E-Mail-Authentifizierung: SPF, DKIM & DMARC einrichten
Seit 2024 verlangen Google und Yahoo DMARC. Seit 2025 auch Microsoft. Ohne korrekte Authentifizierung landen deine Newsletter im Spam – egal wie gut dein Content ist. Hier ist die Schritt-für-Schritt-Anleitung.
Google hat im Februar 2024 die Regeln geändert. Wer mehr als 5.000 E-Mails pro Tag versendet, braucht DMARC. Yahoo zog nach. Microsoft folgte im Februar 2025. Und seit Anfang 2026 gilt: Ohne korrekte E-Mail-Authentifizierung landen deine Newsletter im Spam – egal wie gut dein Content ist.
Transparenz
Technische Informationen basieren auf offizieller Dokumentation von Google, Yahoo und Microsoft. Affiliate-Link zu KlickTipp enthalten.
Das Thema klingt technisch. Ist es auch. Aber die Konsequenz ist einfach: Ohne SPF, DKIM und DMARC erreichst du einen wachsenden Teil deiner Empfänger nicht mehr. Und die meisten Newsletter-Versender wissen nicht einmal, dass sie betroffen sind.
Dieser Artikel erklärt, was die drei Protokolle tun, warum sie seit 2026 Pflicht sind, und wie du sie einrichtest – oder besser: wie dein E-Mail-Tool das für dich erledigt.
E-Mail-Authentifizierung: Was SPF, DKIM und DMARC bedeuten
SPF: Wer darf in deinem Namen senden?
SPF (Sender Policy Framework) ist der erste Baustein. Es beantwortet eine einfache Frage: Welche Server dürfen E-Mails mit deiner Domain versenden?
Du hinterlegst einen DNS-Eintrag, der sagt: "Nur diese IP-Adressen dürfen E-Mails von @deinedomain.de senden." Kommt eine E-Mail von einer anderen IP, weiß der Empfänger-Server: Das ist nicht autorisiert.
Was du brauchst: Einen TXT-Eintrag in deiner DNS-Konfiguration. Die meisten Newsletter-Tools liefern den fertigen Eintrag – du kopierst ihn zu deinem Domain-Anbieter.
| Anbieter | SPF-Eintrag bereitgestellt | Einrichtungshilfe |
|---|---|---|
| KlickTipp | Ja, automatisch | Schritt-für-Schritt-Anleitung + Support |
| Mailchimp | Ja | Englische Dokumentation |
| Brevo | Ja | Deutsche Dokumentation |
| CleverReach | Ja | Deutsche Dokumentation |
DKIM: Digitale Unterschrift für deine E-Mails
DKIM (DomainKeys Identified Mail) geht einen Schritt weiter. Es signiert jede E-Mail digital. Der Empfänger-Server kann prüfen: "Wurde diese E-Mail wirklich von der angegebenen Domain gesendet – und wurde sie unterwegs verändert?"
Stell dir DKIM wie ein Wachssiegel vor. Es bestätigt: Der Brief kommt wirklich vom Absender, und niemand hat ihn geöffnet oder verändert.
Technisch: Dein Newsletter-Tool signiert jede E-Mail mit einem privaten Schlüssel. Den öffentlichen Schlüssel hinterlegst du als DNS-Eintrag. Der Empfänger-Server vergleicht beides.
Warum DKIM entscheidend ist:
- Ohne DKIM können Spammer E-Mails in deinem Namen fälschen
- Google und Yahoo prüfen DKIM aktiv seit 2024
- DKIM ist Voraussetzung für DMARC (und damit für die Zustellung)
DMARC: Die Anweisung für den Empfänger
DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM zu einer Policy. Es sagt dem Empfänger-Server: "Was sollst du mit E-Mails machen, die SPF oder DKIM nicht bestehen?"
