SPF, DKIM und DMARC sind drei DNS-Einträge, die zusammen verhindern, dass Spam-Versender deine Domain als Absender missbrauchen. Du richtest sie einmalig im DNS ein, danach landen deine E-Mails zuverlässiger im Posteingang statt im Spam-Ordner. Alle grossen Schweizer Hoster wie Hostpoint, Cyon und Infomaniak unterstützen das Setup direkt im Control Panel.
Seit Gmail und Yahoo 2024 strengere Anforderungen für Massenversender eingeführt haben, landet ungesicherter E-Mail-Versand direkt im Spam. Aber auch für normale Websites ohne Newsletter gilt: wer keinen DMARC-Record hat, riskiert, dass Angreifer im Namen seiner Domain Phishing-Mails verschicken. Und das bekommst du oft erst mit, wenn Kunden sich beschweren.
Dieser Guide zeigt dir, wie du SPF, DKIM und DMARC Schritt für Schritt einrichtest, was die Einträge wirklich bedeuten, und wo die typischen Fehler passieren.
Was SPF, DKIM und DMARC bedeuten (und warum alle drei nötig sind)
Die drei Protokolle lösen verschiedene Probleme, ergänzen sich aber gegenseitig:
| Protokoll | Was es prüft | Was es schützt | DNS-Typ |
|---|---|---|---|
| SPF Sender Policy Framework |
Welche Server dürfen für diese Domain E-Mails senden? | Verhindert Spoofing des Envelope-Senders (MAIL FROM) | TXT |
| DKIM DomainKeys Identified Mail |
Wurde diese E-Mail wirklich von der angegebenen Domain signiert? | Schützt Nachrichteninhalt, erkennt Manipulation im Transit | TXT (Subdomain) |
| DMARC Domain-based Message Authentication |
Stimmt der sichtbare Absender (From-Header) mit SPF/DKIM überein? | Sagt Empfänger-Servern, was bei Nicht-Übereinstimmung passiert: nichts / Quarantäne / ablehnen | TXT (_dmarc) |
Kurz gesagt: SPF sagt, wer senden darf. DKIM beweist, dass die Mail unterwegs nicht verändert wurde. DMARC verbindet beides und gibt dir Kontrolle darüber, was mit Mails passiert, die den Test nicht bestehen. Alle drei. Immer.
SPF-Record einrichten: Schritt für Schritt
Der SPF-Record ist ein TXT-Eintrag direkt unter deiner Domain (@ oder leer). Er listet alle Server und Dienste auf, die berechtigt sind, E-Mails in deinem Namen zu versenden.
Schritt 1: Alle sendenden Dienste inventarisieren
Bevor du irgendetwas einträgst, überleg: Von welchen Systemen aus werden von dieser Domain E-Mails verschickt?
- ✓ Webhosting-Server (PHP-Formulare, WordPress, Kontaktformulare)
- ✓ Dedizierter E-Mail-Server des Hosters
- ✓ Newsletter-Dienst (Mailchimp, Brevo, Klaviyo ...)
- ✓ CRM oder Helpdesk-Tool (HubSpot, Zendesk ...)
- ✓ Transaktions-Mail-Dienst (Postmark, SendGrid, Mailgun ...)
Jeden dieser Dienste musst du im SPF-Record autorisieren. Fehlende Einträge bedeuten: diese Mails schlagen bei vielen Empfängern als Spam-verdächtig auf. Das ist halt der Aufstellungsfehler, den fast jeder einmal macht.
Schritt 2: SPF-Record aufbauen
Ein typischer SPF-Record für eine Website bei einem Schweizer Hoster sieht so aus:
v=spf1 include:_spf.hostpoint.ch ~allWenn du zusätzlich einen Newsletter-Dienst hast:
v=spf1 include:_spf.hostpoint.ch include:mailgun.org ~allDie SPF-Modifier am Ende bedeuten:
| Modifier | Bedeutung | Empfehlung |
|---|---|---|
| -all | Hardfail: alle nicht gelisteten Sender ablehnen | Nur wenn du sicher bist, alle Sender im Record zu haben |
| ~all | Softfail: nicht gelistete Sender als verdächtig markieren | Guter Start, solange du noch alle Dienste zusammenträgst |
| ?all | Neutral: keine Empfehlung für oder gegen den Sender | Zu permissiv, schützt kaum etwas |
Schritt 3: TXT-Record im DNS setzen
Den Record setzt du im DNS-Panel deines Hosters oder Domain-Registrars:
- Name/Host:
@oder leer (für die Root-Domain) - Typ:
TXT - TTL: 3600 (1 Stunde) beim ersten Mal, damit Änderungen schnell propagieren
- Wert: der SPF-String, z.B.
v=spf1 include:_spf.hostpoint.ch ~all
v=spf1) geben. Mehrere SPF-Records ergeben ein ungültiges Setup. Wenn du weitere Dienste brauchst, ergänze sie mit include: im selben Record.
