Ein Kunde sagt, die Mail zum Zurücksetzen des Passworts sei nie angekommen. Ein Lieferant findet Ihre Rechnung im Spamordner. Oft wurde die Nachricht ganz normal verschickt; der empfangende Mailserver konnte nur nicht bestätigen, dass sie wirklich von Ihnen stammt.
Gmail, Outlook und andere Anbieter prüfen drei DNS-Einträge Ihrer Domain, bevor sie einer Nachricht vertrauen: SPF, DKIM und DMARC. Fehlende oder fehlerhafte Einträge gehören zu den häufigsten Gründen, warum seriöse Geschäfts-E-Mails im Spam landen, und sie lassen sich mit am leichtesten beheben.
Was jeder Eintrag macht
SPF listet die Server auf, die E-Mails für Ihre Domain versenden dürfen. Es ist ein einzelner TXT-Eintrag, der mit v=spf1 beginnt.
DKIM fügt jeder Nachricht eine Signatur hinzu. Der empfangende Server prüft sie gegen einen öffentlichen Schlüssel in Ihrem DNS. So ist belegt, dass die Nachricht unverändert ist und von jemandem mit Ihrem Schlüssel verschickt wurde.
DMARC sagt den Empfängern, was sie tun sollen, wenn eine Nachricht diese Prüfungen nicht besteht, und wohin Berichte darüber gehen. Außerdem muss die Domain, die Menschen in der Absenderzeile sehen, zu der Domain passen, die SPF oder DKIM bestätigt hat.
Stellen Sie sich SPF als Gästeliste vor, DKIM als Unterschrift unter dem Brief und DMARC als Anweisung an den Türsteher, was mit jemandem passiert, der bei beidem durchfällt.
Warum das wichtiger ist als früher
Gmail verlangt inzwischen von allen Absendern SPF oder DKIM. Wer mehr als 5.000 Nachrichten pro Tag an Gmail-Adressen schickt, braucht SPF, DKIM und DMARC, und die Absenderdomain muss übereinstimmen. DieAbsenderrichtlinien von Google nennen alle Anforderungen, darunter eine Spamrate unter 0,3 %. Andere große Anbieter wenden ähnliche Regeln an.
Kleinere Absender sind von der Filterung nicht ausgenommen. Eine Domain ohne diese Einträge hat einfach weniger, was für sie spricht, wenn ein Filter entscheidet.
Die Fehler, die ich am häufigsten sehe
Zwei SPF-Einträge
Eine Domain darf nur einen SPF-Eintrag haben. Wer für einen neuen Dienst einen zweiten anlegt, statt ihn in den ersten einzubauen, bringt SPF für alles zum Scheitern. Die Lösung ist ein einziger Eintrag, der alle versendenden Dienste enthält.
Zu viele Abfragen
SPF erlaubt bei der Auswertung höchstens 10 DNS-Abfragen. Jedes include für einen Mailanbieter, ein CRM oder ein Newsletter-Tool verbraucht mindestens eine, manche mehrere. Über dem Limit meldet SPF einen Fehler, obwohl jeder Dienst eingetragen ist.
Ein Dienst, der ohne DKIM in Ihrem Namen sendet
Ihre Website, Ihr Buchungssystem oder Ihr Rechnungsprogramm verschickt vielleicht Mails mit Ihrer Adresse. Steht dieser Dienst nicht im SPF-Eintrag und signiert er nicht mit DKIM für Ihre Domain, fallen seine Nachrichten durch. Jeder Dienst hat eigene Einrichtungsschritte, meist ein paar DNS-Einträge zum Kopieren.
DMARC, das niemand liest
Ein DMARC-Eintrag mit p=none und einer Berichtsadresse ist ein guter Anfang. Er hilft aber nur, wenn jemand die Berichte liest, die Dienste findet, die durchfallen, sie korrigiert und die Richtlinie dann auf quarantine oder reject stellt.
Prüfen Sie Ihre Domain in einer Minute
Meine kostenlosePrüfung der E-Mail-Zustellbarkeit liest Ihr aktuelles DNS und zeigt Ihren Mailanbieter, Ihren SPF-Eintrag mit der Zahl der Abfragen, die gefundenen DKIM-Selektoren, Ihre DMARC-Richtlinie und Berichte, MTA-STS, TLS-Reporting und ob die Domain auf gängigen Sperrlisten steht. Zu jedem Ergebnis gibt es eine verständliche Erklärung, was zu ändern ist.
Sie kann nicht in Ihr Postfach oder den Spamfilter eines Empfängers sehen. Inhalt, Versandmenge und Beschwerdequote beeinflussen die Zustellung ebenfalls. Die Authentifizierung ist der Teil, den Sie im DNS selbst steuern, deshalb ist sie der richtige Anfang.
Eine sichere Reihenfolge für die Korrektur
Listen Sie jeden Dienst auf, der E-Mails mit Ihrer Domain verschickt: Ihren Postfachanbieter, die Website, den Shop, das Buchungstool, den Newsletter und die Rechnungsstellung.
Führen Sie alle in einem SPF-Eintrag zusammen und bleiben Sie unter dem Abfragelimit.
Aktivieren Sie DKIM in jedem Dienst und veröffentlichen Sie die Einträge, die er Ihnen gibt.
Veröffentlichen Sie DMARC mit p=none und einer Berichtsadresse und lesen Sie die Berichte einige Wochen lang.
Wenn alle seriösen Mails bestehen, stellen Sie DMARC auf quarantine und danach auf reject.
Unvorsichtige Änderungen an diesen Einträgen können den Mailverkehr der ganzen Domain stoppen. Ändern Sie also immer nur eine Sache und prüfen Sie nach jedem Schritt.
Wann Sie Hilfe holen sollten
Wenn die Prüfung mehrere Probleme zeigt oder Sie nicht sicher sind, welche Dienste in Ihrem Namen senden,schicken Sie mir die Domain und die Dienste, die Sie nutzen. Ich kann die Einträge und die Reihenfolge der Änderungen ausarbeiten und den Versand einer Anwendung so einrichten, dass ihre E-Mails diese Prüfungen von Anfang an bestehen.