Kommen Ihre Formular-Mails an? SPF, DKIM und DMARC erklärt

Warum Formular-Mails ein Sonderfall sind

Eine normale E-Mail schreiben Sie in Outlook oder im Webmailer. Sie geht über den Mailserver Ihres Anbieters hinaus, und der ist dafür eingerichtet. Eine Formular-Mail entsteht anders: Der Webserver erzeugt sie selbst und verschickt sie im Namen Ihrer Domain, etwa als website@ihre-domain.de. Ein Server, der mit Ihrem Postfach nichts zu tun hat, behauptet also, für Ihre Domain zu sprechen.

Genau so sieht aus Sicht des Empfängers auch eine gefälschte Mail aus. Deshalb prüfen Mailanbieter heute, ob der Absender dazu berechtigt ist. Fällt die Prüfung durch, landet die Nachricht im Spam-Ordner oder wird abgewiesen. Der Besucher merkt davon nichts, die Website auch nicht in jedem Fall.

Ein verbreiteter Fehler verschärft das Problem: Manche Formulare tragen die Adresse des Besuchers als Absender ein, damit man direkt antworten kann. Dann versendet Ihr Webserver im Namen von gmail.com oder einer fremden Firmendomain – das kann nicht bestehen. Richtig ist: Absender ist eine Adresse Ihrer eigenen Domain, die Adresse des Besuchers steht im Feld „Antwort an“ (Reply-To).

SPF, DKIM und DMARC: was prüft was

Alle drei Verfahren sind Einträge im DNS Ihrer Domain, also dort, wo auch festgelegt ist, auf welchen Server Ihre Website zeigt. Sie ergänzen sich.

SPF ist eine Liste: Welche Server dürfen für diese Domain Mails versenden? Der Empfänger vergleicht den einliefernden Server mit dieser Liste. Geprüft wird dabei die technische Absenderadresse im Hintergrund (Return-Path), nicht die, die Sie im Mailprogramm sehen.

DKIM ist eine digitale Signatur. Der versendende Server unterschreibt jede Mail mit einem privaten Schlüssel, der passende öffentliche Schlüssel steht im DNS. Der Empfänger kann damit prüfen, dass die Mail wirklich von einem berechtigten System stammt und unterwegs nicht verändert wurde.

DMARC verbindet beides mit dem sichtbaren Absender. Die Regel heißt Alignment: Die Domain, die der Empfänger im Absenderfeld liest, muss zu der Domain passen, die SPF oder DKIM bestätigt hat. Es genügt, wenn eines der beiden Verfahren besteht und passt. Zusätzlich legen Sie mit DMARC fest, was mit Mails geschehen soll, die durchfallen: nichts (p=none), Spam-Ordner (p=quarantine) oder Abweisung (p=reject). Und Sie können sich Berichte schicken lassen, wer in Ihrem Namen versendet.

Was Google, Yahoo und Microsoft verlangen

Seit dem 1. Februar 2024 gelten bei Google Richtlinien für E-Mail-Absender. Sie betreffen Mails an private Gmail-Konten (gmail.com und googlemail.com). Für alle Absender gilt: SPF oder DKIM muss eingerichtet sein. Wer mehr als 5.000 Nachrichten pro Tag an solche Konten schickt, braucht SPF und DKIM, einen DMARC-Eintrag und einen Absender, der zu SPF oder DKIM passt. Für Werbe-Mails kommt die Abmeldung mit einem Klick hinzu. Yahoo verlangt im Kern dasselbe.

Microsoft hat 2025 nachgezogen. Die Vorgaben für Outlook.com betreffen die Privatkunden-Postfächer unter outlook.com, hotmail.com und live.com und richten sich an Domains, die mehr als 5.000 Mails pro Tag dorthin senden: SPF und DKIM müssen bestehen, DMARC muss mindestens mit p=none vorhanden sein und passen. Seit dem 5. Mai 2025 werden Mails, die das nicht erfüllen, abgewiesen.

Ein Kontaktformular erreicht diese Mengen nicht. Die strengen Stufen gelten formal also für Newsletter-Versender, nicht für Ihre zehn Anfragen pro Woche. Zwei Dinge sollten Sie trotzdem mitnehmen. Erstens gilt die Grundanforderung bei Google für jeden Absender. Zweitens zeigen die Regeln, woran sich die Spamfilter aller großen Anbieter orientieren. Eine Domain ohne saubere Authentifizierung hat es überall schwerer, auch bei Firmenpostfächern.

So prüfen Sie Ihre eigene Domain

Die zuverlässigste Prüfung ist eine echte Mail. Füllen Sie Ihr Formular aus und lassen Sie die Nachricht an ein Postfach außerhalb Ihrer Firma gehen, zum Beispiel an ein privates Gmail-Konto. Öffnen Sie dort die Kopfzeilen: in Gmail über „Original anzeigen“, in Outlook über die Eigenschaften der Nachricht. Suchen Sie die Zeile Authentication-Results. Dort steht für jedes Verfahren ein Ergebnis:

• spf=pass – der Server stand auf der Liste
• dkim=pass mit header.d=ihre-domain.de – signiert, und zwar mit Ihrer Domain
• dmarc=pass – der sichtbare Absender passt dazu

Steht dort fail, softfail, none oder permerror, haben Sie den Befund schwarz auf weiß.

