Zusammenfassung
Wenn man heute Mails aus Outlooks, Buchhaltungen, Newsletter-Tools oder Website-Formularen versendet – kann der Empfänger nicht prüfen, ob diese wirklich von dir stammen. «SPF», «DKIM» und «DMARC» sind ein digitaler Echtheitsnachweis für Ihre Domain: Sie versehen jede Mail mit einem unsichtbaren Siegel, das Empfangsserver wie Microsoft 365 und Gmail automatisch prüfen.
3 Vorteile
- Deine eMails landen seltener im Spam
- deine Marke wirkt vertrauenswürdiger,
- und Betrüger können nicht mehr in Ihrem Namen Phishing-Mails verschicken.
Warum wir SPF, DKIM und DMARC für Ihre Domain einrichten
Wenn du heute eMails versendest, sei es eine Offerte aus Outlook, eine Rechnung aus deiner Buchhaltungssoftware, ein Newsletter zB. über Mailchimp oder eine Anfrage über das Kontaktformular deiner Website, dann hat der Empfänger keine technische Möglichkeit zu überprüfen, ob dieses eMail wirklich von dir stammt oder ob jemand deinen Namen missbraucht. Genau das ändern wir mit SPF, DKIM und DMARC.
Diese drei Mechanismen sind so etwas wie ein digitaler Echtheitsnachweis für Ihre Domain. Sie hinterlegen im Internet (genauer: im sogenannten DNS - Domain Name System) eine Liste der Server, die in deinem Namen Mails verschicken dürfen, und versehen jede ausgehendes eMail mit einer Art unsichtbarem Siegel. Empfangende Systeme wie: Outlook, Gmail, Microsoft 365, Apple Mail, prüfen dieses Siegel automatisch und entscheiden anhand des Ergebnisses, ob die Mail vertrauenswürdig ist.
Was du davon hast
Erstens landen deine eMails seltener im Spam. Microsoft 365 und Google haben in den letzten zwei Jahren ihre Filter deutlich verschärft: Mails ohne korrekte Authentifizierung werden zunehmend abgewertet, im schlimmsten Fall gar nicht mehr zugestellt. Das betrifft besonders Mails an Geschäftskunden, die ihrerseits Microsoft 365 nutzen – also den allergrössten Teil des Schweizer KMU-Marktes. Ein einfacher SPF-Eintrag, wie er bei vielen Domains schon vorhanden ist, reicht dafür heute nicht mehr aus.
Zweitens steigt die Vertrauenswürdigkeit deiner Marke gegenüber deinen Kunden. Auch wenn Sie über Drittsysteme wie Mailchimp oder deinen Newsletter-Versand kommunizieren, oder wenn ein Kontaktformular auf deiner Website ein eMail mit Absenderadresse deiner Hauptdomain verschickt, durch DKIM tragen all diese eMails ein gültiges Siegel und werden vom Empfänger als authentisch erkannt.
Drittens schützen Sie deinen Namen. Ohne DMARC kann grundsätzlich jeder beliebige Spammer oder Betrüger eMails versenden, die so aussehen, als kämen sie von deiner Domain – etwa um deine Kunden zu Phishing-Klicks zu verleiten oder im Namen eurer Geschäftsleitung Zahlungsanweisungen zu fälschen. Mit DMARC sagst du den empfangenden Mailservern weltweit: «Wenn ein eMail nicht unser Siegel trägt, behandelt sie als verdächtig!»
Was es ausdrücklich NICHT tut
Diese Massnahme schützt dich nicht vor eingehendem Spam. Es geht ausschliesslich darum, die von euch versendeten eMails als echt erkennbar zu machen. Spamfilter für deinen Posteingang sind ein separates Thema.
Was wir konkret tun
Wir starten in einem Beobachtungsmodus, in dem wir während mehrerer Wochen sammeln, welche Systeme tatsächlich in eurem Namen Mails versenden – häufig sind das mehr als ursprünglich angenommen. Erst wenn wir sicher sind, alle legitimen Versandquellen erfasst zu haben, schalten wir den Schutz schrittweise scharf. Diese vorsichtige Vorgehensweise stellt sicher, dass keine deiner regulären eMails versehentlich abgewiesen werden.
