DKIM, SPF und DMARC: Woran man eine echte E-Mail erkennt.
In die Absenderzeile einer E-Mail kann jeder jede Adresse schreiben. DKIM, SPF und DMARC sind die drei Prüfungen, an denen empfangende Server erkennen, ob eine Nachricht wirklich von der Domain kommt, die sie angibt. Dieser Leitfaden erklärt verständlich, was jede prüft, wo jede scheitert und welche den Absender belegt, wenn Sie eine Anmeldung per E-Mail verifizieren.
- Was jede der drei prüft
- Warum Weiterleitungen SPF brechen
- Welche Prüfung den Absender belegt
Christian Schätzlein, Gründer und Entwickler von Sendity
3 Min. Lesezeit
Welcher Absender ist belegt?
Fünf eingehende E-Mails und was die Prüfungen sagen
-
anna@posteo.de DKIM d=posteo.de, SPF bestanden 08:12
Absender belegt Signiert von der Domain in der Absenderadresse. Der Normalfall.
-
tim@gmail.com DKIM d=gmail.com, SPF durchgefallen 08:40
Absender belegt Unterwegs weitergeleitet, deshalb fällt SPF durch. Die Signatur hat überlebt, der Absender ist belegt.
-
info@firma.de Kein DKIM, SPF bestanden 09:05
Nicht belegt Der Server darf für firma.de senden, aber nichts bindet die Absenderadresse daran.
-
lea@uni.example DKIM d=lists.example 10:31
Nicht belegt Über einen Verteiler gesendet, der mit seiner eigenen Domain signiert.
-
chef@bank.example Kein DKIM, SPF durchgefallen 03:17
Nicht belegt Gefälschte Absenderadresse von einem beliebigen Server.
Anmelden per Nachricht. Ohne Formular, ohne Code.
Sendity ist ein Anmelde-Widget für Ihre Website. Statt ein Formular auszufüllen, schicken Ihre Besucher eine kurze Nachricht per WhatsApp oder E-Mail. Sendity prüft, von wem sie stammt, und übergibt Ihrer Seite den Namen und die verifizierte Telefonnummer oder E-Mail-Adresse.
So funktioniert Sendity →-
Eine Nachricht statt Formular Besucher tippen in WhatsApp oder ihrem E-Mail-Programm auf „Senden“. Nichts abtippen, keine Bestätigungsmail anklicken.
-
Verifiziert durch die Nachricht selbst Der Kontakt stammt vom Absender der Nachricht. Tippfehler und erfundene Adressen landen gar nicht erst in Ihrer Liste.
-
Bezahlt wird pro verifiziertem Kontakt Sie starten mit 1.000 Credits geschenkt, ohne Kreditkarte. Danach Prepaid-Pakete, ohne Abo.
Sie beantworten verschiedene Fragen, und erst zusammen decken sie die Absenderadresse ab.
SPF: Darf dieser Server senden?
Der Inhaber einer Domain legt im DNS fest, welche Server für sie senden dürfen. SPF prüft den technischen Umschlag-Absender, nicht die sichtbare Absenderadresse, und fällt durch, sobald eine Nachricht über einen anderen Server weitergeleitet wird.
DKIM: Ist die Nachricht signiert?
Der sendende Server signiert Kopfzeilen und Inhalt mit einem Schlüssel, dessen öffentlicher Teil im DNS steht. Die Signatur nennt die signierende Domain und übersteht Weiterleitungen, solange niemand die Nachricht verändert.
DMARC: Passt es zur Absenderadresse?
DMARC bindet SPF oder DKIM an die Domain in der sichtbaren Absenderadresse, die sogenannte Ausrichtung, und sagt Empfängern, was sie tun sollen, wenn keines passt: nichts, Spamordner oder ablehnen.
Wo es bricht
Weiterleitungen brechen SPF. Verteiler, die eine Fußzeile anhängen oder den Betreff ändern, brechen die DKIM-Signatur. Viele kleine Firmendomains veröffentlichen gar kein DKIM.
