SPF, DKIM & DMARC: Der komplette DNS-Authentifizierungs-Leitfaden für Kaltakquise

Wenn Sie Kaltakquise-Kampagnen betreiben, haben Sie wahrscheinlich gehört, dass "Authentifizierung" für die Zustellbarkeit entscheidend ist. Aber was bedeutet das eigentlich? Und, noch wichtiger, wie richtet man sie korrekt ein?

In diesem umfassenden Leitfaden schlüsseln wir die drei Säulen der E-Mail-Authentifizierung auf: SPF, DKIM und DMARC. Sie erfahren genau, was jedes Protokoll tut, wie Sie sie korrekt konfigurieren und warum sie für jeden, der es mit Kaltakquise ernst meint, nicht verhandelbar sind.

Laut aktuellen Studien erreichen ordentlich authentifizierte E-Mails mit bis zu 50 % höherer Wahrscheinlichkeit den Posteingang als nicht authentifizierte Nachrichten. Google und Microsoft haben beide ab 2024 strengere Authentifizierungsanforderungen angekündigt, was dieses Wissen wichtiger macht als je zuvor.

Warum E-Mail-Authentifizierung für Kaltakquise wichtig ist

Die E-Mail-Authentifizierung dient zwei Hauptzwecken: Sie überprüft, dass Sie der sind, für den Sie sich ausgeben, und sie schützt Ihre Domain davor, von böswilligen Akteuren gefälscht zu werden. Für Kaltakquise-Versender bedeutet das unmittelbar bessere Zustellbarkeit und Inbox-Platzierung.

Ohne ordentliche Authentifizierung haben E-Mail-Anbieter keine Möglichkeit zu überprüfen, ob eine E-Mail, die vorgibt, von Ihrer Domain zu stammen, tatsächlich von Ihnen kam. Diese Unsicherheit führt oft dazu, dass Ihre E-Mails:

• Direkt in Spam-Ordner gefiltert werden
• Mit Sicherheitswarnungen markiert werden (das gefürchtete "Seien Sie mit dieser Nachricht vorsichtig")
• Vom empfangenden Server vollständig abgelehnt werden
• In Posteingangs-Algorithmen niedrigere Priorität erhalten

SPF (Sender Policy Framework): Ihre erste Verteidigungslinie

Was ist SPF?

SPF ist ein DNS-basiertes Authentifizierungsprotokoll, das festlegt, welche Mailserver autorisiert sind, im Namen Ihrer Domain E-Mails zu versenden. Betrachten Sie es als eine in den DNS-Einträgen Ihrer Domain veröffentlichte Whitelist zugelassener Absender.

Wenn ein empfangender Mailserver eine E-Mail von Ihrer Domain erhält, prüft er Ihren SPF-Eintrag, um zu sehen, ob die IP-Adresse des sendenden Servers auf der zugelassenen Liste steht. Falls ja, besteht die E-Mail die SPF-Authentifizierung. Falls nicht, scheitert sie.

Wie SPF funktioniert (Schritt für Schritt)

1. Sie versenden eine E-Mail von your-domain.com
2. Der empfangende Server prüft die DNS-Einträge für your-domain.com
3. Er findet Ihren SPF-Eintrag, der autorisierte IP-Adressen und Dienste auflistet
4. Er vergleicht die IP des sendenden Servers mit Ihrer autorisierten Liste
5. Die E-Mail besteht oder scheitert bei SPF, je nachdem, ob die IP übereinstimmt

SPF-Eintrag: Syntax und Beispiele

Ein SPF-Eintrag ist ein TXT-Eintrag, der zum DNS Ihrer Domain hinzugefügt wird. Hier sind die wichtigsten Komponenten:

Schlüsseln wir jeden Teil auf:

• v=spf1 – Versionskennung (immer spf1)
• include:_spf.google.com – Autorisiert Googles Mailserver
• ~all – Soft Fail für nicht autorisierte Absender (empfohlen)

Für Google-Workspace-Nutzer, die Kaltakquise betreiben, könnte ein vollständiger SPF-Eintrag so aussehen:

SPF-Qualifizierer erklärt

Häufige SPF-Fehler, die es zu vermeiden gilt

• Mehrere SPF-Einträge: Sie können nur EINEN SPF-Eintrag pro Domain haben
• Zu viele DNS-Abfragen: SPF hat ein Limit von 10 DNS-Abfragen
• Verwendung von +all: Das deaktiviert den SPF-Schutz faktisch
• Drittanbieter-Dienste vergessen: Binden Sie alle Dienste ein, die in Ihrem Namen versenden

DKIM (DomainKeys Identified Mail): Kryptografische E-Mail-Signaturen

Was ist DKIM?

