Leitfaden zur E-Mail-Authentifizierung bei „Attendance on Demand“: SPF, DKIM und DMARC

Wenn Ihr Unternehmen „Attendance on Demand“ nutzt, um automatisierte Nachrichten (wie z. B. Benachrichtigungen zur Zeiterfassung, Ausnahmebenachrichtigungen oder Dienstpläne) über Ihre Unternehmensdomain (z. B. [email protected]) zu versenden, werden diese E-Mails von der Infrastruktur des Anbieters versendet und nicht von Ihren internen E-Mail-Servern.

Ohne kryptografische DNS-Authentifizierung werden die Empfänger-E-Mail-Anbieter dieses Verhalten wahrscheinlich als Domain-Spoofing einstufen. Durch die Implementierung von SPF, DKIM und DMARC wird diese Vertrauenslücke geschlossen, wodurch die Bounce-Raten deutlich gesenkt und Ihre Markenidentität geschützt werden.

(Hinweis: Wenn Ihre automatisierten Nachrichten über die Standardadresse des Anbieters versendet werden, z. B. [email protected], übernimmt der Anbieter automatisch die Authentifizierung. Die folgenden Schritte gelten nur, wenn Sie eine benutzerdefinierte Absenderadresse verwenden möchten, die mit Ihrer eigenen Domain übereinstimmt.)

Schritt 1: Fordern Sie Ihre benutzerdefinierten DNS-Werte an

Die öffentlich zugängliche Entwicklerdokumentation für „Attendance on Demand“ konzentriert sich ausschließlich auf Webdienste und APIs, nicht auf die E-Mail-Authentifizierung. Da die Plattform für jeden Kunden eindeutige Kennungen vergibt, können Sie keine allgemeinen Einrichtungsanleitungen verwenden oder Datensätze aus einem anderen Mandanten kopieren.

1. Eröffnen Sie eine Supportanfrage: Wenden Sie sich an Ihren „Attendance on Demand“-Vertriebspartner oder Ihren Support-Ansprechpartner. Bitten Sie darum, dass die Funktion „Versand über benutzerdefinierte Domains“ für Ihren Mandanten aktiviert wird.

2. Die expliziten DNS-Werte anfordern: Fordern Sie alle erforderlichen Authentifizierungsparameter an:

• Für SPF: Der genaue Hostname/Ziel des „Return-Path“ (Envelope-From) oder die spezifische „include:“-Anweisung, die für Ihren Mandanten generiert wurde.
• Für DKIM: Der Name des DKIM-Selektors, die erwartete Signaturdomäne (d=Wert), der DNS-Eintragstyp (CNAME oder TXT) sowie der Ziel-/öffentliche Schlüssel.

3. Warten Sie mit DNS-Änderungen: Warten Sie, bis Sie genau diese Werte erhalten haben. Das Erraten von Authentifizierungsmechanismen oder das Veröffentlichen nicht autorisierter Einträge birgt Sicherheitsrisiken und führt zu DMARC-Fehlern.

Schritt 2: Konfigurieren von „Attendance on Demand“ SPF

SPF überprüft, welche Infrastruktur berechtigt ist, E-Mails in Ihrem Namen zu versenden. Damit DMARC über SPF erfolgreich ist, muss die Domain im verborgenen „Return-Path“-Header mit Ihrer sichtbaren „From“-Adresse übereinstimmen.

Warning: Attendance on Demand publishes a list of IP addresses online for firewall configurations (HTTP/HTTPS/SMTP). Do not use these IP ranges to build your own SPF record. Outbound mail may utilize entirely different routing. Only use the specific SPF mechanism provided by your support partner.

