Mail-Setup: SPF, DKIM und DMARC für meine Domain

Mein Kontaktformular verschickt Mails über meine eigene Domain. Ohne Absender-Prüfung behandeln Mailanbieter solche Nachrichten misstrauisch, und fremde Absender können in meinem Namen Mails fälschen. Man merkt das erst, wenn Antworten im Spam landen, und dann fehlt der Hinweis, woran es liegt. Ich wollte die drei Standardmechanismen sauber setzen, bevor etwas schiefgeht, und danach von außen prüfen, ob sie wirklich da sind.

Ich habe drei Arten von DNS-Einträgen gesetzt. SPF legt fest, wer für die Domain senden darf. DKIM signiert ausgehende Mails mit einem Schlüssel, bei mir 1024 Bit lang. DMARC sagt Empfängern, wie sie mit Fehlschlägen umgehen sollen, und schickt mir Berichte. Das Formular sendet über einen Mailanbieter, Resend, mit einer eigenen Versand-Subdomain, die ein eigenes SPF und einen eigenen MX hat. Eingehende Post läuft weiter über meinen Hoster.

• DNS
• SPF
• DKIM
• DMARC
• Resend

Alle drei Mechanismen sind gesetzt. Am 18. Oktober 2026 habe ich sie über einen öffentlichen DNS-Dienst und über den lokalen Resolver abgefragt, beide lieferten dieselben Werte. Die DMARC-Richtlinie steht auf p=none, das heißt Beobachtung mit Berichten, ohne Schutz vor Missbrauch. Die Abfrage liegt als Datei bei. Dass eine konkrete Mail bei Gmail mit DMARC pass ankommt, habe ich bisher nicht belegt, das zeigt erst der Header einer echten Testmail.

Du findest die DNS-Abfrage mit allen Einträgen im Wortlaut. Die Berichtsadresse ist maskiert, der DKIM-Schlüssel gekürzt, und Hostnamen von Dienstleistern stehen nicht im sichtbaren Text. Sobald ich einen Header-Screenshot einer Formular-Testmail habe, ergänze ich ihn hier. Bis dahin steht in diesem Case nichts über DMARC pass. Die Einträge sind öffentlich, du kannst sie mit jedem DNS-Abfragewerkzeug selbst nachprüfen.

p=none schützt nicht vor gefälschten Mails, es beobachtet nur. Eine Umstellung auf quarantine ist erst sinnvoll, wenn die Berichte zeigen, dass alle legitimen Absender sauber ausgerichtet senden. Zustellraten und Spam-Quoten habe ich nicht gemessen, deshalb behaupte ich nicht, dass nichts mehr im Spam landet. Der Case zeigt, dass das Setup steht und von außen überprüfbar ist, nicht, wie viele Mails ankommen. Der Versand läuft über einen externen Anbieter, nicht über einen eigenen Mailserver.