Die DNS-Einträge selbst lassen sich mit Bordmitteln abfragen. Unter Windows: nslookup -type=TXT ihre-domain.de zeigt den SPF-Eintrag, nslookup -type=TXT _dmarc.ihre-domain.de den DMARC-Eintrag. Gibt die zweite Abfrage nichts zurück, hat die Domain kein DMARC.

Die sinnvolle Reihenfolge und typische Fehler

Wer sofort eine strenge DMARC-Richtlinie setzt, sperrt mit etwas Pech die eigenen Mails aus. Bewährt hat sich diese Reihenfolge:

1. Alle Absender erfassen. Postfächer, Website, Shop, Newsletter-Werkzeug, Rechnungsprogramm, Ticketsystem, Kopierer mit Scan-to-Mail.
2. SPF einrichten und jeden dieser Absender aufnehmen.
3. DKIM aktivieren, bei jedem Dienst mit der eigenen Domain.
4. DMARC mit p=none veröffentlichen und die Berichte an ein eigenes Postfach leiten.
5. Berichte auswerten. Wer sendet, was besteht, was fällt durch?
6. p=quarantine, sobald alle legitimen Absender bestehen.
7. p=reject als Ziel.

So haben wir es auch bei uns gemacht. Unsere Website verschickt Formular-Mails nicht über die Mailfunktion des Webhosters, sondern per SMTP über einen Dienst für Transaktionsmails (Brevo). Die Mails sind mit unserer Domain DKIM-signiert, der Dienst steht in unserem SPF-Eintrag. DMARC läuft mit p=none, die Berichte gehen an ein eigenes Postfach. Verschärft wird erst, wenn die Auswertung zeigt, dass kein Absender mehr fehlt.

Diese Fehler sehen wir am häufigsten:

• Zwei SPF-Einträge. Pro Domain ist nur einer erlaubt. Zwei führen zu einem Fehler, und SPF gilt als nicht bestanden. Neue Absender gehören in den vorhandenen Eintrag.
• Mehr als 10 DNS-Abfragen. Jedes include kostet Abfragen, auch verschachtelt. Wird die Grenze überschritten, ist das Ergebnis ebenfalls ein Fehler.
• Ein vergessener Absender. Meist das Newsletter-Werkzeug oder eben die Website.
• Kopierfehler im DNS-Wert. Uns ist es selbst passiert: Ein Wert wurde mitsamt Formatierungszeichen eingefügt, der Eintrag war damit ungültig. Anführungszeichen, Backticks oder ein Zeilenumbruch reichen. Fragen Sie den veröffentlichten Eintrag nach dem Speichern immer direkt am Nameserver ab.

Noch ein Wort zu BIMI, dem Verfahren, das Ihr Logo neben der Mail im Posteingang anzeigt. Es ist freiwillig und setzt voraus, dass DMARC bereits auf quarantine oder reject steht. Gmail verlangt für die Logo-Anzeige außerdem ein Zertifikat (VMC oder CMC), das laufend Geld kostet. Für die Zustellung Ihrer Anfragen bringt BIMI nichts. Es ist die Kür.

Das zweite Netz: erst speichern, dann senden

Auch eine sauber eingerichtete Domain schützt nicht vor jedem Ausfall. Ein Maildienst kann gestört sein, ein Passwort ablaufen, ein Postfach voll sein. Deshalb sollte die Mail nie der einzige Ort sein, an dem eine Anfrage existiert.

Wir haben das auf die unangenehme Art gelernt. Bei uns gab es Anfragen, die nirgends gespeichert waren, weil der Mailversand als erster Schritt fehlschlug und das Formular danach abbrach. Seitdem läuft die Ablage im CMS vor dem Mailversand. Jede Anfrage ist gespeichert, bevor überhaupt eine Mail versucht wird. Schlägt der Versand fehl, ist die Anfrage trotzdem da.

Fragen Sie Ihre Agentur nach zwei Dingen: Werden Formulareingaben im CMS gespeichert? Und in welcher Reihenfolge laufen Speichern und Senden? Für TYPO3-Websites richten wir das im Rahmen von Wartung und Support ein. Denken Sie dabei an den Datenschutz: Gespeicherte Anfragen brauchen eine Löschfrist und gehören in die Datenschutzerklärung.

Fazit

Verlorene Formular-Mails sind ein stilles Problem. Es gibt keine Fehlermeldung, nur weniger Anfragen. Die Abhilfe ist überschaubar: ein vollständiger SPF-Eintrag, DKIM mit der eigenen Domain, DMARC mit Berichten und einem Plan zur Verschärfung. Dazu ein Formular, das jede Anfrage erst speichert und dann versendet. Mit einer Testmail und einem Blick in die Kopfzeilen wissen Sie in zehn Minuten, wo Sie stehen. Wenn die DNS-Einträge bei Ihrem Provider liegen und Sie unsicher sind, wer was ändern darf, helfen wir auch bei Domains und Hosting weiter.