Hinweis

Dieses Helpcenter befindet sich noch im Aufbau. Einige Themen fehlen noch oder werden aktuell überarbeitet.

Wenn dir etwas fehlt oder eine Formulierung unklar ist, sag uns bitte kurz Bescheid. Am hilfreichsten ist der Link zur Seite und ein Beispiel, was du erreichen möchtest.

Weiterführend: Wo finde ich was? · Ich habe keinen Zugang · Zugänge absichern

SPF, DKIM und DMARC verständlich erklärt

Diese drei Einträge sorgen dafür, dass deine E-Mails ankommen und dass niemand in deinem Namen schreiben kann. Ohne sie landet Geschäftspost bei Microsoft und Google schnell im Spamordner.

Im cPanel: E-Mail → E-Mail Zustellbarkeit — cPanel öffnen

Die gute Nachricht zuerst

Wenn deine Domain unsere Nameserver nutzt, setzen wir SPF und DKIM automatisch. Du musst dafür nichts tun. Prüfen kannst du es im cPanel unter E-Mail Zustellbarkeit, und mit einem Klick auf Reparieren wird alles Fehlende ergänzt. → Zustellbarkeit prüfen

Selbst eintragen musst du die Werte nur, wenn deine DNS-Verwaltung woanders liegt, etwa bei Cloudflare oder einem anderen Anbieter.

Was die drei Einträge tun

Stell dir vor, jemand schickt einen Brief mit deiner Absenderadresse, ohne dich zu fragen. Genau das ist bei E-Mail möglich, weil die Absenderangabe reiner Text ist. Die drei Einträge schließen diese Lücke Stück für Stück.

Eintrag	In einem Satz	Ohne ihn passiert das
SPF	Eine Liste der Computer, die E-Mails mit deiner Adresse verschicken dürfen.	Empfänger können nicht erkennen, ob eine Nachricht mit deinem Domainnamen wirklich von dir kommt.
DKIM	Versieht jede deiner Nachrichten mit einem Siegel, das der Empfänger prüfen kann.	Es gibt keinen Nachweis, dass die Nachricht unterwegs von dir stammt und unverändert ist.
DMARC	Sagt dem Empfänger, was zu tun ist, wenn die ersten beiden nicht passen.	Jeder Empfänger entscheidet selbst, meist zu deinen Ungunsten.

In dieser Reihenfolge bauen sie aufeinander auf. SPF und DKIM liefern die Nachweise, DMARC zieht daraus die Konsequenz.

Was du davon hast

Deine Post kommt an. Große Anbieter behandeln Nachrichten ohne diese Einträge deutlich misstrauischer. Bei Rechnungen und Terminbestätigungen fällt das erst auf, wenn sich jemand beschwert, nichts erhalten zu haben.

Niemand kann in deinem Namen schreiben. Betrüger nutzen gern Firmennamen für gefälschte Rechnungen. Mit einem strengen DMARC-Eintrag weisen die großen Anbieter solche Nachrichten von sich aus ab.

Du siehst, wer für dich sendet. DMARC kann dir Berichte schicken, aus denen hervorgeht, welche Systeme in deinem Namen Mails verschicken. Oft entdeckt man dabei vergessene Versandwege, etwa ein altes Shopsystem.

Wenn du selbst eintragen musst

1. Im cPanel unter E-Mail → E-Mail Zustellbarkeit auf Empfohlene Einträge anzeigen
2. Die angezeigten Werte exakt übernehmen, ohne Zeilenumbrüche
3. Beim Anbieter deiner DNS-Verwaltung als TXT-Einträge anlegen
4. Nach einigen Stunden im cPanel erneut prüfen

Nur ein SPF-Eintrag je Domain

Gibt es zwei SPF-Einträge, heben sie sich gegenseitig auf, und der Schutz ist vollständig weg. Das passiert schneller als gedacht, etwa wenn ein Newsletter-Dienst „seinen" Eintrag ergänzen lässt.

Richtig ist, den vorhandenen Eintrag zu erweitern. Wenn du unsicher bist, schick uns deinen aktuellen Eintrag und den gewünschten Zusatz, dann sagen wir dir, wie er aussehen muss.

Wenn du über andere Dienste versendest

Newsletter-Werkzeuge, CRM-Systeme oder ein Shop bei einem anderen Anbieter versenden ebenfalls unter deiner Domain. Damit das funktioniert, müssen deren Versandwege in deinem SPF-Eintrag stehen. Der jeweilige Anbieter nennt dir den nötigen Zusatz in seiner Anleitung.

Vergisst man das, ist das Ergebnis besonders tückisch: Die eigene Post kommt an, nur die Rechnungen aus dem Shop nicht.

Für Experten: Beispiele und Fallstricke

• SPF endet mit ~all oder -all. Die weiche Variante ~all markiert nur, die harte Variante -all weist ab. Beginne mit ~all und stelle erst um, wenn du sicher bist, dass alle Versandwege erfasst sind.
• DMARC beginnt sinnvollerweise mit p=none und einer Berichtsadresse, etwa v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de. Erst wenn die Berichte sauber sind, auf p=quarantine und später p=reject erhöhen.
• Zehn Abfragen sind das Limit. Jeder include: in einem SPF-Eintrag zählt mit. Wer zu viele Dienste einbindet, überschreitet die Grenze, und der gesamte Eintrag wird ungültig.
• DKIM liegt bei uns unter default._domainkey. Ein Selektor eines anderen Anbieters stört das nicht, beide können nebeneinander bestehen.
• Bei Weiterleitungen bricht SPF, weil der weiterleitende Server nicht in deinem Eintrag steht. DKIM überlebt sie dagegen meistens. Genau deshalb gehören beide gesetzt.

Das könnte auch weiterhelfen

• DNS-Eintrag im cPanel anlegen: wo die Einträge hingehören
• Zustellbarkeit im cPanel prüfen
• DMARC setzen mit Beispielen
• Spam mit meiner Adresse als Absender
• E-Mail-Versand richtig aufsetzen