Newsletter, Kontaktformulare, Shop-Benachrichtigungen und Passwort-Resets wirken im Alltag unscheinbar. Für Website-Betreiber sind sie aber ein Teil der Vertrauenskette: Wenn Mails nicht ankommen, im Spam landen oder von Dritten gefälscht werden können, leidet nicht nur die Zustellbarkeit. Auch Support, Datenschutzkommunikation, Online-Marketing und die Wahrnehmung der eigenen Marke geraten unter Druck.
SPF, DKIM und DMARC sind drei technische Bausteine, mit denen Domains nachvollziehbarer machen, welche Systeme im Namen einer Domain E-Mails versenden dürfen. Das klingt zunächst nach DNS- und Mailserver-Arbeit. Praktisch betrifft es aber fast jede Website, die Formulare, Newsletter-Tools, CRM-Systeme, Buchungssoftware oder Shop-Mails nutzt. Wer diese Einstellungen nicht kennt, merkt Probleme oft erst, wenn Kampagnen schlechter performen, Kunden Mails nicht erhalten oder Phishing-Mails mit der eigenen Domain auftauchen.
Warum Website-Mails mehr als Technik sind
Website-Mails verbinden mehrere Bereiche: Marketing will Newsletter zustellen, Datenschutz braucht nachvollziehbare Informations- und Löschprozesse, Support erwartet Formularbenachrichtigungen, und IT-Dienstleister verwalten DNS-Einträge. Wenn diese Zuständigkeiten nicht abgestimmt sind, entstehen typische Fehler. Ein Newsletter-Tool versendet mit einer fremden Absenderdomain, ein Kontaktformular nutzt die Adresse des Website-Besuchers als Absender, oder ein alter Dienst bleibt im SPF-Eintrag stehen, obwohl er längst nicht mehr genutzt wird.
Das BSI ordnet E-Mail-Sicherheit als wichtigen Schutzbereich ein. Für Betreiber von Unternehmenswebsites ist der praktische Schluss klar: Eine Domain ist nicht nur Webadresse, sondern auch Absenderidentität. Wer sie für Newsletter, Rechnungen, Formulare oder Login-Mails nutzt, sollte wissen, welche Systeme für diese Domain sprechen dürfen.
SPF: Wer darf für die Domain senden?
SPF steht für Sender Policy Framework und ist in RFC 7208 beschrieben. Vereinfacht gesagt veröffentlicht eine Domain im DNS, welche Server oder Dienste E-Mails für sie senden dürfen. Empfangende Mailserver können dann prüfen, ob die sendende Infrastruktur zur Domain passt.
Für Website-Betreiber ist SPF besonders relevant, sobald mehrere Dienste im Spiel sind: Hosting-Mailserver, Newsletter-Anbieter, CRM, Shop-System, Helpdesk, Buchhaltung oder Marketing-Automation. Der SPF-Eintrag sollte nicht unkontrolliert wachsen. Zu breite Freigaben, alte Include-Einträge und Weiterleitungen ohne Konzept schwächen den Nutzen. Ein sauberer Einstieg ist eine Inventur: Welche Systeme senden wirklich im Namen der Domain? Welche Absenderadressen nutzen sie? Welche Dienste sind nur noch Altlast?
DKIM: Ist die Nachricht unterwegs unverändert?
DKIM steht für DomainKeys Identified Mail und ist in RFC 6376 beschrieben. Dabei wird eine E-Mail kryptografisch signiert. Empfangende Systeme können über einen öffentlichen DNS-Schlüssel prüfen, ob die Signatur zur Domain passt und ob die Nachricht auf dem Transportweg verändert wurde.
