Weiterleitung: SPF fail und weitergeleitete Mails im Spam

Was bei einer Weiterleitung passiert

SPF (Sender Policy Framework) prüft nur eines: Darf der Server, der die Mail gerade abliefert, für die Absenderdomain senden? Massgeblich ist dabei die technische Absenderadresse im Umschlag der Mail, nicht der sichtbare Absender.

Ein Beispiel: Ihr Kunde schreibt an info@example.com. Ihr Hoster leitet die Mail an ein privates Gmail-Postfach weiter. Gmail sieht nun den Server Ihres Hosters als Absender, aber im Umschlag steht weiterhin die Domain des Kunden. Der Server Ihres Hosters steht nicht im SPF-Eintrag des Kunden. Ergebnis: spf=fail. Wie SPF im Detail aufgebaut ist, lesen Sie unter SPF erklärt: wer darf für Ihre Domain senden?.

DMARC verlangt, dass SPF oder DKIM besteht und zur sichtbaren Absenderdomain passt (Ausrichtung). SPF ist nach einer Weiterleitung fast immer verloren. Ob die Mail DMARC besteht, hängt deshalb allein an DKIM.

Wann DKIM die Weiterleitung überlebt

DKIM ist eine digitale Unterschrift über Kopfzeilen und Inhalt der Mail. Sie hängt nicht am Server, sondern an der Mail selbst. Eine reine Weiterleitung, die nichts verändert, lässt die Signatur gültig. Dann gilt: SPF fail, DKIM pass, DMARC pass.

DKIM bricht, sobald unterwegs etwas verändert wird:

• Eine Mailingliste setzt ein Präfix wie «[Vorstand]» vor die Betreffzeile.
• Eine Liste oder ein Gateway hängt eine Fusszeile oder einen Haftungsausschluss an.
• Ein Sicherheitsfilter schreibt Links um oder markiert den Betreff mit «[EXTERN]».
• Ein Server kodiert Text oder Anhänge neu.

In der Kopfzeile erscheint dann meist dkim=fail (body hash did not verify). Was hinter diesen Meldungen steckt, erklärt DKIM-Signatur ungültig: «body hash did not verify» und andere Fehler. Fallen SPF und DKIM beide durch, scheitert DMARC. Bei p=quarantine landet die Mail im Spam, bei p=reject wird sie abgelehnt.

Welche Weiterleitungen typisch sind

• Weiterleitung auf ein privates Postfach: info@ oder die persönliche Adresse wird automatisch an Gmail, Bluewin oder Outlook.com weitergeleitet.
• Alias oder Verteiler beim Hoster: buchhaltung@ verteilt Mails an mehrere externe Adressen.
• Mailinglisten und Gruppen: Vereine, Verbände, Projektgruppen. Hier wird die Mail oft verändert.
• Weiterleitung von Studien- oder Alumni-Adressen und alte Adressen nach einem Domainwechsel.

Nicht gemeint ist der Knopf «Weiterleiten» in Outlook. Damit entsteht eine neue Mail mit Ihrer Adresse als Absender, die normal geprüft wird.

SRS und ARC einfach erklärt

SRS (Sender Rewriting Scheme) ist eine Lösung für den Weiterleiter. Er ersetzt die Umschlagadresse durch eine eigene, zum Beispiel SRS0=…=kunde.example.org=info@weiterleiter.example.net. Nun prüft der Empfänger SPF gegen die Domain des Weiterleiters, und SPF besteht. Microsoft 365 schreibt laut eigener Dokumentation extern weitergeleitete Mails so um. Wichtig: SRS rettet SPF, aber nicht die DMARC-Ausrichtung, weil die SPF-Domain jetzt die des Weiterleiters ist. Für DMARC zählt weiterhin DKIM.

ARC (Authenticated Received Chain) ist eine Art Prüfprotokoll. Der Weiterleiter notiert, welche Ergebnisse SPF, DKIM und DMARC bei ihm hatten, und versiegelt diese Notiz mit Kopfzeilen wie ARC-Seal. Der Empfänger darf diesem Siegel vertrauen, muss aber nicht. ARC ist als experimenteller Standard (RFC 8617) beschrieben. Microsoft 365 lässt Administratoren vertrauenswürdige ARC-Siegel festlegen. ARC liegt beim Weiterleiter und Empfänger, als Absender können Sie es nicht einschalten.

Wenn Ihre Mails weitergeleitet werden: DKIM ausrichten

Sie können nicht beeinflussen, wohin Ihre Kunden Mails weiterleiten. Sie können aber dafür sorgen, dass DKIM trägt.

