07Domains, DNS & SSL

E-Mail und DNS – MX, SPF, DKIM und DMARC einrichten

So richtest du die DNS-Einträge für E-Mail ein, damit Nachrichten deiner Domain bei Nexthosting ankommen und nicht im Spam landen – MX, SPF, DKIM und DMARC erklärt.

Kurz gesagt

Damit E-Mail für deine Domain funktioniert, brauchst du vier Dinge im DNS: einen MX-Eintrag (wohin Post für dich geht), SPF (wer in deinem Namen senden darf), DKIM (eine digitale Unterschrift) und DMARC (was mit Fälschungen geschehen soll). Für Nexthosting-Postfächer zeigt der MX auf mail.<deine-domain>, und SPF lautet v=spf1 include:_spf.nexthosting.net ~all. Den DKIM-Schlüssel kopierst du aus dem Webpanel.

Wofür brauche ich das?

Ohne diese Einträge kommen Mails entweder gar nicht an (MX fehlt) oder sie landen im Spam, weil der Empfänger nicht prüfen kann, ob du sie wirklich geschickt hast. Große Anbieter wie Gmail und Microsoft verlangen SPF, DKIM und DMARC besonders von Absendern, die viele Mails verschicken.

Eintrag	Beantwortet die Frage	Typ im DNS
MX	Wohin sollen Mails an `@meinprojekt.de` gehen?	MX
SPF	Welche Server dürfen Mails mit meiner Absenderadresse senden?	TXT
DKIM	Wurde die Mail unterwegs verändert, und kommt sie wirklich von mir?	TXT oder CNAME
DMARC	Was soll der Empfänger tun, wenn SPF und DKIM nicht passen?	TXT

Was ein Empfänger prüft, wenn deine Mail ankommt

Mail kommt anAbsender: info@meinprojekt.de
SPFDarf dieser Server für meinprojekt.de senden?
DKIMStimmt die Signatur?
DMARCWas soll bei Fehlern passieren?
Posteingang, Spam oder abgelehnt

Voraussetzung: Postfächer anlegen

Webspace und WordPress Hosting enthalten Postfächer (je nach Tarif 10 bis 250 Stück). Wie du sie anlegst, steht in E-Mail-Postfächer. Danach zeigt dir das Webpanel, welche DNS-Einträge für die Domain nötig sind. Im Browser liest du deine Mails unter webmail.nexthosting.net.

Wenn deine Domain die Nexthosting-Nameserver (ns1.nexthosting.net und ns2.nexthosting.net) nutzt, kannst du die Einträge im DNS-Editor des Webpanels setzen (DNS-Einträge verwalten). Liegt die Domain bei einem anderen Anbieter mit eigenen Nameservern, musst du die Einträge dort anlegen.

MX-Eintrag

Der MX-Eintrag nennt den Mailserver, der Post für deine Domain annimmt. Er hat eine Priorität: Der niedrigste Wert wird zuerst probiert.

@  3600  IN  MX  10  mail.meinprojekt.de.

Bei Nexthosting-Postfächern ist das Ziel mail.<deine-domain>, also z. B. mail.meinprojekt.de. Dieser Name zeigt auf den Webhosting-Server. Nutzt deine Domain die Nexthosting-Nameserver, prüfe im DNS-Editor des Webpanels, dass der MX-Eintrag und der Eintrag für mail vorhanden sind. Liegt die DNS-Verwaltung woanders, legst du dort den MX-Eintrag und einen A-Eintrag für mail mit der Adresse aus dem Webpanel an. Das Ziel muss ein Name sein, keine IP-Adresse, und darf kein CNAME sein. Alte MX-Einträge eines früheren Anbieters löschst du, sonst kommt ein Teil der Post dort an.

