Du hast die Offerte geschickt. Der Kunde hat sie nie gesehen.

Zwei Wochen später rufst du an. "Habt ihr die Offerte bekommen?" Stille. Dann: "Nein, da kam nichts."

Du schaust in deinen Postausgang. Die Mail ist raus. Kein Bounce, keine Fehlermeldung, nichts. Sie ist einfach angekommen – im Spam-Ordner. Und den öffnet niemand.

Das passiert nicht, weil du schlecht schreibst. Es passiert, weil dein Mailserver dem Empfänger nicht beweisen kann, dass du wirklich du bist. Drei DNS-Einträge fehlen oder sind falsch. Mehr steckt meistens nicht dahinter.

Wir schauen uns bei Neukunden immer als Erstes die Mail-Authentifizierung an. Bei rund zwei Drittel der Schweizer KMU-Domains, die uns unter die Finger kommen, ist mindestens einer der drei Einträge kaputt, unvollständig oder gar nicht vorhanden. Bei DMARC sieht es noch düsterer aus.

Warum das mehr kostet als eine verlorene Offerte

Rechne kurz mit. Du verschickst pro Monat 200 Offerten, Rechnungen und Terminbestätigungen. Wenn 8 Prozent im Spam landen, sind das 16 Mails, von denen du nichts weisst.

Bei einem durchschnittlichen Auftragswert von 4'000 Franken und einer Abschlussquote von 25 Prozent verlierst du pro Monat rund 16'000 Franken Umsatz. Nicht wegen deiner Leistung. Wegen eines fehlenden TXT-Records.

Und es wird schlimmer, nicht besser:

Google und Yahoo haben im Februar 2024 die Regeln verschärft. Wer mehr als 5'000 Mails pro Tag an Gmail-Adressen schickt, braucht zwingend SPF, DKIM und DMARC. Wer weniger verschickt, braucht mindestens SPF oder DKIM. Ohne kommt die Mail gar nicht mehr durch.

Microsoft ist 2025 nachgezogen. Outlook.com, Hotmail und Live behandeln nicht authentifizierte Mails von grösseren Absendern seit Mai 2025 gleich: Spam-Ordner oder direkte Ablehnung.

Und dann ist da noch der Betrug. Ohne DMARC kann jeder eine Mail mit deiner Absenderadresse verschicken. Buchstäblich jeder. Ein Angreifer schreibt im Namen deiner Buchhaltung an deinen Kunden: "Unsere Bankverbindung hat geändert, bitte überweisen Sie neu auf folgendes Konto." Das nennt sich CEO-Fraud oder Rechnungsbetrug, und das Bundesamt für Cybersicherheit meldet dazu jede Woche neue Fälle aus der Schweiz.

Der Kunde verliert Geld. Du verlierst den Kunden. Und dein Ruf hängt an einer Domain, die du nie abgesichert hast.

Was diese drei Abkürzungen wirklich machen

Vergiss die technischen Definitionen für eine Minute. Stell dir vor, du schickst einen Brief.

SPF: Die Liste, wer in deinem Namen Post aufgeben darf

SPF steht für Sender Policy Framework. Es ist eine Liste von Servern, die in deinem Namen Mails verschicken dürfen. Diese Liste hinterlegst du als TXT-Eintrag in deiner Domain.

Der Empfängerserver schaut nach: "Diese Mail kommt angeblich von webtree.ch und wurde von Server X verschickt. Steht Server X auf der Liste?" Wenn nein: verdächtig.

So sieht ein SPF-Eintrag aus:

v=spf1 include:spf.protection.outlook.com include:spf.infomaniak.ch -all

Übersetzt: Microsoft 365 darf, Infomaniak darf, alle anderen nicht. Das Minus vor dem "all" ist der entscheidende Teil. Es bedeutet "hard fail" – alles andere ablehnen.

Ganz viele Schweizer KMU haben stattdessen ein Tilde-Zeichen dort stehen. Das heisst "softfail" und bedeutet im Klartext: "Eigentlich nicht erlaubt, aber lass es trotzdem durch." Damit ist der ganze Eintrag praktisch wertlos.

Die Falle bei SPF: Du darfst maximal 10 DNS-Abfragen auslösen. Jedes "include" zählt, und die inkludierten Einträge zählen mit ihren eigenen Includes weiter. Wenn du Microsoft 365, Mailchimp, dein CRM, dein Buchhaltungstool und dein Kontaktformular drin hast, sprengst du das Limit. Dann ist dein SPF-Eintrag ungültig – und zwar komplett, nicht nur teilweise.

DKIM: Das Siegel auf dem Umschlag

DKIM steht für DomainKeys Identified Mail. Dein Mailserver unterschreibt jede ausgehende Mail kryptografisch. Der öffentliche Schlüssel liegt in deinem DNS, der private auf dem Server.

