E-Mail-Weiterleitung macht SPF kaputt: wie DKIM und ARC helfen

Was das bedeutet

Viele Leute leiten ihre E-Mails automatisch weiter: eine alte Adresse an eine neue, einen Uni- oder Firmen-Alias an Gmail, eine Kontaktadresse an mehrere Teammitglieder.

Dabei wird die E-Mail vom weiterleitenden Server erneut gesendet. Der endgültige Empfänger prüft SPF anhand der IP-Adresse dieses Servers, die nicht in deinem SPF-Eintrag steht. Ergebnis: SPF scheitert, obwohl du alles richtig gemacht hast.

• DKIM übersteht Weiterleitungen meist: Die Signatur steckt in der E-Mail und bleibt gültig, solange der Inhalt nicht verändert wird.
• ARC (Authenticated Received Chain) erlaubt dem weiterleitenden Server, festzuhalten „diese E-Mail hat SPF, DKIM und DMARC bestanden, als sie bei mir ankam“, und diese Aussage zu signieren.

Warum das wichtig ist

DMARC besteht, wenn SPF oder DKIM besteht und zu deiner Domain passt. Verlässt du dich nur auf SPF, scheitert jede weitergeleitete E-Mail an DMARC. Mit p=quarantine oder p=reject landen diese E-Mails im Spam oder werden abgelehnt, und du erfährst nie davon.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite (/) deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Prüfe, dass DKIM besteht und von deiner eigenen Domain signiert ist (d=yourdomain.com), nicht nur von deinem Anbieter. Genau das schützt weitergeleitete E-Mails.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine SPF- und DMARC-Einträge zu prüfen.

In deinen DMARC-Berichten tauchen Weiterleitungen als Quellen auf, die du nicht kennst (Uni-Server, Postfach-Anbieter), bei denen SPF scheitert, DKIM aber besteht.

So behebst du es

Wenn du der Absender bist

1. Signiere jede E-Mail mit DKIM für deine eigene Domain. Richte das bei deinem Postfach-Anbieter und in jedem Tool ein, das für dich sendet. Das ist die eigentliche Lösung.
2. Vermeide Änderungen nach dem Signieren. Fußzeilen, Tracking oder Hinweise, die ein Gateway nach der Signatur hinzufügt, können DKIM kaputtmachen. Füge sie vor dem Signieren hinzu oder signiere erst im letzten Schritt.
3. Schwäche SPF nicht ab, um es zu „reparieren“. Die IP-Adressen von Weiterleitungsservern hinzuzufügen oder +all zu nutzen, ist nie die Lösung.

Wenn du die Weiterleitung betreibst

• Bevorzuge Weiterleitungsdienste, die ARC oder SRS (Sender Rewriting Scheme) unterstützen. SRS schreibt den Envelope-Absender auf die Domain des Weiterleitenden um, sodass SPF dort besteht; Gmail, Microsoft 365 und die meisten großen Anbieter können das.
• Statt alles weiterzuleiten, überleg dir, die E-Mails mit einer App oder per IMAP abzuholen. Dabei wird die Nachricht nicht erneut gesendet.
• Leite keinen Spam weiter: Das schadet der Reputation des weiterleitenden Servers.

Mailinglisten

Listen, die dem Betreff ein Kürzel oder eine Fußzeile hinzufügen, machen DKIM ebenfalls kaputt. Gute Listen-Software schreibt die Absenderadresse um (zum Beispiel „John via List“) oder fügt ARC hinzu. Von deiner Seite aus kannst du das nicht steuern. Ein Grund mehr, überall sonst ausgerichtetes DKIM zu haben.

Prüfe, ob es behoben ist

Sende über die Startseite eine neue Test-E-Mail und bestätige, dass DKIM mit deiner Domain besteht. Mit der DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard sollten weitergeleitete Quellen dann bestandenes DKIM zeigen, auch wenn SPF scheitert. Das ist normal und in Ordnung.