DNS für E-Mail: MX, SPF und DKIM einfach erklärt

Wer eine E-Mail mit eigener Domain betreibt, stolpert früh über drei Buchstabenkürzel: MX, SPF und DKIM. Sie stehen in der DNS-Zone, also in der Tabelle, die bei jedem Domain-Anbieter unter “DNS-Verwaltung” oder “Zone Editor” liegt, und sie entscheiden darüber, ob Post ankommt, ob Absender als legitim gelten und ob Empfänger der Nachricht trauen. Alles andere in dieser Tabelle ist für den Mailbetrieb erstaunlich nebensächlich.

Der häufigste Denkfehler: Leute kaufen ein Catch-All-Postfach, tragen die Zugangsdaten ins Mailprogramm ein und wundern sich, dass nichts ankommt. Der Mailserver ist dann nicht schuld, sondern ein fehlender oder falsch priorisierter MX-Record. Genauso verbreitet sind SPF-Einträge, die nach der dritten Weiterleitung brechen, oder DKIM-Schlüssel, die beim Hoster liegen, aber nie im DNS veröffentlicht wurden. Diese Anleitung geht die drei Record-Typen der Reihe nach durch, mit konkreten Werten, typischen Fallstricken und der Frage, was ein Anbieter beim Setup für Sie erledigt und was Sie selbst prüfen müssen.

Ein Punkt vorweg, der später wichtig wird: Ein Catch-All-Empfang ist reine Serverlogik. Der Mailserver nimmt Mails für beliebige Adressen unter Ihrer Domain an, weil er dazu angewiesen wurde, nicht weil ein DNS-Record pro Adresse existiert. Ein einziger MX-Eintrag genügt also für unbegrenzt viele Wegwerf- und Rollenadressen. Das erklärt auch, warum Catch-All-E-Mail Preise kaum von der Zahl der Adressen abhängen, sondern von Speicher, Laufzeit und Support. Wer das einmal verstanden hat, kann DNS-Einträge deutlich entspannter lesen und Fehler dort suchen, wo sie tatsächlich sitzen.

Was DNS mit E-Mail zu tun hat: die drei entscheidenden Record-Typen

DNS ist die Landkarte, die jeder Mailserver vor dem ersten Byte einer Nachricht liest. Wer eine E-Mail mit eigener Domain betreibt, egal ob einzelne Adresse oder Catch-All-Postfach, verwaltet dort drei Record-Typen, die tatsächlich über Zustellung entscheiden: MX für den Empfang, SPF als TXT für die Absender-Autorisierung und DKIM für die kryptografische Signatur. Alles andere im Zonenfile ist Beiwerk, das den Mailbetrieb nicht trägt.

Ein MX-Record beantwortet die einzige Frage, die beim Empfang zählt: An welchen Server soll die Mail für diese Domain gehen? Der Record besteht aus einer Priorität und einem Hostnamen, etwa “10 mail.example.com”. Die niedrigste Zahl gewinnt. Steht dort kein erreichbarer Host oder zeigt der Eintrag auf einen Server, der die Domain nicht kennt, prallt jede eingehende Nachricht ab. Für ein Catch-All-Postfach ist das der kritischste Punkt überhaupt, denn der Catch-All-Empfang sammelt alle Adressen, die nicht explizit angelegt sind. Fehlt der MX, gibt es nichts zu sammeln.

SPF liegt als TXT-Record am Domain-Apex und listet auf, welche Server im Namen der Domain senden dürfen. Der typische Aufbau: “v=spf1 mx include:_spf.provider.net -all”. Der Mechanismus “mx” erlaubt allen Hosts, die auch im MX stehen, der “include” zieht die SPF-Regeln eines Providers nach, und “-all” erklärt alles Übrige für unautorisiert. Empfänger prüfen das gegen die Absender-IP. Passt nichts, landet die Mail im Spam oder wird abgewiesen. Wichtig ist die harte 10-Lookup-Grenze: Jeder “include”, “a”, “mx” oder “exists” zählt als Lookup, und ab dem elften antworten viele Prüfer mit “permerror”. Wer mehrere Dienste einbindet, sollte die Zählung im Blick behalten.

