Anleitung

Warum deine E-Mail im Spam landet, und wie du es mit drei DNS-Einträgen behebst

Mails von deiner eigenen Domain brauchen SPF, DKIM und DMARC, damit Empfänger ihnen vertrauen. So liest du das Ergebnis in Gmail, was jeder Eintrag tut und wie du sie Schritt für Schritt einrichtest.

Zuletzt aktualisiert: 17. Oktober 2026

Die kurze Antwort

Mails von deiner eigenen Domain brauchen drei DNS-Einträge, damit empfangende Server ihnen vertrauen. SPF legt fest, wer für deine Domain senden darf. DKIM fügt eine Signatur hinzu, die zeigt, dass die Nachricht unterwegs nicht verändert wurde. DMARC bestimmt, was bei einem Fehlschlag passiert, und schickt dir Berichte. Gmail und Yahoo verlangen sie beide, und ein fehlender oder falscher Eintrag ist ein häufiger Grund, warum Mails gefiltert oder abgewiesen werden. Das Ergebnis siehst du selbst in etwa zehn Minuten: Sende eine Testmail an eine Gmail-Adresse, öffne „Original anzeigen“ und lies die Zeilen zu SPF, DKIM und DMARC.

In dieser Anleitung

Für wen diese Anleitung ist

Du versendest Mails von deiner eigenen Domain: Benachrichtigungen aus dem Kontaktformular, Rechnungen, einen Newsletter oder ein Postfach bei einem Hosting- oder Microsoft-365-Anbieter. Ein Teil davon landet im Spam, kommt als Fehlermeldung zurück, oder jemand erzählt dir, er habe eine Nachricht „von dir“ erhalten, die du nie verschickt hast. Diese Anleitung zeigt, wie du liest, was die Empfängerseite sieht, und wie du die üblichen Ursachen behebst.

Für die Prüfung brauchst du kein technisches Wissen. Für das Ändern der DNS-Einträge brauchst du eventuell die Person, die deine Domain verwaltet.

Was die drei Einträge tun

SPF ist eine Liste in deinem DNS mit den Servern und Diensten, die für deine Domain Mails senden dürfen.
DKIM ist eine digitale Signatur. Dein Versanddienst signiert jede Nachricht und veröffentlicht den passenden Schlüssel in deinem DNS. So kann der Empfänger prüfen, dass die Nachricht von dieser Domain stammt und nicht verändert wurde.
DMARC sagt den Empfängern, was zu tun ist, wenn SPF und DKIM nicht zur Adresse in der Absenderzeile passen (nichts, in Quarantäne, abweisen), und wohin Berichte darüber gehen. Damit DMARC besteht, muss die Domain, die SPF oder DKIM bestanden hat, mit der Domain in der Absenderzeile übereinstimmen (Alignment).

Gmail verlangt von jedem Absender SPF oder DKIM. Wer grosse Mengen versendet (Gmail nennt rund 5000 Nachrichten pro Tag), braucht SPF, DKIM und DMARC, wobei eine DMARC-Richtlinie none erlaubt ist. Yahoo verlangt dasselbe, empfiehlt eine Berichtsadresse und einen DKIM-Schlüssel von mindestens 1024 Bit (Gmail-Anforderungen an Absender, Yahoo Best Practices für Absender).

So erkennst du, welche Ursache zutrifft

Sende eine Testmail von der Adresse, die du benutzt, an eine Gmail-Adresse, die dir gehört.
Öffne sie, wähle die drei Punkte und Original anzeigen. Oben siehst du SPF, DKIM und DMARC, jeweils mit PASS oder FAIL.
SPF schlägt fehl: Der Dienst, der die Nachricht gesendet hat, fehlt in deinem SPF-Eintrag, oder deine Domain hat mehr als einen SPF-Eintrag. Der Standard erlaubt nur einen SPF-Eintrag pro Domain (RFC 7208), und eine SPF-Prüfung darf höchstens 10 DNS-Abfragen auslösen. Eine lange Kette von „include“-Einträgen kann deshalb ebenfalls scheitern.
DKIM schlägt fehl: Der Signaturschlüssel wurde nie in deinem DNS eingetragen, oder er wurde für eine andere Domain als die in der Absenderzeile eingetragen.
DMARC fehlt oder stimmt nicht überein: Es gibt keinen DMARC-Eintrag, oder die Absenderdomain unterscheidet sich von der Domain, die SPF oder DKIM bestanden hat. Typisch ist das bei einem Formular- oder Rechnungsdienst, der in deinem Namen sendet, ohne für deine Domain eingerichtet zu sein.
Wenn Gmail eine Nachricht abweist, steht im Rückläufertext ein Code, der die Ursache nennt: 4.7.27 SPF, 4.7.30 DKIM, 4.7.31 kein DMARC, 4.7.32 keine Übereinstimmung.

Die Lösung, Schritt für Schritt

Liste alle Dienste auf, die Mails mit deiner Domain senden. Postfachanbieter, Website-Formular, Rechnungsprogramm, Newsletter, Buchungstool, Support-System. Frag dein Team, von wo aus gesendet wird.
SPF. Veröffentliche einen TXT-Eintrag für die Domain, der jeden Dienst deiner Liste enthält. Jeder Dienst beschreibt den genauen Eintrag.
DKIM. Schalte in jedem Dienst das Signieren für deine Domain ein und trage den Schlüssel, den er dir gibt, in dein DNS ein.
DMARC. Beginne mit v=DMARC1; p=none; rua=mailto:berichte@deine-domain als TXT-Eintrag auf _dmarc.deine-domain. Das ändert nichts an der Zustellung, du bekommst nur Berichte.
Lies die Berichte zwei bis vier Wochen lang. Sie zeigen, wer Mails mit deiner Domain sendet. Behebe jeden legitimen Absender, der durchfällt, und notiere die, die du nicht kennst.
Verschärfe schrittweise. Sobald legitime Mails bestehen, wechselst du von none zu quarantine und später zu reject, wenn du gefälschte Mails blockieren willst. Tu das erst, wenn die Berichte sauber sind.
Teste nach jeder Änderung erneut und lies die drei Zeilen noch einmal.

Verwende für die Berichte ein eigenes Postfach, nicht deinen normalen Posteingang. Sie kommen als viele maschinenlesbare Dateien an.

Der Selbsttest in zehn Minuten

Sende eine Testmail an eine Gmail-Adresse und öffne Original anzeigen.
Steht bei SPF, DKIM und DMARC jeweils PASS?
Gibt es genau einen SPF-Eintrag auf deiner Domain?
Steht jeder Dienst, der in deinem Namen sendet, auf deiner Liste?
Gibt es einen DMARC-Eintrag mit einer Berichtsadresse, die du wirklich liest?

Wann du Hilfe holen solltest

Hol dir jemanden mit Erfahrung, wenn:

mehrere Dienste mit deiner Domain senden und sich die Einträge widersprechen
die Berichte Absender zeigen, die du nicht kennst
du eine strengere Richtlinie einführen willst, ohne legitime Mails zu verlieren
du Mail zwischen Anbietern umgezogen hast und jetzt Nachrichten verschwinden

Wir sehen uns deine Einträge in einem kostenlosen 30-Minuten-Videogespräch mit dir an und sagen dir, was zu ändern ist: Gespräch buchen.