SPF prüft die Berechtigung des sendenden Servers, DKIM eine digitale Signatur und DMARC zusätzlich den Bezug zur sichtbaren Absenderdomain. In Klaviyo richtest du dafür eine eigene Branded Sending Domain mit den im Konto erzeugten NS- oder CNAME-Einträgen ein. DMARC musst du für deine Markendomain gesondert berücksichtigen. Kopiere keine fremden DNS-Werte und verschärfe eine vorhandene DMARC-Richtlinie erst, wenn alle legitimen Versanddienste geprüft sind.
Warum SPF, DKIM und DMARC zusammengehören
Eine Newsletter-Absenderadresse lässt sich leicht hinschreiben. Ob der Versand tatsächlich zu deiner Marke gehört, muss der empfangende Mailserver technisch überprüfen. Genau dafür gibt es SPF, DKIM und DMARC. Die drei Verfahren ergänzen sich, beantworten aber unterschiedliche Fragen. Wer sie als drei austauschbare Häkchen betrachtet, übersieht oft das eigentliche Problem.
Für alle Absender an private Gmail-Adressen verlangt Google mindestens SPF oder DKIM. Für Massenversender kommen beide Verfahren und DMARC hinzu. Die Anforderungen betreffen allerdings mehr als Authentifizierung: etwa TLS, geringe Spam-Beschwerden und bei Marketing-Mails die vorgeschriebene einfache Abmeldung. Ein grüner DNS-Test allein erfüllt deshalb noch nicht sämtliche Versandanforderungen.
Auch ein kleiner Shop profitiert von einer nachvollziehbaren Versandbasis. Entscheidend ist nicht nur der heutige Newsletter, sondern die gesamte Domain: Bestellbestätigungen, Support, Rechnungen und andere Marketingdienste können dieselbe Marke als Absender nutzen. Änderungen müssen diese Dienste mit berücksichtigen.
SPF: Darf dieser Server für die technische Absenderdomain senden?
SPF steht für Sender Policy Framework. Der empfangende Server überprüft, ob die sendende IP-Adresse für die Domain des technischen Envelope-Absenders autorisiert ist. Diese Domain findest du typischerweise im Zusammenhang mit dem Return-Path beziehungsweise der SMTP-MAIL-FROM-Adresse. Sie muss nicht dieselbe Domain sein, die der Empfänger im sichtbaren Von-Feld sieht.
Das ist der wichtigste Unterschied für die Praxis: Ein SPF-Pass beweist nicht automatisch, dass die sichtbare Absenderadresse zu deiner Marke passt. Ein Versanddienst kann seine eigene technische Domain erfolgreich authentifizieren, obwohl deine Markendomain im Von-Feld steht. Den zusätzlichen Zusammenhang prüft DMARC.
Laut Klaviyo ist normalerweise kein zusätzlicher SPF-Eintrag an deiner Hauptdomain nötig, nur weil du Klaviyo verwenden möchtest. Die benötigte Authentifizierung ergibt sich aus der vorgesehenen Infrastruktur und der Domain-Einrichtung. Ein pauschaler Rat, irgendeinen Klaviyo-Include in einen bestehenden Record einzufügen, ist deshalb kein verlässlicher Einrichtungsweg.
Wenn du einen SPF-Eintrag ändern musst, prüfe zuerst den exakten Hostnamen und dessen vorhandenen Record. Mehrere SPF-Records am selben Hostnamen können die Auswertung scheitern lassen. Auch lange Ketten verschachtelter Includes sind problematisch, weil SPF die Zahl der dafür nötigen DNS-Abfragen begrenzt. Weitere Versanddienste gehören nicht ungeprüft in dieselbe Konfiguration.
DKIM: Ist die Nachricht mit einer passenden Domain signiert?
DKIM ergänzt eine kryptografische Signatur im Nachrichtenkopf. Der empfangende Server kann den dazugehörigen öffentlichen Schlüssel per DNS abrufen und prüfen, ob die signierten Bestandteile seit der Signatur verändert wurden. Im DKIM-Header zeigt der Parameter d=, welche Domain für die Signatur steht.
Bei einer eigenen Klaviyo-Versanddomain werden die nötigen DKIM-Einstellungen über die von Klaviyo erzeugten DNS-Einträge eingebunden. Die genaue Einrichtung hängt vom gewählten Routing ab. Eine alte Anleitung mit festen Selektornamen ist keine sichere Vorlage für jedes Konto und jeden Versandtyp.
DKIM ist außerdem keine Ende-zu-Ende-Verschlüsselung deiner Nachricht. Die Signatur schützt nicht automatisch sämtliche Header und macht einen Newsletter nicht vertraulich. Für die Zustellprüfung interessiert vor allem, ob die Signatur gültig ist und ob ihre Domain im Sinne von DMARC zur sichtbaren Absenderdomain passt.