Der Empfänger prüft die Unterschrift. Stimmt sie, ist die Mail unterwegs nicht verändert worden und kommt tatsächlich von deiner Domain.

Der DNS-Eintrag steht unter einem sogenannten Selector, zum Beispiel:

selector1._domainkey.deinefirma.ch

Nimm 2048-Bit-Schlüssel, nicht 1024. Und wichtig: DKIM ist bei den meisten Providern nicht automatisch aktiv. Bei Microsoft 365 musst du es im Defender-Portal explizit einschalten, sonst signiert Microsoft mit seiner eigenen Domain – und das bringt dir für die Ausrichtung auf deine Domain gar nichts.

DMARC: Die Anweisung, was bei Verdacht passieren soll

SPF und DKIM prüfen. DMARC entscheidet, was mit dem Prüfergebnis passiert. Und – das ist der eigentliche Clou – DMARC schickt dir Berichte darüber, wer in deinem Namen Mails verschickt.

Der Eintrag liegt unter _dmarc.deinefirma.ch und sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.ch; fo=1

Das "p" ist die Policy, und es gibt drei Stufen:

p=none – nur beobachten, nichts blockieren. Dein Startpunkt.
p=quarantine – verdächtige Mails in den Spam-Ordner.
p=reject – verdächtige Mails komplett ablehnen. Das Ziel.

Wer bei p=none stehen bleibt, hat DMARC nicht eingerichtet. Er hat einen Rauchmelder installiert und die Batterie weggelassen. Trotzdem stehen die allermeisten Schweizer KMU-Domains genau dort – oft seit Jahren, weil irgendwann jemand "DMARC gemacht" hat und dann nie weiterging.

Alignment: Der Teil, den fast alle übersehen

Hier scheitern die meisten Setups, obwohl alle drei Einträge sauber aussehen.

DMARC prüft nicht nur, ob SPF oder DKIM bestanden haben. Es prüft, ob die geprüfte Domain zur Absenderadresse passt, die dein Kunde im Mailprogramm sieht.

Konkretes Beispiel: Du verschickst deinen Newsletter über einen externen Dienst. SPF besteht – aber auf die Domain des Dienstleisters, nicht auf deine. Im Postfach steht "info@deinefirma.ch". DMARC vergleicht beides, sieht zwei verschiedene Domains und lässt die Prüfung durchfallen.

Deshalb reicht es nicht, bei deinem Newsletter-Tool einfach den SPF-Eintrag zu ergänzen. Du musst dort eine eigene Absender-Subdomain verifizieren, damit auch DKIM auf deine Domain signiert. Jeder seriöse Anbieter bietet das an. Man muss es nur machen.

Die Anleitung: 30 Minuten, sechs Schritte

Schritt 1: Bestandsaufnahme

Geh auf mxtoolbox.com oder learndmarc.com und prüfe deine Domain. Du siehst in zwei Minuten, was vorhanden ist und was fehlt. Notiere dir, was rauskommt – das ist dein Ausgangspunkt.

Schritt 2: Alle Absender auflisten

Das ist der Schritt, den alle überspringen, und genau deshalb geht es später schief. Schreib auf, was in deinem Namen Mails verschickt:

Der Mailserver (Microsoft 365, Google Workspace, Infomaniak, Hostpoint, cyon)
Das Kontaktformular auf der Website
Der Newsletter-Dienst
Das CRM oder ERP
Die Buchhaltungssoftware, die Rechnungen und Mahnungen verschickt
Das Terminbuchungs-Tool
Der Ticket- oder Support-Kanal

Bei einem 12-Personen-Betrieb in Schaffhausen kamen wir kürzlich auf neun verschiedene Systeme. Der Inhaber hatte mit dreien gerechnet.

Schritt 3: SPF sauber setzen

Ein einziger SPF-Eintrag pro Domain. Nicht zwei, nicht drei – zwei SPF-Records machen den Eintrag ungültig. Alle Absender aus Schritt 2 rein, am Ende ein Minus-all.

Wenn du über zehn DNS-Lookups kommst: Nutze Subdomains für einzelne Dienste, zum Beispiel news.deinefirma.ch für den Newsletter, oder setz einen SPF-Flattening-Dienst ein.

Schritt 4: DKIM überall aktivieren

Für jedes System aus Schritt 2 einzeln. Bei Microsoft 365 im Defender-Portal, bei Google Workspace in der Admin-Konsole, bei Infomaniak und Hostpoint im Kundenbereich. Externe Tools geben dir CNAME- oder TXT-Einträge, die du beim Domain-Registrar hinterlegst.

