Anleitung zur Einrichtung von SPF, DKIM und DMARC für Twikey

Wenn Sie Zahlungserinnerungen, Mandatsbestätigungen oder Rechnungs-E-Mails über Twikey versenden und Ihre Absenderdomain noch nicht authentifiziert haben, führt Sie diese Anleitung durch den gesamten Prozess.

Mit Twikey können Sie diese E-Mails über Ihre eigene Domain statt über eine generische Twikey-Adresse versenden, doch dieser Komfort funktioniert nur, wenn die empfangenden Mailserver dieser Adresse vertrauen. SPF, DKIM und DMARC sind die drei Einträge , die dieses Vertrauen schaffen. Zusammen bestätigen sie, dass Twikey in Ihrem Namen E-Mails versenden darf, weisen nach, dass der Inhalt der Nachricht während der Übertragung nicht verändert wurde, und geben den E-Mail-Anbietern Anweisungen, wie sie mit Nachrichten verfahren sollen, die beide Prüfungen nicht bestehen.

Warum sollten Sie Ihre Domain bei Twikey authentifizieren?

Twikey ist eine Plattform für wiederkehrende Abrechnungen und digitale Einzugsermächtigungen, die von Unternehmen genutzt wird, um Zahlungen einzuziehen, SEPA- und andere Einzugsermächtigungen zu verwalten sowie Transaktionskorrespondenz wie Zahlungslinks und Rechnungen an ihre Kunden zu versenden. Da diese E-Mails häufig finanzielle Aufforderungen enthalten, sind sie ein naheliegendes Ziel für Spoofing, wodurch die Authentifizierung weniger eine technische Formalität als vielmehr eine Maßnahme zur Betrugsprävention darstellt.

Die korrekte Einrichtung von SPF, DKIM und DMARC bietet Ihnen einige konkrete Vorteile:

• Geringeres Spoofing-Risiko: Ohne einen SPF-Eintrag, der Twikey als zugelassenen Absender ausweist, kann ein Dritter problemlos E-Mails fälschen, die den Anschein erwecken, als stammten sie von Ihrer Rechnungsdomain.
• Bessere Platzierung im Posteingang: E-Mail-Anbieter wie Gmail und Outlook stufen nicht authentifizierte Massen- und Transaktions-E-Mails zunehmend als verdächtig ein, wodurch diese in den Spam-Ordner verschoben werden.
• Einblick in Ihren E-Mail-Verkehr: Ein ordnungsgemäß konfigurierter DMARC-Eintrag mit aktivierter Berichterstellung zeigt Ihnen, wer E-Mails unter Verwendung Ihrer Domain versendet – einschließlich Dienste, die Sie möglicherweise vergessen haben.
• Eine Grundlage für strengere Richtlinien: Sobald sich Ihre legitimen Absender einwandfrei authentifizieren, können Sie DMARC von der Überwachung auf die Durchsetzung umstellen und gefälschte E-Mails tatsächlich blockieren, bevor sie den Posteingang erreichen.

Auswahl der Versandart

Twikey bietet zwei Möglichkeiten zum Versenden von E-Mails an, und die Einrichtungsschritte unterscheiden sich je nach gewählter Option geringfügig.

1. Twikey-SMTP-Server

Twikey übernimmt den Versand für Sie. E-Mails werden in eine Versandwarteschlange gestellt, sodass es in Zeiten mit hohem Aufkommen – beispielsweise zu Monatsbeginn, wenn das Rechnungsvolumen stark ansteigt – zu Verzögerungen von einigen Minuten beim Versand kommen kann.

2. Benutzerdefinierter SMTP-Server

Sie binden Ihren eigenen Anbieter wie beispielsweise SendGrid oder Combell ein, wodurch Sie die volle Kontrolle über den Versand haben und die Warteschlange von Twikey vollständig umgehen können. Bitte beachten Sie, dass Gmail und Office 365 nicht als benutzerdefinierte SMTP-Anbieter unterstützt werden, da bei beiden die Absenderadresse mit dem Benutzernamen des Kontos übereinstimmen muss und beide das ausgehende E-Mail-Volumen drosseln.

Unabhängig davon, für welche Option Sie sich entscheiden, gilt die nachstehende SPF- und DKIM-Konfiguration in gleicher Weise, da beide auf DNS-Einträgen beruhen und nicht auf der Versandmethode selbst.

Schritt 1: Konfigurieren Sie Ihren SPF-Eintrag

Der SPF teilt den empfangenden Mail-Servern mit, welche Server berechtigt sind, im Namen Ihrer Domain E-Mails zu versenden. Wenn eine Nachricht eintrifft, die angeblich von Ihrer Domain stammt, aber von einem Server gesendet wurde, der nicht in Ihrem SPF-Eintrag aufgeführt ist, hat der empfangende Server Grund, diese zu kennzeichnen oder abzulehnen.

