So richten Sie die E-Mail-Authentifizierung für eine neu registrierte Domain ein

von

Zuletzt aktualisiert:
10 Lesezeit: 10 Minuten
So richten Sie die E-Mail-Authentifizierung für eine neu registrierte Domain ein

Wichtigste Erkenntnisse

  • Eine neu registrierte Domain verfügt über keine SPF-, DKIM- oder DMARC-Einstellungen – und ist damit vom ersten Tag an ein Ziel für Spoofing-Angriffe
  • Richten Sie die Einträge in der richtigen Reihenfolge ein: zuerst SPF, dann DKIM, dann DMARC
  • Stellen Sie bei DMARC zunächst immer „p=none“ ein, um die Situation zu beobachten, bevor Sie die Regelung durchsetzen.
  • Überprüfen Sie alle drei Einträge nach der DNS-Verbreitung mit den kostenlosen Überprüfungstools von PowerDMARC
  • Überprüfen Sie die DMARC-Gesamtberichte, bevor Sie zu einer strengeren Durchsetzung der Richtlinien übergehen

Sobald eine Domain registriert ist, wird sie zum Ziel von Spoofing – noch bevor auch nur eine einzige E-Mail versendet wurde. Ohne SPF, DKIM oder DMARC kann jeder E-Mails versenden, die scheinbar von Ihrer Domain stammen, und die empfangenden Server haben keine technischen Mittel, dies zu erkennen. Dieser Leitfaden erklärt Schritt für Schritt, wie Sie die E-Mail-Authentifizierung in der richtigen Reihenfolge einrichten, und enthält konkrete Beispiele für DNS-Einträge, Überprüfungsschritte sowie Hinweise dazu, was Sie überwachen sollten, sobald alles in Betrieb ist.

Warum neue Domains besonders anfällig sind

Einer neuen Domain fehlen nicht nur Authentifizierungsdatensätze – ihr fehlt einfach alles: kein Versandverlauf, keine Reputation, keine vorherige Konfiguration, auf der man aufbauen könnte. Diese Kombination birgt spezifische Risiken und erfordert einen Einrichtungsansatz, der sich von der Konfiguration der Authentifizierung bei einer bestehenden Domain unterscheidet.

Warum neue Domains besonders anfällig sind--

1. Noch keine Absender-Reputation

E-Mail-Anbieter nutzen den Versandverlauf, um zu entscheiden, wie eingehende E-Mails behandelt werden sollen. Eine Domain, die noch nie etwas versendet hat, verfügt über keine Historie, was bedeutet, dass empfangende Server allein anhand der Reputation nicht zwischen einem legitimen neuen Absender und einem gefälschten Absender unterscheiden können.

Die E-Mail-Authentifizierung schließt diese Lücke. SPF, DKIM und DMARC liefern den E-Mail-Anbietern ein technisches Signal dafür, dass Sie die Domain kontrollieren und so konfiguriert haben, dass legitime Absender autorisiert werden – noch bevor sich eine Reputation aufgebaut hat. Korrekt authentifizierte E-Mails von einer neuen Domain landen anfangs vielleicht immer noch im Spam-Ordner, doch ohne Authentifizierung haben Sie das letzte Glaubwürdigkeitssignal entfernt, das Anbieter zu Ihren Gunsten nutzen können.

2. Neue Domains sind ein bevorzugtes Ziel für Spoofing

Angreifer haben es gezielt auf neue und kürzlich registrierte Domains abgesehen, da diese fast nie über Authentifizierungsdatensätze verfügen. Ohne SPF, DKIM und DMARC kann jeder Server vorgeben, von Ihrer Domain aus zu senden – und damit Erfolg haben.

