RatgeberAuthentifizierung

DMARC schlägt fehl, obwohl SPF und DKIM bestehen

Beide Prüfungen melden «pass», und DMARC meldet trotzdem «fail». Die Ursache ist eine Domain, die nicht zu deiner From-Adresse passt. Eine Test-Mail zeigt, welche es ist, und die Lösung ist eine Einstellung bei dem, der die Mail versendet.

Aktualisiert am 5. Oktober 20269 Min. Lesezeit

Kurz gesagt

DMARC besteht nur, wenn SPF oder DKIM für die Domain in deiner From-Adresse besteht. Ein «pass» für die Domain deines Anbieters zählt nicht.
Öffne eine gesendete Nachricht in Gmail über «Original anzeigen» (Show original) und vergleiche smtp.mailfrom, header.i und header.from im Header Authentication-Results.
Behebe zuerst DKIM: Schalte bei jedem Dienst, der für dich sendet, das Signieren mit deiner eigenen Domain ein. Eine DKIM-Signatur übersteht eine Weiterleitung, SPF nicht.
Eine Subdomain ist standardmässig nah genug. Enthält dein DMARC-Eintrag adkim=s oder aspf=s, ist sie es nicht.
Warmup repariert das Alignment nicht. Warmup-Mails werden über dein Postfach gesendet und fallen mit ihm durch.

DMARC fragt nicht, ob SPF und DKIM bestanden haben. Es fragt, ob eines von beiden für die Domain in deiner From-Adresse bestanden hat. Hat SPF für die Bounce-Domain deines Anbieters bestanden und DKIM für die Signatur-Domain deines Anbieters, steht in beiden Zeilen «pass», und DMARC meldet trotzdem «fail». Die Lösung liegt beim Absender: Lass ihn mit deiner Domain signieren oder verwende eine Bounce-Adresse auf deiner Domain. Eines von beiden genügt.

Das Fachwort für diese Übereinstimmung ist Alignment. Es ist der Teil von DMARC, den ein DNS-Prüftool nicht sehen kann. Ob das Alignment bei deinen Mails stimmt, zeigt sich nur an einer Nachricht, die wirklich gesendet wurde. Diese Seite zeigt, wie du eine liest.

Mit jeder E-Mail reisen drei Domains

Eine E-Mail trägt deine Domain an bis zu drei Stellen. Jede Prüfung schaut auf eine andere.

Ein dunkelblauer Wimpel mit Briefumschlag-Emblem, ein Postsack mit Messinganhänger und ein Brief mit Wachssiegel nebeneinander auf einem Kai; das Siegel wiederholt das Emblem des Wimpels, der Anhänger nicht — Der Wimpel ist die From-Zeile, der Anhänger am Postsack ist der Return-Path, das Wachssiegel ist die DKIM-Signatur. DMARC will, dass der Anhänger oder das Siegel zum Wimpel passt.

Wo	Auch genannt	Wer darauf schaut
Die From-Zeile, die dein Leser sieht	Header-From, `header.from`	DMARC. Sie ist der Massstab für die beiden anderen.
Der Return-Path	Envelope-Absender, MAIL FROM, Bounce-Adresse, `smtp.mailfrom`	SPF. Es prüft, ob der sendende Server diese Domain verwenden darf.
Der Wert `d=` im Header DKIM-Signature	Signatur-Domain, `header.d` oder `header.i`	DKIM. Es prüft, ob die Signatur dieser Domain gültig ist.

SPF (RFC 7208) und DKIM (RFC 6376) beantworten je eine enge Frage, und in keiner der beiden Fragen kommt deine From-Zeile vor. Ein Newsletter-Dienst kann SPF für seine eigene Bounce-Domain bestehen und mit seinem eigenen Schlüssel signieren, und die Nachricht kann trotzdem behaupten, von dir zu kommen. DMARC schliesst diese Lücke. RFC 9989, seit Mai 2026 der DMARC-Standard, akzeptiert ein Ergebnis nur, wenn die Domain dahinter zur From-Domain passt, und begründet das für DKIM in einem Satz:

DMARC verlangt, dass das Identifier Alignment auf den per DKIM authentifizierten Bezeichner angewendet wird, weil eine Nachricht eine gültige Signatur von jeder beliebigen Domain tragen kann, auch von einer, die ein böswilliger Akteur verwendet.

