Hetzner: SPF, DKIM und DMARC Schritt für Schritt einrichten
Liegt das DNS deiner Domain bei Hetzner, legst du SPF, DKIM und DMARC in der DNS-Verwaltung der Hetzner Console an. Hier steht, wo du sie findest und worauf du achten musst. Stand: 1. November 2026.
Die Oberfläche von Hetzner ändert sich gelegentlich. Die Angaben stammen aus der Hilfe von Hetzner (Records hinzufügen, TXT-Records), abgerufen am 1. November 2026. Die Felder für TXT-Einträge beschreibt Hetzner in einem eigenen Artikel. Schau dort nach, bevor du speicherst.
Zuerst: Wer sendet deine Mails?
Hetzner ist hier nur der Ort, an dem die Einträge stehen, sofern du die Hetzner-Nameserver nutzt. Den SPF-Wert und die DKIM-Einträge nennt der Dienst, über den du Mails verschickst (dein Mailserver, Google Workspace, Microsoft 365, ein Newsletter-Tool). Hol sie dir dort. Anleitungen: Google Workspace und Microsoft 365. Der Domain-Check zeigt dir, was heute im DNS steht.
Einträge bei Hetzner anlegen
- Öffne in der Hetzner Console dein Projekt und wähle links DNS.
- Wähle die Zone (Domain), die du ändern willst.
- Öffne die Liste unter Typ und wähle den Eintragstyp (für SPF und DMARC TXT).
- Fülle alle Pflichtfelder aus und klicke auf Hinzufügen.
Welche Angaben ein TXT-Eintrag braucht, steht im Artikel von Hetzner zu TXT-Records. Dort findest du auch, wie lange Werte einzutragen sind.
SPF
Lege genau einen TXT-Eintrag für die Domain an, der mit v=spf1 beginnt und alle Dienste nennt, die in deinem Namen senden. Zwei SPF-Einträge führen zu einem Fehler (SPF PermError beheben). Den passenden Eintrag baut der SPF-Generator.
DKIM
Betreibst du einen eigenen Mailserver (Postfix, Mailcow, Mail-in-a-Box), erzeugt der DKIM-Generator ein Schlüsselpaar: Den öffentlichen Teil legst du als TXT-Eintrag selektor._domainkey bei Hetzner an, den privaten Teil auf dem Server. Nutzt du einen Dienst, nimm dessen Werte (CNAME oder TXT). Ob alles ankommt, zeigt der DKIM-Prüfer.
DMARC
Lege einen TXT-Eintrag mit dem Namen _dmarc an. Starte mit p=none, damit sich für deine Mails nichts ändert und du Berichte bekommst:
v=DMARC1; p=none; rua=mailto:berichte@deine-domain.deDen fertigen Eintrag baut der DMARC-Generator. Mit einem kostenlosen Konto wertet Postwacht die Berichte aus und sagt dir, wann Quarantäne und später reject sicher sind (DMARC-Berichte auswerten).
Prüfen
- Warte, bis die Einträge sichtbar sind. Ändere SPF, DKIM und DMARC besser nacheinander.
- Prüfe alles auf einmal mit dem Domain-Check.
- Schicke eine Mail an eine Testadresse im E-Mail-Test. Er zeigt, ob SPF und DKIM an einer echten Mail bestehen und passen.
Häufige Fragen
Was ist mit dem Reverse-DNS-Eintrag meines Servers?
Er gehört zur IP-Adresse und nicht zur Domain und wird beim Anbieter der IP gesetzt, bei Hetzner-Servern also in der Server-Verwaltung. Der Reverse-DNS-Check zeigt, ob er stimmt (Reverse DNS für Mailserver).
Kann ich von einem Hetzner-Server Mails verschicken?
Das hängt vom Angebot und von den Regeln des Anbieters für Port 25 ab. Prüfe sie vorher bei Hetzner. Mit dem SMTP-Test siehst du, ob dein Server von außen erreichbar ist.
Stimmen die Angaben noch?
Sie stammen aus der Hilfe von Hetzner vom 1. November 2026. Wenn dir etwas Abweichendes auffällt, schreib uns über den Support.