SPF, DKIM oder DMARC schlägt fehl? So lesen Sie das Ergebnis und beheben den Fehler

Die Kurzfassung

1. Authentifizierungsergebnisse finden. Öffnen Sie eine von Ihnen gesendete Nachricht und rufen Sie den Originalquelltext oder die vollständigen Header auf.
2. Was die SPF-Ergebnisse bedeuten. Pass bedeutet, dass die sendende IP eingetragen ist.
3. Was die DKIM-Ergebnisse bedeuten. Pass bedeutet, dass die Signatur zum veröffentlichten Schlüssel passt.
4. Was die DMARC-Ergebnisse bedeuten. DMARC besteht, wenn SPF oder DKIM besteht und die bestandene Domain mit der From-Domain übereinstimmt.
5. Lösung: Kein SPF-Eintrag gefunden. Das heißt, die Domain hat keinen SPF-TXT-Eintrag, oder die Abfrage gilt einem anderen Namen als dem, den Sie veröffentlicht haben.
6. Lösung: DKIM-Schlüssel nicht gefunden oder ungültig. Prüfen Sie den Selektor im DKIM-Signature-Header der Nachricht (der s=-Wert) und stellen Sie sicher, dass unter selector._domainkey.yourdomain.com ein TXT-Eintrag existiert.

Authentifizierungsergebnisse finden

Öffnen Sie eine von Ihnen gesendete Nachricht und rufen Sie den Originalquelltext oder die vollständigen Header auf. Suchen Sie nach einem Header namens Authentication-Results, den der empfangende Server hinzufügt. Er zeigt zu jeder Prüfung ein Ergebnis, etwa spf=pass, dkim=pass und dmarc=pass, sowie die Domain, die jede Prüfung verwendet hat.

Unser kostenloser E-Mail-Header-Analyzer liest diese Header für Sie aus, falls der Rohtext schwer zu verstehen ist.

Was die SPF-Ergebnisse bedeuten

Pass bedeutet, dass die sendende IP eingetragen ist. Fail bedeutet, dass sie nicht eingetragen ist und der Eintrag die Abweisung vorsieht. Softfail bedeutet, dass sie nicht eingetragen ist und der Eintrag empfiehlt, die Nachricht mit Misstrauen zu behandeln. Neutral und none bedeuten, dass der Eintrag keine Aussage trifft oder nicht existiert. Temperror ist ein vorübergehendes DNS-Problem, und permerror bedeutet, dass der Eintrag fehlerhaft ist, zum Beispiel durch zwei Einträge oder zu viele Abfragen.

Bei permerror korrigieren Sie den Eintrag selbst. Sehen Sie softfail oder fail bei einem Dienst, den Sie nutzen, fehlt dieser Dienst in Ihrem Eintrag.

Was die DKIM-Ergebnisse bedeuten

Pass bedeutet, dass die Signatur zum veröffentlichten Schlüssel passt. Fail bedeutet, dass sie nicht passt. Häufige Ursachen sind eine nach dem Signieren veränderte Nachricht, etwa durch einen Footer, den ein anderes System anhängt, ein falsch kopierter DNS-Eintrag oder ein Selektor, der nicht zu dem passt, den der Absender verwendet hat.

None bedeutet, dass die Nachricht gar nicht signiert wurde. Prüfen Sie, ob DKIM für den sendenden Dienst aktiviert ist und ob Ihr DNS-Eintrag genau unter dem angezeigten Namen veröffentlicht ist.

Was die DMARC-Ergebnisse bedeuten

DMARC besteht, wenn SPF oder DKIM besteht und die bestandene Domain mit der From-Domain übereinstimmt. Sie können also spf=pass und dkim=pass sehen und trotzdem dmarc=fail erhalten, weil die bestandenen Domains dem Dienst gehören und nicht Ihnen.

Das ist der verwirrendste Fall. Die Lösung besteht darin, Ihre eigene Domain beim sendenden Dienst zu authentifizieren, sodass dessen DKIM-Signatur und idealerweise auch der Return-Path Ihre Domain verwenden.

Lösung: Kein SPF-Eintrag gefunden

Das heißt, die Domain hat keinen SPF-TXT-Eintrag, oder die Abfrage gilt einem anderen Namen als dem, den Sie veröffentlicht haben. Prüfen Sie, ob der Eintrag auf der Hauptebene der exakten Domain aus dem Return-Path liegt und Sie ihn nicht versehentlich auf einer Subdomain angelegt haben.

