E-Mail-Authentifizierung: SPF, DKIM und DMARC richtig einrichten

SPF, DKIM und DMARC sind seit den Anforderungen von Gmail und Yahoo aus dem Februar 2024 für jeden, der regelmäßig E-Mails versendet, Pflicht. Ohne alle drei DNS-Einträge landen Nachrichten im Spam oder werden permanent zurückgewiesen. In ActiveCampaign richtest du sie über eine Sending Domain ein – die notwendigen Records generiert das System dabei größtenteils automatisch.

Das Wichtigste in Kürze

• SPF, DKIM und DMARC sind für Bulk-Sender (ab 5.000 Mails täglich an Gmail oder Yahoo) seit Februar 2024 verpflichtend; seit Mai 2026 lehnen Google und Microsoft nicht konforme Mails mit einem permanenten 550-Fehler ab.
• In ActiveCampaign legst du eine Sending Domain an – das System stellt automatisch CNAME-Records für DKIM und SPF bereit, die du bei deinem Domain-Provider einträgst.
• DMARC startest du mit der Policy p=none (nur Monitoring), verschärfst nach zwei bis vier Wochen auf p=quarantine und erst dann – wenn alle Versandquellen sauber authentifizieren – auf p=reject.
• Pro Domain darf es immer nur einen SPF-TXT-Record geben; alle Versandquellen werden in einem einzigen Record zusammengeführt.
• Nach dem Eintragen der Records dauert die DNS-Propagation bis zu 48 Stunden; ActiveCampaign zeigt den Verifizierungsstatus direkt im Dashboard an.

Was SPF, DKIM und DMARC leisten – und wo sich die drei unterscheiden

Die drei Protokolle arbeiten zusammen, adressieren aber verschiedene Angriffspunkte. Wer nur eines oder zwei davon einsetzt, schließt die Sicherheitslücken nicht vollständig – und besteht die Überprüfung durch Gmail und Yahoo nicht. Es lohnt sich, die genaue Aufgabe jedes Protokolls zu kennen, bevor du mit dem Setup anfängst.

SPF autorisiert, welcher Server senden darf

SPF (Sender Policy Framework) legt in einem TXT-Record fest, welche Server im Namen deiner Domain E-Mails verschicken dürfen. Der empfangende Mailserver vergleicht die IP-Adresse des sendenden Servers mit dieser Liste, bevor er die Mail weiterverarbeitet. Ist der sendende Server nicht aufgeführt, schlägt der SPF-Check fehl.

Ein typischer SPF-Record für ActiveCampaign sieht so aus:

v=spf1 include:emsd1.com ~all

Das Präfix v=spf1 kennzeichnet den Record als SPF-Eintrag der Version 1. include:emsd1.com autorisiert die Versandinfrastruktur von ActiveCampaign – diese Domain ist der Envelope-Sender, den ActiveCampaign intern verwendet. Das ~all am Ende bedeutet SoftFail: Mails von nicht autorisierten Servern werden als verdächtig markiert, aber nicht sofort abgelehnt. Die strengere Variante -all (HardFail) lehnt nicht autorisierte Mails direkt ab – das setzt du besser erst ein, wenn alle Versandquellen vollständig im Record eingetragen sind.

SPF hat eine strukturelle Schwäche: Es prüft nur die Envelope-From-Adresse – den technischen Absenderweg im SMTP-Protokoll – nicht die sichtbare From-Adresse, die im E-Mail-Client erscheint. Spoofing der sichtbaren Absenderadresse können SPF-Records allein nicht verhindern. Deshalb ist DKIM unerlässlich.

DKIM beweist die Unverändertheit einer Nachricht

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden Mail eine kryptografische Signatur im Header hinzu. Der empfangende Server holt sich den öffentlichen Schlüssel deiner Domain aus der DNS-Zone und prüft, ob die Signatur mit dem Inhalt der Mail übereinstimmt. Stimmt sie, ist nachgewiesen, dass die Mail tatsächlich von dir stammt und auf dem Übertragungsweg nicht manipuliert wurde.

In ActiveCampaign liegen die privaten Schlüssel auf den Versandservern; du trägst nur die öffentlichen Schlüssel als CNAME-Records in deiner DNS-Zone ein. Dieses CNAME-Modell hat zwei Vorteile: Schlüssel-Rotation geschieht im Hintergrund, ohne dass du DNS-Einträge manuell aktualisieren musst, und der Verifizierungsstatus im Dashboard macht Konfigurationsfehler sofort sichtbar.