DKIM-Signatur aktivieren
DKIM funktioniert mit einem Schlüsselpaar: Der private Schlüssel liegt beim Mailserver und signiert jede ausgehende Mail. Der öffentliche Schlüssel liegt im DNS als TXT-Record und erlaubt dem Empfänger, die Signatur zu prüfen.
Bei den meisten Schweizer Hostern aktivierst du DKIM nicht durch manuelles Key-Management, sondern durch eine Option im Mailserver-Control-Panel. Der Hoster generiert das Schlüsselpaar und gibt dir den DNS-Eintrag, den du setzen musst.
Wo DKIM aktivieren?
Das hängt davon ab, über welchen Dienst die Mails laufen:
- ✓ Hoster-Mailserver: Im Control Panel des Hosters, meist unter "E-Mail" oder "Domains". Hostpoint macht das über das SPanel, Cyon über das eigene Admin-Interface.
- ✓ Newsletter-Dienst: In den Domain-Authentifizierungs-Einstellungen des Dienstes, z.B. Mailchimp unter "Domains" oder Brevo unter "Senders & IPs".
- ✓ Google Workspace / Microsoft 365: Über die jeweiligen Admin-Konsolen mit spezifischen Anleitungen.
DNS-Eintrag für DKIM
Der generierte Eintrag hat immer das Format selector._domainkey.deinedomain.ch. "Selector" ist ein frei wählbarer Name, der verschiedene Schlüssel unterscheidet (z.B. mail, 2024 oder google):
Name: mail._domainkey.deinedomain.ch
Typ: TXT
Wert: v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC...
Den langen p=...-Wert gibt dir dein Hoster oder Maildienst vor. Du kopierst ihn einfach 1:1 in den DNS.
DMARC-Richtlinie konfigurieren
Sobald SPF und DKIM laufen, richtest du DMARC ein. Der Record geht immer unter _dmarc.deinedomain.ch als TXT-Eintrag.
Stufenweise vorgehen
DMARC hat drei Policy-Stufen. Du startest immer mit none und verschärfst erst dann, wenn du weisst, dass alle legitimen Mails die Prüfungen bestehen:
| Phase | Policy | Was passiert | Dauer |
|---|---|---|---|
| 1. Monitoring | p=none | Keine Aktion, nur Reports sammeln | 2-4 Wochen |
| 2. Quarantäne | p=quarantine | Fehlschlagende Mails landen im Spam-Ordner | 2-4 Wochen |
| 3. Ablehnen | p=reject | Fehlschlagende Mails werden komplett abgelehnt | Dauerhaft |
Minimaler Einstiegs-Record
Name: _dmarc
Typ: TXT
Wert: v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.ch
Der rua-Parameter gibt an, wohin die Aggregate-Reports gehen sollen. Diese Reports zeigen dir täglich, welche Quellen E-Mails unter deiner Domain versenden und ob SPF/DKIM für jede Quelle bestehen. Ohne Reports weisst du nicht, ob du sicher auf reject hochschalten kannst.
Vollständiger DMARC-Record mit allen wichtigen Parametern
v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@deinedomain.ch; ruf=mailto:dmarc@deinedomain.ch; fo=1; aspf=r; adkim=r
Die Parameter im Überblick:
pct=100- Gilt für 100% der Mails (Standard). Beipct=10wird nur 10% geprüft, nützlich beim schrittweisen Rollout.ruf- Forensic Reports (einzelne fehlschlagende Mails, datenschutzsensitiv).fo=1- Report schicken bei jeder SPF- oder DKIM-Fehlschlag, nicht nur bei beiden.aspf=r- Relaxed-Modus für SPF (Subdomains werden akzeptiert).adkim=r- Relaxed-Modus für DKIM (gleich).