Du hast drei Optionen:
| DMARC-Policy | Bedeutung | Empfehlung |
|---|---|---|
| `p=none` | Nur beobachten, nichts blockieren | Zum Start (Monitoring) |
| `p=quarantine` | Verdächtige E-Mails in Spam verschieben | Nach 2-4 Wochen Monitoring |
| `p=reject` | Nicht authentifizierte E-Mails ablehnen | Ziel (voller Schutz) |
Der DMARC-Eintrag ist ein weiterer DNS-TXT-Eintrag. Minimal sieht er so aus:
`v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de`
Das `rua` ist wichtig: Du bekommst Berichte darüber, wer in deinem Namen E-Mails versendet. So siehst du sofort, ob jemand deine Domain missbraucht.
Warum 2026 das entscheidende Jahr ist
Drei Entwicklungen machen E-Mail-Authentifizierung zur Pflicht:
1. Google (seit Februar 2024):
Wer mehr als 5.000 E-Mails pro Tag an Gmail-Adressen sendet, braucht SPF, DKIM UND DMARC. Ohne landet alles im Spam.
2. Yahoo (seit Februar 2024):
Gleiche Anforderungen wie Google. Yahoo und AOL zusammen erreichen Millionen Nutzer.
3. Microsoft (seit Februar 2025):
Outlook.com, Hotmail und Live.de verlangen jetzt ebenfalls SPF, DKIM und DMARC von Massenversendern.
Auch unter 5.000 Empfängern ist die Authentifizierung sinnvoll. Die Schwelle sinkt, und Provider bevorzugen authentifizierte Absender generell.
Das bedeutet für dich
Wenn du einen Newsletter mit mehr als 5.000 Empfängern versendest und DMARC nicht eingerichtet hast, landen deine E-Mails bei Gmail, Yahoo UND Outlook im Spam. Das betrifft zusammen über 70% aller E-Mail-Nutzer weltweit.
DMARC einrichten: Schritt für Schritt
1. Schritt: SPF-Eintrag setzen
- Logge dich bei deinem Domain-Anbieter ein (Strato, IONOS, All-Inkl, etc.)
- Gehe zu DNS-Einstellungen → TXT-Einträge
- Erstelle einen TXT-Eintrag mit dem SPF-Wert deines Newsletter-Tools
- Warte 24-48 Stunden auf DNS-Propagation
2. Schritt: DKIM aktivieren
- Erstelle im Newsletter-Tool den DKIM-Schlüssel für deine Domain
- Kopiere den CNAME- oder TXT-Eintrag
- Hinterlege ihn bei deinem Domain-Anbieter
- Verifiziere die Einrichtung im Newsletter-Tool
3. Schritt: DMARC-Eintrag erstellen
- Erstelle einen TXT-Eintrag für `_dmarc.deinedomain.de`
- Starte mit `v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de`
- Beobachte die Berichte 2-4 Wochen
- Verschärfe auf `p=quarantine` und später `p=reject`
4. Schritt (optional): BIMI einrichten
BIMI (Brand Indicators for Message Identification) ist der jüngste Standard. Er zeigt dein Logo neben deiner E-Mail im Posteingang. Gmail, Yahoo und Apple Mail unterstützen BIMI bereits.
Voraussetzungen:
- DMARC mit `p=quarantine` oder `p=reject`
- SVG-Logo im Tiny PS Format
- Optional: VMC-Zertifikat (Verified Mark Certificate)
BIMI ist kein Pflichtstandard, aber ein starkes Branding-Tool. Wenn Empfänger dein Logo sehen, steigt die Öffnungsrate.
KlickTipp macht es einfach
Bei KlickTipp ist DKIM automatisch aktiv. SPF und DMARC richtest du mit der Schritt-für-Schritt-Anleitung in der Wissensdatenbank ein – oder der deutsche Telefon-Support hilft dir dabei. Das ist der Unterschied zu US-Tools, wo du englische Dokumentation durchforsten musst.
Häufige Fehler bei der Einrichtung
1. Fehler: Mehrere SPF-Einträge
Pro Domain darf es nur EINEN SPF-Eintrag geben. Wenn du Website-E-Mails über Google Workspace und Newsletter über KlickTipp versendest, müssen beide in EINEN Eintrag.