DKIM arbeitet mit einem Schlüsselpaar. Der private Schlüssel bleibt auf dem Mailserver und signiert ausgehende Nachrichten, der öffentliche Schlüssel steht als TXT-Record unter einem Selector im DNS, etwa “selector1._domainkey.example.com”. Der Empfänger holt den Schlüssel dort ab und prüft die Signatur gegen den Nachrichtenkörper. Der Selector ist nichts weiter als ein frei wählbarer Name, der mehrere Schlüssel parallel erlaubt, praktisch beim Providerwechsel oder bei Rotation. Eine gültige DKIM-Signatur sagt nichts über den Inhalt aus, sie belegt nur, dass die Nachricht unter dieser Domain signiert wurde und unterwegs unverändert blieb.

A- und CNAME-Records tauchen in dieser Logik nicht auf. Ein A-Record zeigt eine Domain auf eine IP-Adresse, ein CNAME ist ein Alias auf einen anderen Namen. Beide braucht man für eine Website oder für Verifikationen, nicht für den Mailtransport. Wer sein Catch-All-Postfach einrichtet, kann den A-Record der Domain beliebig verbiegen, solange MX, SPF und DKIM stimmen, kommt jede Mail an. Umgekehrt hilft der schönste A-Record nichts, wenn der MX ins Leere zeigt.

Die drei Records greifen ineinander, ersetzen sich aber nicht. Ein korrekter MX ohne SPF und DKIM empfängt zuverlässig, wird aber beim Versand schlechter bewertet. Gute Catch-All-E-Mail-Anbieter setzen deshalb alle drei Einträge bei der Einrichtung, prüfen sie anschließend und überwachen zusätzlich, ob die Domain auf Blacklists landet. Wer die Zonenverwaltung selbst in der Hand hat, sollte nach jeder Änderung mit einem DNS-Check gegenprüfen, ob MX, TXT für SPF und der DKIM-Selector wirklich ausgeliefert werden, bevor die erste Testmail rausgeht.

MX-Records richtig setzen: E-Mails zuverlässig empfangen

Ein MX-Record ist ein DNS-Eintrag, der sagt: “Für Mails an diese Domain ist jener Server zuständig.” Er besteht aus drei Teilen, nämlich dem Hostnamen der Domain, einer Prioritätszahl und dem Zielserver. Die Priorität entscheidet, welcher Server zuerst angesprochen wird. Kleine Zahl gewinnt, also 10 vor 20 vor 30. Bei einem einzelnen Mailserver ist die Zahl fast egal, wichtig wird sie erst, wenn ein zweiter Server als Ausweichziel bereitsteht.

Ein typischer Eintrag sieht so aus:

Der Zielserver muss selbst ein A-Record oder AAAA-Record sein, kein CNAME. Ein MX, der auf einen CNAME zeigt, ist laut RFC 2181 unzulässig und wird von vielen Mailservern stillschweigend ignoriert. Das ist einer der häufigsten Fehler bei der Einrichtung einer E-Mail mit eigener Domain.

Eine zweite Stolperfalle: Der MX-Zielname muss in der DNS-Zone der Domain auflösbar sein oder ein öffentlich auflösbarer Hostname sein. Wer den Zielserver als “mail” ohne Punkt schreibt, löst relativ zur Zone auf und landet oft bei einem falschen Host. Immer den vollqualifizierten Namen mit Punkt am Ende oder den vollständigen Hostnamen angeben.

Dritte Falle: fehlender oder zu niedriger TTL-Wert beim Umzug. Vor einem Serverwechsel senkt man die TTL des MX-Records auf 300 Sekunden, wartet eine alte TTL ab und ändert dann erst den Zielserver. Sonst laufen Mails für Stunden an den alten Host, und Absender bekommen temporäre Fehler, die sie nach 4 bis 24 Stunden erneut versuchen. Das führt zu verspäteten Zustellungen, nicht zu Verlust, ist aber unnötig.

Für ein Catch-All-Postfach ändert sich am MX nichts. Der Catch-All-Empfang ist eine Funktion des Mailservers, nicht des DNS. Sobald der MX auf den richtigen Server zeigt, kann dieser alle Adressen der Domain annehmen, ob an info@, an eine erfundene Adresse oder an eine Wegwerfadresse. Die Regel “alles annehmen, was nicht existiert” liegt im Mailserver und wird im Web-E-Mail-Panel aktiviert. Der DNS-Eintrag bleibt derselbe, egal ob ein Postfach oder zwanzig Catch-All-Adressen bedient werden.

