Inhalt
Vor einiger Zeit hatte ich ja schon SPF, DKIM und DMARC erklärt. Jetzt möchte ich das noch einmal vertiefen. Denn ganz schnell kann man insbesondere Kontaktformulare auf der Website unbrauchbar machen – wenn man nicht aufpasst.
Eigentlich ist alles korrekt eingerichtet!
Wer einen klassischen Webspace bucht, bekommt fast immer auch ein E-Mail-Paket dazu. Website und Mail gehören beim Hoster zusammen, der Webserver spricht direkt mit dem Mailserver. Viele Anbieter richten gleich alles so ein, dass es funktioniert: Das Kontaktformular verschickt zuverlässig E-Mails, die landen im Posteingang – fertig.
Damit das klappt, setzen die Hoster in der Regel auch gleich den sogenannten SPF-Eintrag korrekt und man muss sich als Kunde um nichts kümmern. Meist sind Webserver und Mail-Server getrennte Systeme, oft sind gleich mehrere Mail-Server vorhanden die sich die Last teilen.
SPF – Der Personalausweis des Mail-Servers
SPF bedeutet „Sender Policy Framework“. Der Eintrag in den DNS-Daten der Domain legt fest, welche Server im Namen deiner Domain E-Mails verschicken dürfen. Die DNS-Einträge sind öffentlich einsehbar. Der empfangende Mail-Server prüft: Ist der versendende Mail-Server bei der Domain als legitimer Absender hinterlegt?
So wird verhindert, dass sich jemand Fremdes im Namen deiner Domain E-Mails versendet und über deinen Namen Spam oder Phishing verschickt. Kurz gesagt: SPF schützt davor, dass jemand deine Domain-Identität klaut.
Wenn E-Mails auf Microsoft 365 umgestellt werden
Viele Unternehmen setzen auf Microsoft 365 und deren Mail-System. Oft wird dafür eine externe IT-Firma beauftragt, die den Wechsel durchführt. Dafür werden die nötigen DNS-Einträge angepasst, Mails landen künftig bei Microsoft und können auch von dort aus problemlos verwendet werden. Perfekt.
Denkt die IT-Firma aber nicht an die Website und passt den SPF-Eintrag auf MS365 an verliert der herkömmliche Mail-Server der Hosters die Legitimation E-Mails zu versenden. Das fällt zunächst gar nicht auf, denn das Kontaktformular lässt sich weiter wie gewohnt ausfüllen, die E-Mail wird auch versendet. Nur beim Empfänger dann abgelehnt oder als Spam markiert.
Kostenpflichtige Plugins? Oder doch lieber saubere Konfiguration?
Eine Lösung ist, dass man eine separate E-Mail-Adresse anlegt und über WordPress-Plugins wie WP Mail SMTP den Versand von E-Mails anpasst. In der Basis-Version ist das Plugin sogar kostenlos. Allerdings erfordern die Mail-Server von Microsoft seit einiger Zeit zwingend OAuth – und damit läuft die Einrichtung nur in der kostenpflichtigen Variante des Plugins.
Besser: Wer zu MS365 oder einem anderen externen Mail-Dienst wechselt sollte seine IT-Firma direkt auf das Problem ansprechen. Wird der SPF-Eintrag nicht komplett auf MS365 umgestellt sondern nur erweitert, der alte Eintrag des Hosters also aktiv gelassen, kann auch der Webserver weiterhin problemlos E-Mails versenden.
