MX, SPF, DKIM und DMARC einfach erklärt

Die wichtigsten Einträge im Überblick

Alle Beispiele beziehen sich auf die fiktive Domain muster-gmbh.de.

MX: Wohin gehen E-Mails?

Wenn ein Mailserver eine Nachricht an rechnung@muster-gmbh.de zustellen will, fragt er im DNS nach den MX-Einträgen der Domain. Jeder Eintrag nennt einen Mailserver und eine Priorität; der Server mit der niedrigsten Zahl wird zuerst versucht.

Implizites MX

RFC 5321, der Standard für SMTP, regelt den Fall ohne MX-Eintrag: Dann wird die Domain so behandelt, als gäbe es einen MX-Eintrag mit Priorität 0, der auf die Domain selbst zeigt. Hat die Domain also nur eine A- oder AAAA-Adresse, können E-Mails trotzdem zugestellt werden. Deshalb wertet OrderGuard auch diesen Fall als Mailfähigkeit – mit geringerem Gewicht als einen ausdrücklich benannten Mailserver.

Null MX

RFC 7505 definiert den „Null MX“: genau ein MX-Eintrag mit Priorität 0 und einem leeren Zielnamen (.). Er bedeutet, dass die Domain keine E-Mails annimmt; Absender erhalten sofort eine Fehlermeldung, statt tagelang neu zu versuchen. Für die Bewertung heißt das: keine Punkte für Mailfähigkeit.

SPF: Wer darf senden?

Das Sender Policy Framework (RFC 7208) ist ein TXT-Eintrag, der mit v=spf1 beginnt. Er listet die Server, die E-Mails mit dieser Domain als Absender verschicken dürfen. Empfänger können damit prüfen, ob eine Mail von einem berechtigten Server kommt.

DKIM: Ist die Nachricht echt und unverändert?

Bei DKIM (DomainKeys Identified Mail, RFC 6376) signiert Ihr Mailserver jede ausgehende Nachricht digital. Den passenden öffentlichen Schlüssel veröffentlichen Sie als TXT-Eintrag unter selector._domainkey. plus Domain. Empfänger prüfen damit, ob die Mail tatsächlich von Ihrer Domain signiert wurde und unterwegs nicht verändert wurde. Den „Selector“ legt Ihr Mail-Anbieter fest; er steht in der Konfiguration Ihres Mail-Dienstes.

DMARC: Was passiert bei Fälschungen?

DMARC wird als TXT-Eintrag unter _dmarc. plus Domain veröffentlicht und beginnt mit v=DMARC1. Es verbindet SPF und DKIM mit der sichtbaren Absenderadresse und sagt Empfängern, wie sie mit Mails umgehen sollen, die die Prüfung nicht bestehen. Seit Mai 2026 ist DMARC mit RFC 9989 ein IETF-Standard und ersetzt die bisherige Beschreibung in RFC 7489. Der Wert p= kennt drei Stufen: none (nur beobachten), quarantine (als verdächtig behandeln) oder reject (ablehnen). Üblich ist, mit none und Berichten zu starten und erst auf quarantine oder reject zu schärfen, wenn alle legitimen Absender erfasst sind.

Schutz der eigenen Domain – und seine Grenze

SPF, DKIM und DMARC schützen Ihre Domain davor, dass jemand sie direkt als Absender fälscht. Das ist wichtig, damit Ihre Kunden und Lieferanten keine gefälschten Mails „von Ihnen“ erhalten. Hier liegt aber auch ein häufiges Missverständnis: Wer eine eigene, ähnliche Domain registriert, kann dafür ebenfalls gültige SPF-, DKIM- und DMARC-Einträge setzen. Seine Mails bestehen dann alle Prüfungen – sie kommen ja wirklich von seiner Domain.

Warum Doppelgänger mit MX-Eintrag zählen

Für den Bestellbetrug auf Rechnung braucht ein Täter eine Domain, über die er glaubwürdig Anfragen schicken und Antworten empfangen kann. Ein vorhandener MX-Eintrag (oder zumindest eine Adresse für implizites MX) zeigt, dass eine Doppelgänger-Domain dafür vorbereitet ist. Deshalb gewichtet OrderGuard Mailfähigkeit im Hinweiswert, SPF, DKIM und DMARC einer fremden Domain dagegen nicht. Die Punkte vergeben wir so:

• Domain hat DNS-Einträge: 35 Punkte
• Expliziter MX-Eintrag (Mailserver benannt): 35 Punkte
• Nur Adress-Eintrag, kein MX (implizites Mailrouting): 20 Punkte
• Internationalisierte Schreibweise (IDN), wenn aktiv: 10 Punkte
• Erstes TLS-Zertifikat jünger als 30 Tage (Certificate Transparency, optional): 10 Punkte
• Null MX („nimmt keine E-Mails an“): 0 Punkte
• SPF oder DMARC veröffentlicht: 0 Punkte

Die vollständige Herleitung mit Rechenbeispielen finden Sie unter So funktioniert’s. Hintergrund zur Masche: Bestellbetrug auf Rechnung.

Was Sie für Ihre eigene Domain tun sollten

• SPF, DKIM und DMARC für Ihre eigene Domain einrichten und die DMARC-Berichte auswerten. Der OrderGuard-Bericht prüft diese Einträge für Ihre Domain.
• Domains, die Sie besitzen, aber nicht für E-Mail nutzen, mit Null MX und einem restriktiven SPF-Eintrag (v=spf1 -all) absichern.
• Doppelgänger fremder Betreiber beobachten (Gratis-Check, Bericht, Watcher) – dort helfen Ihre eigenen Einträge nicht – und Lieferanten bei Bedarf warnen: Checkliste.