Ein häufiger Denkfehler ist, für jede Catch-All-Adresse einen eigenen MX-Record anlegen zu wollen. Das ist technisch nicht möglich, weil MX-Records immer für die gesamte Domain oder eine Subdomain gelten, nicht für einzelne lokale Teile. Wer pro Adresse routen will, braucht Subdomains, was bei einem Catch-All-Postfach aber selten sinnvoll ist.

Prüfen lässt sich der Eintrag mit dig oder nslookup: dig MX example.com +short zeigt alle MX-Records mit Priorität. Zeigt die Ausgabe nichts, ist entweder kein MX gesetzt oder die Zone nicht propagiert. Bei einem Wechsel dauert die Propagation je nach TTL zwischen Minuten und einigen Stunden. Ein Test mit einer frisch registrierten Domain ist daher erst nach Ablauf der TTL aussagekräftig.

Wer E-Mail-Hosting bei einem Anbieter wie AllMail bezieht, bekommt den korrekten MX-Wert im Web-E-Mail-Panel angezeigt und muss ihn nur in der eigenen DNS-Verwaltung eintragen. Der Zielserver ist dort bereits auf Catch-All-Empfang und POP3- sowie IMAP-Zugang eingerichtet. Der MX-Record ist damit die einzige Verbindung zwischen Domain und Postfach, und genau deshalb sollte man ihn nach jeder Änderung an der Domain einmal mit dig gegenprüfen.

SPF als TXT-Record: Absender-Autorisierung ohne Missverständnisse

Ein SPF-Record ist ein normaler TXT-Eintrag im DNS Ihrer Domain, kein eigener Record-Typ. Er beginnt immer mit v=spf1 und listet danach die Systeme auf, die im Namen Ihrer Domain senden dürfen. Ein einfaches Beispiel:

v=spf1 mx a:mail.ihredomain.de include:_spf.google.com -all

Die Mechaniken lesen sich von links nach rechts. mx erlaubt allen Servern, die auch im MX-Record stehen. a:mail.ihredomain.de erlaubt genau diesem Host das Senden. include: zieht die SPF-Regeln eines anderen Anbieters ein, etwa wenn Sie einen Newsletter-Dienst nutzen. Der Abschluss -all sagt: alles, was nicht vorher erlaubt wurde, ist ungültig und soll abgelehnt werden. Die Variante ~all markiert solche Absender nur als verdächtig (Softfail), was Prüfstellen oft durchlassen. Für eine Domain, über die ausschließlich Ihr eigener Mailserver sendet, ist -all die klarere Wahl.

Der Empfänger prüft die Absender-IP gegen diese Liste. Steht die IP nicht drin, schlägt die Prüfung fehl, und das Ergebnis landet im Header als spf=fail. https://allmail.one/de/pricing/ liefert zusätzlichen Hintergrund dazu. Viele Mailserver stufen solche Nachrichten als Spam ein oder weisen sie ab. Damit blockiert SPF gefälschte Absender, denn ein Angreifer kann zwar Ihre Adresse in den From-Header schreiben, aber nicht von Ihrer erlaubten IP senden.

Die wichtigste Stolperfalle ist die 10-Lookup-Grenze. Jeder include, a, mx, ptr und exists zählt als DNS-Lookup, und mehr als zehn sind laut RFC 7208 nicht erlaubt. Prüfstellen brechen dann mit permerror ab, und die Mail gilt als nicht autorisiert, auch wenn alles korrekt gemeint war. Wer Newsletter, CRM und Helpdesk über include einbindet, erreicht diese Grenze schneller, als man denkt. Prüfen Sie den eigenen Record mit einem SPF-Validator und zählen Sie die Includes mit. Oft lässt sich das per ip4: oder durch Zusammenlegen von Versandwegen entschärfen.