Warum das für Anmeldungen zählt
Verifizieren Sie eine Anmeldung über eine E-Mail, die der Nutzer sendet, ist die Absenderadresse die Behauptung. Belegt wird sie durch eine DKIM-Signatur, die zu dieser Domain passt, weil sie auch nach einer Weiterleitung hält.
Wie Sendity eine gesendete E-Mail prüft.
Eine Anmeldung per E-Mail zählt erst, wenn der Absender belegt ist, nicht nur der Code.
Code in der Nachricht
Der Besucher sendet die E-Mail, die sein E-Mail-Programm vorbereitet hat, mit dem Code von Ihrer Seite.
Passende DKIM-Signatur
Sendity prüft die Signatur gegen den Schlüssel im DNS. Sie muss die Absenderzeile abdecken und von derselben Domain oder einer Subdomain stammen.
Ihre Entscheidung pro Kampagne
Standardmäßig wird eine E-Mail ohne passende Signatur abgelehnt. Pro Kampagne können Sie das lockern und den Code allein akzeptieren.
Was belegt die Absenderadresse?
Eine SPF-Prüfung im Vergleich mit der ausgerichteten DKIM-Signatur, die Sendity prüft.
| Aspect | SPF-Prüfung | Mit Sendity |
|---|---|---|
| Prüft | Sendenden Server gegen die Umschlag-Domain | Signatur der Domain in der Absenderadresse |
| Sichtbare Absenderadresse | Allein nicht abgedeckt | Abgedeckt |
| Weiterleitung | Bricht | Hält, wenn unverändert |
| Verteiler | Bricht | Bricht, wenn der Verteiler die Nachricht ändert |
Was Sie bei Ihrer eigenen Domain prüfen.
Dieselben Prüfungen entscheiden, ob Ihre eigenen E-Mails ankommen.
DKIM für jeden Absender
Ihr Mailserver und jedes Newsletter- oder Shop-Tool, das in Ihrem Namen sendet, sollte mit Ihrer Domain signieren.
Ein passender SPF-Eintrag
Tragen Sie alle Dienste ein, die für Sie senden, und sonst keine.
DMARC, Schritt für Schritt
Beginnen Sie mit p=none und Berichten, dann verschärfen Sie. Große Postfachanbieter erwarten DMARC von Massenversendern.
In wenigen Minuten auf Ihrer Seite.
Sendity läuft als kompaktes Widget auf Ihrer Seite. Wählen Sie den Weg, der zu Ihrer Website passt.
DKIM, SPF und DMARC: häufige Fragen.
Warum nutzt Sendity kein SPF?
SPF prüft den Umschlag, nicht die Absenderadresse, und fällt bei Weiterleitungen durch. Für die Frage, ob dieses Postfach die Nachricht gesendet hat, bringt es wenig. Die Entscheidung hängt an der passenden DKIM-Signatur.
Signieren Gmail, Outlook und GMX mit DKIM?
Ja, die großen Postfachanbieter signieren ausgehende Mails mit ihrer Domain. Lücken gibt es vor allem bei kleinen Firmendomains und alten Mailservern.
Was, wenn die E-Mail eines Besuchers durchfällt?
Der Besucher sieht, warum, und kann von einer anderen Adresse senden. Nutzt Ihre Zielgruppe meist Firmendomains ohne DKIM, können Sie für diese Kampagne den Code allein akzeptieren.
Ist DKIM eine Verschlüsselung?
Nein. DKIM signiert die Nachricht, damit Änderungen und falsche Absender auffallen. Der Inhalt bleibt lesbar.
Weiterlesen.
Fachlich geprüft im von Christian Schätzlein.
E-Mail-Anmeldungen mit belegtem Absender.
Probieren Sie die Live-Demo auf Ihrem Handy aus, in zehn Sekunden sind Sie durch.