Eine Mail-Domain ist ein gewöhnlicher Domainname (yourcompany.com), der zum Empfangen und Versenden von E-Mails konfiguriert wurde. Die Konfiguration besteht aus vier DNS-Einträgen: MX, SPF, DKIM und DMARC. Jeder Eintrag erfüllt eine Aufgabe. Gemeinsam machen die vier Einträge aus einer Domain, die nur eine Website beherbergt, eine Domain mit einer soliden Grundlage für den E-Mail-Betrieb.
Viele Erklärungen zu Mail-Domains verzichten auf eine schrittweise Betrachtung der einzelnen Einträge. Dadurch bleibt bei Betreibern der vage Eindruck, DNS erledige etwas Rätselhaftes. So kompliziert ist es nicht. Die vier Einträge sind einfache Texteinträge mit einer bestimmten Syntax, die Betreiber über ein DNS-Dashboard veröffentlichen können. Wenn Sie die Aufgabe jedes Eintrags kennen, wird die weitere Einrichtung verständlich.
Dieser Leitfaden erklärt die vier Einträge, ihre jeweilige Aufgabe und Syntax. Den größeren Zusammenhang erläutert E-Mail mit eigener Domain.
Was eine Mail-Domain tatsächlich ist
Jeder Domainname kann durch das Hinzufügen von vier DNS-Einträgen zur vorhandenen Konfiguration für E-Mail eingerichtet werden. MX verweist auf den Mailserver. SPF führt autorisierte Absender auf. DKIM signiert ausgehende E-Mails kryptografisch. DMARC teilt Empfängern mit, wie sie bei fehlgeschlagener Authentifizierung vorgehen sollen. Zusammen machen die vier Einträge aus einer leeren Domain eine ordnungsgemäß funktionierende Mail-Domain.
Dieselbe Domain kann unter der Stammdomain eine Website hosten und E-Mail-Adressen bereitstellen. Die vier Einträge geraten nicht mit den Website-Einträgen in Konflikt, da sie für unterschiedliche Zwecke verschiedene Eintragstypen verwenden. Die meisten betrieblich genutzten Mail-Domains sind zugleich Websites. Beide Dienste können bei verschiedenen Anbietern liegen und werden über DNS koordiniert. Beim Umzug der E-Mail zu einem neuen Anbieter müssen nur die E-Mail-bezogenen Einträge aktualisiert werden. Die Website-Einträge bleiben unverändert.
Die vier DNS-Einträge im Überblick
Vier DNS-Einträge definieren eine funktionierende Mail-Domain. Jeder Eintrag hat eine bestimmte Aufgabe und Syntax. Der Postfachanbieter erzeugt die genauen Werte, die Sie bei Ihrem DNS-Host veröffentlichen. Die Tabelle fasst zusammen, welche Aufgabe jeder Eintrag erfüllt und wo er im DNS-Baum liegt.
| Eintrag | Aufgabe | Speicherort | Erforderlich? |
|---|---|---|---|
| MX | Leitet eingehende E-Mails zum Postfachanbieter | yourcompany.com (Stamm) | Ja, ohne ihn kommen keine eingehenden E-Mails an |
| SPF | Listet autorisierte ausgehende Absender auf | yourcompany.com (Stamm, als TXT) | Ja, ohne ihn können ausgehende E-Mails im Spam landen |
| DKIM | Signiert ausgehende E-Mails kryptografisch | selector._domainkey.yourcompany.com (TXT) | Ja, ohne ihn schlägt die Ausrichtung fehl |
| DMARC | Teilt Empfängern mit, wie Authentifizierungsfehler behandelt werden | _dmarc.yourcompany.com (TXT) | Dringend empfohlen, ohne ihn kann Spoofing ungemeldet bleiben |
Die vier Einträge verursachen über den DNS-Host hinaus keine Kosten; bei Cloudflare ist dieser kostenlos erhältlich. Sobald der Postfachanbieter die Werte erzeugt hat, dauert die Konfiguration etwa 15 Minuten. Sie schafft die Grundlage für eine zuverlässige Platzierung im Posteingang, sichtbare Spoofing-Berichte und eine Authentifizierung, die aktuelle Prüfungen der Empfänger erfüllt.
Eintrag 1: MX (Wohin E-Mails gelangen)
MX verweist auf den Mailserver, der eingehende E-Mails empfängt. Das Format des Eintrags besteht aus einer Prioritätszahl und dem Hostnamen des Servers. Mehrere MX-Einträge mit unterschiedlichen Prioritäten ermöglichen Ausfallsicherheit. Empfänger versuchen zuerst den Wert mit der niedrigsten Prioritätszahl und greifen bei Bedarf auf höhere Zahlen zurück.
