DMARC scheitert: SPF und DKIM passen nicht zu deiner Domain

Was das bedeutet

DMARC fragt nicht nur „Hat SPF oder DKIM bestanden?“. Es fragt „Haben sie für dieselbe Domain bestanden wie die in der Absenderadresse (From)?“. Diese Übereinstimmung heißt Ausrichtung (Alignment).

• SPF prüft den versteckten Envelope-Absender (Return-Path). Newsletter- und CRM-Tools nutzen dort oft ihre eigene Domain, etwa bounces.newsletter-example.com.
• DKIM prüft die Domain in der Signatur (d=). Wenn du DKIM im Tool nicht für deine eigene Domain eingerichtet hast, signiert es mit seiner eigenen Domain.

So können SPF und DKIM beide bestehen, für die Domain des Anbieters, während DMARC für deine scheitert.

Warum das wichtig ist

Nach einem DMARC-Fehler handeln die Empfänger. Mit p=quarantine landet deine E-Mail im Spam, mit p=reject wird sie abgelehnt. Selbst mit p=none erwarten Gmail und Yahoo von Massenversendern, dass sie DMARC bestehen.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Sieh dir die Zeilen SPF, DKIM und DMARC zusammen an: Sie zeigen, welche Domain jede Prüfung genutzt hat und ob die DKIM-Signatur von deiner Domain oder von deinem Anbieter kommt.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

So behebst du es

Du brauchst nur eine ausgerichtete Prüfung, um DMARC zu bestehen. DKIM ist die beste Wahl, weil es auch Weiterleitungen übersteht.

Option 1: DKIM für deine eigene Domain einrichten (empfohlen)

1. Such im Versand-Tool nach „Domain-Authentifizierung“ oder „DKIM“.
2. Füge die Einträge, die es dir gibt, in dein DNS ein (meist TXT oder CNAME unter ._domainkey).
3. Bestätige im Tool. Die Signaturen nutzen dann d=yourdomain.com.

Option 2: einen eigenen Return-Path nutzen

Viele E-Mail-Dienste erlauben dir, eine Subdomain von dir als Envelope-Absender zu nutzen, oft „Custom Return Path“ oder „Custom Bounce Domain“ genannt. Du fügst einen CNAME hinzu, etwa:

bounces.yourdomain.com  CNAME  (value given by your email service)

SPF wird dann auf deiner Subdomain geprüft, die zu deiner Domain passt.

Option 3: dein eigener Server

Kommt die E-Mail von deinem eigenen Server, sorge dafür, dass der Envelope-Absender deine Domain nutzt und die Server-IP in deinem SPF-Eintrag steht, und signiere mit DKIM für deine Domain.

Strikte und lockere Ausrichtung

Standardmäßig nutzt DMARC eine lockere Ausrichtung: mail.yourdomain.com passt zu yourdomain.com. Enthält dein Eintrag adkim=s oder aspf=s (strikt), müssen die Domains genau übereinstimmen. Wenn du keinen guten Grund dafür hast, entferne diese Tags:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Weiterleitungen und Mailinglisten

Wird eine E-Mail weitergeleitet, geht SPF kaputt, weil der weiterleitende Server nicht in deiner Liste steht. Mailinglisten, die den Inhalt verändern, machen auch DKIM kaputt. Auf deiner Seite kannst du das nicht ganz beheben. Genau deshalb ist ausgerichtetes DKIM so wichtig.

Prüfe, ob es behoben ist

Sende über die Startseite eine neue Test-E-Mail von jedem Tool, das du nutzt. Die DMARC-Zeile sollte bestanden zeigen. Mit der DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard kannst du außerdem die täglichen Berichte verfolgen und jede Quelle sehen, die noch scheitert.