Wenn Sie bereits über einen SPF-Eintrag verfügen, fügen Sie diesem den „Include“-Mechanismus von Twikey hinzu, anstatt einen zweiten Eintrag anzulegen. Eine Domain sollte immer nur einen SPF-TXT-Eintrag haben; mehrere Einträge führen zu Validierungsfehlern.

Wenn Ihr aktueller Datensatz beispielsweise wie folgt lautet:

v=spf1 include:_spf.google.com ~all

Ändere es in:

v=spf1 include:_spf.google.com include:_spf.twikey.com ~all

Falls Sie noch keinen SPF-Eintrag haben, fügen Sie einen neuen TXT-Eintrag hinzu:

Ein Detail, auf das Sie Ihr IT-Team hinweisen sollten: Twikey wertet verschachtelte Einbindungen bei seiner eigenen Validierungsprüfung nicht aus. Sollte Ihre SPF-Konfiguration also bereits eine komplexe Kette von Einbindungen enthalten, sollten Sie nach dem Hinzufügen dieser Einbindung sorgfältig testen.

Falls Sie an die Obergrenze für DNS-Abfragen stoßen: Die zugrunde liegende SPF-Spezifikation begrenzt die Anzahl der Mechanismen, die eine DNS-Abfrage auslösen, auf zehn pro Eintrag, wobei jede „include“-Anweisung in der Regel als eine zählt. Wenn Sie sich dieser Obergrenze nähern, unterstützt Twikey zwei alternative Mechanismen, mit denen sich eine zusätzliche Abfrage vermeiden lässt:

• v=spf1 a:mail.twikey.com ~all, was direkt auf den E-Mail-Server von Twikey verweist und sich automatisch anpasst, falls sich die zugrunde liegende IP-Adresse ändert.
• v=spf1 ip4:52.29.184.146 ~all, wodurch die IP-Adresse von Twikey direkt autorisiert wird. Diese IP-Adresse ist derzeit statisch, Twikey weist jedoch darauf hin, dass sie sich ändern kann; daher ist der a:-Mechanismus langfristig die sicherere Wahl.

Falls Ihr SPF-Eintrag bei mehreren Diensten bereits den Grenzwert überschreitet, melden Sie sich noch heute für unsere Hosted-SPF- Lösung an, um SPF-Fehler und -Einschränkungen dynamisch zu beheben.

Schritt 2: DKIM konfigurieren

DKIM versieht ausgehende Nachrichten mit einer digitalen Signatur, wodurch der empfangende Server überprüfen kann, ob die E-Mail tatsächlich aus der Infrastruktur von Twikey stammt und unterwegs nicht verändert wurde. Twikey schreibt dies nicht zwingend vor, doch es ist der wichtigste Faktor für die Zustellbarkeit, da ein erfolgreicher DKIM-Check in der Regel die DMARC-Konformität gewährleistet, selbst wenn die SPF-Übereinstimmung nicht perfekt ist.

Die DKIM-Konfiguration von Twikey verwendet zwei CNAME-Einträge statt nur einem, da sie die Produktions- und die Testumgebung voneinander trennt:

Der App-Selektor deckt den Produktionsversand ab, während „Test“ die Beta-Umgebung von Twikey abdeckt. Beide müssen vorhanden sein, damit DKIM korrekt validiert werden kann, auch wenn Sie die Testumgebung noch nicht aktiv nutzen.

Schritt 3: Konfigurieren Sie die Integration in Twikey

Sobald die DNS-Einträge aktiv sind, gehen Sie in Ihrem Twikey-Dashboard zu „Einstellungen“ > „Integrationen“ > „E-Mail“ und wählen Sie Ihre Versandmethode aus.

For either method, enter a FROM address with a friendly display name, for example Twikey Support <[email protected]>, so the recipient sees a recognizable name rather than a raw email address. If you added the DKIM records in Step 2, enable the DKIM checkbox before running the test.

Für einen benutzerdefinierten SMTP-Server benötigen Sie zusätzlich den Host, den Port und die Anmeldedaten Ihres Anbieters. Wenn Sie das Feld für den Port leer lassen, verwendet Twikey standardmäßig Port 25 oder, falls SSL aktiviert ist, Port 587.

Klicken Sie auf „Test“, überprüfen Sie, ob die Test-E-Mail angekommen ist, und speichern Sie anschließend die Einstellungen. Wenn der Test fehlschlägt, liegt fast immer einer der folgenden drei Gründe vor: Die DNS-Änderungen sind noch nicht vollständig übernommen worden, in einem der Einträge befindet sich ein Tippfehler oder die eingegebene Domain stimmt nicht mit den Einträgen im DNS überein. Mit einem DNS-Propagation-Checker können Sie überprüfen, ob die Einträge bereits aktiv sind.

Schritt 4: DMARC einrichten

Dies ist der Teil, der in der Dokumentation von Twikey nicht behandelt wird, da DMARC auf Domain-Ebene und nicht in den Einstellungen einer einzelnen Versandplattform angesiedelt ist. Es funktioniert zusammen mit den SPF- und DKIM-Einträgen, die Sie gerade konfiguriert haben, wird jedoch einmalig für die gesamte Domain veröffentlicht und gilt für jeden Dienst, der E-Mails in Ihrem Namen versendet – nicht nur für Twikey.

