E-Mail unter der eigenen DomainMX-Record, SPF, DKIM und DMARC richtig setzen

Veröffentlicht am 5. August 2026 · zuletzt aktualisiert am 20. Oktober 2026

Was passieren muss, damit eine Mail ankommt

Schickt jemand eine Mail an kontakt@deinefirma.de, fragt der sendende Server im DNS nach dem MX-Record deiner Domain. Der nennt ihm den zuständigen Mailserver, dorthin wird zugestellt.

Für den umgekehrten Weg - deine Mails an andere - zählt etwas anderes: Empfänger prüfen über SPF, DKIM und DMARC, ob die Mail wirklich von dir stammt. Fehlen diese Einträge, landen selbst korrekt versendete Mails bei großen Anbietern im Spam oder werden abgewiesen.

MX: der Empfangsweg

@   MX   10 mail.deinefirma.de.

Die Zahl vor dem Hostnamen ist die Priorität. Sie zählt nur, wenn es mehrere MX-Einträge gibt: Dann werden kleinere Werte zuerst versucht. In unserem Webinterface trägst du als Subdomain @ und als Ziel den Mailserver ein - die Priorität setzt es automatisch, und pro Name ist ein MX-Eintrag vorgesehen. Für Webspace-Postfächer, Google Workspace oder Microsoft 365 reicht genau einer.

• Ein MX muss auf einen Hostnamen zeigen, nie auf eine IP-Adresse.
• Dieser Hostname braucht einen eigenen A-Record - sonst greift der Eintrag ins Leere.
• Der Punkt am Ende gehört dazu, sonst hängt der Nameserver die Zone nochmal an.

Nutzt du einen externen Mailanbieter, gibt dieser die passenden MX-Werte vor - trage sie exakt so ein und entferne die alten. Die konkreten Werte für die beiden großen Anbieter stehen unter Google Workspace & Microsoft 365.

SPF: wer für dich senden darf

Ein SPF-Eintrag ist ein TXT-Record auf der Domain selbst und listet die Server, die in deinem Namen senden dürfen:

@   TXT   "v=spf1 mx -all"

Die Bausteine:

• mx - alle Server, die als MX eingetragen sind, dürfen senden.
• ip4:85.214.12.7 - eine bestimmte IP zusätzlich erlauben, etwa dein vServer.
• include:_spf.anbieter.de - die Freigabe eines Dienstleisters übernehmen, zum Beispiel für Newsletter.
• -all - alles andere ablehnen. Die weichere Variante ~all markiert nur als verdächtig.

Pro Domain darf es nur einen SPF-Eintrag geben. Mehrere machen die Prüfung ungültig - trage zusätzliche Absender stattdessen in denselben Eintrag ein.

DKIM: die Signatur

Bei DKIM signiert dein Mailserver jede ausgehende Mail kryptografisch. Den passenden öffentlichen Schlüssel hinterlegst du als TXT-Record auf einer speziellen Subdomain - dem Selektor:

standard._domainkey   TXT   "v=DKIM1; k=rsa; p=MIGfMA0GCS..."

Selektor und Schlüssel bekommst du von deinem Mailanbieter oder erzeugst sie auf dem eigenen Server. Wichtig ist nur, dass der Wert vollständig und ohne Zeilenumbrüche im DNS landet - abgeschnittene Schlüssel sind eine häufige Fehlerquelle.

DMARC: was mit Fälschungen passieren soll

DMARC verbindet SPF und DKIM zu einer Richtlinie und sagt Empfängern, was sie mit Mails tun sollen, die durchfallen:

_dmarc   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.de"

• p=none - nur beobachten. Der richtige Start, um über die Reports zu sehen, wer in deinem Namen sendet.
• p=quarantine - verdächtige Mails in den Spam.
• p=reject - abweisen. Ziel, sobald du sicher bist, dass alle legitimen Absender erfasst sind.
• rua= - Adresse für die aggregierten Reports.

Vorgehen in der Praxis: mit p=none beginnen, ein paar Wochen die Reports auswerten, fehlende Absender in SPF und DKIM ergänzen, dann verschärfen. Große Anbieter erwarten inzwischen mindestens einen vorhandenen DMARC-Eintrag.

Reihenfolge beim Umzug

Beim Wechsel des Mailanbieters entscheidet die Reihenfolge darüber, ob Mails verloren gehen:

1. Postfächer beim neuen Anbieter anlegen und bestehende Mails per IMAP übertragen.
2. MX umstellen und die alten Einträge entfernen. Liegt die Domain bei uns, gilt eine feste TTL von 24 Stunden - so lange können Mails noch beim alten Anbieter ankommen. Liegt das DNS noch woanders, senk die TTL dort ein bis zwei Tage vorher.
3. SPF und DKIM anpassen - der neue Anbieter braucht seine eigenen Freigaben.
4. Altes Postfach noch ein bis zwei Wochen behalten, bis dort nichts mehr eintrifft.

Wechselst du gleichzeitig die Nameserver, ist der vergessene MX-Eintrag die mit Abstand häufigste Ursache für plötzlich ausbleibende Mails.

Typische Zustellprobleme

• Mails landen im Spam: SPF, DKIM oder DMARC fehlen oder passen nicht zum tatsächlichen Absender.
• Externer Dienst kann nicht senden: Sein include: fehlt im SPF-Eintrag - typisch für Newsletter-Tools und Shopsysteme.
• Gar keine Mails kommen an: MX fehlt, zeigt auf einen Namen ohne A-Record oder auf eine IP-Adresse.
• Nur an manche Empfänger geht nichts raus: fehlender oder falscher PTR-Record beim eigenen Mailserver.
• Nach einer Änderung wieder Probleme: zwei SPF-Einträge nebeneinander - erlaubt ist genau einer.

Häufige Fragen