SPF, DKIM und DMARC in Exchange Online: Einrichtung der E-Mail-Authentifizierung

Von Mirko Peters · 2026-10-29

Erfahren Sie, wie Sie SPF, DKIM und DMARC in Exchange Online konfigurieren, um Ihre Domain abzusichern, Spoofing zu verhindern und eine hohe Zustellrate für E-Mails zu erreichen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die ausgehenden und eingehenden E-Mails Ihrer Organisation in Microsoft 365 abzusichern, erfordert die korrekte Konfiguration von SPF, DKIM und DMARC. Dieser Leitfaden erklärt, wie diese drei zentralen E-Mail-Authentifizierungsprotokolle in Exchange Online zusammenwirken, um Ihre Domain vor Spoofing, Phishing-Angriffen und unerwünschten Zustellfehlern zu schützen.

Das Wichtigste in Kürze

• SPF legt fest, welche Mailserver berechtigt sind, E-Mails im Namen Ihrer benutzerdefinierten Domain zu versenden.
• DKIM signiert ausgehende Nachrichten kryptografisch, um zu überprüfen, ob der E-Mail-Inhalt während der Übertragung nicht verändert wurde.
• DMARC nutzt die Ergebnisse von SPF und DKIM, um festzulegen, wie empfangende Server nicht authentifizierte E-Mails behandeln sollen, die vorgeben, von Ihrer Organisation zu stammen.
• Das standardmäßige Routing über onmicrosoft.com bietet eine grundlegende Zustellung, benutzerdefinierte Domains erfordern jedoch explizite SPF- und DKIM-Einträge in Ihrem öffentlichen DNS.
• Eine aussagekräftige DMARC-Überwachung beginnt mit der Richtlinie „none“, bevor Sie zu einer strengen Quarantäne oder Ablehnung übergehen.

Grundlagen der E-Mail-Authentifizierung in Exchange Online

Bei der Migration zu Exchange Online konzentrieren sich Organisationen oft stark auf die Postfachmigration, Hybrid-Connectoren und die Freigabe von Kalendern. Doch ein korrekter E-Mail-Fluss erfordert weit mehr, als nur MX-Einträge auf Microsoft zu verweisen. Ohne ordnungsgemäße E-Mail-Authentifizierung landen legitime geschäftliche Nachrichten häufig im Spam-Ordner oder, schlimmer noch, Bedrohungsakteure fälschen Ihre Markenidentität problemlos.

E-Mail-Authentifizierungsprotokolle fungieren als digitaler Reisepass und Sicherheitsposten für Ihre Domain. Wenn ein Exchange Online-Postfach eine E-Mail an einen externen Empfänger wie Gmail oder Yahoo sendet, verlangen die empfangenden Server absoluten Nachweis, dass die Nachricht tatsächlich von Ihrer Organisation stammt und nicht von einem böswilligen Dritten gefälscht wurde. Genau hier wird das Dreigestirn aus SPF, DKIM und DMARC für jeden modernen Cloud-Administrator unverzichtbar.

Die Rolle von SPF in Exchange Online

Das Sender Policy Framework (SPF) ist ein grundlegender TXT-Eintrag, der beim öffentlichen DNS-Anbieter Ihrer Domain veröffentlicht wird. Er listet ausdrücklich die IP-Adressen und autorisierten Dienste auf, die E-Mails im Namen Ihrer Domain versenden dürfen. Für einen Exchange Online-Mandanten muss Ihr SPF-Eintrag den Include-Mechanismus von Microsoft enthalten.

Ein typischer SPF-Eintrag für Exchange Online ist erstaunlich einfach und enthält in der Regel include:spf.protection.outlook.com. Wenn ein externer Server eine E-Mail von Ihrer Domain erhält, fragt er Ihr öffentliches DNS ab, prüft den SPF-Eintrag und bewertet, ob die IP-Adresse des sendenden Servers in Ihrer Liste autorisierter Absender enthalten ist. Wenn Ihre Organisation Marketing-Tools, Ticketsysteme oder HR-Plattformen nutzt, die in Ihrem Namen E-Mails versenden, müssen diese Dienste sorgfältig in den einen SPF-Eintrag integriert werden, um Syntaxfehler und Überschreitungen des Abfragelimits zu vermeiden.

DKIM-Signierung einrichten

Während SPF den sendenden Server überprüft, validiert DomainKeys Identified Mail (DKIM) die Integrität der Nachricht selbst. DKIM fügt dem Header jeder ausgehenden E-Mail eine digitale Signatur hinzu. Diese Signatur ist kryptografisch mit einem öffentlichen Schlüssel verknüpft, der in den DNS-Einstellungen Ihrer Domain veröffentlicht wird.

Exchange Online lässt sich über das Microsoft Defender-Portal unkompliziert für DKIM konfigurieren, erfordert jedoch das Anlegen spezifischer CNAME-Einträge bei Ihrem externen DNS-Registrar. Nach der Aktivierung signiert Exchange Online ausgehende Nachrichten automatisch. Wenn ein Angreifer Ihre E-Mail auf dem Weg abfängt und verändert, schlägt die kryptografische Hash-Prüfung fehl. Das Empfänger-Gateway erkennt sofort, dass die Nachricht manipuliert wurde. Die Aktivierung von DKIM ist ein Pflichtschritt, um die Zustellbarkeit bei großen Consumer- und Enterprise-E-Mail-Anbietern zu verbessern.

