde weiterzuleiten. Jede weitergeleitete E-Mail prallte zurück. Das Hinzufügen von DKIM hat das Problem sofort behoben.
Wie kann ich DMARC-Fehler in WordPress beheben?
Wenn DMARC in WordPress fehlschlägt, liegt das in der Regel daran, dass die "Von"-Adresse nicht mit deiner Domain übereinstimmt. WordPress ist standardmäßig auf "[email protected]" eingestellt, aber deine Website sendet vielleicht von "[email protected]". Das ist eine Unstimmigkeit.
Behebe es, indem du zu den WP Mail SMTP-Einstellungen gehst. Setze die "Absender-E-Mail" auf eine Adresse in deiner eigenen Domain. Verwende niemals Gmail, Yahoo oder andere kostenlose E-Mail-Adressen als Absender. Als Nächstes musst du sicherstellen, dass dein SPF-Eintrag deinen tatsächlichen Mailserver enthält. Wenn du SMTP.com verwendest, muss dein SPF-Eintrag "include:smtp.com" enthalten.
Überprüfe, ob DKIM aktiv ist und die DNS-Einträge korrekt sind. Der Selektor (normalerweise "default" oder der Name deines Dienstes) muss genau übereinstimmen. Schon ein falsches Zeichen macht alles kaputt.
Prüfe als nächstes deinen PTR-Datensatz
Während du dein DNS überprüfst, solltest du auch deinen PTR-Eintrag überprüfen. Der PTR-Eintrag ist eine besondere Art von Eintrag, der auch eine Rolle bei der Verhinderung von Spam spielt. Mehr dazu erfährst du in unserem Artikel Was ist ein PTR-Eintrag (und brauche ich einen?)
Repariere deine WordPress-E-Mails jetzt
Bist du bereit, deine E-Mails zu verbessern? Starten Sie noch heute mit dem besten WordPress SMTP-Plugin. Wenn du keine Zeit hast, deine E-Mails zu reparieren, kannst du gegen Aufpreis eine umfassende White Glove Setup-Unterstützung erhalten und es gibt eine 14-tägige Geld-zurück-Garantie für alle kostenpflichtigen Angebote.
Wenn dir dieser Artikel geholfen hat, dann folge uns bitte auf Facebook und Twitter für weitere WordPress-Tipps und -Anleitungen.