Dasselbe gilt für SPF, denn jeder kann für eine Domain, die ihm gehört, einen SPF-Eintrag veröffentlichen. Die Regel lautet also: DMARC besteht, wenn SPF besteht und seine Domain passt, oder wenn DKIM besteht und seine Domain passt.

Finde die Abweichung in einer echten Nachricht

Du brauchst eine E-Mail, die so gesendet wurde wie deine echten Mails, und eine Gmail-Adresse, die sie empfängt.

Sende aus dem betreffenden Postfach oder Tool eine Nachricht an eine Gmail-Adresse, die du öffnen kannst.
Öffne sie in Gmail auf einem Computer. Klicke neben «Antworten» auf Mehr (More) und dann auf Original anzeigen (Show original). Google beschreibt dieselben Schritte in seiner Hilfe zum Nachverfolgen einer E-Mail anhand des vollständigen Headers.
Suche den Header Authentication-Results, in dem der empfangende Server das Ergebnis seiner Prüfungen festhält (RFC 8601). Vergleiche drei Werte: die Domain nach smtp.mailfrom=, die Domain nach header.i=@ (manche Empfänger schreiben header.d=) und die Domain nach header.from=. E-Mail-Header lesen geht diese Zeile Schritt für Schritt durch.

So sieht eine Nachricht aus, die SPF und DKIM besteht und bei DMARC durchfällt. Der Header ist gekürzt und verwendet Beispieldomains:

From: anna@example.com
Return-Path: <bounces@send.vendor-mail.example>

Authentication-Results: mx.google.com;
       dkim=pass header.i=@vendor-mail.example header.s=s1;
       spf=pass smtp.mailfrom=bounces@send.vendor-mail.example;
       dmarc=fail header.from=example.com

Lies ihn von unten. Die From-Domain ist example.com. SPF hat bestanden, aber für send.vendor-mail.example. DKIM hat bestanden, aber die Signatur gehört zu vendor-mail.example. Keine von beiden ist example.com, also bürgt nichts für den Namen in der From-Zeile.

Nachdem der Dienst so eingerichtet wurde, dass er mit deiner Domain signiert, sieht dieselbe Nachricht so aus:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=s1;
       spf=pass smtp.mailfrom=bounces@send.vendor-mail.example;
       dmarc=pass header.from=example.com

SPF zeigt weiterhin auf den Dienstleister. Das ist in Ordnung. DKIM passt jetzt, und ein bestandenes Ergebnis mit passender Domain ist alles, was DMARC braucht.

Wie nah ist nah genug: relaxed und strict

Die beiden Domains müssen nicht identisch sein. Standardmässig gilt das lockere Alignment (relaxed): Es genügt, dass beide zur selben registrierten Domain gehören, die der Standard Organisationsdomain nennt. Das strenge Alignment (strict) verlangt eine exakte Übereinstimmung. Du wählst mit den Tags adkim für DKIM und aspf für SPF in deinem DMARC-Eintrag.

SPF oder DKIM hat bestanden für	From-Domain	Relaxed (Standard)	Strict
`example.com`	`example.com`	Passt	Passt
`mail.example.com`	`example.com`	Passt	Passt nicht
`example.com`	`news.example.com`	Passt	Passt nicht
`vendor-mail.example`	`example.com`	Passt nicht	Passt nicht

Der Standard hält fest, dass «fast alle Domaininhaber das lockere Alignment für ihre Bedürfnisse ausreichend fanden». Prüfe deinen eigenen Eintrag trotzdem. Der Beispieleintrag oben auf Googles Seite DMARC einrichten endet auf adkim=s; aspf=s, ein von dort kopierter Eintrag ist also strict. Hat deiner diese beiden Tags und sendet ein Tool von einer Subdomain, entferne sie. Google selbst warnt auf dieser Seite, das strenge Alignment könne «dazu führen, dass Nachrichten von zugehörigen Subdomains abgelehnt oder in den Spam verschoben werden».