Falsch: Zwei separate TXT-Einträge mit `v=spf1 ...`
Richtig: Ein kombinierter Eintrag, z.B. `v=spf1 include:klicktipp.com include:_spf.google.com ~all`
2. Fehler: DMARC zu schnell auf "reject"
Starte IMMER mit `p=none`. Beobachte die Berichte. Stelle sicher, dass alle legitimen Absender (Newsletter-Tool, Website-Formulare, CRM) korrekt authentifiziert sind. Erst dann verschärfen.
3. Fehler: DNS-Propagation nicht abwarten
DNS-Änderungen brauchen bis zu 48 Stunden. Teste nicht nach 5 Minuten und glaube, es funktioniert nicht.
4. Fehler: Subdomain-Authentifizierung vergessen
Wenn du E-Mails von `newsletter@mail.deinedomain.de` versendest, muss DKIM für `mail.deinedomain.de` konfiguriert sein – nicht nur für `deinedomain.de`.
Was passiert, wenn du nichts tust?
Kurze Antwort: Deine Zustellrate sinkt. Schleichend, aber messbar.
Die Konsequenzen:
- Gmail: Deine E-Mails landen im Spam-Tab oder werden abgelehnt
- Yahoo/AOL: Gleiches Bild
- Outlook: Seit 2025 ebenfalls – und Outlook hat im DACH-Raum großen Marktanteil
- Deine Absender-Reputation verschlechtert sich (auch bei anderen Providern)
Und das Hinterhältige: Du merkst es nicht sofort. Deine Öffnungsrate sinkt langsam. Du denkst, der Content ist das Problem. Dabei ist es die Technik.
Ein Newsletter-Tool mit CSA-Zertifizierung und automatischer DKIM-Signierung löst das Problem, bevor es entsteht. Das ist der Grund, warum die Zustellrate bei KlickTipp bei 99,78% liegt – weil die Technik stimmt.
Simon Haenel
Informatiker & KI-Enthusiast
Informatiker aus Leidenschaft. Auf dieser Seite nutze ich KI, um komplexe Themen verständlich aufzubereiten – recherchiert, strukturiert und auf den Punkt gebracht.
Häufige Fragen: E-Mail-Authentifizierung
Häufige Fragen
Brauche ich DMARC, wenn ich weniger als 5.000 E-Mails pro Tag sende?
Die Pflicht gilt aktuell ab 5.000 E-Mails/Tag bei Gmail und Yahoo. Aber: Google und Microsoft bevorzugen authentifizierte Absender generell. Die Einrichtung ist einmalig und schützt deine Zustellrate langfristig.
Übernimmt mein Newsletter-Tool die Einrichtung?
DKIM wird von den meisten Tools automatisch signiert. SPF und DMARC erfordern DNS-Einträge bei deinem Domain-Anbieter – das kann dir kein Tool abnehmen. Aber gute Tools liefern Anleitungen und Support. KlickTipp bietet deutschen Telefon-Support speziell dafür.
Was kostet die Einrichtung von SPF, DKIM und DMARC?
Nichts. Es sind DNS-Einträge, die du kostenlos bei deinem Domain-Anbieter setzen kannst. Der Zeitaufwand liegt bei 30-60 Minuten – einmalig.
Kann ich mit falschen DNS-Einträgen meine E-Mails komplett blockieren?
Ja, deshalb ist die Reihenfolge wichtig: Erst SPF, dann DKIM, dann DMARC mit p=none. So kannst du Probleme erkennen, bevor du E-Mails blockierst. Und im Zweifelsfall: Vorherige Einträge notieren, bevor du etwas änderst.
Was ist der Unterschied zwischen DMARC und CSA-Zertifizierung?
DMARC ist ein technischer Standard, den DU einrichtest. Die [CSA-Zertifizierung](/email-marketing/csa-zertifizierung/) ist ein Qualitätssiegel, das dein NEWSLETTER-TOOL haben muss. Beides zusammen ergibt die beste Zustellbarkeit – besonders im DACH-Raum.
Wie teste ich, ob meine Authentifizierung funktioniert?
Sende eine Test-E-Mail an eine Gmail-Adresse. Öffne die E-Mail, klicke auf die drei Punkte → "Original anzeigen". Dort siehst du SPF, DKIM und DMARC mit "PASS" oder "FAIL". Alternativ: Tools wie mail-tester.com prüfen alles automatisch.