Die Sicherheitslücke betrifft verschiedene Arten von Bedrohungen. Bei Angriffen durch Markenimitation wird Ihre Domain genutzt, um Kunden oder Partner zu kontaktieren, bevor Sie überhaupt eine Beziehung zu ihnen aufgebaut haben. Phishing-Kampagnen nutzen die „weiße Weste“ einer neuen Domain aus – keine negative Reputation bedeutet weniger Auslöser für Spamfilter. Business Email Compromise (BEC) kann Ihre Lieferanten oder Ihr internes Team ins Visier nehmen, indem eine gefälschte Version Ihrer E-Mail-Adresse verwendet wird. Jedes Unternehmen, das Projekt-Updates, Rechnungen oder Kunden-E-Mails versendet, wie beispielsweise ein Unternehmen für kundenspezifische Softwareentwicklung in Austin, ist gefährdet, bis eine Authentifizierung eingerichtet ist.

3. Keine Altdaten, die es zu umgehen gilt

Hier haben neue Domains einen echten Vorteil gegenüber etablierten. Bei älteren Domains sammeln sich im Laufe der Zeit DNS-Probleme an: ein doppelter SPF-Eintrag von einer Plattform, die schon vor Jahren ersetzt wurde, ein DKIM-Selektor, der an einen E-Mail-Anbieter gebunden ist, der nicht mehr in dessen Namen versendet, oder eine DMARC-Richtlinie, die auf „p=none“ festgelegt ist und nie überprüft wurde.

Von Grund auf neu zu beginnen bedeutet, von Anfang an alles korrekt einzurichten. Keine Überprüfung alter Datensätze, kein Risiko, einen bestehenden E-Mail-Ablauffluss zu unterbrechen, keine vererbten Fehlkonfigurationen, die es zu entwirren gilt. Die Einrichtung ist übersichtlicher, schneller und leichter zu überprüfen.

4. Überlegungen zum Kaltstart

Authentifizierung und Domain-Warm-up sind zwar miteinander verbundene, aber dennoch voneinander getrennte Prozesse. Authentifizierungsdatensätze bestätigen den empfangenden Servern, dass Ihre E-Mails autorisiert sind. Beim Warm-up wird eine positive Versandhistorie aufgebaut, indem zunächst mit geringem Versandvolumen begonnen und dieses im Laufe der Zeit schrittweise erhöht wird.

Die Authentifizierung hat oberste Priorität – eine Domain, die die Authentifizierungsprüfungen nicht besteht, kann nicht „aufgewärmt“ werden. Sobald SPF, DKIM und DMARC aktiv und verifiziert sind, beginnen Sie mit kontrollierten Versandmengen und lassen Sie zunächst DMARC-Berichte anfallen, bevor Sie die Richtlinien verschärfen oder den ausgehenden Versand ausweiten.

Wie authentifiziert man seine E-Mail?

Was Sie vor dem Start benötigen

  • Zugriff auf das DNS-Panel Ihrer Domain

SPF-, DKIM- und DMARC-Einträge werden alle als TXT-Einträge im DNS veröffentlicht. Ihr DNS-Panel befindet sich möglicherweise bei Ihrem Domain-Registrar (Namecheap, GoDaddy, Cloudflare usw.) oder bei Ihrem Hosting-Anbieter. Sie benötigen Schreibzugriff, um neue Einträge hinzuzufügen – Lesezugriff allein reicht nicht aus.

  • Ihre E-Mail-Versandplattform

DKIM-Schlüssel werden von Ihrer E-Mail-Versandplattform generiert – sie werden nicht manuell erstellt. Bevor Sie einen DKIM-Eintrag veröffentlichen können, müssen Sie den DKIM-Einrichtungsprozess innerhalb Ihrer Plattform (Google Workspace, Microsoft 365, ein benutzerdefinierter SMTP-Dienst oder Ähnliches) durchlaufen. Die Plattform generiert das Schlüsselpaar und teilt Ihnen den genauen Namen und Wert des Eintrags mit, den Sie im DNS veröffentlichen müssen. Sie können keinen gültigen DKIM-Eintrag unabhängig von der Versandplattform erstellen.