Woher die Abweichung meist kommt

Ein Dienst, der von seinen eigenen Servern sendet

Newsletter-Plattformen, CRMs, Rechnungstools und Helpdesks senden deine Mails über ihre Infrastruktur. Bis du deine Domain verbindest, verwenden sie in der Regel eine Bounce-Adresse auf ihrer Domain und signieren mit ihrem eigenen Schlüssel. Amazons Dokumentation sagt offen, warum SPF-Alignment hier selten ist: Der Return-Path «wird für Bounces und Beschwerden verwendet, die der Anbieter (SES) über eine eigene Adresse verfolgt» (Amazon SES). Die Einstellung, die das behebt, heisst bei jedem Dienst anders, und sie endet mit ein paar DNS-Einträgen auf deiner Seite.

Dienst	Bevor du deine Domain verbindest	Die Einstellung, nach der du suchst
Twilio SendGrid	Die Mail wird als gesendet «via sendgrid.net» angezeigt.	Domain authentication: CNAME-Einträge für eine Bounce-Subdomain und zwei DKIM-Schlüssel.
Amazon SES	Der Return-Path ist eine Subdomain von `amazonses.com`.	Easy DKIM für die Signatur und eine custom MAIL FROM domain (eigene MAIL-FROM-Domain) für SPF.
Mailchimp	Die Domain ist verifiziert, aber nicht authentifiziert.	Email domain authentication: zwei CNAME-Einträge für DKIM.

Das sind die eigenen Beschreibungen der Anbieter, Stand Oktober 2026. Andere Dienste funktionieren nach demselben Muster. Suche in ihrer Hilfe nach «authenticate domain», «custom DKIM» oder «branded sending domain».

Dein Mailanbieter signiert mit seiner eigenen Domain oder gar nicht

Bei einem Postfach auf deiner eigenen Domain ist der Return-Path normalerweise deine eigene Adresse. SPF passt also, sobald dein SPF-Eintrag den Anbieter aufführt. Der Wert nach smtp.mailfrom= zeigt es dir. DKIM ist der Teil, den du einschalten musst.

Google Workspace. Bis du DKIM für deine Domain einschaltest, hat Google bisher mit einer seiner eigenen Domains signiert. Eine frühere Fassung von Googles Hilfeseite hielt fest, dass Gmail dann «mit diesem Standard-DKIM-Domainschlüssel: d=*.gappssmtp.com» signiert. Die aktuelle Seite nennt die Domain nicht mehr, prüfe also deinen eigenen Header: Ein header.i, das auf gappssmtp.com endet, bedeutet, dass dein Schlüssel nicht aktiv ist. Erzeuge ihn in der Admin-Konsole unter Apps, Google Workspace, Gmail, Authenticate email (E-Mail authentifizieren), lege den TXT-Eintrag an, der dir angezeigt wird, und klicke dann auf Start authentication (Authentifizierung starten) (DKIM einrichten).
Microsoft 365. Microsofts Dokumentation, aktualisiert im August 2026, hält fest: «Derzeit erfolgt für ausgehende Mails von benutzerdefinierten Domains keine DKIM-Signierung.» Du veröffentlichst zwei CNAME-Einträge und aktivierst das Signieren im Defender-Portal (DKIM für E-Mails in deiner eigenen Domain verwenden).

Der Eintrag, den du für einen DKIM-Schlüssel anlegst, liegt immer unterhalb von _domainkey, unter einem Namen, den der Anbieter wählt. Für Google Workspace sieht er so aus, mit gekürztem Schlüssel:

google._domainkey.example.com.  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..."

Ein Tool, das sich mit deinem Postfach verbindet und darüber sendet, fügt keine eigene Signatur hinzu. Mails aus einem solchen Tool sehen genau so aus wie Mails, die du von Hand schreibst. Die Lösung liegt also beim Mailanbieter und nicht im Tool.

Die Nachricht wurde weitergeleitet

Leitet ein Empfänger deine Mail automatisch weiter, kommt sie von einem Server, den dein SPF-Eintrag nicht aufführt. SPF schlägt fehl oder besteht für die Domain des Weiterleitenden. Eine DKIM-Signatur übersteht die Reise, solange niemand die Nachricht verändert. Mailinglisten, die eine Fusszeile oder ein Kürzel im Betreff ergänzen, brechen auch die Signatur. Von deiner Seite aus kannst du das nicht reparieren. Googles FAQ für Absender sagen, dass bei Gmail «für weitergeleitete Nachrichten und Nachrichten von Mailinglisten kein DMARC-Alignment erforderlich ist». Das ist der Grund, bei DKIM für Alignment zu sorgen und sich nicht allein auf SPF zu verlassen.