DKIM fügt Ihren E-Mails mithilfe von Public-Key-Kryptografie eine digitale Signatur hinzu. Anders als SPF (das den sendenden Server überprüft) verifiziert DKIM, dass der E-Mail-Inhalt während der Übertragung nicht verändert wurde, und bestätigt, dass die Nachricht von Ihrer Domain kam.

Betrachten Sie DKIM als ein manipulationssicheres Siegel auf einem Paket. Wenn Sie eine E-Mail versenden, signiert Ihr Mailserver sie mit einem privaten Schlüssel. Der empfangende Server nutzt Ihren öffentlichen Schlüssel (im DNS veröffentlicht), um die Signatur zu überprüfen. Wenn die E-Mail in irgendeiner Weise verändert wurde, passt die Signatur nicht.

Wie DKIM funktioniert

1. Ihre Domain hat ein Schlüsselpaar aus öffentlichem/privatem Schlüssel (öffentlicher Schlüssel im DNS, privater Schlüssel auf dem Mailserver)
2. Wenn Sie eine E-Mail versenden, erstellt der Server einen Hash der angegebenen Header und des Textkörpers
3. Dieser Hash wird mit Ihrem privaten Schlüssel verschlüsselt (die Signatur)
4. Die Signatur wird dem E-Mail-Header hinzugefügt
5. Der empfangende Server ruft Ihren öffentlichen Schlüssel aus dem DNS ab
6. Er entschlüsselt die Signatur und vergleicht sie mit seinem eigenen Hash der E-Mail
7. Stimmen sie überein, besteht DKIM; falls nicht, scheitert es

Aufbau des DKIM-Eintrags

Ein DKIM-Eintrag ist ein TXT-Eintrag, der unter einer bestimmten Subdomain veröffentlicht wird. Für Google Workspace sieht er typischerweise so aus:

Schlüsseln wir die Komponenten auf:

• google._domainkey – Der Selektor und die _domainkey-Kennung
• v=DKIM1 – DKIM-Version
• k=rsa – Schlüsseltyp (RSA-Verschlüsselung)
• p=... – Der öffentliche Schlüssel (base64-kodiert)

DKIM-Schlüssel für Google Workspace erzeugen

1. Gehen Sie zur Google Admin-Konsole > Apps > Google Workspace > Gmail
2. Klicken Sie auf "E-Mail authentifizieren"
3. Wählen Sie Ihre Domain und klicken Sie auf "Neuen Eintrag generieren"
4. Wählen Sie eine Schlüssellänge von 2048 Bit (empfohlen)
5. Kopieren Sie den generierten Eintrag zu Ihrem DNS-Anbieter
6. Warten Sie auf die DNS-Verbreitung und klicken Sie dann auf "Authentifizierung starten"

DMARC (Domain-based Message Authentication, Reporting & Conformance): Die Richtlinienebene

Was ist DMARC?

DMARC ist eine Richtlinienebene, die auf SPF und DKIM aufsetzt. Sie tut drei wichtige Dinge:

1. Ausrichtungsprüfung: Stellt sicher, dass der From:-Header mit der Domain in SPF/DKIM übereinstimmt
2. Richtliniendurchsetzung: Teilt empfangenden Servern mit, was mit scheiternden E-Mails zu tun ist
3. Berichterstattung: Sendet Ihnen Berichte über Ihre E-Mail-Authentifizierungsergebnisse

Ohne DMARC können SPF und DKIM einzeln bestehen und dennoch gefälschte E-Mails durchlassen. DMARC schließt diese Lücke, indem es eine Ausrichtung zwischen der sichtbaren From:-Adresse und der authentifizierten Domain verlangt.

Aufbau des DMARC-Eintrags

Ein DMARC-Eintrag ist ein TXT-Eintrag unter _dmarc.yourdomain.com:

Das bedeutet jeder Tag:

• v=DMARC1 – Version (immer DMARC1)
• p=quarantine – Richtlinie: none, quarantine oder reject
• rua=mailto:... – Wohin aggregierte Berichte gesendet werden
• pct=100 – Prozentsatz der E-Mails, auf die die Richtlinie angewendet wird
• adkim=s – DKIM-Ausrichtungsmodus (s=strict, r=relaxed)
• aspf=s – SPF-Ausrichtungsmodus (s=strict, r=relaxed)

DMARC-Richtlinien-Progression

Wir empfehlen einen stufenweisen Ansatz bei der DMARC-Umsetzung:

Phase 1: Überwachen (p=none)

Sammeln Sie Daten, ohne die Zustellung zu beeinträchtigen. 2-4 Wochen lang laufen lassen.