Falls E-Mails von Ihrer Domain über mehrere Plattformen versendet werden, sollten Sie diese jetzt alle identifizieren. Jede davon muss in Ihrem SPF-Eintrag berücksichtigt werden, und für jede ist möglicherweise ein eigener DKIM-Selektor erforderlich.

  • Eine E-Mail-Adresse für DMARC-Berichte

DMARC-Gesamtberichte werden an die Adresse gesendet, die Sie im „rua“-Tag Ihres DMARC-Eintrags festlegen. Dies kann ein beliebiger überwachter Posteingang sein – eine eigene Adresse wie [email protected], ein gemeinsamer Team-Posteingang oder eine von einer DMARC-Berichtsplattform bereitgestellte Adresse. Sie muss lediglich existieren und aktiv überprüft werden. Ohne eine funktionierende „rua“-Adresse liefert die Überwachungsphase Ihrer DMARC-Konfiguration keine verwertbaren Ergebnisse.

Schritt 1 – Richten Sie Ihren SPF-Eintrag ein

SPF (Sender Policy Framework) teilt den empfangenden Mail-Servern mit, welche IP-Adressen berechtigt sind, E-Mails im Namen Ihrer Domain zu versenden. Richten Sie zunächst SPF ein – es bildet die Grundlage, auf der DKIM und DMARC aufbauen.

SPF funktioniert über einen einzigen DNS-TXT-Eintrag, in dem Ihre autorisierten Absenderquellen aufgeführt sind. Wenn ein empfangender Server eine Nachricht von Ihrer Domain erhält, gleicht er die Absender-IP mit Ihrem SPF-Eintrag ab. Eine aufgeführte IP wird akzeptiert, eine nicht aufgeführte wird abgelehnt.

v=spf1 include:_spf.google.com ~all

v=spf1 → kennzeichnet dies als SPF-Eintrag

umfasst:… → autorisiert alle IP-Adressen innerhalb der E-Mail-Infrastruktur von Google

~all → lehnt alle Absender ab, die nicht ausdrücklich aufgeführt sind

So fügen Sie Ihren SPF-Eintrag hinzu

  1. Melden Sie sich bei Ihrem DNS-Anbieter an
  2. Einen neuen TXT-Eintrag erstellen
  3. Setzen Sie das Feld „Host/Name“ auf @ (steht für Ihre Stammdomain)
  4. Fügen Sie den SPF-Wert ein, den Ihre E-Mail-Plattform bereitstellt
  5. Datensatz speichern
TYP GASTGEBER WERT
TXT @ v=spf1 include:_spf.google.com ~all

Wenn Sie von mehr als einer Plattform aus E-Mails versenden, fassen Sie alle Absender in einem einzigen SPF-Eintrag zusammen. Die Veröffentlichung von zwei SPF-TXT-Einträgen auf der Root-Domain führt zu einer fehlerhaften SPF-Validierung – es wird nur einer ausgewertet, und das Ergebnis ist unvorhersehbar.

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Häufige SPF-Fehler bei neuen Domains

  • Zwei SPF-Einträge – Pro Domain ist nur ein SPF-TXT-Eintrag gültig. Werden zwei Einträge veröffentlicht, werden beide ungültig. Führen Sie alle Absenderquellen in einem einzigen Eintrag zusammen.
  • Zu frühes Verwenden von -all – Bei „Hard-Fail“ werden E-Mails von nicht aufgeführten Absendern sofort abgelehnt. Verwenden Sie zunächst ~all (Soft-Fail), bis Ihre vollständige Absenderliste bestätigt ist.
  • Fehlende Absenderplattform – Jede Plattform, die von Ihrer Domain aus E-Mails versendet und nicht in der SPF-Eintragung aufgeführt ist, wird bei der Authentifizierung abgelehnt. Berücksichtigen Sie alle Absender, bevor Sie den Eintrag speichern.