Weiterführende Informationen
1. Google Workspace – Email Sender Guidelines (offiziell)support.google.com/a/answer/81126 Die offizielle Ansage von Google: Seit Februar 2024 müssen alle E-Mail-Versender, die an Gmail-Konten senden, SPF oder DKIM eingerichtet haben, gültige Forward- und Reverse-DNS-Records pflegen und TLS verwenden – Versender mit mehr als 5'000 Mails pro Tag müssen zusätzlich SPF und DKIM aktiv haben sowie einen DMARC-Eintrag publizieren. Mails, die nicht authentifiziert sind, werden möglicherweise als Spam markiert oder mit Fehlercode 5.7.26 abgewiesen. Wichtigstes Verkaufsargument: das ist keine Empfehlung, sondern eine Vorgabe des grössten Mail-Providers weltweit. Google Support.
2. Gmail Enforcement Update November 2025powerdmarc.com/gmail-enforcement-email-rejection Ab November 2025 hat Google die soft-enforcement-Phase beendet und filtert nicht-konforme Mails nicht mehr nur, sondern verzögert oder lehnt sie aktiv ab. Gleichzeitig wurde das Postmaster-Tools-Dashboard von „Reputation" auf „Compliance Status" mit binärer Pass/Fail-Logik umgestellt. Yahoo und Apple haben 2024 ähnliche Anforderungen angekündigt, Microsoft hat Mitte 2025 eigene Bulk-Sender-Regeln inklusive SPF-, DKIM- und DMARC-Enforcement und Pflicht-TLS ausgerollt. Die ganze Branche zieht gleichzeitig an – wer nicht mitzieht, fliegt aus dem Posteingang. PowerDMARC.
3. Microsoft Outlook Bulk Sender Requirementssupport.higherlogic.com Outlook verlangt seit dem 5. Mai 2025 von Domains, die mehr als 5'000 Mails pro Tag versenden, korrekte SPF-Authentifizierung, gültige DKIM-Validierung und einen DMARC-Eintrag mit mindestens p=none, der zu SPF oder DKIM aligned ist – idealerweise zu beiden. Nicht-konforme Mails können gefiltert oder blockiert werden. Genau das relevante Argument für Schweizer KMU: Microsoft 365 ist im B2B-Posteingangsmarkt dominant. Higher Logic.
4. Valimail – Practical Impact Analysisvalimail.com/blog Macht den Business-Impact greifbar: Authentifizierung, DMARC und saubere Versandpraxis sind nicht mehr optional – legitime, korrekt authentifizierte Versender erreichen den Posteingang zuverlässiger, schlampige oder nicht authentifizierte werden eher rausgefiltert. Compliance mit den Sender-Anforderungen ist nicht länger optional – sie beginnt mit Sichtbarkeit über die Authentifizierungs-Konfiguration. Gut zitierbar für Kundengespräche. Valimail.
5. BSI – E-Mail-Authentifizierung als «Stand der Technik»bsi.bund.de – Technischer Hintergrund. Das deutsche BSI ordnet ein: Für die Authentifizierung von E-Mail-Servern haben sich weltweit die Standards SPF, DKIM und DMARC durchgesetzt – ihre Umsetzung stärkt den Schutz vor Angriffen, bei denen die Identität vertrauenswürdiger Sender-Domains vorgegaukelt wird. Damit gelten die drei Verfahren als „Stand der Technik" – ein Begriff, der über Art. 32 DSGVO und Art. 8 revDSG (technisch-organisatorische Massnahmen) auch in der Schweiz rechtliche Relevanz hat. Wer's nicht implementiert, verzichtet aktiv auf Stand der Technik bei einem zentralen Kommunikationskanal. BSI:
SPF, DKIM und DMARC verständlich erklärt
Spam, Phishing und gefälschte Absender gehören heute leider zum eMail-Alltag. Der Missbrauch von eMail-Diensten ist ein ständiger Kampf, denn Angreifende finden immer neue Wege, Schutzmechanismen zu umgehen.