Typische Werte für eine von TrekMail gehostete Mail-Domain sind 10 mx1.trekmail.net und 20 mx2.trekmail.net. Der Postfachanbieter stellt die genauen Werte bereit; Sie veröffentlichen alle bei Ihrem DNS-Host. Wenn nur der primäre Eintrag ohne Sicherung veröffentlicht wird, können E-Mails bei seltenen Ausfällen des Primärservers zurückgewiesen werden, statt für einen erneuten Versuch in die Warteschlange zu gelangen.
Eintrag 2: SPF (Wer senden darf)
SPF legt fest, welche Server E-Mails im Namen Ihrer Domain senden dürfen. Der Eintrag ist ein einzelner TXT-Eintrag an der Domainwurzel mit einer Syntax wie v=spf1 include:_spf.trekmail.net ~all. Jede include:-Anweisung verweist auf einen weiteren SPF-Eintrag, der die tatsächlichen Sende-IPs auflistet. Eine falsche Konfiguration kann dazu führen, dass legitime E-Mails unbemerkt zurückgewiesen werden.
Jeder externe Dienst, der E-Mails von Ihrer Domain sendet, etwa Marketingplattform, Transaktionsabsender oder Support-Ticketsystem, muss in SPF erscheinen, entweder direkt per IP oder über ein Include. Der gesamte Auflösungsbaum muss unter 10 DNS-Abfragen bleiben. Prüfen Sie den SPF-Eintrag vierteljährlich, damit eine schleichende Annäherung an das Abfragelimit erkannt wird, bevor legitime E-Mails abgewiesen werden. Eine ausführliche Anleitung bietet E-Mail-Authentifizierung mit SPF, DKIM und DMARC.
Eintrag 3: DKIM (Kryptografische Signatur)
DKIM enthält einen öffentlichen Schlüssel, mit dem Empfänger die Signatur ausgehender E-Mails prüfen. Der Postfachanbieter signiert jede Nachricht mit dem zugehörigen privaten Schlüssel. Der Empfänger vergleicht die Signatur mit dem öffentlichen Schlüssel im DNS. Eine erfolgreiche Prüfung bestätigt, dass der Absender die Domain kontrolliert.
DKIM-Einträge werden unter Selektor-spezifischen Subdomains veröffentlicht: trekmail._domainkey.yourcompany.com für den Selektor von TrekMail, mailgun._domainkey.yourcompany.com für den von Mailgun und entsprechend für weitere Dienste. Jeder Eintrag ist eine lange base64-Zeichenfolge, die als zusammenhängender TXT-Wert ohne Zeilenumbrüche eingefügt werden muss. Mehrere Selektoren können nebeneinander bestehen. Jeder Dienst, der für Ihre Mail-Domain signiert, erhält einen eigenen. Eine ausführliche Anleitung bietet DKIM einrichten.
Viele Betreiber übersehen zunächst das Muster pro Absender. Eine neue Marketingplattform, die sechs Monate nach der Ersteinrichtung hinzukommt, benötigt einen eigenen Selektor. Ein ein Jahr später ergänzter Transaktionsabsender benötigt einen weiteren. Ohne Abdeckung pro Absender kann die Ausrichtung unbemerkt fehlschlagen und E-Mail dieser Dienste im Spam landen, obwohl die Mail-Domain selbst eine saubere SPF/DKIM/DMARC-Konfiguration besitzt. Die Lösung ist ein DKIM-Eintrag pro aktivem Absender.
Eintrag 4: DMARC (Richtlinie und Berichte)
DMARC teilt Empfängern mit, wie sie bei einem Fehler von SPF oder DKIM vorgehen sollen. Der Eintrag ist ein TXT-Eintrag unter _dmarc.yourcompany.com mit einer Syntax wie v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@yourcompany.com. Der Wert p= legt die Richtlinie fest (none, quarantine oder reject). Die Adresse unter rua= empfängt aggregierte Berichte.
Beginnen Sie für eine zweiwöchige Prüfung mit p=none. Die Berichte zeigen jede IP, die im Namen Ihrer Mail-Domain zu senden vorgibt, sowie den Status der Ausrichtung. Nach zwei Wochen mit unauffälligen Berichten können Sie auf p=quarantine verschärfen. Nach einem weiteren Monat können Sie zu p=reject wechseln. Die schrittweise Einführung verringert das Risiko, dass legitime E-Mails während der Prüfung zurückgewiesen werden, wenn noch nicht authentifizierte Absender entdeckt werden.