Schritt 2 – Erstellen und veröffentlichen Sie Ihren DKIM-Eintrag

DKIM (DomainKeys Identified Mail) versieht ausgehende E-Mails mit einer kryptografischen Signatur. Empfangsserver verwenden einen öffentlichen Schlüssel aus Ihrem DNS, um zu überprüfen, ob die Nachricht tatsächlich von Ihrer Domain stammt und während der Übertragung nicht verändert wurde.

DKIM-Schlüssel werden innerhalb Ihrer E-Mail-Versandplattform generiert – Sie müssen sie nicht manuell erstellen. Rufen Sie den Bereich „DKIM“, „Domain-Authentifizierung“ oder „E-Mail-Einrichtung“ Ihrer Plattform auf und befolgen Sie die dort angegebenen Schritte. Die Plattform generiert ein Schlüsselpaar: einen privaten Schlüssel (zum Signieren ausgehender E-Mails) und einen öffentlichen Schlüssel (der im DNS veröffentlicht wird, damit empfangende Server die Signaturen überprüfen können).

Jede Plattform weist einen Selektor zu – eine Kennung im Datensatznamen, die es ermöglicht, dass mehrere DKIM-Schlüssel auf derselben Domain nebeneinander bestehen können. Wenn Sie zwei Versandplattformen verwenden, erhält jede ihren eigenen Selektor und ihren eigenen DNS-Eintrag. Beispiel für einen Datensatznamen mit dem Selektor „google“:

google._domainkey.deine-domain.com

So veröffentlichen Sie Ihren DKIM-Eintrag

  1. Öffnen Sie den DKIM-Bereich in Ihrer E-Mail-Plattform
  2. Kopieren Sie den Namen des TXT-Eintrags (z. B. google._domainkey)
  3. Kopieren Sie den Wert des TXT-Eintrags (die Zeichenfolge des öffentlichen Schlüssels)
  4. Öffnen Sie Ihr DNS-Panel und erstellen Sie einen neuen TXT-Eintrag
  5. Fügen Sie den Namen und den Wert genau so ein, wie sie angegeben sind
  6. Speichern Sie die Daten und kehren Sie dann zu Ihrer Plattform zurück, um die Verifizierung auszulösen
TYP GASTGEBER WERT
TXT google._domainkey v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9…

Manche Plattformen können den DKIM-Eintrag automatisch veröffentlichen, wenn sie auch Ihr DNS verwalten – lesen Sie die Einrichtungsanleitung Ihrer Plattform, bevor Sie ihn manuell hinzufügen.

So überprüfen Sie, ob DKIM aktiviert ist

PowerDMARC DKIM-Prüfer
Fügen Sie Ihre Domain und Ihren Selektor ein, um sofort zu überprüfen, ob Ihr DKIM-Eintrag aktiv und korrekt formatiert ist und die Validierung besteht.

Die DNS-Propagierung ist in der Regel innerhalb weniger Stunden abgeschlossen, kann jedoch bis zu 48 Stunden dauern. Sollte die Überprüfung nach Ablauf dieses Zeitraums fehlschlagen, überprüfen Sie den Wert auf überflüssige Leerzeichen, einen falschen Hostnamen oder einen abgeschnittenen Schlüssel.

Schritt 3 – Erstellen Sie Ihren DMARC-Eintrag

DMARC (Domain-based Message Authentication, Reporting and Conformance) bildet die Richtlinienebene. Während SPF und DKIM die Authentifizierungsprüfungen durchführen, gibt DMARC den empfangenden Servern vor, wie mit Nachrichten umzugehen ist, die diese Prüfungen nicht bestehen – und liefert zusammengefasste Berichte, damit Sie genau sehen können, wer E-Mails unter Verwendung Ihrer Domain versendet.

Die richtige DMARC-Richtlinie für eine neue Domain

Beginne immer mit p=none.