Weiterleitungen sind der zweite Klassiker. Leitet ein Empfänger Ihre Mail an eine andere Adresse weiter, prüft der neue Server die SPF-Regeln der ursprünglichen Domain gegen die IP des weiterleitenden Servers. Das scheitert fast immer. Genau dafür existiert DKIM: eine gültige Signatur übersteht die Weiterleitung, und die Prüfstelle kann den Absender darüber verifizieren. Setzen Sie SPF also nie allein, sondern immer zusammen mit DKIM.

Bei einem Catch-All-Postfach ändert sich an der SPF-Logik nichts. Der Record gilt für die gesamte Domain, egal ob die Absenderadresse info@, rechnung@ oder eine erfundene Adresse ist, die im Catch-All-Empfang landet. Das ist ein Vorteil: Sie pflegen einen einzigen TXT-Eintrag, und jede noch so neue Alias-Adresse ist automatisch abgedeckt. Wichtig ist nur, dass die tatsächlich versendende Infrastruktur im Record steht. Wer für den Versand ein anderes System nutzt als für den Empfang, muss dessen IPs oder Include ergänzen, sonst landen die eigenen Mails im Spam. Ein Punkt am Ende des TXT-Records ist übrigens ein häufiger Fehler: Er gehört nicht dorthin und kann die Auswertung stören.

DKIM-Signaturen verstehen: Vertrauen per kryptografischem Schlüssel

DKIM arbeitet mit einem Schlüsselpaar. Beim Versand signiert der Mailserver jede Nachricht mit dem privaten Schlüssel, der Empfänger liest den passenden öffentlichen Schlüssel aus dem DNS und prüft damit, ob die Signatur gültig ist und ob der Inhalt unterwegs verändert wurde. Der öffentliche Schlüssel liegt als TXT-Record unter einem festen Namensschema: selector._domainkey.example.com. Fehlt dieser Record, schlägt die Prüfung fehl, selbst wenn die Signatur technisch korrekt erzeugt wurde.

Der Selector ist der Teil vor ._domainkey und dient dazu, mehrere Schlüssel parallel zu betreiben. Ein typischer Aufbau sieht so aus: mail._domainkey für den regulären Versand, s1._domainkey für einen zweiten Server oder einen Anbieterwechsel. Der Selector steht im DKIM-Signature-Header jeder signierten Mail, damit der Empfänger weiß, welchen DNS-Record er abfragen muss. Das erlaubt Rotation ohne Ausfall: neuen Selector anlegen, Versand umstellen, alten Record nach einigen Tagen entfernen.

Der TXT-Record selbst enthält den Schlüssel als Base64-String, meist ein 2048-Bit-RSA-Schlüssel, dazu Tags wie v=DKIM1; k=rsa; p=…. Bei langen Schlüsseln muss der Record in mehrere 255-Zeichen-Strings zerlegt werden, die der DNS-Server aneinanderhängt. Ein häufiger Fehler ist ein abgeschnittener oder mit Zeilenumbrüchen kopierter p=-Wert: Die Signatur schlägt dann fehl, und viele Empfänger stufen die Mail als verdächtig ein, obwohl SPF und MX korrekt sind.

Für eine E-Mail mit eigener Domain und Catch-All-Postfach bringt DKIM einen konkreten Vorteil: Die Signatur gilt für die Domain, nicht für die einzelne Adresse. Auch Mails, die an info@, vertrieb@ oder eine frei erfundene Adresse im Catch-All-Empfang gehen und von dort beantwortet werden, tragen eine gültige Signatur, solange der versendende Server den privaten Schlüssel nutzt. Der Catch-All-Empfang selbst braucht kein DKIM, aber der Versand aus dem Catch-All-Postfach profitiert direkt, weil große Provider ungesignierte oder falsch signierte Mails häufiger im Spam ablegen.

Wichtig ist die Abstimmung mit SPF und DMARC. DKIM prüft die Integrität und die Domain-Zugehörigkeit über den d=-Parameter, während SPF die Absender-IP autorisiert. Erst beide zusammen ergeben eine belastbare Absender-Autorisierung, und DMARC wertet die Ergebnisse aus. Wer die Domain wechselt, sollte den alten DKIM-Record nicht sofort löschen: Weiterleitungen und Mails, die noch in Warteschlangen liegen, können sonst die Prüfung nicht mehr bestehen.