Ein versiegelter Brief wechselt von einem Postboot zum anderen; jedes Boot hat seinen eigenen Postsack mit Anhänger, und das Wachssiegel auf dem Brief ist unversehrt — Beim Weiterleiten werden der Postsack und sein Anhänger getauscht. Das Siegel auf dem Brief bleibt unversehrt.

Es ist nicht deine Mail

Zeigen deine DMARC-Berichte Fehlschläge von Servern, die du nie benutzt hast, sendet vielleicht jemand mit deiner Adresse. Diese Nachrichten sollen durchfallen. Es gibt nichts zu beheben, und sie sind das Argument für eine strengere Richtlinie später.

Zuerst DKIM beheben, dann SPF

Jedes von beiden reicht für ein «pass». DKIM ist das bessere von beiden, weil es mit der Nachricht reist. Die Best Practices der M3AAWG fassen es als Regel: «Signiere alle ausgehenden Mails mit einem DKIM-Schlüssel, der zur Domain des Headers RFC5322.From passt.» RFC 9989 empfiehlt, beide zu verwenden.

Liste alles auf, was im Namen deiner Domain sendet. Postfächer, das Newsletter-Tool, das CRM, Rechnungen, das Kontaktformular auf deiner Website. Deine DMARC-Berichte nennen die, die du vergessen hast.
Teste jeden Absender mit der Header-Prüfung oben und notiere, welche der beiden Domains nicht deine ist.
Schalte das Signieren mit deiner Domain ein, wo immer header.i einen anderen Namen zeigt, und veröffentliche die Einträge, die dir der Dienst gibt. Wähle einen 2048-Bit-Schlüssel, wenn dein Domain-Anbieter ihn annimmt. Gmail verlangt mindestens 1024 Bit und empfiehlt 2048.
Lege eine eigene Bounce-Domain fest, wo der Dienst das anbietet, auf einer Subdomain wie bounce.example.com. Damit passt auch SPF.
Sende den Test noch einmal und suche nach dmarc=pass. DNS-Änderungen können eine Weile dauern. Google rechnet mit bis zu 48 Stunden, bis ein neuer DKIM-Schlüssel wirkt.

Was nicht funktioniert: den Dienstleister in deine eigenen Einträge aufzunehmen. Ein include: für den Dienstleister in deinem SPF-Eintrag ändert nichts, wenn der Return-Path auf dessen Domain liegt, denn SPF schlägt den Eintrag jener Domain nach und nicht deinen. Auch ein DMARC-Eintrag kann keine vertrauenswürdigen Dritten aufführen. Der Standard sagt, dafür gebe es «keinen allgemein anerkannten Mechanismus».

Zeigt der Header dmarc=pass und die Nachricht landet trotzdem im Spam, ist die Authentifizierung nicht mehr die Ursache. SPF, DKIM und DMARC bestehen, aber die E-Mail landet trotzdem im Spam setzt dort an.

Was ein fehlschlagendes DMARC kostet, solange deine Richtlinie p=none ist

Mit p=none bittest du Empfänger, bei einem Fehlschlag nichts zu unternehmen. Wegen deiner Richtlinie wird also nichts abgelehnt. Trotzdem zählt es auf zwei Arten gegen dich.

Regeln für Massenversender. Gmail, Yahoo und Outlook.com verlangen von Massenversendern Mails mit Alignment, bei Gmail und Outlook.com heisst das ab 5’000 Nachrichten pro Tag. Googles FAQ für Absender führen den vorübergehenden Fehler 4.7.32 für Mails auf, deren From-Header «weder zur authentifizierten SPF- noch zur DKIM-Organisationsdomain passt», und nennen als Folge «vorübergehende oder dauerhafte Fehlercodes oder die Ablage im Spam-Ordner».
Es blockiert den nächsten Schritt. Sobald du auf p=quarantine oder p=reject wechselst, soll jede deiner eigenen Nachrichten ohne Alignment als Spam behandelt oder abgewiesen werden. Bei Gmail lautet der Bounce «Unauthenticated email from domain-name is not accepted due to domain's DMARC policy», Fehler 5.7.26 (DMARC-Probleme beheben).

Hast du gar keinen DMARC-Eintrag, beginne mit dem Eintrag, den du anlegen musst. Er schaltet auch die Berichte ein, die das Alignment für alle deine Absender auf einmal zeigen.