Für Newsletter und Transaktionsmails ist DKIM ein zentraler Vertrauensanker. Viele Anbieter stellen eigene DKIM-Schlüssel bereit, die im DNS der Kundendomain hinterlegt werden müssen. Wichtig ist, diese Schlüssel nicht nur einmal einzurichten, sondern bei Anbieterwechseln, Domainumzügen und Subdomain-Strategien mitzudenken. Wer etwa Newsletter über eine Subdomain wie mail.example.de versendet, sollte klar dokumentieren, welche DKIM-Selektoren aktiv sind und wer sie pflegt.
DMARC: Was passiert, wenn etwas nicht passt?
DMARC baut auf SPF und DKIM auf und ist in RFC 7489 beschrieben. Der DMARC-Eintrag sagt empfangenden Mailservern, wie sie mit Nachrichten umgehen sollen, die Authentifizierungsprüfungen nicht bestehen. Außerdem können Betreiber Reports erhalten, die zeigen, welche Quellen Mails im Namen der Domain versenden.
Gerade diese Reports sind für KMU hilfreich, wenn sie nicht sofort mit einer strengen Policy starten wollen. Ein sinnvoller Weg ist oft: zunächst p=none zum Beobachten, dann Auswertung der legitimen Quellen, danach schrittweise härtere Richtlinien wie quarantine oder reject. Das sollte nicht blind passieren. Wer zu früh zu streng wird, riskiert, dass legitime Formulare, Shop-Mails oder Newsletter blockiert werden.
Google und große Mailbox-Anbieter erhöhen den Druck
Die Google-Richtlinien für E-Mail-Absender zeigen, dass Authentifizierung, niedrige Spamraten und saubere Abmeldeprozesse für Zustellbarkeit immer wichtiger werden. Auch wenn nicht jede kleine Website ein Massenversender ist, wirkt sich diese Entwicklung auf den Markt aus. Newsletter-Tools, Shop-Systeme und CRM-Anbieter fordern zunehmend korrekt eingerichtete SPF-, DKIM- und DMARC-Daten.
Für das Online-Marketing bedeutet das: Zustellbarkeit ist kein reines Kampagnenthema. Sie beginnt bei der Domain, den DNS-Einträgen und der technischen Qualität der Absender. Wer Kampagnen plant, sollte daher nicht erst an Betreffzeilen und Landingpages denken. Eine stabile technische Absenderbasis gehört zur Vorbereitung. Passende strategische Unterstützung bietet der Bereich Online Marketing; für organische Sichtbarkeit und Domain-Vertrauen lohnt ergänzend der Blick auf SEO und Suchmaschinenoptimierung.
Kontaktformulare und WordPress: kleine Ursache, große Wirkung
Viele Zustellprobleme beginnen in WordPress-Formularen. Ein Formular sollte nicht so tun, als käme die Nachricht direkt vom Besucher, wenn tatsächlich der Webserver sendet. Besser ist eine Absenderadresse der eigenen Domain und die Besucheradresse als Reply-To. Zusätzlich sollten SMTP-Plugins, Formular-Plugins und Hosting-Einstellungen so dokumentiert sein, dass Änderungen am DNS nicht versehentlich die Website-Kommunikation beschädigen.
Das passt direkt zu Datenschutzprozessen. Wenn Anfragen über ein Kontaktformular, eine Bewerbung, einen Newsletter oder einen Kundenbereich eingehen, müssen Verantwortliche wissen, welche Dienste beteiligt sind und welche Daten übertragen werden. Der Datenschutz Generator hilft dabei, Website-Dienste sauber in der Datenschutzerklärung abzubilden. Der Beitrag Kontaktformular und Datenschutz zeigt zusätzlich, warum technische Formularentscheidungen und Datenschutztexte zusammengehören.
Wichtig ist dabei die Abgrenzung: SPF, DKIM und DMARC ersetzen keine Pflichtangaben, keine Datenschutzerklärung und keine saubere Einwilligungs- oder Double-Opt-in-Dokumentation. Sie sorgen dafür, dass die technische Absenderidentität besser prüfbar wird. Die rechtlichen und organisatorischen Informationen müssen trotzdem verständlich auf der Website stehen.