Option A: Verwendung einer Return-Path-Subdomain (bevorzugt)

Falls Ihr Partner eine eigene Subdomain für den Return-Path bereitstellt (z. B. notify.yourdomain.com), veröffentlichen Sie den CNAME- oder TXT-Eintrag genau gemäß den Anweisungen. Dadurch wird das Authentifizierungs-Routing isoliert, ohne dass Ihre normale Unternehmens-E-Mail beeinträchtigt wird.
(Nur ein Beispiel für den Aufbau; ersetzen Sie die Platzhalter durch die Ihnen zugewiesenen Werte):

• Typ: CNAME
• Host: notify (oder die delegierte Subdomain)
• Value: <return-path-target-from-aod>

Option B: Einbinden einer Include-Anweisung

Wenn Ihr Partner einen spezifischen „include:“-Mechanismus für Ihre Root-Domain festlegt, müssen Sie diesen in Ihren bestehenden SPF-Eintrag integrieren. Erstellen Sie niemals mehrere SPF-Einträge.

• Zuvor:

v=spf1 include:spf.protection.outlook.com ~all

• Nach (Beispiel):

v=spf1 include:spf.protection.outlook.com include: ~all

Profi-Tipp: Behalten Sie Ihr SPF-10-Abfrage-Limit im Auge. Wenn Sie durch das Hinzufügen dieses Anbieters das Limit überschreiten, sollten Sie in Erwägung ziehen, den „Hosted SPF“-Dienst von PowerDMARC zu nutzen, um Ihre Einträge automatisch zu vereinfachen. Sie können Ihre aktuelle Konfiguration auch mit dem SPF-Checker von PowerDMARC überprüfen.

Schritt 3: Benutzerdefiniertes DKIM konfigurieren

DKIM ist häufig die wichtigste Authentifizierungsebene für „Attendance on Demand“, insbesondere wenn für bestimmte Arten automatisierter Benachrichtigungen kein benutzerdefiniertes „Return-Path“-Routing verfügbar ist. Dabei wird eine kryptografische Signatur verwendet, die sicherstellt, dass der Inhalt der E-Mail nicht manipuliert wurde.

Melden Sie sich bei Ihrer DNS-Verwaltungskonsole an und legen Sie den Eintrag genau so an, wie er von Ihrem Partner angegeben wurde.

(Nur ein Beispiel für den Aufbau; ersetzen Sie die Platzhalter durch die Ihnen zugewiesenen Werte):

• Typ: CNAME (oder TXT)
• Host Record / Name: <selector-provided>._domainkey
• Value: <tenant-dkim-target-from-aod>

Entscheidender nächster Schritt: Durch die Veröffentlichung des DNS-Eintrags wird der Signaturprozess nicht sofort gestartet. Sie müssen sich an Ihren „Attendance on Demand“-Partner wenden, damit dieser die DKIM-Signatur auf seiner Seite aktiviert. Außerdem müssen Sie eine komplett neue Nachricht versenden, um dies zu testen; bereits versendete E-Mails können die neue Signatur nicht nachträglich erhalten. Anschließend können Sie mithilfe des DKIM-Checkers von PowerDMARC überprüfen, ob Ihre Schlüssel bereits aktiv sind.

Schritt 4: Konfigurieren Sie Ihren DMARC-Eintrag

DMARC legt fest, wie empfangende Server mit Nachrichten umgehen sollen, die die Authentifizierung nicht bestehen. Damit DMARC erfolgreich ist, muss eine Nachricht mindestens einen übereinstimmenden „Pass“-Befund aufweisen, d. h., entweder SPF oder DKIM muss die Authentifizierung unter Verwendung einer Domain bestehen, die mit Ihrer sichtbaren „Von“-Adresse übereinstimmt.
Nutzen Sie den kostenlosen DMARC-Record-Generator von PowerDMARC, um Ihre Richtlinie sicher zu erstellen.

1. Rufen Sie Ihre DNS-Einstellungen auf und erstellen Sie einen neuen Eintrag.

2. Starten Sie im reinen Überwachungsmodus, um einen Überblick zu gewinnen, ohne legitime E-Mails zu blockieren:

• Typ: TXT
• Host/Name: _dmarc
• Wert: v=DMARC1; p=none; rua=mailto:[email protected];

3. Speichern Sie Ihren neuen TXT-Eintrag.

Schritt 5: Überprüfen, Fehler beheben und durchsetzen

Um sicherzustellen, dass Ihre Konfiguration Ihren Datenverkehr tatsächlich schützt, müssen Sie einen Live-Test durchführen.