Ohne DKIM erscheint in Gmail und ähnlichen Clients der Hinweis "via activecampaign.com" neben dem Absendernamen. Das wirkt unprofessionell. Mit korrekt eingerichtetem DKIM verschwindet dieser Hinweis, weil die Mail als authentisch von deiner eigenen Domain signiert gilt.

DMARC schließt die Lücke zwischen SPF und DKIM

DMARC (Domain-based Message Authentication, Reporting and Conformance) baut auf den beiden anderen auf und löst das zentrale Problem: Es erzwingt das sogenannte Alignment – die sichtbare From-Adresse muss mit der durch SPF oder DKIM authentifizierten Domain übereinstimmen. Ein SPF-Check, der technisch besteht, aber die falsche Domain authentifiziert, reicht damit nicht aus.

DMARC definiert außerdem, was mit Mails passiert, die den Test nicht bestehen: zustellen (none), in den Spam-Ordner verschieben (quarantine) oder ablehnen (reject). Und es sendet dir Aggregate Reports – XML-Dateien, die zeigen, welche Server in deinem Namen Mails verschicken, wie viele davon die Authentifizierung bestehen und aus welchen Ländern die Mails stammen. Diese Reports sind die wichtigste Informationsquelle für das schrittweise Verschärfen der Policy.

Welche Voraussetzungen du vor dem Setup klären musst

Drei Dinge müssen gegeben sein, bevor du mit der Einrichtung anfängst.

• Eigene Domain mit DNS-Schreibzugriff: Du kannst SPF, DKIM und DMARC nicht für Freemail-Adressen (gmail.com, web.de, gmx.de) einrichten. Du brauchst eine Domain, deren DNS-Zone du bearbeiten kannst – also Zugang zum Panel deines Domain-Providers (Strato, IONOS, Cloudflare, Hetzner o.ä.).
• MX-Record gesetzt: Die Domain muss E-Mail-fähig sein, das heißt es muss ein MX-Record existieren, der eingehende Mails annimmt. Wenn du bereits Mails über diese Domain empfangen kannst, ist der MX-Record korrekt gesetzt.
• SPF-Lookup-Limit im Blick: Ein SPF-Record darf maximal zehn DNS-Lookups auslösen. Jedes include:-Statement zählt als ein Lookup. Wer mehrere E-Mail-Dienste parallel betreibt – Newsletter, transaktionale Mails, Support-System – muss die Lookups zusammenzählen. Tools wie mxtoolbox.com zeigen die aktuelle Anzahl an und warnen, wenn das Limit überschritten wird.

Wenn mehrere Teams oder Systeme dieselbe Domain für den E-Mail-Versand nutzen, empfiehlt es sich, alle Versandquellen vor der DMARC-Einrichtung zu inventarisieren. Typische übersehene Quellen sind transaktionale Systeme (Webshop, CRM), Support-Plattformen (Zendesk, Freshdesk) und interne E-Mail-Server. Jede Quelle, die während der DMARC-Monitoring-Phase nicht in den Reports auftaucht, die aber tatsächlich Mails versendet, riskiert nach dem Wechsel auf p=reject geblockt zu werden.

So richtest du die Sending Domain in ActiveCampaign ein

Das Ziel dieser Schritte: deine Domain ist in ActiveCampaign als Sending Domain registriert und alle drei Authentifizierungsprotokolle sind aktiv.

1. Melde dich in ActiveCampaign an und navigiere zu Einstellungen > Erweitert > Sending Domain.
2. Klicke auf Domain hinzufügen und gib die Domain ein, von der du E-Mails verschicken möchtest.
3. Wähle Configure Domain (automatisches Setup, empfohlen) oder Set up manually, wenn du die Records selbst steuern möchtest.
4. ActiveCampaign zeigt eine Liste der notwendigen DNS-Records: mehrere CNAME-Records für DKIM, einen CNAME für die Mailserver-Domain (der den SPF-Eintrag einschließt) und einen TXT-Record für DMARC.
5. Öffne die DNS-Verwaltung deines Domain-Providers und trage alle Records exakt so ein, wie ActiveCampaign sie anzeigt. Achte darauf, ob der Provider den Domain-Namen automatisch an den Hostnamen anhängt – das führt sonst zu Doppeleinträgen und fehlschlagender Verifizierung.
6. Kehre zum ActiveCampaign-Dashboard zurück und klicke auf Verify. Das System prüft die Einträge und zeigt einen grünen Status, sobald alle Records korrekt erkannt wurden.
7. Prüfe, ob ActiveCampaign den DMARC-Record automatisch angelegt hat. Falls nicht, lege ihn manuell an: Name _dmarc, Typ TXT, Inhalt v=DMARC1; p=none; rua=mailto:[email protected]; pct=100 – ersetze die Adresse durch eine, an die du die Aggregate Reports empfangen möchtest.

