Vertrauenswürdige Kommunikation für deine Marke ist die Grundlage für eine starke Beziehung zu deinen Kunden. Sichere E-Mails zu versenden ist einfach, wenn du die richtige Strategie und die richtigen Protokolle hast, um jede einzelne davon zu verifizieren.
Die Sicherheitsprotokolle SPF und DKIM wurden Anfang der 2000er-Jahre erdacht und erstmals umgesetzt. Sie verifizieren und authentifizieren E-Mails. In den zwei Jahrzehnten seit ihrer Entstehung verlassen sich Fachleute für E-Mail-Sicherheit auf diese beiden Systeme, um jede Nachricht abzusichern, die sie hinausschicken, und um böswillige Cyberangriffe zu verhindern. Leider bringen viele Nutzer die beiden Ansätze seit ihrer Einführung immer wieder durcheinander.
In diesem Leitfaden bekommst du alles, was du über SPF vs. DKIM wissen musst. Am Ende weißt du, wie jedes System arbeitet, wann du welches einsetzt und warum jedes Protokoll genau die Ergebnisse liefert, die es liefert.
SPF verstehen (Sender Policy Framework)
Was ist SPF?
SPF ist ein System für E-Mail-Sicherheit, das böswillige Nutzer daran hindert, andere zu betrügen, indem sie sich als du oder als dein Unternehmen ausgeben. Dafür legt es auf einem Mailserver eine Whitelist von IP-Adressen an, über die sich prüfen lässt, ob eine E-Mail aus einer vertrauenswürdigen Quelle stammt oder nicht. SPF startete 2006 und wurde zuletzt auf den Standard 7208 im Jahr 2014 aktualisiert. Seit zwei Jahrzehnten gehört es zu den grundlegendsten Sicherheitssystemen für alle, die heute mit E-Mail-Sicherheit arbeiten.
Wie SPF funktioniert
SPF funktioniert, indem Unternehmen oder Nutzer festlegen, welche Server E-Mails von ihrer Domain versenden dürfen. So entsteht eine Verbindung zwischen dem konkreten Server und der Domain der Marke, die sich von Betrügern nicht nachbauen lässt. Einen autorisierten Mailserver kann jeder über DNS (Domain Name System) festlegen, indem er seine eigenen SPF-Angaben in den DNS-TXT-Einträgen veröffentlicht.
Versucht jemand, deine Domain über einen Relay-Server zu fälschen, erkennt dein SPF das und blockiert den Versand dieser E-Mails.
Vorteile und Grenzen von SPF
Der zentrale Vorteil von SPF: Unter allen etablierten Protokollen für E-Mail-Sicherheit ist es das am weitesten verbreitete und das am einfachsten einzurichtende.
Eine zentrale Grenze von SPF ist, dass es von sich aus nichts unternimmt, um den Versand oder den Empfang einer E-Mail zu verhindern, die die SPF-Prüfung nicht besteht. Du musst also weitere Protokolle aufsetzen, die einspringen, sobald feststeht, dass eine E-Mail die SPF-Vorgaben nicht erfüllt. Dafür kannst du eine DMARC-Strategie einsetzen. Sie nimmt die Informationen von SPF auf und entscheidet, was damit geschehen soll, ob E-Mails also komplett abgewiesen werden oder unter bestimmten Bedingungen durchgehen. Genau diese Durchsetzungsschicht lassen Absender am häufigsten aus: Unsere Benchmark-Daten zeigen, dass 42 % der Domains, die wir prüfen, weiterhin gar keine DMARC-Policy haben. Ihre Ergebnisse aus SPF und DKIM laufen damit ins Leere.
Ein weiteres Problem: SPF ist nur eine einzige Authentifizierungsschicht. E-Mails, die sowohl über DKIM als auch über SPF verifiziert werden, sind sicherer, weil ihre Sicherheit nicht an einem einzigen System hängt. Ein Angreifer müsste zwei sich überlappende Sicherheitssysteme überwinden, um deine E-Mail-Domain zu fälschen, und das ist deutlich schwerer als eines.
DKIM entschlüsselt (DomainKeys Identified Mail)
DKIM ist ein Protokoll für E-Mail-Sicherheit, das sehr ähnlich arbeitet wie SPF. Statt E-Mails über eine Whitelist von Servern zu verifizieren, gibt DKIM jeder E-Mail eine Signatur, die sie eindeutig mit der Domain verbindet. Ein- und ausgehende Server prüfen diese Signatur und stufen die E-Mail dann als vertrauenswürdig oder als unsicher ein.