Was Warmup hier kann und was nicht

Ein Warmup repariert das Alignment nicht. WarmupBay verbindet sich mit deinem Postfach und sendet daraus. Seine Warmup-Mails werden also von deinem Anbieter genau so gesendet und signiert wie die Mails, die du selbst schreibst. Fällt dein Postfach bei DMARC durch, fallen sie mit durch. Bring zuerst die Einträge in Ordnung.

WarmupBay hilft beim Teil davor und beim Teil danach. Wenn du ein Postfach verbindest, prüft es SPF, DKIM und DMARC für die Domain, und es stoppt das Warmup, wenn sie nach 72 Stunden noch fehlen. Sobald sie stehen, tauscht dein Postfach täglich ein paar E-Mails mit anderen in einem gemeinsamen Pool aus, und das Dashboard zeigt, wo sie gelandet sind: Posteingang, Gmail-Tab oder Spam, getrennt für Google und für andere Anbieter. Mails aus deinem Newsletter-Tool oder CRM testet es nicht, weil die nie durch dein Postfach gehen, und Postfächer bei Microsoft 365 oder Outlook.com kann es noch nicht verbinden. Für 10 Warmup-Mails pro Tag ist es gratis. Verbinde dein Postfach, sobald der Header dmarc=pass zeigt.

Häufige Fragen

SPF besteht mit passender Domain, bei DKIM passt die Domain nicht. Reicht das?

Für DMARC ja. Ein bestandenes Ergebnis mit passender Domain genügt. Es genügt nicht mehr, sobald ein Empfänger deine Mail weiterleitet, denn dann passt SPF nicht mehr. Google schreibt zudem in seinen FAQ für Absender, dass das Alignment mit SPF und mit DKIM voraussichtlich zur Anforderung wird. Richte DKIM für deine Domain also trotzdem ein.

Warum schlägt DMARC bei manchen Empfängern fehl und besteht bei anderen?

Weil die Mail sie auf unterschiedlichen Wegen oder von unterschiedlichen Absendern erreicht. Ein Empfänger, der an ein anderes Postfach weiterleitet, oder eine Mailingliste verändert, was SPF und manchmal auch DKIM sehen. Es kann auch einer von mehreren Versanddiensten sein, der noch nicht eingerichtet ist. Aggregierte Berichte führen die Ergebnisse nach sendendem Server auf und zeigen, welcher Fall vorliegt.

Spielt die Reply-To-Adresse bei DMARC eine Rolle?

Nein. DMARC verwendet nur die Domain im From-Header. Die Reply-To-Adresse, der Anzeigename und der Sender-Header gehören nicht zur Prüfung.

Wie sehe ich Alignment-Probleme, ohne Header zu öffnen?

In den aggregierten DMARC-Berichten. Jeder Datensatz hat einen Block policy_evaluated mit einem dkim- und einem spf-Ergebnis; das sind die Ergebnisse nach der Alignment-Prüfung. Der Block auth_results darunter zeigt die Rohergebnisse und die Domains, für die sie galten. Ein rohes «pass» neben einem ausgewerteten «fail» ist genau der Fall auf dieser Seite. Du bekommst die Berichte, indem du in deinem DMARC-Eintrag eine rua-Adresse ergänzt.

Im Header steht dkim=fail oder dkim=neutral. Ist das dasselbe Problem?

Nein. Dann liess sich die Signatur selbst nicht bestätigen, und das ist ein anderer Fehler. Lautet der Text body hash did not verify, nennt Googles Seite zur Fehlerbehebung die Ursache: Die Nachricht wurde nach dem Signieren verändert, zum Beispiel durch ein Gateway, das eine Fusszeile anhängt. Beim Alignment geht es um eine Signatur, die gültig ist, aber zu einer anderen Domain gehört.

Brauche ich für jeden Dienst, der für mich sendet, einen eigenen DKIM-Schlüssel?

In der Praxis ja. Jeder Dienst signiert mit seinem eigenen Schlüssel und veröffentlicht ihn unter einem eigenen Selektornamen unterhalb von _domainkey auf deiner Domain. So liegen mehrere Schlüssel nebeneinander, ohne sich in die Quere zu kommen. Das ist anders als bei SPF, wo eine Domain nur einen Eintrag haben darf.