> For the complete documentation index, see [llms.txt](https://one-loop.gitbook.io/help/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://one-loop.gitbook.io/help/plattform/one-loop-plattform/kommunikation/e-mail/authentifizierungsfehler-bei-der-versanddomain-beheben.md).

# Authentifizierungsfehler bei der Versanddomain beheben

Ordne SPF-, DKIM- und DMARC-Fehler sicher ein, prüfe die passende Versanddomain und kontrolliere die Korrektur mit einem nachvollziehbaren Test.

## Was hinter dem Fehler steckt

Ein Authentifizierungsfehler bedeutet: Das empfangende E-Mail-System kann nicht sicher bestätigen, dass deine Versanddomain die Nachricht versenden darf. Die Nachricht kann dann abgewiesen werden, im Spam landen oder mit einem Hinweis zur Absenderprüfung erscheinen.

Drei Prüfungen arbeiten dabei zusammen:

| Prüfung         | Prüft                                                                    | Typische Ursache bei einem Fehler                                                 |
| --------------- | ------------------------------------------------------------------------ | --------------------------------------------------------------------------------- |
| **SPF**         | Welche Versandsysteme für eine Domain zugelassen sind                    | Der Eintrag fehlt, enthält nicht alle Versandwege oder ist widersprüchlich.       |
| **DKIM**        | Ob die digitale Signatur der Nachricht zur veröffentlichten Domain passt | Der Schlüssel oder der verwendete Selektor ist nicht korrekt veröffentlicht.      |
| **DMARC**       | Was bei fehlgeschlagener Prüfung passieren soll                          | Die Regel ist zu streng oder SPF/DKIM passen nicht zur sichtbaren Absenderdomain. |
| **Ausrichtung** | Ob die sichtbare Absenderadresse zur geprüften Domain passt              | Die E-Mail wird mit einer anderen Domain im Absender versendet.                   |

DMARC kann bestehen, wenn **SPF oder DKIM** erfolgreich sind – aber die erfolgreiche Domain muss zur sichtbaren Absenderdomain passen.

## Die Fehlermeldung richtig lesen

Kopiere die vollständige Fehlermeldung, bevor du etwas änderst. Achte besonders auf diese Begriffe:

| Hinweis in der Fehlermeldung                         | Erste Prüfung                                          |
| ---------------------------------------------------- | ------------------------------------------------------ |
| `SPF`, fehlende Berechtigung oder zu viele Prüfungen | SPF-Eintrag und alle Versandwege                       |
| `DKIM`, Signatur oder Schlüssel                      | DKIM-Selektor und veröffentlichten Schlüssel           |
| `DMARC` oder `p=reject`                              | DMARC-Richtlinie und Ausrichtung                       |
| `From`, Absenderdomain oder nicht passend            | sichtbare Absenderadresse und bestätigte Versanddomain |
| Zertifikat oder sichere Verbindung                   | Domainprüfung und Zertifikatsstatus                    |

Nimm nicht an, dass ein einzelner Begriff die einzige Ursache ist. Ein DMARC-Fehler kann zum Beispiel durch eine falsche Absenderadresse ausgelöst werden, obwohl der DMARC-Eintrag selbst vorhanden ist.

## Sicherer Diagnoseablauf

1. Halte Fehlermeldung, betroffene Absenderadresse, Zeitpunkt und betroffene Kampagne fest.
2. Öffne **Einstellungen > E-Mail-Dienste > Versanddomain und IP**.
3. Prüfe, ob die Versanddomain vollständig bestätigt angezeigt wird.
4. Vergleiche die angezeigten DNS-Werte mit den Einträgen bei deinem Domain-Anbieter: **Typ**, **Name/Host** und **Wert** müssen exakt übereinstimmen.
5. Prüfe die sichtbare Absenderadresse der Kampagne. Sie muss zu der bestätigten Versanddomain passen.
6. Nimm nur die Änderung vor, die zur Fehlermeldung passt.
7. Starte danach die Domainprüfung erneut.
8. Sende Test-E-Mails, bevor du die ursprüngliche Kampagne erneut versendest.

Die vollständige DNS-Einrichtung findest du unter [Eigene Versanddomain einrichten und prüfen](https://one-loop.gitbook.io/help/plattform/one-loop-plattform/kommunikation/e-mail/eigene-versanddomain-einrichten-und-prufen). Für die DMARC-Regel und den schrittweisen Schutzaufbau gibt es die Anleitung [DMARC für deine Versanddomain einrichten](https://one-loop.gitbook.io/help/plattform/one-loop-plattform/kommunikation/e-mail/dmarc-fur-deine-versanddomain-einrichten).

## SPF korrekt prüfen

Für eine Domain darf es nur **einen** SPF-Eintrag geben. Mehrere SPF-TXT-Einträge können sich gegenseitig widersprechen.