DKIM stärkt die E-Mail-Sicherheit, weil Server damit einen zweiten Weg haben zu prüfen, ob E-Mails aus sicheren und vertrauenswürdigen Quellen stammen. Das verhindert, dass sich jemand als die E-Mail-Domain deines Unternehmens ausgibt, um Phishing-Versuche oder andere Formen von Betrug zu starten.
Der größte Vorteil daran, DKIM zusammen mit SPF einzusetzen: Du hast dann zwei getrennte Systeme, die E-Mails authentifizieren, und bist damit weniger angreifbar. Allerdings finden vor allem Fachleute für E-Mail-Sicherheit das Schlüsselpaar-System von DKIM schwieriger umzusetzen als die Whitelist von SPF. Auch wenn es etwas anspruchsvoller wirkt: Beide Sicherheitsprotokolle sind schnell eingerichtet, sobald du die richtigen Schritte kennst.
Die wichtigsten Unterschiede zwischen SPF und DKIM
DKIM verifiziert E-Mails, indem es prüft, ob das Paar aus öffentlichem und privatem Schlüssel zu der Domain passt, von der du deine E-Mail versendest. SPF verifiziert E-Mails, indem es deine IP-Adresse gegen eine Whitelist für deine Domain prüft, in der alle stehen, die in deinem Namen E-Mails versenden dürfen.
Anders als SPF prüft DKIM, ob Body oder Header der E-Mail verändert wurden, seit sie den ausgehenden Server verlassen hat. DKIM verifiziert zwar wie SPF auch die Berechtigung des ursprünglichen Absenders, stellt darüber hinaus aber sicher, dass deine E-Mails auf dem Weg von einem Server zum nächsten nicht verändert wurden. Genau so laufen böswillige Angriffe über Relay-Server, die E-Mails umschreiben und Cyberangriffe einschleusen.
Wie SPF und DKIM zusammenspielen
Du kannst SPF und DKIM getrennt einsetzen, empfohlen ist aber, beide Protokolle zu nutzen. SPF kann nicht sicherstellen, dass E-Mails unterwegs unverändert bleiben, DKIM kann das. DKIM kann keine IP-Adressen gegen eine Liste verifizierter Absender prüfen, SPF kann das.
Der Punkt ist: DKIM und SPF mögen ähnlich wirken, aber ihre feinen Unterschiede führen dazu, dass jedes die Schwächen des anderen ausgleicht. Beide zusammen ergeben ein Geflecht aus Sicherheitsprotokollen, die sich überlappen und gegenseitig stützen, und das ist deutlich sicherer als ein einzelnes E-Mail-Protokoll.
Unter seriösen Absendern setzen inzwischen fast alle beides ein. Von den Domains, die wir testen, veröffentlichen unseren Benchmark-Daten zufolge 90 % einen gültigen SPF-Eintrag, und 87 % signieren ihre E-Mails mit einem funktionierenden DKIM-Schlüssel. Eine relevante Minderheit ist damit auf der einen oder der anderen Ebene weiterhin ungeschützt. Zu prüfen, ob du beides eingerichtet hast, gehört deshalb zu den einfachsten Erfolgen für deine Zustellbarkeit.
SPF und DKIM einrichten
SPF einzurichten ist einfach, wenn du die richtigen Schritte kennst. Beim Konfigurieren von SPF-Einträgen legst du eine Whitelist verifizierter Absender an, die deine Domain zum Versand von E-Mails nutzen dürfen. Der Administrator der Domain muss diese Liste in seinen DNS-Einträgen hinterlegen. Ein Beispiel für so einen Eintrag sieht so aus: „v=spf1 ip4:182.155.0.1 -all“.
Dieser Eintrag benennt eine IP-Adresse, von der aus verifiziert E-Mails versendet werden dürfen, und weist jede E-Mail ab, die die Domain nutzen will, ohne von dieser IP-Adresse zu kommen. Es gibt verschiedene Mechanismen, mit denen du deine Einträge anpassen kannst. Häufig ergänzt werden „a“ und „mx“, die Domainnamen mit einem Adress- oder MX-Eintrag verifizieren.
Wenn du deine Strategie für E-Mail-Sicherheit weitertreiben willst, kannst du zusätzlich DMARC aufsetzen. Das Protokoll entscheidet, was mit E-Mails geschieht, die SPF oder DKIM als unsicher einstufen. Vielen Fachleuten für E-Mail-Sicherheit fällt es schwer, die Unterschiede zwischen SPF vs. DMARC und DMARC vs. DKIM zu bestimmen, dabei ist die Aufteilung zwischen diesen Protokollen einfach.
SPF und DKIM sind zwei ähnliche Authentifizierungsprotokolle, die mit unterschiedlichen Methoden feststellen, ob eine E-Mail von einem überprüfbaren Absender stammt oder nicht. DMARC ist die Strategie, die du mit dieser Information umsetzt, ob du also alle E-Mails abweist, die an SPF oder DKIM scheitern, oder sie zwar versenden lässt, sie aber als verdächtig markierst.