Umso wichtiger ist es, bewährte Technologien konsequent einzusetzen. In diesem Artikel zeige ich dir die drei wichtigsten Schutzmechanismen gegen Spam und gefälschte eMails.
Wie funktioniert SPF?
SPF steht für Sender Policy Framework. Damit wird geprüft, ob eine eMail von einem berechtigten Mailserver versendet wurde. Dafür wird in der DNS-Zone der eMail-Domäne ein Eintrag erstellt. Dieser listet die Systeme auf, die im Namen dieser Domäne Nachrichten versenden dürfen.
Wie funktioniert DKIM?
DKIM steht für Domain Keys Identified Mail. Anders als SPF prüft DKIM nicht die IP-Adresse des sendenden Servers, sondern signiert die Nachricht und den Mail-Header digital. Dafür nutzt das sendende System den privaten Teil eines asymmetrischen Schlüsselpaares. Der öffentliche Schlüssel wird über einen DNS-Record in der eMail-Domäne veröffentlicht. So kann die empfangende Gegenstelle prüfen, ob die Nachricht unverändert ist und tatsächlich von der angegebenen Domäne stammt.
Wofür wird DMARC verwendet?
SPF und DKIM prüfen technische Absenderinformationen, jedoch nicht zwingend die Domäne, die der empfangenden Person im sichtbaren «From»-Feld angezeigt wird. DMARC schliesst diese Lücke. Über einen DNS-Eintrag wird festgelegt, dass mindestens einer der beiden Prüfmechanismen, SPF oder DKIM, mit der sichtbaren Absenderdomäne übereinstimmen muss.
Fazit
Der Schutz deiner eigenen Benutzenden und fremder Empfangender vor gefälschten eMails lässt sich deutlich verbessern, wenn SPF, DKIM und DMARC korrekt eingerichtet sind. Die Umsetzung ist keine Hexerei, braucht aber eine saubere Planung. Das gilt besonders, wenn du externe Partner für den Versand einsetzt, zum Beispiel für Newsletter.
Keel Marktideen sorgt dafür, dass ihr sicher und kompetent im Online-Umfeld bleibt.
Zusammenfassung
Wenn man heute Mails aus Outlooks, Buchhaltungen, Newsletter-Tools oder Website-Formularen versendet – kann der Empfänger nicht prüfen, ob diese wirklich von dir stammen. «SPF», «DKIM» und «DMARC» sind ein digitaler Echtheitsnachweis für Ihre Domain: Sie versehen jede Mail mit einem unsichtbaren Siegel, das Empfangsserver wie Microsoft 365 und Gmail automatisch prüfen.
3 Vorteile
- Deine eMails landen seltener im Spam
- deine Marke wirkt vertrauenswürdiger,
- und Betrüger können nicht mehr in Ihrem Namen Phishing-Mails verschicken.
Warum wir SPF, DKIM und DMARC für Ihre Domain einrichten
Wenn du heute eMails versendest, sei es eine Offerte aus Outlook, eine Rechnung aus deiner Buchhaltungssoftware, ein Newsletter zB. über Mailchimp oder eine Anfrage über das Kontaktformular deiner Website, dann hat der Empfänger keine technische Möglichkeit zu überprüfen, ob dieses eMail wirklich von dir stammt oder ob jemand deinen Namen missbraucht. Genau das ändern wir mit SPF, DKIM und DMARC.
Diese drei Mechanismen sind so etwas wie ein digitaler Echtheitsnachweis für Ihre Domain. Sie hinterlegen im Internet (genauer: im sogenannten DNS - Domain Name System) eine Liste der Server, die in deinem Namen Mails verschicken dürfen, und versehen jede ausgehendes eMail mit einer Art unsichtbarem Siegel. Empfangende Systeme wie: Outlook, Gmail, Microsoft 365, Apple Mail, prüfen dieses Siegel automatisch und entscheiden anhand des Ergebnisses, ob die Mail vertrauenswürdig ist.