Auslösen einer Testnachricht

Je nach Ihren Berechtigungen müssen Sie möglicherweise Ihren Vertriebspartner bitten, diesen Vorgang auszuführen. Wenn Sie über Administratorrechte verfügen, navigieren Sie zu „Globale Einstellungen“ > „Prozesse“, erstellen Sie einen E-Mail-Berichtsprozess oder wählen Sie einen aus und führen Sie einen Betreiberbericht aus (z. B. indem Sie einen Zeitplan mit der Option „Jetzt ausführen“ einrichten, sodass der Bericht an einen von Ihnen verwalteten Posteingang gesendet wird).

Analyse der Kopfzeilen

Sobald Sie die Testnachricht erhalten haben, können Sie die E-Mail-Header im Rohformat manuell oder mithilfe unseres kostenlosen Tools „E-Mail Header Analyzer“ einsehen, um sofort verständliche Einblicke zu erhalten.

1. SPF prüfen: Achten Sie auf „spf=pass“. Vergewissern Sie sich, dass die smtp.mailfrom-Domain (Return-Path) mit Ihrer sichtbaren Absenderadresse übereinstimmt.
2. DKIM prüfen: Achten Sie auf den Eintrag „dkim=pass“. Vergewissern Sie sich, dass der Tag „d=“ (Signaturdomäne) mit der Domäne Ihrer Organisation übereinstimmt.
3. DMARC überprüfen: Achten Sie im „Authentication-Results“-Header auf den Eintrag „dmarc=pass“. Um Fehler in Ihrem DMARC-Eintrag zu beheben, nutzen Sie den kostenlosen DMARC Record Checker von PowerDMARC, der Ihnen detaillierte Informationen zu den Fehlern liefert.

Falls der Test fehlschlägt: Wenn Sie ein Problem an Ihren Partner weiterleiten, geben Sie nicht einfach an, dass „DMARC fehlgeschlagen ist“. Stellen Sie ihm die vollständigen Rohdaten der E-Mail-Header, den Versandzeitpunkt (UTC), die Empfängeradresse und die genaue Zeile „Authentication-Results“, in der der Fehler auftritt, zur Verfügung, damit er das Routing-Problem genau lokalisieren kann.

Weiter zur Vollstreckung (p = ablehnen)

Entscheiden Sie sich nicht vorschnell für die Einstellung „p=reject“. Wir empfehlen dringend, mindestens zwei vollständige Geschäftszyklen lang bei der Einstellung „p=none“ zu bleiben. Diese Wartezeit stellt sicher, dass seltene, automatisierte Nachrichten – wie beispielsweise Monatsend-Lohnabrechnungen oder vierteljährliche Systemwarnungen – Zeit haben, ausgelöst zu werden, sodass Sie deren Authentifizierungsstatus in Ihren Gesamtberichten überprüfen können, bevor Sie strenge Blockierungsregeln durchsetzen.

Abschließende Worte

Sind Sie bereit, Ihre E-Mail-Sicherheit zu optimieren? Das PowerDMARC-Team unterstützt Sie dabei, Ihren „Attendance on Demand“-Datenverkehr mithilfe detaillierter XML-Aggregatberichte zuverlässig zu überwachen, die verschiedenen Phasen der DMARC-Durchsetzung sicher zu durchlaufen und die Sicherheit Ihrer Domains zu vereinfachen.

Wenden Sie sich an unser Team oder vereinbaren Sie noch heute eine PowerDMARC-Demo, um Ihre geschäftliche Kommunikation zu schützen!

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• Anleitung zur Einrichtung von DKIM, DMARC und SPF bei Stripe – 11. September 2026
• Leitfaden zur E-Mail-Authentifizierung bei „Attendance on Demand“: SPF, DKIM und DMARC – 11. September 2026
• Greatmail-Leitfaden zur E-Mail-Authentifizierung: SPF, DKIM und DMARC – 11. September 2026