E-Mail-Zustellbarkeit — SPF, DKIM und DMARC

Würdigung — warum die Mail im Spam landet#

Mail-Anbieter wie Gmail, Outlook oder GMX bekommen täglich riesige Mengen Spam und gefälschter Absender. Um echte von gefälschten Mails zu trennen, prüfen sie technische Vertrauens-Signale. Fehlen diese Signale für eine Domain, behandeln die Anbieter deren Mails im Zweifel als verdächtig — sie landen im Spam oder werden ganz abgewiesen. Das trifft auch völlig legitime Kanzlei-Mails: die Antwort auf eine Mandanten-Anfrage, die Bestätigung aus dem Kontaktformular, der Newsletter.

Das Tückische ist die Unsichtbarkeit. Die Kanzlei sieht in ihrem Postausgang „gesendet" und nimmt an, alles sei gut. Dass die Mail beim Empfänger nie im Posteingang ankam, erfährt sie oft nur durch Zufall — etwa wenn ein Mandant sagt, er habe nie eine Antwort bekommen. Die drei Records SPF, DKIM und DMARC schließen genau diese Lücke.

SPF — wer darf für die Domain senden#

SPF (Sender Policy Framework) ist ein DNS-Eintrag, der festlegt, welche Server berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden. Empfängt ein Mail-Anbieter eine Mail von kanzlei-beispiel.de, schlägt er im SPF-Eintrag nach, ob der sendende Server auf der erlaubten Liste steht. Steht er nicht drauf, ist das ein Warnsignal.

Der häufige Fehler: Eine Kanzlei versendet über mehrere Wege — das normale Postfach, das Kontaktformular der Website, vielleicht ein Newsletter-Tool —, aber der SPF-Eintrag kennt nur einen davon. Dann werden die Mails der nicht eingetragenen Wege als verdächtig behandelt. Jeder legitime Versand-Weg muss im SPF-Eintrag stehen.

DKIM — die Signatur, die Echtheit beweist#

DKIM (DomainKeys Identified Mail) ergänzt SPF um eine kryptographische Signatur. Jede ausgehende Mail wird mit einem privaten Schlüssel signiert; der passende öffentliche Schlüssel liegt im DNS der Domain. Der empfangende Anbieter prüft die Signatur und stellt damit zweierlei fest: Die Mail stammt wirklich von der Domain, und sie wurde unterwegs nicht verändert.

Während SPF also den Server prüft, prüft DKIM die Mail selbst. Beide zusammen sind deutlich stärker als jedes für sich — und die meisten seriösen Mail-Dienste richten DKIM heute automatisch ein, sobald man die Domain verbindet.

DMARC — die Richtlinie, die beides zusammenbindet#

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist die Klammer. Der DMARC-Eintrag legt fest, was passieren soll, wenn eine Mail die SPF- und DKIM-Prüfung nicht besteht: nur beobachten (none), in den Spam verschieben (quarantine) oder ganz abweisen (reject). Zusätzlich kann DMARC Berichte liefern, die zeigen, wer im Namen der Domain Mails versendet — auch Fälscher.

Damit hat DMARC einen doppelten Nutzen: Es verbessert die Zustellbarkeit der eigenen Mails und schützt die Domain davor, dass Betrüger sie für Phishing missbrauchen. Gerade für eine Kanzlei, deren Name Vertrauen trägt, ist Letzteres wichtig — eine im Namen der Kanzlei versandte Phishing-Mail wäre ein ernster Reputations-Schaden. Sinnvoll ist ein gestufter Weg: mit none beginnen, die Berichte auswerten, alle legitimen Versand-Wege absichern und dann auf quarantine oder reject hochziehen.

Wie wir Mails versenden#

Auf fahoch2.de laufen die transaktionalen Mails — etwa die Benachrichtigung aus dem Kontakt- und Lead-Flow — über einen spezialisierten Mail-Dienst (Resend), nicht über ein beliebiges Skript. Der Vorteil: Ein solcher Dienst bringt eine gepflegte Versand-Reputation mit und richtet SPF und DKIM für die Domain sauber ein. Ergänzt um einen korrekten DMARC-Eintrag kommen die Formular-Mails dort an, wo sie hingehören — im Posteingang, nicht im Spam.

Das ist die unsichtbare Hälfte einer funktionierenden Website: Ein perfektes Kontaktformular nützt nichts, wenn die Benachrichtigung darüber im Spam-Ordner der Kanzlei versandet.

Für eine vollständige Prüfung der Mail- und Kontakt-Strecke — Zustellbarkeit, Records, Formular-Technik — empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Legitime Kanzlei-Mails landen im Spam, wenn drei DNS-Records fehlen oder falsch sind. SPF legt fest, welche Server für die Domain senden dürfen; DKIM signiert jede Mail kryptographisch und beweist ihre Echtheit; DMARC bindet beides mit einer Richtlinie zusammen, verbessert die Zustellbarkeit und schützt die Domain vor Phishing-Missbrauch. Häufigster Fehler ist ein SPF-Eintrag, der nicht alle Versand-Wege kennt. Ein spezialisierter Mail-Dienst richtet SPF und DKIM meist automatisch ein; DMARC führt man gestuft ein (erst beobachten, dann durchsetzen). Das ist die unsichtbare Hälfte einer funktionierenden Website — ohne sie versandet die beste Kontakt-Strecke im Spam.

Quellen#

• RFC 7208 — Sender Policy Framework (SPF) — abgerufen 2026-05-29
• RFC 6376 — DomainKeys Identified Mail (DKIM) — abgerufen 2026-05-29
• RFC 7489 — Domain-based Message Authentication (DMARC) — abgerufen 2026-05-29
• DMARC.org — Übersicht und Ressourcen — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung. Die konkrete Konfiguration der DNS-Records hängt von den eingesetzten Mail-Diensten ab und sollte vor einer strengen DMARC-Durchsetzung getestet werden.