Bei Schweizer Hostern liegt DNS und Mail oft am selben Ort – das macht es einfacher. Wenn deine Domain bei einem Registrar liegt und die Mails woanders laufen, musst du die Einträge dort setzen, wo die Nameserver zeigen. Nicht beim Registrar, wenn der die DNS-Zone nicht verwaltet.

Schritt 5: DMARC mit p=none starten und Berichte lesen

Fang bei p=none an. Nicht aus Feigheit, sondern weil du erst sehen willst, wer da alles sendet. Die Reports kommen als XML-Dateien – unlesbar von Hand. Nutz ein Auswertungs-Tool, viele haben für kleine Volumen einen Gratis-Tarif.

Nach zwei bis vier Wochen weisst du: Diese Systeme senden, diese bestehen die Prüfung, diese nicht. Und manchmal siehst du dort auch Server, die du nie autorisiert hast. Das ist dann kein Konfigurationsfehler mehr, das ist ein Vorfall.

Schritt 6: Hochziehen auf reject

Wenn alle legitimen Absender sauber durchlaufen, geh auf p=quarantine mit pct=25. Das wendet die Regel auf ein Viertel der Mails an. Nach zwei Wochen ohne Beschwerden auf 100 Prozent, dann auf p=reject.

Insgesamt dauert das sechs bis acht Wochen. Die reine Arbeitszeit sind ein paar Stunden – der Rest ist Beobachten.

Fünf Fehler, die wir immer wieder sehen

Zwei SPF-Einträge. Jemand hat den Newsletter-Dienst als zweiten Record hinzugefügt, statt den bestehenden zu erweitern. Ergebnis: beide ungültig.

DKIM eingerichtet, Schlüssel nie rotiert. Ein 1024-Bit-Schlüssel von 2018 ist heute schwach. Alle sechs bis zwölf Monate wechseln.

DMARC auf p=none, seit drei Jahren. Keine Berichte angeschaut, keinen Schutz aktiv. Reine Kosmetik.

Der Website-Server verschickt Kontaktformular-Mails mit deiner Domain als Absender. Klassiker. Setz stattdessen die Adresse des Besuchers ins Reply-To und verschick über einen authentifizierten SMTP-Zugang.

Nach dem Provider-Wechsel wurde der alte SPF-Eintrag nicht angepasst. Der alte Hoster darf noch senden, der neue nicht. Und niemand merkt es, bis die Rechnungen nicht mehr ankommen.

Was passiert, wenn es sitzt

Ein Handwerksbetrieb aus der Region kam zu uns, weil die Terminbestätigungen aus dem Buchungssystem regelmässig nicht ankamen. Rund jeder zehnte Kunde erschien nicht, weil er nie eine Bestätigung gesehen hatte.

Die Analyse: SPF mit softfail, DKIM nur für den Hauptmailserver, das Buchungstool signierte gar nicht. DMARC nicht vorhanden.

Nach sechs Wochen sauberem Setup bis p=reject lag die Zustellrate laut DMARC-Reports bei über 99 Prozent. Die No-Shows gingen deutlich zurück. Aufwand von unserer Seite: ein knapper Arbeitstag plus Monitoring.

Ein anderer Fall, ein Treuhandbüro: Dort tauchten in den ersten DMARC-Reports Server aus drei Ländern auf, die im Namen der Domain sendeten. Niemand im Betrieb hatte davon gewusst. Mit p=reject war das innerhalb von 48 Stunden gestoppt.

Das ist der unterschätzte Teil an DMARC: Du kaufst dir nicht nur Zustellbarkeit. Du kaufst dir Sichtbarkeit darüber, was mit deinem Firmennamen passiert.

Mach den Test, jetzt gerade

Öffne mxtoolbox.com, gib deine Domain ein, schau dir das Ergebnis an. Das dauert zwei Minuten und du weisst danach, wo du stehst.

Wenn dort bei DMARC nichts steht oder p=none: Du bist ungeschützt und verlierst still Mails.

Du willst das nicht selbst machen oder hast beim SPF-Lookup-Limit die Geduld verloren? Wir übernehmen das. Analyse deiner Domain, sauberes Setup für alle Absender, DMARC-Monitoring und die schrittweise Verschärfung bis p=reject. Ohne dass unterwegs eine einzige legitime Mail verloren geht.

Schreib uns über webtree.ch – wir schauen uns deine Domain an und sagen dir ehrlich, ob überhaupt Handlungsbedarf besteht. Falls alles sauber ist, sagen wir dir das auch.

Deine Offerten sollten beim Kunden landen. Nicht im Spam.

SPF, DKIM & DMARC: Warum deine Firmen-E-Mails im Spam landen – und wie du das behebst