DMARC-Richtlinien durchsetzen

Domain-based Message Authentication, Reporting, and Conformance (DMARC) führt SPF und DKIM in einer einheitlichen Richtlinie zusammen. Ein DMARC-Eintrag legt fest, was empfangende Mailserver tun sollen, wenn eine eingehende Nachricht sowohl die SPF- als auch die DKIM-Prüfung nicht besteht. Entscheidend ist außerdem, dass DMARC Ausrichtungsregeln (Alignment) einführt. Sie stellen sicher, dass die Domain, die Endbenutzern im Header „Von“ angezeigt wird, mit den Domains übereinstimmt, die über SPF und DKIM authentifiziert wurden.

Wenn Sie mit DMARC in Exchange Online beginnen, sollten Administratoren immer mit einer reinen Überwachungsrichtlinie (p=none) starten. Diese Einstellung weist die empfangenden Server an, täglich XML-Aggregat- und Forensikberichte an eine festgelegte Berichtsadresse zu senden, ohne E-Mails zu blockieren. Die Auswertung dieser Berichte hilft IT-Administratoren, unautorisierte Absender zu erkennen, fehlkonfigurierte interne Systeme zu korrigieren und die Richtlinie schrittweise auf p=quarantine und schließlich auf p=reject umzustellen, um den Schutz der Domain zu maximieren.

Typische Fallstricke beim Mailfluss beheben

Selbst mit korrekten DNS-Konfigurationen stoßen Administratoren, die den Mailfluss in Exchange Online verwalten, auf schwer erkennbare Stolpersteine. Ein häufiges Problem tritt bei Hybridbereitstellungen auf, bei denen E-Mails sowohl über lokale Exchange-Server als auch über Exchange Online Protection (EOP) geroutet werden. Fehlen internen Relay-Connectors die nötigen Berechtigungen oder Quell-IP-Deklarationen, können ausgehende Nachrichten die DKIM-Signatur beschädigen oder SPF-Softfails auslösen.

Eine weitere häufige Herausforderung entsteht, wenn Drittanwendungen über SMTP-Clientübermittlung oder Direct Send E-Mails über Exchange Online versenden. Verwenden diese Anwendungen Ihre primäre benutzerdefinierte Domain in der Absenderadresse, ohne dass sie in Ihrem SPF-Eintrag ausdrücklich autorisiert oder über ein app-spezifisches Postfach authentifiziert sind, markieren Spamfilter Ihre Nachrichten schnell. Die Analyse der Nachrichtenverfolgung im Exchange Admin Center hilft dabei, diese Authentifizierungslücken zu finden, bevor sie den täglichen Geschäftsbetrieb beeinträchtigen.

Fazit und nächste Schritte

Eine benutzerdefinierte Domain in Exchange Online abzusichern, geht weit über die Erstellung von Postfächern und die Freigabe von Kalendern hinaus. Wer SPF, DKIM und DMARC beherrscht, sorgt dafür, dass die Kommunikation Ihrer Organisation vertrauenswürdig und regelkonform bleibt und weltweit sicher im Posteingang der Empfänger ankommt. Um die grundlegende Mailarchitektur, freigegebene Postfächer sowie Strategien für Cloud und Hybrid kennenzulernen, sollten Sie sich unbedingt die vollständige Episode anhören. Dort erhalten Sie eine klare, fachsprachenfreie Erklärung dessen, was in Microsofts führender E-Mail-Engine passiert.

Häufige Fragen

Wie lautet der SPF-Include-String für Exchange Online?

Der Standard-SPF-Include-String für Microsoft 365 Exchange Online lautet include:spf.protection.outlook.com. Damit weisen Sie empfangende Server an, der autorisierten Cloud-Versandinfrastruktur von Microsoft für Ihre Domain zu vertrauen.

Aktiviert Exchange Online DKIM automatisch?

Nein. Microsoft stellt zwar die Infrastruktur bereit, Administratoren müssen DKIM jedoch manuell im Microsoft Defender-Portal aktivieren und die erforderlichen CNAME-Einträge beim öffentlichen DNS-Registrar veröffentlichen.

Welche DMARC-Richtlinie empfiehlt sich zum Start?

Empfohlen wird zunächst p=none. Damit sammeln Sie DMARC-Aggregat- und Forensikberichte, ohne die E-Mail-Zustellung zu beeinträchtigen. So erkennen Sie legitime Absender, bevor Sie strengere Quarantäne- oder Reject-Richtlinien durchsetzen.

Warum landen meine Exchange Online-E-Mails im Spam?

E-Mails landen häufig im Spam, wenn Ihre Domain keine korrekt konfigurierten SPF-, DKIM- oder DMARC-Einträge besitzt oder die IP-Adresse des Absenders einen schlechten Reputationsverlauf hat. Die Einrichtung dieser Authentifizierungsprotokolle stärkt die Absenderreputation und sorgt für eine korrekte Platzierung im Posteingang.