Eine reine Überwachungsrichtlinie bedeutet, dass fehlgeschlagene Nachrichten weiterhin zugestellt werden – es wird nichts blockiert. Dies ist der richtige Ausgangspunkt für eine neue Domain, da Sie noch nicht überprüft haben, ob jede legitime Absenderquelle korrekt authentifiziert ist. Wenn Sie direkt auf „p=reject“ umstellen, bevor Sie Ihre Berichte überprüft haben, kann dies dazu führen, dass legitime E-Mails von einem Absender, den Sie vergessen haben einzubeziehen, unbemerkt blockiert werden.

RICHTLINIE WIRKUNG
p=kein Nur zur Anzeige – die Lieferung bleibt davon unberührt
p=Quarantäne Fehlermeldungen werden in den Spam-Ordner verschoben
p=ablehnen Fehlerhafte Nachrichten werden vom Server abgelehnt

Durchlaufen Sie diese Stufen entsprechend den Ergebnissen Ihrer Berichte – und nicht nach einem festen Zeitplan.

So erstellen und veröffentlichen Sie Ihren DMARC-Eintrag

PowerDMARC DMARC-Eintrag-Generator
Erstellen Sie in Sekundenschnelle einen korrekt formatierten DMARC-Eintrag. Wählen Sie Ihre Richtlinie aus, fügen Sie Ihre RUA-Adresse hinzu und kopieren Sie den veröffentlichungsfertigen TXT-Eintrag.

Veröffentlichen Sie den Eintrag als TXT-Eintrag unter _dmarc.yourdomain.com.

Mindestanzahl an Starts:

v=DMARC1; p=keine; rua=mailto:[email protected]

v=DMARC1 → kennzeichnet dies als DMARC-Eintrag

p=none → Überwachungsmodus (keine Nachrichten werden blockiert)

rua=mailto: → E-Mail-Adresse, an die die Sammelberichte gesendet werden

TYP GASTGEBER WERT
TXT _dmarc v=DMARC1; p=keine; rua=mailto:[email protected]

Was das Tag „rua“ bewirkt

Über das „rua“-Tag werden die DMARC-Gesamtberichte übermittelt. Diese Berichte – die täglich von den empfangenden Mail-Servern gesendet werden – listen auf, welche IP-Adressen E-Mails unter Verwendung Ihrer Domain versendet haben, ob diese Nachrichten die SPF- und DKIM-Prüfung bestanden haben und ob unbekannte Absender E-Mails in Ihrem Namen versenden. Ohne das „rua“-Tag wendet Ihr DMARC-Eintrag zwar eine Richtlinie an, generiert jedoch keine Daten. Bei der Einstellung „p=none“ sind Berichte die einzige Ausgabe – das Weglassen des Tags macht die gesamte Überwachungsphase sinnlos.

Schritt 4 – Überprüfen Sie, ob Ihre Daten bereits online sind

Nachdem Sie alle drei Einträge veröffentlicht haben, warten Sie bitte, bis die DNS-Verbreitung abgeschlossen ist, bevor Sie die Überprüfung durchführen. Die meisten Einträge werden innerhalb weniger Stunden verbreitet; rechnen Sie mit bis zu 48 Stunden, bevor Sie eine fehlgeschlagene Überprüfung als tatsächliches Problem und nicht als Verzögerung bei der Verbreitung betrachten.

Tools zur Überprüfung von SPF, DKIM und DMARC

  • PowerDMARC SPF Checker – überprüft, ob Ihr SPF-Eintrag vorhanden ist, eine gültige Syntax aufweist und die richtigen Absender enthält
  • PowerDMARC DKIM-Prüfprogramm – überprüft, ob der DKIM-Eintrag unter dem richtigen Selektor und der richtigen Domain aktiv ist
  • PowerDMARC DMARC Checker – überprüft, ob Ihr DMARC-Eintrag unter „_dmarc“ zu finden ist und gültige Policy-Tags enthält
  • PowerDMARC DNS-Propagation-Checker – zeigt an, ob sich Ihre Einträge auf den weltweiten DNS-Servern verbreitet haben; nützlich, wenn ein Checker kurz nach der Veröffentlichung die Meldung „Nicht gefunden“ anzeigt
  • PowerDMARC Domain Analyzer – führt einen umfassenden Domain-Scan für SPF, DKIM, DMARC, BIMI, MTA-STS und TLS-RPT in einer einzigen Ansicht durch, sodass Sie sich vor der Inbetriebnahme einen Überblick über den gesamten Stand Ihrer E-Mail-Authentifizierung verschaffen können

Was tun, wenn ein Datensatz die Überprüfung nicht besteht?