1. DKIM für jeden Versandweg einschalten: Microsoft 365, Google Workspace, Hoster-Postfach, Newsletter-Tool, Buchhaltung, Webshop. Bei Microsoft 365 heisst das zum Beispiel zwei CNAME-Einträge selector1._domainkey.example.com und selector2._domainkey.example.com. Anleitung: Microsoft 365: Mails landen im Spam – DKIM ist oft nicht eingeschaltet.
2. Mit der eigenen Domain signieren: Die Signatur muss d=example.com (oder eine Subdomain davon) tragen. Signiert das Newsletter-Tool nur mit seiner eigenen Domain, besteht DKIM zwar, ist aber nicht ausgerichtet. Nach einer Weiterleitung fällt diese Mail dann bei DMARC durch.
3. Prüfen: Senden Sie eine Testmail an eine Adresse, die auf ein Gmail-Postfach weiterleitet. In Gmail unter «Original anzeigen» sollte stehen: SPF fail oder neutral, DKIM pass mit Ihrer Domain, DMARC pass.
4. Erst dann verschärfen: Wechseln Sie erst auf p=quarantine oder p=reject, wenn alle Versandwege ausgerichtet signieren. Ein Eintrag sieht dann so aus: v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com.

Wenn Sie selbst weiterleiten: abrufen statt umleiten

Leiten Sie Ihre Firmenadresse auf ein privates Postfach um, treffen die Probleme die Mails Ihrer Kunden und Lieferanten. Deren DKIM können Sie nicht reparieren. Ausserdem lernt der Spamfilter des Zielpostfachs, dass über Ihren Server auch Spam kommt.

• Besser abrufen: Binden Sie das Firmenpostfach per IMAP direkt in Ihr Mailprogramm oder Ihre Mail-App ein. Die Mail bleibt im Firmenpostfach, nichts wird weitergeleitet. Beachten Sie: Gmail im Browser stellt den Abruf fremder Postfächer per POP laut Google im Jahr 2026 ein. In der Gmail-App lässt sich ein weiteres Konto per IMAP einbinden.
• Falls Weiterleitung nötig ist: Fragen Sie Ihren Hoster, ob Weiterleitungen mit SRS umgeschrieben werden und ob er ARC-Siegel setzt.
• Verteiler mit externen Empfängern auf das Nötige beschränken.

So erkennen Sie Weiterleitungen im DMARC-Bericht

In den täglichen DMARC-Berichten (Grundlagen: DMARC-Bericht lesen – was in den XML-Dateien steht und was Sie damit tun) zeigen sich Weiterleitungen an einem typischen Muster:

• Die Quell-IP gehört nicht zu Ihren Versandwegen, sondern etwa zu einem grossen Mailanbieter, einer Hochschule oder einem Hoster.
• Wenige Mails je Quelle, aber viele verschiedene Quellen.
• SPF fail oder SPF pass für eine fremde Domain, gleichzeitig DKIM pass für example.com: harmlos, DMARC besteht.
• SPF fail und DKIM fail bei einer Quelle, deren Rückwärtsname nach Listenserver aussieht: eine Mailingliste, die verändert.
• Manche Empfänger vermerken als Grund forwarded, mailing_list oder trusted_forwarder, wenn sie Ihre Regel bewusst nicht angewendet haben.

Zum Vergleich Spoofing: fremde Quellen ohne gültige DKIM-Signatur Ihrer Domain, oft in grosser Zahl und aus Ländern ohne Bezug zu Ihnen.

Typische Fehler

• Server des Weiterleiters in den eigenen SPF-Eintrag aufnehmen: Damit erlauben Sie fremden Servern, in Ihrem Namen zu senden. Das löst nichts und schwächt den Schutz.
• SPF von -all auf ~all aufweichen: DMARC scheitert trotzdem, weil SPF nicht ausgerichtet ist.
• DMARC wieder auf p=none setzen: Das gibt Ihre Domain für Fälschungen frei, statt DKIM zu reparieren.
• DKIM nur beim Hauptpostfach: Newsletter und Rechnungen aus Drittsystemen bleiben ohne ausgerichtete Signatur.

Was DomainRadar dabei übernimmt

DomainRadar wertet Ihre DMARC-Berichte automatisch aus, ordnet Quellen bekannten Anbietern zu und trennt Weiterleitungen von echten Fälschungen. Sie sehen, welcher Versandweg ohne ausgerichtete DKIM-Signatur sendet, bevor Sie die Regel verschärfen.

Bounce-Decoder