Wenn Records nach 24 Stunden noch nicht erkannt werden, prüfe zunächst den Hostnamen im DNS. Viele Provider hängen die Domain automatisch an den Hostnamen an. Wenn ActiveCampaign dkim._domainkey als Hostnamen vorgibt und der Provider daraus dkim._domainkey.deinedomain.de.deinedomain.de macht, schlägt die Verifizierung fehl. Ein externer DNS-Checker wie mxtoolbox.com zeigt den tatsächlich gespeicherten Eintrag und hilft, den Fehler einzugrenzen.

Den DMARC-Stufenplan umsetzen

Mit p=none sammelst du Informationen, ohne die Zustellung zu beeinflussen. Das ist der richtige Startpunkt – frühzeitig auf p=reject zu wechseln, ohne alle Versandquellen zu kennen, blockiert legitime E-Mails. Dieser Fehler passiert häufig, wenn jemand bei einem Domain-Provider-Wechsel die alten DNS-Einträge verliert und die neue Konfiguration zu schnell verschärft.

Lies die Aggregate Reports während der Monitoring-Phase sorgfältig: Sie zeigen alle sendenden IP-Adressen, die in deinem Namen Mails verschicken. Jede IP, die du nicht kennst, ist entweder eine legitime Versandquelle, die du vergessen hast einzutragen, oder ein Angreifer, der deine Domain missbraucht. Neben ActiveCampaign können das transaktionale Systeme, Support-Plattformen oder interne Mail-Server sein – alle müssen entweder korrekt authentifizieren oder als Versandquellen geblockt werden, bevor du auf p=reject umstellst.

Den Aggregate-Report-Empfänger gibst du im DMARC-Record über das rua-Tag an. Externe Report-Dienste wie DMARC Digests – ein Partnertool von ActiveCampaign – bereiten die XML-Reports lesbar auf und zeigen an, wann der Wechsel auf p=reject sicher ist.

Typische Fehler beim Setup – und wie du sie behebst

Diese Probleme tauchen beim SPF-, DKIM- und DMARC-Setup besonders häufig auf und haben klare Ursachen.

Mehrere SPF-Records für dieselbe Domain

Pro Domain darf es genau einen SPF-TXT-Record geben. Wer einen zweiten anlegt, macht den ersten ungültig – empfangende Server werten das als Konfigurationsfehler. Die Lösung: alle Versandquellen in einem einzigen Record zusammenführen, zum Beispiel v=spf1 include:emsd1.com include:_spf.google.com ~all für ActiveCampaign und Google Workspace gleichzeitig. Prüfe zuerst mit mxtoolbox.com, ob bereits ein SPF-Record existiert, bevor du einen neuen anlegst.

CNAME-Record mit doppeltem Domain-Suffix

Einige Domain-Provider hängen die eigene Domain automatisch an den Hostnamen an. Wenn ActiveCampaign den CNAME-Hostnamen als dkim._domainkey vorgibt und der Provider daraus dkim._domainkey.deinedomain.de macht, ist das korrekt. Wenn der Provider zusätzlich die Domain anhängt und dkim._domainkey.deinedomain.de.deinedomain.de entsteht, schlägt die Verifizierung fehl. Kürze den Hostnamen im Eingabefeld des Providers um den Domain-Anteil, wenn der Provider die Vervollständigung selbst übernimmt.

DMARC auf p=reject gesetzt, bevor DKIM verifiziert war

Dieser Fehler blockiert eigene ActiveCampaign-Kampagnen vollständig. Das Sofortmittel: DMARC-Record auf p=none zurückstellen, DKIM-Verifizierung im Dashboard abwarten (grüner Status), dann mit dem Stufenplan von vorne beginnen. Der Wechsel auf p=reject ist erst sinnvoll, wenn der grüne Status seit mindestens zwei Wochen stabil ist und die Reports keine unbekannten Versandquellen mehr zeigen.