SPF

SPF ist ein TXT-Eintrag auf der Hauptdomain. Er listet die Server auf, die für dich senden dürfen. Für Nexthosting-Postfächer lautet er:

@  3600  IN  TXT  "v=spf1 include:_spf.nexthosting.net ~all"

Verschickt noch ein anderer Dienst Mails mit deiner Domain (Newsletter-Tool, Shop-System), nimmst du ihn in denselben Eintrag auf. spf.beispiel-dienst.example steht hier für den Wert, den dir dieser Dienst nennt:

@  3600  IN  TXT  "v=spf1 include:_spf.nexthosting.net include:spf.beispiel-dienst.example ~all"

Teil	Bedeutung
`v=spf1`	Kennzeichnet SPF (Pflicht am Anfang)
`include:_spf.nexthosting.net`	Die Mailserver von Nexthosting dürfen senden
`a`	Der A-Eintrag deiner Domain darf senden
`mx`	Die Mailserver aus deinen MX-Einträgen dürfen senden
`include:…`	Ein weiterer Dienst darf senden (Newsletter-Tool, Shop-System)
`~all`	Alle anderen: „weicher Fehler“ (Mail wird verdächtig behandelt)
`-all`	Alle anderen: „harter Fehler“ (Mail wird abgelehnt)

Regeln:

Nur ein SPF-Eintrag pro Domain. Mehrere TXT-Einträge mit v=spf1 machen SPF ungültig. Fasse alle Dienste in einem Eintrag zusammen.
Maximal 10 DNS-Abfragen (include, a, mx …) insgesamt.
Beginne mit ~all und stelle erst auf -all, wenn sicher alle Absender erfasst sind.

DKIM

DKIM signiert jede ausgehende Mail digital. Der Empfänger holt sich den öffentlichen Schlüssel aus dem DNS und prüft die Signatur.

selektor._domainkey  3600  IN  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkq…"

Der Selektor (hier selektor) und der Schlüsselwert (p=…) kommen bei Nexthosting-Postfächern aus dem Webpanel. Der Wert ist lang; kopiere ihn vollständig und ohne Zeilenumbrüche.
Manche Anbieter lassen den Wert in mehrere Teile in Anführungszeichen aufspalten. Das ist normal.
Hast du bei einem Newsletter- oder Shop-Dienst eine eigene Domain-Authentifizierung, bekommst du von dort einen zusätzlichen DKIM-Eintrag. Mehrere Selektoren sind erlaubt.

DMARC

DMARC knüpft SPF und DKIM zusammen und legt fest, was bei Fehlern passiert. Er steht als TXT-Eintrag bei _dmarc.

_dmarc  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@meinprojekt.de"

Option	Bedeutung
`p=none`	Nur beobachten, nichts blockieren (Einstieg)
`p=quarantine`	Verdächtige Mails in den Spam
`p=reject`	Gefälschte Mails ablehnen
`rua=mailto:…`	Wohin Sammelberichte gehen

Starte mit p=none, sieh dir ein bis zwei Wochen die Berichte an und verschärfe dann schrittweise.

Prüfen

nslookup -type=MX meinprojekt.de
nslookup -type=TXT meinprojekt.de
nslookup -type=TXT _dmarc.meinprojekt.de

dig MX meinprojekt.de +short
dig TXT meinprojekt.de +short
dig TXT _dmarc.meinprojekt.de +short

Schicke eine Testmail an ein Gmail-Konto: Dort zeigt „Original anzeigen“ die Ergebnisse für SPF, DKIM und DMARC (PASS oder FAIL).

Mails landen im Spam oder kommen nicht an

Mails an dich kommen nicht anMX-Einträge und Nameserver prüfen

Mails von dir landen im SpamSPF, DKIM und DMARC prüfen

Mails vom Shop oder Newsletter landen im SpamDienst in SPF aufnehmen, dessen DKIM eintragen

Meldung „Server nicht gefunden“ beim SendenPostfach-Einstellungen im Mailprogramm prüfen: Server mail.<deine-domain>, SMTP 465 oder 587 mit Anmeldung

Häufige Fragen

Muss ich alle vier Einträge setzen?

MX ist Pflicht für den Empfang. SPF, DKIM und DMARC sind für Senden praktisch Pflicht, wenn du willst, dass Mails zuverlässig ankommen.

Ich habe die Domain beim alten Anbieter und dort Mail. Was tun?

Lass MX- und TXT-Einträge dort bestehen. Nur Website-Einträge (A, AAAA, CNAME) zeigen auf Nexthosting. Siehe Domain mit Website verbinden.

Reicht ein Eintrag für mehrere Domains?

Nein, jede Domain braucht ihre eigenen Einträge.