E-Mail deiner Domain schützen (SPF, DKIM und DMARC)

Richte SPF, DKIM und DMARC ein, damit Mailserver echte E-Mail von deiner Domain von gefälschten Nachrichten unterscheiden können — das gilt für alle, die eine Domain besitzen, egal ob technisch versiert oder nicht.

Übersicht

• Jeder kann eine E-Mail senden, die vorgibt, von deiner Domain zu stammen. Drei DNS-Einträge lassen empfangende Mailserver prüfen, welche Mail echt ist:
• SPF legt fest, welche Server in deinem Namen Mail versenden dürfen.
• DKIM fügt jeder gesendeten Nachricht eine Signatur hinzu.
• DMARC sagt Empfängern, was mit Mail zu tun ist, die diese Prüfungen nicht besteht.
• InfraNest schreibt diese Einträge für dich, basierend auf dem, was es bereits über deine Domain weiß — du musst sie nie von Hand schreiben.

Für eine Domain einrichten

1. Öffne die Domain über Domains oder ihre Zone über DNS.
2. Wähle in Protection (auf der Domain-Seite) oder in der E-Mail-Karte (auf der Zonen-Seite) Hinzufügen neben SPF oder DMARC.
3. Prüf die Vorschau. Jeder Eintrag zeigt, wie er jetzt aussieht, wie er aussehen wird und warum.
4. Wähle Write. InfraNest schreibt die Einträge über deinen DNS-Host und prüft anschließend das öffentliche DNS. Ein Eintrag ist meist innerhalb weniger Minuten aktiv.

Was InfraNest schreibt

• SPF — nennt den Mailanbieter, der deine E-Mail verarbeitet. InfraNest erkennt ihn an deinen MX-Einträgen (Google Workspace, Microsoft 365, Zoho, Proton, Fastmail und viele weitere). Kann es den Anbieter nicht erkennen, wählst du ihn aus einer Liste.
  • Wenn du bereits einen SPF-Eintrag hast, fügt InfraNest deinen Anbieter dort hinzu und lässt alles andere unverändert. Es erstellt nie einen zweiten SPF-Eintrag, da zwei Einträge dazu führen, dass Empfänger SPF komplett ignorieren.
  • Empfänger erlauben höchstens 10 DNS-Abfragen für SPF. InfraNest zählt diese, bevor etwas geändert wird, und verweigert eine Änderung, die das Limit überschreiten würde — die Anzahl wird dir angezeigt.
• DMARC — startet im reinen Überwachungsmodus. Das beobachtet nur: An der Zustellung deiner Mail ändert sich nichts. Wenn du bereits einen DMARC-Eintrag hast, lässt InfraNest ihn unverändert.
• DKIM — wird bei deinem Mailanbieter eingeschaltet, nicht von Hand im DNS. Die Vorschau verlinkt direkt zur richtigen Seite (zum Beispiel Google Admin oder das Microsoft Defender-Portal). Sobald dein Anbieter den Schlüssel veröffentlicht, findet InfraNest ihn selbstständig — es gibt nichts zu bestätigen.
  • Microsoft 365 benötigt zwei DKIM-Einträge in deinem DNS (DKIM (selector1) und DKIM (selector2)), und nur Microsoft Defender zeigt, worauf sie zeigen sollen. Hat eine deiner anderen Domains sie bereits, verwendet InfraNest diese, sobald das öffentliche DNS bestätigt, dass Microsoft für diese Domain einen Schlüssel bereithält. Andernfalls fragt die Vorschau nach einem Wert: Öffne die DKIM-Einstellungen in Defender, wähle die Domain aus und füge den für selector1 angezeigten Wert ein. InfraNest schreibt daraus beide Einträge. Sobald sie aktiv sind, schalte DKIM für die Domain in Defender ein — Microsoft signiert deine Mail erst nach diesem Schritt.
• Autodiscover (Microsoft 365) — hilft Outlook und Smartphones, das Postfach zu finden, wenn sich jemand mit einer Adresse deiner Domain anmeldet. InfraNest fügt es nur hinzu, wenn deine Domain noch keinen Autodiscover-Eintrag hat, damit ein eigener Mailserver weiter antworten kann.

NoteDer Wechsel von DMARC von reiner Überwachung zu einer strikteren Richtlinie ist deine Entscheidung und wird auf der DNS-Seite getroffen. Tu das erst, wenn du sicher bist, dass jeder Dienst, der in deinem Namen Mail versendet, SPF oder DKIM besteht — sonst kann echte Mail abgewiesen werden.

Domains absichern, die keine Mail versenden

Auch geparkte Domains und Domains, die du nur für eine Website nutzt, können gefälscht werden. Wenn eine Domain keine Mail empfängt und nichts in ihrem Namen versendet, bietet InfraNest an, sie mit drei Einträgen abzusichern:

1. Ein Null-MX-Eintrag, der besagt, dass die Domain keine Mail annimmt.
2. Ein SPF-Eintrag mit Hard Fail, der besagt, dass kein Server in ihrem Namen senden darf.
3. Ein DMARC-Eintrag, der gefälschte Mail abweist.

InfraNest bietet dies nur an, wenn es keinerlei Hinweis auf Mailversand gibt. Nennt der SPF-Eintrag der Domain einen Absender oder besitzt sie einen DKIM-Schlüssel, bleibt sie unverändert — möglicherweise versendet etwas Mail in ihrem Namen ohne MX-Eintrag, und eine Absicherung würde diese Mail blockieren.

E-Mail-Schutz für mehrere Domains beheben

1. Geh zur Domains-Übersicht.
2. Finde die Zeilen Email protection und Sends no mail, die zählen, wie viele Domains bereits entsprechend eingerichtet sind.
3. Wähle Fix oder Lock down, um pro Domain zu sehen, was InfraNest schreiben wird, welche DNS-Hosts die Einträge von Hand benötigen und welche Domains übersprungen werden und warum.
4. Wähle Confirm, um die Änderungen zu schreiben. InfraNest schreibt nur die Domains, auf die es zugreifen kann; jede wird einzeln geprüft und protokolliert.

Wenn InfraNest nicht auf deinen DNS-Host schreiben kann

1. Liegt das DNS deiner Domain bei einem Anbieter, mit dem InfraNest nicht verbunden ist, öffne die Vorschau, um kopierfertige Einträge zu sehen.
2. Füge sie bei deinem DNS-Host hinzu.
3. Wähle Check public DNS. InfraNest bestätigt jeden Eintrag, sobald er aktiv ist.

Eine Änderung rückgängig machen

Jede Änderung wird im History der Zone als eine Änderung gruppiert erfasst, sodass du sie in einem Schritt rückgängig machen kannst.