Was du davon hast
Erstens landen deine eMails seltener im Spam. Microsoft 365 und Google haben in den letzten zwei Jahren ihre Filter deutlich verschärft: Mails ohne korrekte Authentifizierung werden zunehmend abgewertet, im schlimmsten Fall gar nicht mehr zugestellt. Das betrifft besonders Mails an Geschäftskunden, die ihrerseits Microsoft 365 nutzen – also den allergrössten Teil des Schweizer KMU-Marktes. Ein einfacher SPF-Eintrag, wie er bei vielen Domains schon vorhanden ist, reicht dafür heute nicht mehr aus.
Zweitens steigt die Vertrauenswürdigkeit deiner Marke gegenüber deinen Kunden. Auch wenn Sie über Drittsysteme wie Mailchimp oder deinen Newsletter-Versand kommunizieren, oder wenn ein Kontaktformular auf deiner Website ein eMail mit Absenderadresse deiner Hauptdomain verschickt, durch DKIM tragen all diese eMails ein gültiges Siegel und werden vom Empfänger als authentisch erkannt.
Drittens schützen Sie deinen Namen. Ohne DMARC kann grundsätzlich jeder beliebige Spammer oder Betrüger eMails versenden, die so aussehen, als kämen sie von deiner Domain – etwa um deine Kunden zu Phishing-Klicks zu verleiten oder im Namen eurer Geschäftsleitung Zahlungsanweisungen zu fälschen. Mit DMARC sagst du den empfangenden Mailservern weltweit: «Wenn ein eMail nicht unser Siegel trägt, behandelt sie als verdächtig!»
Was es ausdrücklich NICHT tut
Diese Massnahme schützt dich nicht vor eingehendem Spam. Es geht ausschliesslich darum, die von euch versendeten eMails als echt erkennbar zu machen. Spamfilter für deinen Posteingang sind ein separates Thema.
Was wir konkret tun
Wir starten in einem Beobachtungsmodus, in dem wir während mehrerer Wochen sammeln, welche Systeme tatsächlich in eurem Namen Mails versenden – häufig sind das mehr als ursprünglich angenommen. Erst wenn wir sicher sind, alle legitimen Versandquellen erfasst zu haben, schalten wir den Schutz schrittweise scharf. Diese vorsichtige Vorgehensweise stellt sicher, dass keine deiner regulären eMails versehentlich abgewiesen werden.
Weiterführende Informationen
1. Google Workspace – Email Sender Guidelines (offiziell)support.google.com/a/answer/81126 Die offizielle Ansage von Google: Seit Februar 2024 müssen alle E-Mail-Versender, die an Gmail-Konten senden, SPF oder DKIM eingerichtet haben, gültige Forward- und Reverse-DNS-Records pflegen und TLS verwenden – Versender mit mehr als 5'000 Mails pro Tag müssen zusätzlich SPF und DKIM aktiv haben sowie einen DMARC-Eintrag publizieren. Mails, die nicht authentifiziert sind, werden möglicherweise als Spam markiert oder mit Fehlercode 5.7.26 abgewiesen. Wichtigstes Verkaufsargument: das ist keine Empfehlung, sondern eine Vorgabe des grössten Mail-Providers weltweit. Google Support.
2. Gmail Enforcement Update November 2025powerdmarc.com/gmail-enforcement-email-rejection Ab November 2025 hat Google die soft-enforcement-Phase beendet und filtert nicht-konforme Mails nicht mehr nur, sondern verzögert oder lehnt sie aktiv ab. Gleichzeitig wurde das Postmaster-Tools-Dashboard von „Reputation" auf „Compliance Status" mit binärer Pass/Fail-Logik umgestellt. Yahoo und Apple haben 2024 ähnliche Anforderungen angekündigt, Microsoft hat Mitte 2025 eigene Bulk-Sender-Regeln inklusive SPF-, DKIM- und DMARC-Enforcement und Pflicht-TLS ausgerollt. Die ganze Branche zieht gleichzeitig an – wer nicht mitzieht, fliegt aus dem Posteingang. PowerDMARC.