Checkliste für Website-Betreiber
Starten Sie mit einer Absender-Inventur. Listen Sie alle Systeme, die im Namen der Domain senden: Webserver, Office-Mail, Newsletter-Anbieter, Shop, CRM, Buchhaltung, Support, Bewerbungsformular und Automationen. Prüfen Sie danach für jedes System, ob SPF und DKIM korrekt eingerichtet sind und ob eine Subdomain sinnvoller wäre. Gerade bei Marketing-Mails kann eine Versand-Subdomain helfen, Zuständigkeiten und Reputation besser zu trennen.
Als nächstes sollten Sie DMARC nicht nur setzen, sondern beobachten. Reports zeigen, ob vergessene Dienste oder unberechtigte Quellen auftauchen. Definieren Sie, wer diese Reports liest. Ohne Auswertung wird DMARC schnell zu einem weiteren DNS-Eintrag, der niemandem hilft. Dokumentieren Sie außerdem, welche Änderungen einen Test brauchen: Anbieterwechsel, Newsletter-Tool, Formular-Plugin, DNS-Umzug, neue Shop-Software oder neue Absenderadresse.
Für die Auswertung reicht am Anfang eine einfache Routine. Einmal pro Monat sollte jemand prüfen, ob neue Versandquellen auftauchen, ob legitime Dienste fehlschlagen und ob alte Anbieter noch im DNS stehen. Bei größeren Versandmengen lohnt ein spezialisierter Report-Parser, weil rohe DMARC-Berichte für kleine Teams schwer lesbar sind. Wichtig ist nicht, sofort jede Kennzahl perfekt zu interpretieren. Wichtig ist, Abweichungen zu bemerken, bevor eine Kampagne, ein Formular oder ein Shop-Prozess betroffen ist.
Auch Dienstleisterwechsel brauchen einen klaren Ablauf. Wird ein Newsletter-Anbieter ersetzt, müssen SPF-Includes, DKIM-Selektoren, Absenderadressen, Bounce-Domains und Tracking-Domains geprüft werden. Dasselbe gilt, wenn eine Agentur ein neues Marketing-Tool einführt oder der Hoster das Mailrouting verändert. Wer diese Schritte nur mündlich klärt, verliert schnell den Überblick. Eine kleine DNS- und Absenderdokumentation ist deshalb kein Overhead, sondern eine Absicherung gegen spätere Zustell- und Vertrauensprobleme.
Zum Schluss gehört die Governance dazu. Wer darf DNS-Einträge ändern? Wer gibt neue Marketing-Tools frei? Wo werden SPF-Includes, DKIM-Selektoren und DMARC-Policies dokumentiert? Für kleinere Teams kann ein gemeinsamer Website-Compliance-Check reichen. Im Business Paket lassen sich solche technischen und organisatorischen Website-Themen mit Datenschutz, Impressum und laufender Website-Pflege zusammendenken.
Fazit: Zustellbarkeit braucht klare Absender
SPF, DKIM und DMARC sind keine Marketing-Floskeln, sondern technische Grundlagen für verlässliche Website-Kommunikation. Sie schützen nicht vor jeder Phishing-Mail und garantieren keine perfekte Zustellbarkeit. Sie machen aber sichtbar, welche Systeme für eine Domain senden dürfen, ob Nachrichten authentifiziert sind und wie Empfänger mit verdächtigen Mails umgehen sollen.
Für Website-Betreiber ist der wichtigste Schritt eine einfache, gepflegte Übersicht: Welche Tools senden Mails, welche DNS-Einträge gehören dazu, wer prüft Reports und wann wird neu getestet? Wer diese Fragen beantwortet, verbessert Newsletter-Zustellbarkeit, Formularprozesse und Domain-Vertrauen. Damit wird E-Mail-Authentifizierung vom technischen Nebenthema zu einem praktischen Bestandteil professioneller Website-Arbeit.