DMARC: Authentifizierung plus Domain-Alignment
DMARC verbindet die Authentifizierungsprüfung mit der Domain im sichtbaren From-Header. Für einen DMARC-Pass muss mindestens ein erfolgreicher Weg passen: SPF mit passendem Domain-Abgleich oder DKIM mit passendem Domain-Abgleich. Dieses Alignment ist mehr als ein beliebiger SPF- oder DKIM-Pass.
Die separate Google-Anforderung, dass Massenversender SPF und DKIM einrichten, bleibt trotzdem bestehen. „Für DMARC genügt ein ausgerichteter erfolgreicher Weg“ bedeutet nicht „eines der beiden Verfahren kannst du als Massenversender weglassen“. Diese beiden Aussagen werden in verkürzten Anleitungen häufig miteinander verwechselt.
Der sichtbare Absender ist newsletter@example.com. Die Nachricht trägt eine gültige DKIM-Signatur mit d=send.example.com. Bei gelockertem Alignment können diese Domains zusammenpassen, weil sie dieselbe organisatorische Domain verwenden. Eine gültige Signatur einer völlig fremden Domain würde diesen Bezug nicht herstellen.
Beim üblichen gelockerten Abgleich dürfen passende Subdomains zur gleichen organisatorischen Domain gehören. Beim strengen Abgleich müssen die betreffenden Domainnamen exakt übereinstimmen. Welche Einstellung vorliegt, erkennst du an den DMARC-Parametern für SPF und DKIM. Verschärfe sie nicht allein deshalb, weil „strict“ sicherer klingt: Eine bisher gültige Subdomain-Konfiguration kann dadurch den Abgleich verlieren.
Was none, quarantine und reject bedeuten
- none: keine zusätzliche Zurückweisung allein aufgrund der veröffentlichten DMARC-Richtlinie verlangen; vorhandene Daten auswerten.
- quarantine: Empfänger bitten, fehlgeschlagene Nachrichten als verdächtig zu behandeln, etwa im Spamordner.
- reject: Empfänger bitten, Nachrichten mit fehlgeschlagener DMARC-Prüfung abzulehnen.
Das sind veröffentlichte Richtlinien, keine Zustellgarantien. Empfangende Anbieter wenden zusätzlich eigene Regeln an. Auch mit p=none kann eine Nachricht im Spam landen. Umgekehrt ist diese Beobachtungsrichtlinie noch kein umfassender Schutz vor Domain-Spoofing.
DMARC-Berichte erhältst du nicht allein durch das Wort „none“. Dafür muss die Berichterstattung passend konfiguriert sein, etwa mit einem dafür vorgesehenen Berichtsempfänger. Lege vorher fest, wer die Berichte auswertet und wie ein eventuell eingesetzter Dienst mit den enthaltenen Informationen umgeht. Ein unbetreutes Postfach schafft noch keine Kontrolle.
„Bei unseren Kunden ist mir wichtig, dass wir einen gültigen SPF-Eintrag nicht mit einer vollständig geprüften Versandbasis verwechseln. Für DMARC muss auch der Domain-Abgleich passen. Eine strengere Richtlinie ist erst dann sinnvoll, wenn die legitimen Versanddienste sauber berücksichtigt sind.“
Was Klaviyo übernimmt – und was dein Team prüfen muss
Klaviyo kann auch über gemeinsam genutzte Domains technisch authentifizieren. Das ersetzt jedoch nicht automatisch das Alignment mit deiner eigenen Markendomain. Die Branded Sending Domain stellt den dafür wichtigen Markenbezug her. Die sichtbare Absenderadresse muss ebenfalls zur vorgesehenen Konfiguration passen.
Bei Dynamic Routing delegierst du die gewählte Versandsubdomain über NS-Einträge an Klaviyo. Bei Static Routing kommen CNAME-Einträge zum Einsatz. Klaviyo verwaltet darüber die benötigten Authentifizierungsbestandteile. Die richtigen Werte stammen immer aus deinem Konto, nicht aus der DNS-Liste eines anderen Shops.
DMARC betrifft dagegen den Versand unter deiner Marke insgesamt. Eine Änderung kann auch Geschäftspostfächer, Rechnungssoftware und andere Dienstleister treffen. Deshalb sollte die Entscheidung über eine strengere Richtlinie nicht allein im Newsletter-Team fallen. Den praktischen Einrichtungsweg findest du in unserer Anleitung zur Klaviyo-Absenderdomain.
Der sichere Prüfablauf für deinen Onlineshop
1. Alle legitimen Versandwege erfassen
Liste die Dienste auf, die unter deiner Domain Nachrichten verschicken. Notiere sichtbare Absender, technische Versanddomains und die verantwortlichen Personen. Erfasse auch seltene Nachrichten wie Rechnungen oder Passwortmails. Ein einzelner Newsletter-Test kann diese Versandwege nicht stellvertretend freigeben.
2. DNS-Bestand sichern und Klaviyo-Werte abgleichen
Dokumentiere die vorhandenen Records vor Änderungen. Vergleiche Hostnamen, Typen und Zielwerte mit der aktuellen Klaviyo-Einrichtung. Manche DNS-Oberflächen ergänzen die Hauptdomain automatisch; vollständig eingefügte Namen können dann doppelt erscheinen. Delegiere keine Hauptdomain, wenn Klaviyo lediglich eine Subdomain verlangt.