Phase 2: Quarantäne (p=quarantine)

Beginnen Sie mit 25 % und erhöhen Sie über Wochen schrittweise auf 100 %.

Phase 3: Ablehnen (p=reject)

Maximaler Schutz. Erst nach gründlichem Testen umsetzen.

Alles zusammenführen: Komplette DNS-Einrichtung für Kaltakquise

Hier ist ein vollständiges Beispiel aller DNS-Einträge, die Sie für eine Kaltakquise-Domain mit Google Workspace benötigen:

So überprüfen Sie Ihre E-Mail-Authentifizierungseinrichtung

Methode 1: E-Mail-Header prüfen

Senden Sie sich selbst eine Test-E-Mail an Gmail und betrachten Sie dann die Originalnachricht (drei Punkte > Original anzeigen). Achten Sie auf den Authentication-Results-Header:

Methode 2: Online-Tools

• MXToolbox: Prüfen Sie alle Ihre DNS-Einträge und erhalten Sie eine detaillierte Diagnose
• mail-tester.com: Senden Sie eine Test-E-Mail und erhalten Sie einen Zustellbarkeitswert
• DMARC Analyzer: Parsen und visualisieren Sie Ihre DMARC-Berichte
• Google Postmaster Tools: Überwachen Sie Ihre Domain-Reputation bei Gmail

Methode 3: Überprüfung per Kommandozeile

Fortgeschrittene Tipps für Kaltakquise-Versender

1. Nutzen Sie Subdomains für Kaltakquise

Erwägen Sie, Kalt-E-Mails von einer Subdomain (z. B. mail.yourdomain.com) statt von Ihrer Root-Domain zu versenden. Das schützt die Reputation Ihrer Hauptdomain, falls bei Ihren Kampagnen etwas schiefgeht.

2. DMARC-Berichte überwachen

Aggregierte DMARC-Berichte (rua) liefern wertvolle Einblicke in Ihre E-Mail-Authentifizierung. Sie zeigen Ihnen:

• Welche IPs E-Mails von Ihrer Domain versenden
• Wie viele E-Mails die Authentifizierung bestehen oder scheitern
• Mögliche Spoofing-Versuche gegen Ihre Domain

3. Das SPF-Limit von 10 Abfragen handhaben

SPF-Einträge sind auf 10 DNS-Abfragen begrenzt. Wenn Sie viele Dienste nutzen, könnten Sie an dieses Limit stoßen. Zu den Lösungen gehören:

• SPF-Flattening-Dienste, die includes in IP-Adressen umwandeln
• Die Verwendung von ip4/ip6-Mechanismen statt includes, wo möglich
• Die Konsolidierung von E-Mail-Diensten, um die Anzahl der Abfragen zu reduzieren

4. Neue Domains aufwärmen

Selbst mit perfekter Authentifizierung brauchen neue Domains Zeit, um Reputation aufzubauen. Beginnen Sie mit geringem Volumen und steigern Sie es über 2-4 Wochen schrittweise. Nutzen Sie Aufwärm-Tools, um organische Interaktion zu simulieren und positive Versandmuster zu etablieren.

Fazit: Authentifizierung ist nicht verhandelbar

SPF, DKIM und DMARC bilden das Fundament der E-Mail-Zustellbarkeit. Ohne sie kämpfen Sie einen aussichtslosen Kampf gegen Spamfilter und ISP-Algorithmen, die nicht authentifizierten E-Mails gegenüber zunehmend misstrauisch sind.

Die gute Nachricht ist, dass diese Protokolle, einmal korrekt konfiguriert, still im Hintergrund arbeiten und mit jeder E-Mail, die Sie versenden, Ihre Inbox-Platzierungsraten verbessern. Die investierte Zeit, sie ordentlich einzurichten, zahlt sich in Form besserer Zustellbarkeit, höherer Öffnungsraten und mehr Antworten aus.

Denken Sie daran: E-Mail-Anbieter wie Google und Microsoft verschärfen ihre Authentifizierungsanforderungen kontinuierlich. Was vor fünf Jahren optional war, ist heute für jeden, der es mit E-Mail-Akquise ernst meint, verpflichtend. Richten Sie Ihre Authentifizierung heute korrekt ein, und Sie sind der Entwicklung voraus, während sich die Anforderungen weiterentwickeln.