3. Microsoft Outlook Bulk Sender Requirementssupport.higherlogic.com Outlook verlangt seit dem 5. Mai 2025 von Domains, die mehr als 5'000 Mails pro Tag versenden, korrekte SPF-Authentifizierung, gültige DKIM-Validierung und einen DMARC-Eintrag mit mindestens p=none, der zu SPF oder DKIM aligned ist – idealerweise zu beiden. Nicht-konforme Mails können gefiltert oder blockiert werden. Genau das relevante Argument für Schweizer KMU: Microsoft 365 ist im B2B-Posteingangsmarkt dominant. Higher Logic.
4. Valimail – Practical Impact Analysisvalimail.com/blog Macht den Business-Impact greifbar: Authentifizierung, DMARC und saubere Versandpraxis sind nicht mehr optional – legitime, korrekt authentifizierte Versender erreichen den Posteingang zuverlässiger, schlampige oder nicht authentifizierte werden eher rausgefiltert. Compliance mit den Sender-Anforderungen ist nicht länger optional – sie beginnt mit Sichtbarkeit über die Authentifizierungs-Konfiguration. Gut zitierbar für Kundengespräche. Valimail.
5. BSI – E-Mail-Authentifizierung als «Stand der Technik»bsi.bund.de – Technischer Hintergrund. Das deutsche BSI ordnet ein: Für die Authentifizierung von E-Mail-Servern haben sich weltweit die Standards SPF, DKIM und DMARC durchgesetzt – ihre Umsetzung stärkt den Schutz vor Angriffen, bei denen die Identität vertrauenswürdiger Sender-Domains vorgegaukelt wird. Damit gelten die drei Verfahren als „Stand der Technik" – ein Begriff, der über Art. 32 DSGVO und Art. 8 revDSG (technisch-organisatorische Massnahmen) auch in der Schweiz rechtliche Relevanz hat. Wer's nicht implementiert, verzichtet aktiv auf Stand der Technik bei einem zentralen Kommunikationskanal. BSI:
SPF, DKIM und DMARC verständlich erklärt
Spam, Phishing und gefälschte Absender gehören heute leider zum eMail-Alltag. Der Missbrauch von eMail-Diensten ist ein ständiger Kampf, denn Angreifende finden immer neue Wege, Schutzmechanismen zu umgehen.
Umso wichtiger ist es, bewährte Technologien konsequent einzusetzen. In diesem Artikel zeige ich dir die drei wichtigsten Schutzmechanismen gegen Spam und gefälschte eMails.
Wie funktioniert SPF?
SPF steht für Sender Policy Framework. Damit wird geprüft, ob eine eMail von einem berechtigten Mailserver versendet wurde. Dafür wird in der DNS-Zone der eMail-Domäne ein Eintrag erstellt. Dieser listet die Systeme auf, die im Namen dieser Domäne Nachrichten versenden dürfen.
Wie funktioniert DKIM?
DKIM steht für Domain Keys Identified Mail. Anders als SPF prüft DKIM nicht die IP-Adresse des sendenden Servers, sondern signiert die Nachricht und den Mail-Header digital. Dafür nutzt das sendende System den privaten Teil eines asymmetrischen Schlüsselpaares. Der öffentliche Schlüssel wird über einen DNS-Record in der eMail-Domäne veröffentlicht. So kann die empfangende Gegenstelle prüfen, ob die Nachricht unverändert ist und tatsächlich von der angegebenen Domäne stammt.
Wofür wird DMARC verwendet?
SPF und DKIM prüfen technische Absenderinformationen, jedoch nicht zwingend die Domäne, die der empfangenden Person im sichtbaren «From»-Feld angezeigt wird. DMARC schliesst diese Lücke. Über einen DNS-Eintrag wird festgelegt, dass mindestens einer der beiden Prüfmechanismen, SPF oder DKIM, mit der sichtbaren Absenderdomäne übereinstimmen muss.
Fazit
Der Schutz deiner eigenen Benutzenden und fremder Empfangender vor gefälschten eMails lässt sich deutlich verbessern, wenn SPF, DKIM und DMARC korrekt eingerichtet sind. Die Umsetzung ist keine Hexerei, braucht aber eine saubere Planung. Das gilt besonders, wenn du externe Partner für den Versand einsetzt, zum Beispiel für Newsletter.
Keel Marktideen sorgt dafür, dass ihr sicher und kompetent im Online-Umfeld bleibt.
