Privatkunde Geschäftskunde

E-Mail unter der eigenen DomainMX-Record, SPF, DKIM und DMARC richtig setzen

Eine Adresse wie kontakt@deinefirma.de ist der sichtbarste Nutzen einer eigenen Domain. Damit die Mails auch ankommen und nicht im Spam landen, braucht es vier DNS-Einträge. Diese Anleitung erklärt jeden davon.

MXSPFDKIMDMARC

Was passieren muss, damit eine Mail ankommt

Schickt jemand eine Mail an kontakt@deinefirma.de, fragt der sendende Server im DNS nach dem MX-Record deiner Domain. Der nennt ihm den zuständigen Mailserver, dorthin wird zugestellt.

Für den umgekehrten Weg - deine Mails an andere - zählt etwas anderes: Empfänger prüfen über SPF, DKIM und DMARC, ob die Mail wirklich von dir stammt. Fehlen diese Einträge, landen selbst korrekt versendete Mails bei großen Anbietern im Spam oder werden abgewiesen.

MX: der Empfangsweg

@   MX   10 mail.deinefirma.de.
@   MX   20 backup.deinefirma.de.

Die Zahl vor dem Hostnamen ist die Priorität: Kleinere Werte werden zuerst versucht. Der zweite Eintrag springt nur ein, wenn der erste nicht erreichbar ist.

  • Ein MX muss auf einen Hostnamen zeigen, nie auf eine IP-Adresse.
  • Dieser Hostname braucht einen eigenen A-Record - sonst greift der Eintrag ins Leere.
  • Der Punkt am Ende gehört dazu, sonst hängt der Nameserver die Zone nochmal an.

Nutzt du einen externen Mailanbieter, gibt dieser die passenden MX-Werte vor - trage sie exakt so ein und entferne die alten.

SPF: wer für dich senden darf

Ein SPF-Eintrag ist ein TXT-Record auf der Domain selbst und listet die Server, die in deinem Namen senden dürfen:

@   TXT   "v=spf1 mx -all"

Die Bausteine:

  • mx - alle Server, die als MX eingetragen sind, dürfen senden.
  • ip4:85.214.12.7 - eine bestimmte IP zusätzlich erlauben, etwa dein vServer.
  • include:_spf.anbieter.de - die Freigabe eines Dienstleisters übernehmen, zum Beispiel für Newsletter.
  • -all - alles andere ablehnen. Die weichere Variante ~all markiert nur als verdächtig.

Pro Domain darf es nur einen SPF-Eintrag geben. Mehrere machen die Prüfung ungültig - trage zusätzliche Absender stattdessen in denselben Eintrag ein.

DKIM: die Signatur

Bei DKIM signiert dein Mailserver jede ausgehende Mail kryptografisch. Den passenden öffentlichen Schlüssel hinterlegst du als TXT-Record auf einer speziellen Subdomain - dem Selektor:

standard._domainkey   TXT   "v=DKIM1; k=rsa; p=MIGfMA0GCS..."

Selektor und Schlüssel bekommst du von deinem Mailanbieter oder erzeugst sie auf dem eigenen Server. Wichtig ist nur, dass der Wert vollständig und ohne Zeilenumbrüche im DNS landet - abgeschnittene Schlüssel sind eine häufige Fehlerquelle.

DMARC: was mit Fälschungen passieren soll

DMARC verbindet SPF und DKIM zu einer Richtlinie und sagt Empfängern, was sie mit Mails tun sollen, die durchfallen:

_dmarc   TXT   "v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.de"
  • p=none - nur beobachten. Der richtige Start, um über die Reports zu sehen, wer in deinem Namen sendet.
  • p=quarantine - verdächtige Mails in den Spam.
  • p=reject - abweisen. Ziel, sobald du sicher bist, dass alle legitimen Absender erfasst sind.
  • rua= - Adresse für die aggregierten Reports.

Vorgehen in der Praxis: mit p=none beginnen, ein paar Wochen die Reports auswerten, fehlende Absender in SPF und DKIM ergänzen, dann verschärfen. Große Anbieter erwarten inzwischen mindestens einen vorhandenen DMARC-Eintrag.

Reihenfolge beim Umzug

Beim Wechsel des Mailanbieters entscheidet die Reihenfolge darüber, ob Mails verloren gehen:

  1. Postfächer beim neuen Anbieter anlegen und bestehende Mails per IMAP übertragen.
  2. TTL der MX-Einträge senken, ein bis zwei Tage vorher auf 300 Sekunden.
  3. MX umstellen und die alten Einträge entfernen.
  4. SPF und DKIM anpassen - der neue Anbieter braucht seine eigenen Freigaben.
  5. Altes Postfach noch ein bis zwei Wochen behalten, bis dort nichts mehr eintrifft.

Wechselst du gleichzeitig die Nameserver, ist der vergessene MX-Eintrag die mit Abstand häufigste Ursache für plötzlich ausbleibende Mails.

Typische Zustellprobleme

  • Mails landen im Spam: SPF, DKIM oder DMARC fehlen oder passen nicht zum tatsächlichen Absender.
  • Externer Dienst kann nicht senden: Sein include: fehlt im SPF-Eintrag - typisch für Newsletter-Tools und Shopsysteme.
  • Gar keine Mails kommen an: MX fehlt, zeigt auf einen Namen ohne A-Record oder auf eine IP-Adresse.
  • Nur an manche Empfänger geht nichts raus: fehlender oder falscher PTR-Record beim eigenen Mailserver.
  • Nach einer Änderung wieder Probleme: zwei SPF-Einträge nebeneinander - erlaubt ist genau einer.

Häufige Fragen

Du brauchst irgendeinen Mailserver, der die Postfächer bereitstellt - das kann ein Webspace-Paket, ein eigener vServer oder ein externer Mailanbieter sein. Die Domain allein reicht nicht; sie verweist per MX-Record nur auf diesen Server.

Der MX-Record nennt sendenden Mailservern den Hostnamen des Servers, der Post für deine Domain annimmt. Die Zahl davor ist die Priorität - kleinere Werte werden zuerst versucht. Ein MX muss auf einen Namen zeigen, nie auf eine IP-Adresse.

In den meisten Fällen fehlen SPF, DKIM oder DMARC oder sie passen nicht zum tatsächlichen Absender. Große Anbieter stufen Mails ohne diese Prüfmerkmale systematisch herab.

Nein. Pro Domain ist genau ein SPF-Eintrag zulässig; mehrere machen die Prüfung ungültig. Zusätzliche Absender trägst du mit include: in denselben Eintrag ein.

Mit p=none. So bekommst du über die Reports einen Überblick, wer alles in deinem Namen sendet, ohne dass legitime Mails blockiert werden. Erst wenn alle Absender in SPF und DKIM erfasst sind, verschärfst du auf quarantine und später reject.

Erst die Postfächer beim neuen Anbieter anlegen und die Mails per IMAP übertragen, dann die TTL senken, danach MX, SPF und DKIM umstellen. Das alte Postfach solltest du ein bis zwei Wochen behalten, bis dort nichts mehr eintrifft.

Domain und Postfächer aus einer Hand

Webspace-Pakete bringen Mailspeicher und Postfächer mit, Domains gibt es ab 6,49 € im Jahr - beides prepaid im selben Webinterface.

Domainendungen & Preise ansehen

Weiterlesen

Mehr entdecken