DKIM/SPF-Support bei Schweizer Hostern
Alle relevanten Schweizer Hoster unterstützen DKIM und SPF. Wie gut das im Control Panel integriert ist, unterscheidet sich jedoch deutlich. Hier ein Überblick mit verifizierten Daten aus unserer laufenden Erhebung (Stand Stand 3. November 2026):
| Hoster / Tarif | DKIM/SPF inklusive | Preis ab |
|---|---|---|
| Hostpoint Standard | false | 15.90 CHF/Mt. |
| Cyon Start | true | 5.35 CHF/Mt. |
| Infomaniak Webhosting | true | 10.91 CHF/Mt. |
| Hosttech Hosting L | true | 9.90 CHF/Mt. |
| Green.ch Webhosting L | false | 12.45 CHF/Mt. |
| Hostfactory Standard | true | 12.90 CHF/Mt. |
Was du beim Aktivieren beachten solltest: DKIM muss bei manchen Hostern pro Domain aktiviert werden, nicht global für den Account. Wenn du mehrere Domains hostest, prüfe jede einzeln. Und wenn du externe Maildienste (Newsletter, CRM) nutzt, müssen auch dort die DKIM-Keys für deine Domain gesetzt werden. Klingt nach Mehraufwand. Ist aber eben so.
Häufige Fehler und wie du sie vermeidest
SPF: Zu viele Lookups
SPF darf höchstens 10 DNS-Lookups auslösen. Jedes include: verbraucht einen. Bei komplexen Setups mit mehreren Diensten kommt man leicht drüber. Tools wie MXToolbox SPF Checker oder Kitterman SPF Validator zeigen dir die Lookup-Anzahl sofort an.
DKIM: Leerzeichen im Key
Lange DKIM-Schlüssel werden von manchen DNS-Editoren in mehrere Strings aufgeteilt. Das ist laut RFC korrekt, aber nicht alle Editoren handhaben das richtig. Wenn der DKIM-Test fehlschlägt, obwohl der Eintrag vorhanden ist, prüfe ob der Schlüssel geteilt ist und ob das Format stimmt:
"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BA" "QEFAAOCAQ8AMIIBCgKCAQEA..."
DMARC: Zu früh auf p=reject
Der häufigste Fehler: Jemand liest, dass p=reject am sichersten ist, setzt es sofort und blockiert damit seine eigenen Newsletter-Mails, die noch nicht per DKIM signiert waren. Passiert wohl jedem mal. Deshalb: immer mit p=none starten, Reports lesen, dann schrittweise hochschalten.
Subdomain-Policies vergessen
DMARC gilt standardmässig für die Hauptdomain. Für Subdomains gibt es einen eigenen Parameter: sp=. Wer auf marketing.meinedomain.ch Mails verschickt, sollte das explizit berücksichtigen.
Nie testen
Bevor du irgendwas live schaltest, teste kurz mit diesen Tools. Schon eine Testmail reicht oft, um Fehler zu finden:
- ✓ MXToolbox für SPF, DKIM, DMARC und allgemeine DNS-Checks
- ✓ Mail-Tester.com: Du sendest eine Testmail und bekommst einen Score mit Begründung
- ✓ dmarcian: DMARC-spezialisiertes Tool inklusive Report-Analyse
- ✓ Google Postmaster Tools: Kostenlos, zeigt deinen Domain-Reputation-Score bei Gmail
Häufige Fragen
Brauche ich alle drei: SPF, DKIM und DMARC?
Wie lange dauert es, bis die Einträge aktiv sind?
Meine E-Mails landen trotz SPF/DKIM im Spam. Was nun?
Muss ich DKIM beim Wechsel des Hosters neu einrichten?
Was bedeutet "DMARC alignment"?
adkim=r (relaxed) reicht es, wenn die Organisationsdomain übereinstimmt, also newsletter.deinedomain.ch besteht den Check für deinedomain.ch. Bei adkim=s (strict) muss der exakte Domain-Name übereinstimmen.p=none kommen danach dazu. Was dich dann wirklich überraschen wird: die ersten DMARC-Reports zeigen oft Dienste, die du vergessen hast zu listen, manchmal auch aktive Missbrauchsversuche. Ohne Reports weisst du das nie.