Häufige Probleme und Lösungen
Setups für DKIM und SPF funktionieren nicht immer so, wie du es dir wünschst. Du musst wachsam bleiben und Probleme beheben, sobald sie auftauchen.
Eines der häufigsten Probleme beim SPF-Protokoll ist ein „fail“: Die E-Mail wird nicht zugestellt, weil die IP-Adresse des Absenders nicht zur SPF-Policy passt. Darüber wirst du nicht immer benachrichtigt, deshalb solltest du dieses Problem kennen und selbst danach suchen. Es gibt ein paar Wege, ein Scheitern an SPF zu vermeiden.
Erstens kannst du deine E-Mail-Strategie testen, bevor du sie ausrollst. Wie das geht, hängt von deiner Plattform ab. Du kannst deine Domain in unseren kostenlosen SPF-Check einsetzen, um zu bestätigen, dass dein Eintrag korrekt veröffentlicht ist und jeden autorisierten Absender aufführt. Bei Google zum Beispiel testest du SPF und DKIM, indem du dir selbst eine Test-E-Mail schickst und dir in der geöffneten Nachricht die Details ansiehst. Haben deine Sicherheitsprotokolle funktioniert, sollte dort „mailed-by: deine Domain“ und „signed-by: deine Domain“ stehen.
Zweitens kannst du deinen SPF-Eintrag von einem „soft fail“ auf einen „hard fail“ umstellen. Deine E-Mails werden dann nicht versendet und du bekommst eine Meldung, statt dass sie still und leise im Spam-Ordner deines Empfängers landen. Das ist schnell gemacht: Ersetze in deinem SPF-Eintrag einfach „~all“ durch „-all“.
Ähnlich sieht es bei DKIM aus: Beim Einrichten deiner Schlüssel kann einiges schiefgehen. Ob du deine Schlüssel manuell erzeugst oder über das System deines Internetanbieters, du solltest in Kontakt mit deinem E-Mail-Anbieter bleiben. Dieser Austausch ist nötig, damit dein privater Schlüssel richtig hinterlegt ist und deine E-Mails schützt. Deine Domain durch unseren DKIM-Check zu schicken ist ein schneller Weg, um zu prüfen, ob dein veröffentlichter Schlüssel zur Signatur deiner ausgehenden E-Mails passt.
Manche Server können mit DKIM authentifizierte Nachrichten aus beliebigen Gründen abweisen. Nimm Kontakt zu diesen Servern auf und halte ihn, damit deine E-Mails trotzdem versendet werden. Teste deine E-Mail-Strategie mit mehreren Servern und Empfängern, damit es nach dem Ausrollen keine Überraschungen gibt.
Die Zukunft der E-Mail-Sicherheit
Leider hat der Aufstieg von KI Betrügern neue und einfallsreiche Wege eröffnet, etablierte Protokolle für E-Mail-Sicherheit zu umgehen. Irgendwann wird es Methoden geben, SPF und DKIM auszuhebeln, die wir heute noch nicht kennen.
Viele Mailbox-Provider suchen nach neuen Wegen, Cyberangriffe zu bekämpfen. Google und Yahoo stellen ab Anfang 2024 beide neue Protokolle für die E-Mail-Authentifizierung für Anbieter mit hohem E-Mail-Volumen bereit.
Das ist erst der Anfang. E-Mail-Plattformen kämpfen darum, die besten Protokolle für E-Mail-Sicherheit zu bieten, und deshalb werden sich SPF und DKIM immer weiterentwickeln, um kommenden Bedrohungen standzuhalten. Bleibst du genauso wachsam und aufmerksam wie dein E-Mail-Anbieter, bist du allen, die deine E-Mails angreifen wollen, immer zwei Schritte voraus.
Fazit
SPF und DKIM spielen beide eine entscheidende Rolle dabei, E-Mail-Sicherheit und Integrität zu stärken. Beide Protokolle verifizieren, dass E-Mails vom richtigen Absender kommen, und schützen deine Kunden so vor Cyberangriffen.
Dieser Leitfaden hat SPF und DKIM einzeln erklärt, ihre Unterschiede herausgearbeitet und dir gezeigt, wie du sie einrichtest und Probleme behebst. Aus all dem baust du die passende Strategie für die E-Mail-Sicherheit deiner Marke.
Wenn du dir bei der besten Umsetzung der Protokolle SPF und DKIM immer noch unsicher bist, ist es vielleicht Zeit, einen Berater für E-Mail-Zustellbarkeit hinzuzuziehen.