Beachte bei Dynamic Routing außerdem, wer für die delegierte Subdomain zuständig ist: Die NS-Einträge stehen bei deinem bisherigen DNS-Anbieter, die weiteren Records dieser Subdomain werden von Klaviyo verwaltet. Zusätzliche Einträge für diese delegierte Zone müssen deshalb über die dafür vorgesehene Verwaltung in Klaviyo erfolgen. Ein nachträglich beim bisherigen Anbieter eingefügter TXT-Eintrag für dieselbe Subdomain kann sonst wirkungslos bleiben, obwohl er in dessen Oberfläche sichtbar ist.
3. Aktivierung und echte Nachricht kontrollieren
Prüfe, ob die Versanddomain in Klaviyo tatsächlich aktiv ist. Versende anschließend eine kontrollierte Nachricht über die reguläre Versandstrecke. Öffne beim Empfänger die Originalnachricht und untersuche die vertrauenswürdigen Authentifizierungsergebnisse des empfangenden Systems, nicht nur die optische Darstellung im Editor.
Interessant sind etwa spf=pass, dkim=pass und dmarc=pass, jeweils mit den dazugehörigen Domains. Notiere beim Fehler nicht bloß „SPF kaputt“, sondern welche Domain und welcher Versandweg betroffen sind. So wird aus einem allgemeinen Alarm eine überprüfbare Aufgabe.
4. Monitoring ergänzen und Richtlinien schrittweise entwickeln
Beobachte nach Änderungen auch die anderen legitimen Versanddienste. Google Postmaster kann zusätzliche Signale für authentifizierten Versand an private Gmail-Konten liefern, benötigt aber genügend Daten. Fehlende Werte sind bei neuen oder kleinen Versandmengen nicht automatisch ein Fehler. Unsere Postmaster-Anleitung erklärt Einrichtung und Grenzen.
Diese Fehler kosten unnötig Zeit
Ein zusätzlicher SPF-Record, ein zweiter DMARC-Record am selben Namen oder ein vorschnelles p=reject sind keine Abkürzungen. Ebenso wenig hilft es, funktionierende DKIM-Einträge vorsorglich zu löschen, weil eine neuere Anleitung andere Namen zeigt. Erst den betroffenen Dienst und die tatsächliche Ursache identifizieren, dann gezielt ändern.
Wenn nach einer Umstellung die Öffnungsrate fällt, beweist das noch keinen Authentifizierungsfehler. Prüfe die Nachricht und die begleitenden Kennzahlen. Der Diagnoseleitfaden zu sinkenden Klaviyo-Öffnungsraten hilft, technische Fehler von Mess- und Zielgruppeneffekten zu trennen.
Checkliste für deine Versandbasis
- Alle legitimen Dienste und ihre Absenderdomains sind bekannt.
- Die Klaviyo-Versanddomain ist korrekt eingerichtet und aktiv.
- SPF und DKIM werden an tatsächlich versendeten Nachrichten geprüft.
- Mindestens ein erfolgreicher Authentifizierungsweg erfüllt das DMARC-Alignment.
- Die DMARC-Richtlinie berücksichtigt auch andere Versanddienste.
- Änderungen, Zuständigkeiten und weitere Kontrollen sind dokumentiert.
Häufige Fragen
Muss ich SPF für Klaviyo selbst neu erstellen?
Normalerweise nicht pauschal an der Hauptdomain. Klaviyo bindet die benötigte Authentifizierung über seine Versandinfrastruktur und die erzeugten Domain-Einträge ein. Verändere bestehende SPF-Werte nur nach Prüfung des konkreten Versandwegs.
Reichen SPF und DKIM ohne DMARC?
Damit fehlen die zusätzliche Alignment-Prüfung und die veröffentlichte Richtlinie für deine Marke. Für Googles Massenversender-Anforderungen ist DMARC ebenfalls erforderlich. Die drei Verfahren haben unterschiedliche Aufgaben.
Warum steht trotz gültiger DNS-Einträge dmarc=fail in einer Nachricht?
Ein DNS-Check zeigt, dass bestimmte Records vorhanden sind. Er beweist nicht, dass diese konkrete Mail mit der richtigen Domain und Signatur verschickt wurde. Kontrolliere deshalb die sichtbare From-Domain, den technischen SPF-Absender, die DKIM-Signaturdomain und die eingestellten Alignment-Regeln. Eine vorhandene Richtlinie repariert keinen fehlenden Domain-Abgleich.
Ist mit erfolgreicher Prüfung die Zustellbarkeit garantiert?
Nein. Authentifizierung ist eine Grundlage. Beschwerden, Einwilligung, Listenqualität und Versandverhalten beeinflussen weiterhin, ob Nachrichten angenommen werden und im Posteingang landen.