SPF, DKIM und DMARC für Ihre Domain einrichten

Landen Ihre E-Mails im Spam-Ordner der Empfänger oder werden sie sogar abgelehnt? Häufig fehlen die drei Schutzmechanismen SPF, DKIM und DMARC. Sie belegen, dass eine E-Mail tatsächlich von Ihrer Domain stammt. Seit 2024 verlangen große Anbieter wie Gmail und Yahoo diese Einträge für Absender mit vielen E-Mails, und auch andere Anbieter bewerten Nachrichten ohne sie deutlich schlechter. Diese Anleitung erklärt die drei Verfahren und zeigt die Einrichtung.

Die drei Verfahren im Überblick

Alle drei werden als TXT-Einträge im DNS Ihrer Domain hinterlegt.

Wird Ihr DNS bei Alpenhost verwaltet?

Wenn Ihre Domain unsere Nameserver verwendet, erledigt Plesk einen Großteil automatisch:

1. Öffnen Sie in Plesk Websites & Domains → Ihre Domain → E-Mail-Einstellungen bzw. Mail-Einstellungen.
2. Aktivieren Sie DKIM-Spamschutzsystem verwenden, um ausgehende E-Mail-Nachrichten zu signieren.
3. Speichern Sie die Einstellung.

Plesk legt dann die Einträge für SPF, DKIM und einen einfachen DMARC-Eintrag in der DNS-Zone an. Prüfen Sie diese unter Hosting- und DNS-Einstellungen → DNS.

Wird Ihr DNS bei einem anderen Anbieter verwaltet?

Dann tragen Sie die Einträge beim DNS-Anbieter Ihrer Domain selbst ein.

SPF

Name: @ (bzw. Ihre Domain), Typ: TXT, Wert zum Beispiel:

v=spf1 a mx include:spf.beispiel-dienst.at ~all

• a und mx erlauben die Server, auf die Ihre Domain bzw. Ihr MX-Eintrag zeigt.
• Mit include: oder ip4: ergänzen Sie weitere Dienste, die in Ihrem Namen versenden, etwa einen Newsletter-Anbieter oder Ihr Shop-System.
• ~all markiert alle anderen Server als verdächtig. Wenn Sie sicher sind, dass alle Versender erfasst sind, verwenden Sie -all.

Wichtig: Pro Domain darf es nur einen SPF-Eintrag geben. Zwei Einträge machen SPF ungültig. Führen Sie mehrere Dienste in einem Eintrag zusammen.

DKIM

Aktivieren Sie DKIM in Plesk wie oben beschrieben. Den benötigten öffentlichen Schlüssel finden Sie anschließend in der DNS-Ansicht der Domain in Plesk als TXT-Eintrag mit dem Namen default._domainkey. Übertragen Sie Name und Wert exakt zu Ihrem DNS-Anbieter.

DMARC

Name: _dmarc, Typ: TXT, Wert für den Einstieg:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.at

Mit p=none beobachten Sie zunächst nur. Die Empfänger senden Berichte an die angegebene Adresse. Funktioniert über einige Wochen alles, verschärfen Sie die Richtlinie schrittweise auf p=quarantine (verdächtige E-Mails in den Spam-Ordner) und später auf p=reject (ablehnen).

Einträge prüfen

Unter Windows, macOS oder Linux prüfen Sie die Einträge mit:

nslookup -type=TXT ihre-domain.at
nslookup -type=TXT default._domainkey.ihre-domain.at
nslookup -type=TXT _dmarc.ihre-domain.at

Der einfachste Gesamttest: Senden Sie eine E-Mail an ein Gmail-Konto, öffnen Sie sie und wählen Sie im Menü Original anzeigen. Dort sollte bei SPF, DKIM und DMARC jeweils PASS stehen. Alternativ nutzen Sie einen Online-Test wie mail-tester.com.

Häufige Fehler

SPF schlägt fehl

• Es gibt zwei SPF-Einträge. Fassen Sie sie zu einem zusammen.
• Ein Dienst, der in Ihrem Namen versendet, fehlt im Eintrag.
• Der Eintrag enthält mehr als zehn DNS-Abfragen durch zu viele include:. Entfernen Sie nicht mehr genutzte Dienste.

DKIM schlägt fehl

Der Schlüssel im DNS wurde nicht vollständig kopiert, oder lange Werte wurden vom DNS-Anbieter falsch aufgeteilt. Vergleichen Sie den Wert genau mit Plesk.

Weitergeleitete E-Mails werden abgelehnt

Bei einfachen Weiterleitungen bleibt der ursprüngliche Absender erhalten, aber der weiterleitende Server steht nicht in dessen SPF-Eintrag. Das ist eine bekannte Schwäche von SPF. Holen Sie E-Mails besser per IMAP ab, statt sie weiterzuleiten.

Auch der Reverse-DNS-Eintrag spielt für die Zustellbarkeit eine Rolle, wenn Sie einen eigenen Mailserver auf einem vServer betreiben. Wie Sie ihn setzen, zeigt der Artikel Wie man im Alpenhost-Kundencenter einen RDNS-Eintrag einrichtet.