Fangen Sie mit den Grundlagen an. Vergewissern Sie sich, dass es sich um einen TXT-Eintrag handelt – nicht um einen A-, CNAME- oder MX-Eintrag. Überprüfen Sie, ob der Hostname mit den Vorgaben des Tools übereinstimmt: @ für SPF, _dmarc für DMARC und selector._domainkey für DKIM. Achten Sie auf häufige Probleme beim Kopieren und Einfügen: überflüssige Leerzeichen, fehlende Semikolons, aus der DNS-Panel-Oberfläche übernommene Anführungszeichen oder ein abschließender Punkt am Ende des Eintragsnamens.

Wenn im DNS alles korrekt aussieht, überprüfen Sie mit dem DNS-Propagation-Checker, ob der Eintrag vollständig übernommen wurde, bevor Sie von einem Konfigurationsfehler ausgehen.

Schritt 5 – Überwachen Sie Ihre Berichte und die Fortschritte bei der Durchsetzung

Die Veröffentlichung von Authentifizierungsdatensätzen ist der Anfang des Prozesses, nicht das Ende. Die Phase „p=none“ dient der aktiven Überwachung – sie liefert Ihnen die Daten, mit denen Sie sicherstellen können, dass Ihre legitime E-Mail die Authentifizierung besteht, bevor Sie Durchsetzungsmaßnahmen ergreifen.

Die Rohdaten der DMARC-Gesamtberichte liegen als XML-Dateien vor – diese sind nicht für die manuelle Auswertung gedacht. PowerDMARC wandelt sie in Dashboards um, die Ihnen für jede Absenderquelle Folgendes anzeigen:

  • Von welchen IP-Adressen wurden E-Mails unter Ihrer Domain versendet?
  • Ob die Nachrichten die SPF-Prüfung bestanden oder nicht bestanden haben
  • Ob Nachrichten die DKIM-Prüfung bestanden oder nicht bestanden haben
  • Ob von Ihrer Domain aus unerkannte Quellen Daten senden

Diese Daten bestätigen, ob Ihre Konfiguration wie erwartet funktioniert, und zeigen etwaige Absenderplattformen auf, die Sie bei der Konfiguration von SPF oder DKIM möglicherweise übersehen haben.

Wann sollte man von p=none zu p=reject wechseln?

Lassen Sie sich bei der Zeitplanung von Ihren Berichten leiten. Sobald diese durchgängig zeigen, dass alle legitimen Absender die SPF- oder DKIM-Überprüfung bestehen, wechseln Sie zu „p=quarantine“. Beobachten Sie die Situation mehrere Wochen lang. Sobald Sie sicher sind, dass keine legitimen E-Mails mehr zurückgewiesen werden, wechseln Sie zu „p=reject“. Es gibt keine festgelegte Anzahl von Tagen – der richtige Zeitpunkt für eine strengere Durchsetzung ist dann gekommen, wenn Ihre Berichte zeigen, dass Sie bereit sind.