Ein Detail aus der Praxis: Manche Hoster setzen den TXT-Record automatisch, sobald ein Postfach angelegt wird, andere verlangen das manuelle Eintragen des öffentlichen Schlüssels im Web-E-Mail-Panel. Prüfen lässt sich das mit einem Blick in die DNS-Zone oder über einen DKIM-Tester, der den Selector aus einer Testmail ausliest. Bei einem selbst gehosteten Mailserver gehört die Schlüsselverwaltung ohnehin in die eigene Hand, inklusive Backup des privaten Schlüssels: Geht er verloren, müssen alle Selectoren neu angelegt werden.

Catch-All-E-Mail, Preise und Krypto ohne KYC: was DNS leisten muss und was nicht

Wer ein Catch-All-Postfach betreibt, braucht kein DNS-Studium. Drei Einträge müssen stimmen, alles andere ist Beiwerk. MX zeigt auf den Mailserver, SPF autorisiert die sendenden Server, DKIM signiert die Nachricht. Fehlt einer davon, landen Mails im Spam oder kommen gar nicht an. A- und CNAME-Records beeinflussen den Mailbetrieb dagegen nicht: Sie lösen Hostnamen auf, haben aber mit SMTP, IMAP und POP3 nichts zu tun. Ein Catch-All-Postfach empfängt alle Adressen einer Domain, auch erfundene wie info@, bestellung@ oder test123@. Der Mailserver nimmt sie an, weil der MX-Record stimmt, und prüft beim Versand SPF und DKIM. Wer diese drei Records korrekt setzt, hat den technischen Teil erledigt.

Was die Preise bestimmen und was nicht

Bei Catch-All-E-Mail Preisen zählt vor allem die Domain, nicht die Zahl der Postfächer. Anbieter wie AllMail bieten Catch-All-E-Mail-Postfächer an, und der Tarif richtet sich nach der Domain: Ein Subdomain-Tarif kostet 0,49 $ pro Monat, ein Premium-.com-Tarif kostet 6,29 $ pro Monat. Wer eine eigene Domain mitbringt, zahlt oft weniger als jemand, der eine neue Registrierung braucht. Alle Tarife beinhalten POP3- und IMAP-Zugang sowie DNSBL-Monitoring, das prüft, ob die eigene Domain auf Blacklists steht. Längere Laufzeiten bieten Rabatte bis 30 Prozent, wer jährlich zahlt, spart also spürbar. Priority-Support ist je nach Tarif gestaffelt und kostet extra oder ist enthalten. Die Preise hängen also an Domain, Laufzeit und Support-Level, nicht an der Zahl der Catch-All-Adressen, die ein Postfach annimmt.

Ein Punkt, der bei DNS-Fragen oft auftaucht: Krypto ohne KYC. AllMail akzeptiert USDT und USDC, verlangt kein KYC. Die Zahlungen erfolgen über TRC-20, BEP-20 oder Polygon, also gängige Stablecoin-Netzwerke. Tether und USD Coin sind an den Dollar gekoppelt, was die Preisplanung einfacher macht als bei schwankenden Coins. Dahinter steht BEpusdt, ein selbst gehosteter Open-Source-Krypto-Zahlungsprozessor. Wer also ein Catch-All-Postfach mit eigener Domain bezahlen will, kann das ohne Ausweis und ohne Bankkonto tun. Für den DNS-Betrieb ist das irrelevant: Ob per Überweisung oder Stablecoin gezahlt wird, ändert nichts an MX, SPF oder DKIM.

Ein weiterer Irrtum betrifft A- und CNAME-Records. Viele glauben, sie müssten für das Catch-All-Postfach einen A-Record auf den Mailserver setzen. Das ist falsch. Der MX-Record verweist direkt auf den Mailserver-Hostnamen, der wiederum per A-Record auf eine IP zeigt. Wer eine Domain umzieht, ändert den MX-Eintrag und lässt den A-Record für das Web-Panel in Ruhe. Der Domain-Ersatz, also der Wechsel auf eine andere Domain, erfordert dieselbe Prozedur: MX, SPF und DKIM neu setzen, Web-Records bleiben unangetastet. Das Web-E-Mail-Panel läuft unter einer eigenen Subdomain und braucht keinen Catch-All-Empfang. Wer DNS und Mail sauber trennt, vermeidet Fehler beim Umzug.

