Cloudflare: SPF, DKIM und DMARC Schritt für Schritt einrichten

Die Oberfläche von Cloudflare ändert sich gelegentlich. Die Angaben stammen aus der Dokumentation von Cloudflare (DNS-Einträge anlegen, Eintragstypen, Sicherheitseinträge, alle auf Englisch), abgerufen am 1. November 2026.

Zuerst: Wer sendet deine Mails?

Cloudflare ist hier nur der Ort, an dem die Einträge stehen. Den SPF-Wert und die DKIM-Einträge nennt der Dienst, über den du Mails verschickst (Google Workspace, Microsoft 365, dein Hoster, ein Newsletter-Tool). Hol sie dir dort und lege sie bei Cloudflare an. Für zwei große Anbieter gibt es Anleitungen: Google Workspace und Microsoft 365.

Einträge bei Cloudflare anlegen

1. Öffne im Cloudflare-Dashboard deine Domain und die Seite DNS mit den Records.
2. Wähle Add record.
3. Wähle den Typ (für SPF und DMARC TXT, für DKIM meist TXT oder CNAME, je nach Anbieter) und fülle die Felder aus.
4. Wähle Save.

Bei TXT-Einträgen schreibt Cloudflare den Inhalt in Anführungszeichen. Speicherst du ihn ohne, ergänzt Cloudflare sie laut Dokumentation für neue Einträge selbst. Gib sie also nicht doppelt ein, uneinheitliche Anführungszeichen führen zu Fehlern.

Alternativ gibt es bei Cloudflare unter Email > DMARC Management eine geführte Einrichtung der Sicherheitseinträge (SPF, DKIM, DMARC). Wie sie im Einzelnen aussieht, beschreibt Cloudflare in der Dokumentation zu den Sicherheitseinträgen.

SPF

Lege genau einen TXT-Eintrag für die Domain an, der mit v=spf1 beginnt und alle Dienste nennt, die in deinem Namen senden. Zwei SPF-Einträge führen zu einem Fehler (SPF PermError beheben). Den passenden Eintrag baut der SPF-Generator.

DKIM

Nutze die Werte deines Versanddienstes. Nennt er CNAME-Einträge, lege sie als CNAME an, nennt er einen TXT-Eintrag mit v=DKIM1; k=rsa; p=…, lege einen TXT-Eintrag an. Hast du keinen Dienst und signierst selbst, erzeugt der DKIM-Generator Schlüssel und Eintrag. Ob alles ankommt, zeigt der DKIM-Prüfer.

DMARC

Lege einen TXT-Eintrag mit dem Namen _dmarc an. Starte mit p=none, damit sich für deine Mails nichts ändert und du Berichte bekommst:

v=DMARC1; p=none; rua=mailto:berichte@deine-domain.de

Den fertigen Eintrag baut der DMARC-Generator. Mit einem kostenlosen Konto wertet Postwacht die Berichte aus und sagt dir, wann Quarantäne und später reject sicher sind (DMARC-Berichte auswerten).

Proxy-Status: DNS only

Bei A-, AAAA- und CNAME-Einträgen fragt Cloudflare, ob der Verkehr der Domain über Cloudflare läuft (Proxy). In der Dokumentation von Cloudflare ist der Eintrag für den Mailserver auf „DNS only“ gestellt, und Cloudflare leitet E-Mail-Verkehr auf Port 25 standardmäßig nicht über den Proxy. Stelle deshalb A-Einträge von Mailservern und CNAME-Einträge, die dein Mail-Anbieter verlangt (zum Beispiel für DKIM), auf DNS only.

Prüfen

1. Wie schnell eine Änderung sichtbar wird, hängt von der TTL des Eintrags ab: Sie steuert laut Cloudflare, wie lange ein Eintrag gültig ist und wie lange Änderungen brauchen.
2. Prüfe alles auf einmal mit dem Domain-Check.
3. Schicke eine Mail an eine Testadresse im E-Mail-Test. Er zeigt, ob SPF und DKIM an einer echten Mail bestehen und passen.

Häufige Fragen

Mein TXT-Eintrag wird nicht akzeptiert.

Prüfe die Anführungszeichen: Entweder keine setzen und Cloudflare ergänzen lassen, oder jeden Teil einheitlich in Anführungszeichen. Lange Werte teilt man in mehrere Zeichenketten.

Wie lang darf ein TXT-Eintrag sein?

Nach der Cloudflare-Dokumentation hat ein Eintrag höchstens 4 096 Bytes, mehrere Einträge mit demselben Namen und Typ zusammen höchstens 8 192 Zeichen.

Stimmen die Angaben noch?

Sie stammen aus der Dokumentation von Cloudflare vom 1. November 2026. Wenn dir etwas Abweichendes auffällt, schreib uns über den Support.