Häufige Fehler bei der Authentifizierung einer neuen Domain

  • Die Veröffentlichung von zwei SPF-Einträgen anstelle von einem führt dazu, dass die SPF-Validierung vollständig fehlschlägt; fassen Sie alle Absender in einem einzigen Eintrag zusammen
  • DKIM überspringen – SPF allein reicht für die DMARC-Konformität nicht aus, und DKIM ist die einzige Überprüfung, die bei der Weiterleitung von E-Mails erhalten bleibt
  • Wenn Sie DMARC vor der Überwachung auf „p=reject“ setzen, besteht die Gefahr, dass legitime E-Mails von einem Absender blockiert werden, den Sie noch nicht authentifiziert haben
  • Wenn das „rua=“-Tag weggelassen wird, wird die Sichtbarkeit während der Überwachungsphase vollständig aufgehoben; es werden keine aggregierten Berichte versendet
  • Keine Überprüfung der Einträge nach der Übertragung – ein Eintrag, der in Ihrem DNS-Panel korrekt aussieht, kann dennoch einen Formatierungsfehler enthalten, den nur ein Validierungstool erkennt

Schlussfolgerung

Die Reihenfolge ist entscheidend: Zuerst SPF, dann DKIM und schließlich DMARC. Bei einer neuen Domain bietet der Start mit „p=none“ die Möglichkeit, zu überprüfen, ob Ihre Konfiguration korrekt funktioniert, bevor Sie die Durchsetzung aktivieren – so schützen Sie den Ruf Ihrer Domain, noch bevor Sie ihn überhaupt aufgebaut haben.

Um Ihre Daten zu überprüfen, einen vollständigen Domain-Scan durchzuführen oder zusammengefasste Berichte in einem übersichtlichen Dashboard einzusehen, testen Sie PowerDMARC kostenlos und richten Sie die Authentifizierung ein, bevor Ihre ersten E-Mails in großem Umfang versendet werden.

Häufig gestellte Fragen

Brauche ich eine E-Mail-Authentifizierung, wenn meine Domain ganz neu ist?

Ja – richten Sie es ein, bevor Sie auch nur eine einzige E-Mail versenden. Eine neue Domain ohne Authentifizierungsdatensätze ist das einfachste Ziel für Spoofing, und frühe DMARC-Berichte können bereits vor dem Versand von E-Mails auf unbefugte Aktivitäten hinweisen.

In welcher Reihenfolge sollten SPF, DKIM und DMARC eingerichtet werden?

Zuerst SPF, dann DKIM, dann DMARC. Da DMARC die Ergebnisse der SPF- und DKIM-Prüfungen auswertet, müssen beide funktionieren, damit die Durchsetzung von DMARC überhaupt etwas bewirkt.

Wie lange dauert die DNS-Verbreitung nach dem Hinzufügen von Authentifizierungsdatensätzen?

Die meisten Einträge werden innerhalb weniger Stunden übertragen. Warten Sie bis zu 48 Stunden und nutzen Sie den DNS-Propagation-Checker, um sicherzustellen, dass die Übertragung abgeschlossen ist, anstatt einfach davon auszugehen.

Welche DMARC-Richtlinie sollte ich für eine neue Domain verwenden?

Beginnen Sie mit „p=none“. Überprüfen Sie die Sammelberichte, um sicherzustellen, dass alle legitimen Absender die Authentifizierung bestehen, und wechseln Sie dann zu „p=quarantine“ und schließlich zu „p=reject“. Diese Vorgehensweise sollte sich nach den Berichtsdaten richten und nicht nach einem festen Zeitplan.

Kann ich DMARC einrichten, bevor ich mit dem Versenden von E-Mails beginne?

Ja, und das lohnt sich. DMARC-Berichte zeigen alle Aktivitäten vor dem Versand auf Ihrer Domain an – einschließlich unbefugter Nutzung, die möglicherweise bereits stattfindet. Nutzen Sie den Domain Analyzer, um vor Ihrem ersten Versand einen vollständigen Scan des Authentifizierungsstatus Ihrer Domain durchzuführen.

Muss ich mich authentifizieren, wenn ich nur E-Mails empfange und keine versende?

SPF und DKIM sind in erster Linie für ausgehende E-Mails relevant, doch ein DMARC-Eintrag wird auch für reine Empfangsdomains empfohlen. Ohne einen solchen Eintrag kann jeder Ihre Domain-Adresse fälschen, um Phishing-E-Mails an Ihre Kontakte, Kunden oder Partner zu versenden.

CTA