Bedenken Sie, dass Mails auch von einer Subdomain kommen können, die dann einen eigenen Eintrag braucht. In unserem SPF-Leitfaden erfahren Sie, wie Sie einen erstellen.

Lösung: DKIM-Schlüssel nicht gefunden oder ungültig

Prüfen Sie den Selektor im DKIM-Signature-Header der Nachricht (der s=-Wert) und stellen Sie sicher, dass unter selector._domainkey.yourdomain.com ein TXT-Eintrag existiert. Lange Schlüssel müssen als ein einziger Wert eingefügt werden. Manche DNS-Oberflächen teilen oder kürzen sie, prüfen Sie den Eintrag daher nach der Veröffentlichung per Abfrage.

Wenn Sie kürzlich den Anbieter gewechselt oder Schlüssel rotiert haben, wird möglicherweise noch ein alter Selektor verwendet. Veröffentlichen Sie die neuen Einträge und warten Sie, bis sich das DNS verteilt hat, bevor Sie das Signieren aktivieren.

Lösung: DMARC schlägt fehl, obwohl SPF und DKIM bestehen

Vergleichen Sie die Domain im From-Header mit den Domains, die bestanden haben. Weichen sie voneinander ab, schlägt das Alignment fehl. Richten Sie in Ihrem Sendedienst eine eigene Domain ein, damit DKIM mit Ihrer Domain signiert.

Wenn Sie nicht sicher sind, welche Domains beteiligt sind, listen die aggregierten DMARC-Berichte sie nach Quelle auf und zeigen genau, welche Absender nicht aligned sind.

Lösung: Alles besteht, aber die Mail landet trotzdem im Spam

Authentifizierung ist eine Voraussetzung, keine Garantie. Wenn alles besteht und Mails dennoch im Spam landen, liegt die Ursache meist bei Reputation, Inhalt oder Liste: hohe Beschwerderaten, gekaufte Adressen, ein plötzlicher Anstieg des Volumens oder eine spammige Betreffzeile.

Prüfen Sie Ihre Beschwerde- und Bounce-Raten, kontrollieren Sie, an wen Sie senden, und drosseln Sie das Tempo, wenn Sie das Volumen kürzlich erhöht haben. Unsere Zustellbarkeits-Leitfäden behandeln diese Schritte.

Eine ruhige Reihenfolge

Beginnen Sie mit SPF, weil es sich am schnellsten beheben lässt. Prüfen Sie dann DKIM für jeden Absender. Danach widmen Sie sich dem DMARC-Alignment. Ändern Sie jeweils nur eine Sache und testen Sie erneut, damit Sie wissen, welche Änderung gewirkt hat.

Wenn Sie nicht weiterkommen, senden Sie uns die Message-Header und Ihren Domainnamen. Wir helfen Ihnen herauszufinden, welche Prüfung fehlschlägt und warum.

Ein Beispiel-Header

Eine typische Ergebniszeile lautet: Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bounce.yourdomain.com; dkim=pass header.d=yourdomain.com; dmarc=pass header.from=yourdomain.com. Jeder Teil nennt die Domain, die geprüft wurde.

Lesen Sie ihn von rechts. Die header.from-Domain sieht der Empfänger. Die Domains dkim header.d und spf smtp.mailfrom hat die jeweilige Prüfung verwendet. Weichen sie von header.from ab und sind keine Subdomains davon, ist ein Alignment-Fehler zu erwarten.

Weiterführende Literatur und Quellen

• RFC 7208: Sender Policy Framework (SPF)
• RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
• RFC 7489: DMARC

In MigoSMTP umsetzen: Hilfeartikel

• E-Mail-Header lesen, um die Authentifizierung zu debuggen
• SPF permerror und das 10-Abfragen-Limit beheben
• Eigene Return-Path- und Tracking-Domains

Verwandte Leitfäden und Tools

• E-Mail-Header-Analyzer: Authentifizierungsergebnisse in verständlicher Sprache lesen.
• So erstellen Sie einen SPF-Eintrag: Syntax, Beispiele und häufige Fehler.
• So richten Sie DMARC ein: Mit p=none starten und sicher zu reject wechseln.