Praktisch heißt das: Prüfen Sie nach jeder DNS-Änderung den MX-Eintrag mit einem Lookup-Tool, testen Sie SPF mit einem Checker und verifizieren Sie den DKIM-Selector. Ein falsch gesetzter MX mit Priorität 0 vor einem Backup-Server mit Priorität 10 führt dazu, dass Mails am falschen Ziel landen. Ein SPF-Record mit mehr als 10 Lookups wird ignoriert, was die Absender-Autorisierung aushebelt. Und ein DKIM-Schlüssel, der nach dem Domain-Wechsel nicht erneuert wurde, lässt Signaturen scheitern. Catch-All-E-Mail ist also kein Hexenwerk, sondern eine Frage von drei korrekten Records und etwas Disziplin bei Änderungen.

Der schnellste Weg zur funktionierenden E-Mail-Domain ist ein Blick in Ihr DNS-Panel, bevor Sie irgendetwas anderes anfassen. Prüfen Sie zuerst, ob ein MX-Record überhaupt existiert und auf welchen Hostnamen er zeigt. Ein einzelner MX mit Priorität 10 auf mail.ihredomain.de ist für ein Catch-All-Postfach völlig ausreichend; mehrere Einträge brauchen Sie erst, wenn ein zweiter Mailserver als Ausfallreserve mitspielen soll. Achten Sie darauf, dass der Zielhost ein A-Record besitzt und nicht selbst auf einen CNAME verweist, sonst brechen manche Absender den Zustellversuch ab. Wer den Empfang für eine E-Mail mit eigener Domain gerade erst einrichtet, sollte nach dem Setzen der Records eine Testmail von einem externen Konto schicken und im Header prüfen, ob der Server die Nachricht tatsächlich angenommen hat.

Danach kommen SPF und DKIM dran, und zwar in dieser Reihenfolge. Legen Sie einen TXT-Record am Domain-Apex an, der mit v=spf1 beginnt und alle Systeme auflistet, die für Sie versenden, etwa v=spf1 mx include:_spf.ihrprovider.tld -all. Zählen Sie die Includes zusammen und bleiben Sie deutlich unter zehn DNS-Lookups, sonst wird die Prüfung mit permerror abgebrochen und jede Mail verliert an Reputation. Für DKIM erzeugen Sie im Web-E-Mail-Panel ein Schlüsselpaar, veröffentlichen den öffentlichen Teil als TXT unter selector._domainkey.ihredomain.de und aktivieren die Signatur für den Versand. Ein 2048-Bit-Schlüssel ist heute Standard, ein 1024-Bit-Schlüssel wird von größeren Mailbox-Providern zunehmend strenger bewertet. Nach dem Wechsel des Schlüssels ruhig 48 Stunden warten, bevor Sie den alten Selector löschen, damit unterwegs befindliche Mails nicht die Signaturprüfung verlieren. Zum Schluss ein Blacklist-Monitoring einrichten und die drei Records in einer Notiz festhalten, inklusive Datum und Selector-Name. Das spart beim nächsten Providerwechsel Stunden. Wenn Sie dabei über Catch-All-E-Mail Preise nachdenken: Die DNS-Arbeit ist bei jedem Tarif identisch, unterscheiden tun sich Speicherplatz, Anzahl der Domains, Priority-Support und Laufzeitrabatte bis 30 Prozent. Bezahlen lässt sich das Ganze bei Anbietern wie AllMail per USDT oder USDC über TRC-20, BEP-20 oder Polygon, ohne KYC, abgewickelt über einen selbst gehosteten Zahlungsprozessor wie BEpusdt. Der Subdomain-Tarif liegt bei 0,49 $ pro Monat, der Premium-.com-Tarif bei 6,29 $ pro Monat, und POP3- sowie IMAP-Zugang sind in allen Tarifen enthalten. Fangen Sie mit dem MX-Record an, testen Sie den Catch-All-Empfang mit einer Wegwerf-Adresse, und nehmen Sie SPF und DKIM erst in Angriff, wenn der Empfang stabil läuft.