Anstatt die Syntax zu erraten, nutzen Sie den kostenlosen DMARC-Record-Generator von PowerDMARC, um den Record zu erstellen:

1. Stellen Sie die Richtlinie auf „p=none“ ein, wenn Sie noch keine Erfahrung mit der E-Mail-Authentifizierung haben. Dadurch werden die empfangenden Server angewiesen, E-Mails wie gewohnt zuzustellen, während weiterhin Berichte darüber erstellt werden, welche E-Mails die Überprüfung bestehen und welche nicht – genau das, was Sie benötigen, bevor Sie sich vergewissert haben, dass sich alle legitimen Absender einwandfrei authentifizieren. Achten Sie darauf, Ihre Richtlinie auf „p=reject/quarantine“ zu aktualisieren, sobald Sie mit Ihrer Konfiguration vertraut sind.
2. Tragen Sie im Feld „RUA“ eine Meldeadresse ein, damit die Sammelberichte an einem Ort eingehen, den Sie auch tatsächlich überprüfen.
3. Kopieren Sie den generierten TXT-Wert und fügen Sie ihn als neuen DNS-Eintrag hinzu:

Sobald Sie die Berichte der letzten Wochen überprüft und sich vergewissert haben, dass Twikey und alle anderen Absender ordnungsgemäß authentifiziert werden, können Sie die Richtlinie in Richtung „p=quarantine“ und schließlich „p=reject“ anpassen, um DMARC vollständig durchzusetzen. Wenn Sie ohne diese Überwachungsphase direkt auf „reject“ umstellen, besteht die Gefahr, dass Ihre eigenen Rechnungen und Zahlungserinnerungen blockiert werden, was dem Zweck zuwiderläuft.

Weitere Informationen finden Sie in der offiziellen Anleitung von Twikey zur Einrichtung der E-Mail-Authentifizierung.

Überprüfung Ihrer Konfiguration

Neben dem in Twikey integrierten Test lohnt es sich, die DNS-Seite separat zu überprüfen:

• Führen Sie eine SPF-Prüfung für Ihre Domain durch und vergewissern Sie sich, dass _spf.twikey.com (oder der von Ihnen gewählte alternative Mechanismus) im Ergebnis erscheint.

• Überprüfen Sie beide DKIM-Selektoren – „app“ und „test“ – mithilfe eines DKIM-Lookup-Tools. Beide sollten einen gültigen Schlüssel ohne Fehler zurückgeben.

• Überprüfen Sie mit unserem DMARC-Record-Checker, ob Ihr DMARC-Eintrag veröffentlicht und lesbar ist, und behalten Sie Ihre ersten aggregierten Berichte im Auge, um etwaige übersehene Absender zu erkennen.

Sollte eine dieser Abfragen unmittelbar nach der Veröffentlichung keine Ergebnisse liefern, warten Sie einen Tag ab. Die DNS-Propagierung für neue Einträge kann je nach Registrar und den bestehenden TTL-Einstellungen zwischen wenigen Minuten und bis zu 48 Stunden dauern.

Abschließende Worte

SPF und DKIM sorgen dafür, dass Ihre E-Mails ihr Ziel erreichen, und DMARC teilt den empfangenden Servern mit, wie sie mit Nachrichten verfahren sollen, die dort nichts zu suchen haben. Die Konfiguration von Twikey deckt die ersten beiden Aspekte gut ab, doch die Einrichtung und Überwachung des DMARC-Eintrags auf Domain-Ebene liegt in Ihrer Verantwortung – und angesichts der großen Menge an Finanz- und behördlichen E-Mails, die über eine solche Plattform laufen, lohnt es sich, dies sorgfältig zu erledigen.

Wenn Sie Unterstützung beim Übergang von einer rein überwachenden DMARC-Richtlinie zur vollständigen Durchsetzung benötigen oder einen kontinuierlichen Überblick darüber erhalten möchten, wer E-Mails im Namen Ihrer Domain versendet, wenden Sie sich an das PowerDMARC-Team oder vereinbaren Sie eine Demo, um die Plattform in Aktion zu erleben.

• Über
• Neueste Beiträge

Yunes Tarada

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Yunes ist Operations Team Lead bei PowerDMARC und verfügt über Expertenwissen im Bereich E-Mail-Authentifizierung und -Sicherheit. Yunes ist ein Microsoft-zertifizierter Azure Administrator Associate mit Zertifizierungen in CompTIA A+ und vielen mehr.

Neueste Beiträge von Yunes Tarada (alle anzeigen)

• Anleitung zur Einrichtung von SPF, DKIM und DMARC in Twikey – 11. August 2026
• Was versteht man unter „Whaling“ in der Cybersicherheit? – 7. August 2026
• Was ist ein Spamfilter und wie schützt er geschäftliche E-Mails? – 6. August 2026