SPF, DKIM und DMARC eintragen: Die typischen Fehler bei jedem DNS-Anbieter
SPF, DKIM und DMARC sind schnell erklärt – und trotzdem scheitert es oft am Eintragen. Jeder DNS-Anbieter beschriftet die Felder anders, hängt die Domain mal automatisch an und mal nicht, und lange Schlüssel passen nicht in ein Feld. Dieser Artikel zeigt die Stolperfallen, die bei allen Anbietern gleich sind.
Die Felder eines DNS-Eintrags
Egal ob IONOS, Strato, Hetzner, Cloudflare, KeyHelp oder Plesk: Jeder Eintrag besteht aus denselben Teilen, auch wenn sie anders heißen.
| Feld | Andere Bezeichnungen | Beispiel |
|---|---|---|
| Name | Host, Hostname, Subdomain, Präfix | _dmarc |
| Typ | Record Type | TXT |
| Wert | Inhalt, Content, Ziel, Data | v=DMARC1; p=none; rua=mailto:… |
| TTL | Gültigkeit, Cache-Dauer | 3600 |
Der Name: die häufigste Fehlerquelle
Fast alle Oberflächen hängen deine Domain automatisch an den Namen an. Gibst du dort den vollen Namen ein, entsteht ein doppelter Eintrag:
| Gewünscht | Eingabe im Feld „Name“ | Falsch (häufig) |
|---|---|---|
beispiel.de (die Domain selbst, z. B. SPF) | @ oder leer lassen | beispiel.de → ergibt oft beispiel.de.beispiel.de |
_dmarc.beispiel.de | _dmarc | _dmarc.beispiel.de → _dmarc.beispiel.de.beispiel.de |
s1._domainkey.beispiel.de | s1._domainkey | s1._domainkey.beispiel.de |
Manche Oberflächen erwarten dagegen den vollen Namen, oft mit einem Punkt am Ende (_dmarc.beispiel.de.). Ein Blick auf einen bestehenden Eintrag, etwa den für www, zeigt dir, welche Schreibweise dein Anbieter verwendet.
Tipp: Der Unterstrich am Anfang von _dmarc und _domainkey gehört dazu. Einige ältere Oberflächen lehnen ihn ab – dann hilft meist nur der Support oder ein Wechsel des DNS-Anbieters.
TXT-Einträge: Anführungszeichen und lange Werte
- Anführungszeichen: Die meisten Oberflächen setzen sie selbst. Gibst du sie zusätzlich ein, landen sie manchmal im Wert, und der Eintrag ist ungültig. Im Zweifel ohne Anführungszeichen eintragen und danach prüfen.
- Lange DKIM-Schlüssel: Ein einzelner Textblock im DNS darf höchstens 255 Zeichen haben; ein 2048-Bit-Schlüssel ist länger. Gute Oberflächen teilen ihn automatisch auf. Bei anderen musst du ihn in mehrere Blöcke in Anführungszeichen zerlegen:
"v=DKIM1; k=rsa; p=MIIBIj…" "…IDAQAB". Empfänger setzen die Teile ohne Leerzeichen wieder zusammen. - Nur ein SPF-Eintrag: Gibt es schon einen
v=spf1-Eintrag, erweitere ihn, statt einen zweiten anzulegen. Zwei SPF-Einträge machen SPF ungültig. - Unsichtbare Zeichen: Beim Kopieren aus PDFs oder Chat-Programmen rutschen gern typografische Anführungszeichen („“) oder geschützte Leerzeichen hinein. Kopiere Werte möglichst direkt aus der Quelle – bei Postwacht über den Knopf „Kopieren“.
CNAME statt TXT bei Versanddiensten
Viele Newsletter- und Versanddienste geben dir für DKIM keinen TXT-, sondern einen CNAME-Eintrag, zum Beispiel:
s1._domainkey.beispiel.de. CNAME s1.domainkey.u12345.versanddienst.example.
Der Vorteil: Der Dienst kann seinen Schlüssel austauschen, ohne dass du etwas ändern musst. Wichtig ist, genau den Typ anzulegen, den der Dienst vorgibt. Ein CNAME darf außerdem nicht neben einem anderen Eintrag mit demselben Namen stehen.
TTL und Wartezeit
Die TTL legt fest, wie lange andere Server eine Antwort zwischenspeichern. Ein neuer Eintrag ist meist innerhalb von Minuten sichtbar. Hast du einen bestehenden Eintrag geändert, kann die alte Fassung so lange weiterleben, wie die alte TTL war – bei 86400 also bis zu einem Tag. Wer Änderungen plant, setzt die TTL vorher auf 300 bis 3600 Sekunden.
Auch eine Abfrage, die vor dem Anlegen „nichts gefunden“ ergab, wird zwischengespeichert. Wenn ein Test direkt nach dem Eintragen noch einen Fehler zeigt, warte ein paar Minuten und teste erneut.
So prüfst du das Ergebnis
Auf der Kommandozeile:
dig TXT beispiel.de +short dig TXT _dmarc.beispiel.de +short dig TXT s1._domainkey.beispiel.de +short
Unter Windows funktioniert nslookup -type=TXT _dmarc.beispiel.de. Am einfachsten geht es aber mit einer echten Mail: Der Test auf der Startseite zeigt dir sofort, ob SPF, DKIM und DMARC gefunden werden und gültig sind – und schlägt für jeden fehlenden Eintrag den passenden Wert zum Kopieren vor.