Wie die vier Einträge zusammenarbeiten
Die vier Einträge arbeiten als System zusammen. MX leitet eingehende E-Mails an den richtigen Server. SPF nennt die legitimen ausgehenden Absender. DKIM ermöglicht Empfängern die Prüfung der kryptografischen Signatur. DMARC verbindet SPF und DKIM und teilt Empfängern mit, was bei einem Fehler geschehen soll.
Erst das Zusammenspiel lässt das System funktionieren. SPF ohne DKIM bedeutet, dass viele ausgehende E-Mails die DMARC-Ausrichtung nicht bestehen, da für die Ausrichtung häufig DKIM und nicht SPF geprüft wird. DKIM ohne DMARC lässt Empfänger ohne Richtlinie für einen DKIM-Fehler. DMARC mit p=reject kann ohne vollständige SPF- und DKIM-Abdeckung legitime E-Mails zurückweisen. Die vier Einträge müssen gemeinsam konfiguriert werden. Eine teilweise Abdeckung kann die Zustellbarkeit beeinträchtigen, statt sie schrittweise zu verbessern.
Wie TrekMail die vier Einträge erzeugt
TrekMail erzeugt bei der Domain-Einrichtung genaue Werte für alle vier Einträge. Fügen Sie die Domain im Dashboard hinzu. Die Plattform erzeugt MX-Werte, die auf die Mailserver von TrekMail verweisen, SPF mit _spf.trekmail.net, DKIM unter einem TrekMail-spezifischen Selektor mit neu erzeugtem Schlüssel und DMARC mit p=none sowie einer standardmäßigen Berichtsadresse. Sie kopieren jeden Wert in das Dashboard Ihres DNS-Hosts.
Die Plattform übernimmt die Teile, die sich nicht je Betreiber unterscheiden: SPF-Include-Pfad, Erzeugung von DKIM-Schlüsseln, Zeitplan für die Schlüsselrotation und Aggregation der DMARC-Berichte. Sie übernehmen die variablen Teile: bei welchem DNS-Host die Einträge veröffentlicht werden, an welches Postfach DMARC-Berichte gehen sollen und wann die DMARC-Richtlinie verschärft wird. Den größeren Zusammenhang erläutert Domain-E-Mail.
Nächste Schritte
Eine funktionierende Mail-Domain besteht aus vier DNS-Einträgen, die bei einem von Ihnen kontrollierten DNS-Host korrekt veröffentlicht sind. MX leitet eingehende E-Mails weiter. SPF nennt autorisierte Absender. DKIM signiert ausgehende Nachrichten. DMARC verbindet alles durch Richtlinien und Berichte. Die Veröffentlichung der vier Einträge dauert etwa 15 Minuten und kann über Jahre eine zuverlässige Platzierung im Posteingang unterstützen, sofern die vierteljährlichen Prüfungen fortgesetzt werden.
Testen Sie TrekMail Nano kostenlos unter trekmail.net/pricing, keine Karte erforderlich und kein Ablauf der Testphase. Der Nano-Tarif deckt 10 Domains × 10 Postfächer ab. Starter für $4/Monat erweitert die Kapazität auf 50 × 100, wenn das Sendevolumen die Grenze von Nano überschreitet.
Für die vier Einträge eignet sich die Regel: einmal einrichten, vierteljährlich prüfen. MX ändert sich nach der Einrichtung selten. SPF sammelt über Monate neue Absender, wenn der Betrieb Marketingplattformen und Transaktionsdienste ergänzt. DKIM-Schlüssel werden auf den meisten Plattformen automatisch rotiert. DMARC-Berichte laufen fortlaufend ein und zeigen sowohl Abweichungen legitimer Absender als auch Spoofing-Versuche. Der vierteljährliche Prüfzyklus ist wenig aufwendig und kann viele Zustellbarkeitsprobleme vermeiden, die entstehen, wenn Einträge nach der Ersteinrichtung nicht mehr beachtet werden.
Bei Betreibern mit mehreren Markendomains wird die Einrichtung der vier Einträge für jede Mail-Domain separat wiederholt. Die MX-Werte verweisen auf denselben Postfachanbieter. SPF-, DKIM- und DMARC-Einträge werden je Domain veröffentlicht. Der Endpunkt von TrekMail für Domain-Massenvorgänge (bis zu 500 Domains auf einmal) kann die Einrichtung pro Domain für Agenturen erheblich verkürzen.
Das System aus vier Einträgen dient auch als Diagnoseleiter, wenn etwas nicht funktioniert. Eingehende E-Mail kommt nicht an? Prüfen Sie MX. Ausgehende E-Mail landet im Spam? Prüfen Sie SPF und DKIM. Spoofing-Berichte häufen sich? Prüfen Sie die DMARC-Richtlinie. Jeder Fehlermodus weist auf einen bestimmten Eintrag hin, was die Fehlersuche beschleunigt.