SPF-Lookup-Limit überschritten

Wer viele E-Mail-Dienste nutzt, läuft Gefahr, das Limit von zehn DNS-Lookups zu überschreiten. Das Ergebnis ist ein SPF-PermError, der faktisch wie ein SPF-Fail behandelt wird. Die Abhilfe ist ein SPF-Flattening-Werkzeug, das alle include:-Einträge in direkte IP-Adressen auflöst und so die Lookup-Zahl reduziert. Das ist ein manueller Schritt, der bei Änderungen der Dienste wiederholt werden muss, da sich die IP-Adressen der Anbieter gelegentlich ändern.

Häufige Fragen

Gilt die Authentifizierungspflicht nur für Bulk-Sender ab 5.000 Mails täglich?

Nein. Für Massen-Versender ab 5.000 Mails täglich an Gmail oder Yahoo sind SPF, DKIM und DMARC seit Februar 2024 formal verpflichtend. Für kleinere Verteiler empfehlen Google und Yahoo Authentifizierung ebenfalls dringend – und in der Praxis verbessert sie die Zustellbarkeit unabhängig vom Volumen, weil Spam-Filter alle drei Protokolle bei der Bewertung einbeziehen. Wer ohne Authentifizierung sendet, riskiert Spam-Einstufungen auch bei kleinen Versandmengen.

Muss ich DKIM in ActiveCampaign manuell erneuern?

Nein. ActiveCampaign rotiert die DKIM-Schlüssel im Hintergrund. Du trägst CNAME-Records ein, die dauerhaft auf die aktuellen Schlüssel verweisen – wenn ActiveCampaign den Schlüssel erneuert, aktualisiert sich die Referenz automatisch, ohne dass du deinen DNS-Eintrag ändern musst. Nur wenn du den CNAME-Record aus der DNS-Zone löschst oder fehlerhaft abänderst, bricht die DKIM-Signatur.

Was passiert mit laufenden Kampagnen, wenn ich DMARC auf p=reject stelle?

E-Mails, die beim Versand die DMARC-Prüfung nicht bestehen, werden vom empfangenden Server abgelehnt und kommen nicht an. Das betrifft nicht nur Spam, sondern auch legitime Kampagnen, wenn DKIM oder SPF nicht korrekt konfiguriert sind. Deshalb ist die Monitoring-Phase mit p=none zwingend: Sie zeigt dir vorab, welche Mails die Prüfung nicht bestehen würden, ohne tatsächlich etwas zu blockieren oder Empfänger zu verlieren.

Kann ich DMARC-Reports an eine externe Adresse weiterleiten?

Ja. Das rua-Tag im DMARC-Record nimmt jede gültige E-Mail-Adresse entgegen. Report-Dienste empfangen die XML-Reports, parsen sie und zeigen die Ergebnisse in einem lesbaren Dashboard. Wenn der Report-Dienst auf einer anderen Domain liegt als die sendende Domain, verlangt das DMARC-Protokoll einen zusätzlichen TXT-Record bei der Empfangsdomain, der den Empfang autorisiert – eingerichtete Dienste erklären diesen Schritt in der Regel direkt bei der Anmeldung.

Was ist BIMI und ist das für die Zustellbarkeit relevant?

BIMI (Brand Indicators for Message Identification) ist kein Authentifizierungsprotokoll, sondern eine Erweiterung: Es zeigt dein Unternehmenslogo direkt neben dem Absendernamen in Gmail und anderen unterstützenden Clients an. Voraussetzung ist DMARC auf mindestens p=quarantine sowie ein SVG-Logo im vorgeschriebenen Format. Für Gmail ist zusätzlich ein kostenpflichtiges Verified Mark Certificate (VMC) erforderlich. BIMI beeinflusst die Zustellbarkeit nicht – es wirkt sich auf die Erkennbarkeit im Posteingang aus, nicht auf den Spam-Score.

Wenn SPF, DKIM und DMARC korrekt eingerichtet sind und du die Aggregate Reports regelmäßig auswertest, hast du die technische Grundlage für zuverlässige Zustellbarkeit gelegt. Wie sich deine Domain-Reputation im E-Mail-Marketing darüber hinaus aufbaut und welche Faktoren sie langfristig beeinflussen, ist der nächste Schritt. Was Google und Yahoo außerdem verlangen – insbesondere die One-Click-Abmeldepflicht – erklärt die Übersicht zu den neuen Google- und Yahoo-Anforderungen für den DACH-Markt. Wer das gesamte Setup in ActiveCampaign begleitet haben möchte, findet bei der ActiveCampaign-Agentur von Advertal Unterstützung.