Prüfe außerdem, ob der Eintrag alle Systeme enthält, die tatsächlich mit deiner Domain versenden. SPF darf höchstens zehn DNS-Nachschläge auslösen. Wird diese Grenze überschritten, kann SPF vollständig fehlschlagen – auch wenn ein berechtigter Versandweg enthalten ist.

Ändere bestehende SPF-Werte nicht auf Verdacht. Vergleiche zuerst alle legitimen Versandwege und passe den einzelnen SPF-Eintrag erst dann gezielt an.

## DKIM korrekt prüfen

DKIM funktioniert mit einem Selektor und einem öffentlichen Schlüssel im DNS. Ein Fehler entsteht oft, wenn:

* der Schlüssel nicht veröffentlicht ist;
* im DNS der falsche Selektor verwendet wird;
* der Schlüssel aus einer anderen Domain kopiert wurde;
* bei der Übernahme Zeichen fehlen oder zusätzliche Zeichen eingefügt wurden.

Kopiere den DKIM-Wert daher immer aus der Anzeige der betroffenen Versanddomain. Übernimm niemals Schlüssel einer anderen Domain oder aus einer alten Einrichtung.

## DMARC nicht zu früh verschärfen

Beginne eine neue DMARC-Regel mit `p=none`. Damit beobachtest du den Versand, ohne dass die Richtlinie selbst fehlgeschlagene Nachrichten verschärft behandelt.

Eine Richtlinie wie `p=quarantine` oder `p=reject` ist erst sinnvoll, wenn alle gewünschten Versandwege nachweisbar bestehen. Andernfalls kann die eigene Kampagne im Spam landen oder abgewiesen werden.

Prüfe bei einem DMARC-Fehler immer auch die Ausrichtung: Die Domain in der sichtbaren Absenderadresse muss zur Domain passen, die SPF oder DKIM bestätigt.

## Zeit nach einer Korrektur realistisch einplanen

| Phase                                        | Typischer Zeitraum | Woran du die Verbesserung erkennst                   |
| -------------------------------------------- | ------------------ | ---------------------------------------------------- |
| DNS-Aktualisierung                           | 2 bis 48 Stunden   | Die Versanddomain wird als bestätigt angezeigt.      |
| Erkennung bei Empfängern                     | 1 bis 7 Tage       | Authentifizierungsbedingte Ablehnungen gehen zurück. |
| Vertrauensaufbau durch verlässlichen Versand | 2 bis 4 Wochen     | Die Zustellung stabilisiert sich weiter.             |

Diese Zeiträume sind Orientierung, keine Garantie. Teste nach jeder Änderung zunächst mit kleinen Mengen und erhöhe den Versand nicht abrupt.

## Häufige Fehler vermeiden

* **Mehrere SPF-Einträge:** Fasse die berechtigten Versandwege in einem einzelnen SPF-Eintrag zusammen.
* **Falscher Hostname:** Manche Anbieter ergänzen deine Hauptdomain automatisch. Gib nur den angezeigten Präfix ein, wenn die Oberfläche das erwartet.
* **Doppelte oder widersprüchliche DNS-Werte:** Übernimm Werte ausschließlich aus der betroffenen Versanddomain.
* **Absender passt nicht zur Domain:** Prüfe die Absenderadresse in bestehenden Kampagnen, Sequenzen und automatischen E-Mails.
* **DMARC sofort auf Ablehnung gestellt:** Starte mit Beobachtung und verschärfe erst nach stabilen Ergebnissen.
* **Nur ein Testpostfach verwendet:** Prüfe mit mindestens zwei verschiedenen Empfängern, weil deren Sicherheitsregeln unterschiedlich sein können.

## Ergebnis zuverlässig prüfen

1. Warte, bis die Domainprüfung vollständig erfolgreich angezeigt wird.
2. Sende eine Test-E-Mail an mindestens zwei unterschiedliche Testpostfächer.
3. Prüfe Zustellung, sichtbare Absenderadresse und die Kopfzeilen, falls dein Postfach Prüfungsergebnisse anzeigt.
4. Antworte auf die E-Mail und prüfe die Antwortadresse.
5. Klicke einen enthaltenen Link an und kontrolliere, ob er ohne Sicherheitswarnung öffnet.
6. Wiederhole die Tests nach jeder Änderung an DNS, Versanddomain oder Absenderadresse.
7. Dokumentiere Ergebnis und Zeitpunkt. So kannst du spätere Probleme eindeutig einer Änderung zuordnen.

> **Praxisbeispiel:** Eine Kampagne wird wegen einer DMARC-Prüfung abgewiesen. Das Team hält die Fehlermeldung fest und prüft zuerst die sichtbare Absenderadresse. Sie gehört nicht zur bestätigten Versanddomain. Nach der Korrektur kontrolliert das Team SPF, DKIM und die Domainprüfung, sendet zwei Test-E-Mails und startet die Kampagne erst nach erfolgreicher Zustellung erneut.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://one-loop.gitbook.io/help/plattform/one-loop-plattform/kommunikation/e-mail/authentifizierungsfehler-bei-der-versanddomain-beheben.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.