Anleitung zur E-Mail-Authentifizierung

Durch die Einrichtung von SPF, DKIM und DMARC teilen Sie empfangenden Mailservern mit, dass Ihre E-Mails legitim sind. Richten Sie alle drei Verfahren ein, da jedes einzelne eine andere Möglichkeit schließt, über die Spammer Ihre Domain imitieren können.

Gehen Sie zu Site Tools > E-Mail > Authentifizierung, um diese zu aktivieren. Sobald sie aktiviert sind, erhalten Sie weniger Benachrichtigungen über fehlgeschlagene Zustellungen, die dadurch verursacht werden, dass Spammer Ihre Domain fälschen. Außerdem können empfangende Server Ihre echten E-Mails von gefälschten E-Mails unterscheiden.

Wenn Sie SiteGround E-Mail-Marketing verwenden:

In Schritt 1 wird eine zusätzliche SPF-Anforderung behandelt. Außerdem verfolgt das Tool seinen eigenen Authentifizierungsstatus separat. Dort wird so lange der Hinweis „Domain-Authentifizierung erforderlich“ angezeigt, bis die Authentifizierung bestätigt wurde. Für DKIM und DMARC sind keine zusätzlichen Einstellungen erforderlich. Die folgenden Schritte decken alles ab, was Sie benötigen.

Was Sie benötigen

• Ihre DNS muss auf Ihr SiteGround-Konto verweisen
• Zugriff auf Site Tools > E-Mail > Authentifizierung / Zugriff auf den DNS-Zonen-Editor (für DMARC)
• Wenn Sie E-Mail-Marketing verwenden: eine im Tool ausgewählte Domain und ein Postfach für DMARC-Berichte

Kurzübersicht

Protokoll	Was wird geprüft?	Wo befindet es sich?	Was bedeutet ein Fehler?
SPF	Ist dieser Server berechtigt, E-Mails für diese Domain zu senden?	Ein DNS-TXT-Eintrag	Die Nachricht kann als Spoofing gekennzeichnet oder abgelehnt werden
DKIM	Wurde diese Nachricht während der Übertragung verändert?	Ein DNS-TXT-Eintrag (öffentlicher Schlüssel) + eine Signatur im Nachricht-Header	Die Signatur stimmt nicht überein – die Integrität der Nachricht kann nicht bestätigt werden
DMARC	Haben SPF und/oder DKIM bestanden, und was sollte passieren, wenn dies nicht der Fall ist?	Ein DNS-TXT-Eintrag (Richtlinie)	Die Nachricht wird gemäß Ihrer Richtlinie unter Quarantäne gestellt, abgelehnt oder zugestellt – und Sie erhalten einen Bericht

Schritt 1: SPF einrichten

SPF ist für Ihre Domain standardmäßig aktiviert, sodass Sie nichts aktivieren müssen. Gehen Sie zu Site Tools > E-Mail > Authentifizierung > SPF, um dessen Einstellungen anzuzeigen und zu verwalten.

Auf der Seite werden zwei Abschnitte angezeigt.

„Genehmigt“ legt fest, wer E-Mails senden darf: „Genehmigte Hosts“ und „Genehmigte MX-Einträge“ sind standardmäßig als erforderlich gekennzeichnet. Mit „Genehmigte IP/IP-Blöcke“ können Sie bestimmte IPs zulassen. Die „Include-Liste“ enthält bereits einen automatisch generierten Wert, der für Ihre Domain einzigartig ist.

„Genehmigungsrichtlinie“ legt fest, wie streng empfangende Server vorgehen sollen. „Soft Fail“ ist die standardmäßige und sicherste Ausgangseinstellung.

Unten zeigt „Generierter SPF-Eintrag“ den genauen Eintrag, der daraus erstellt wird, zusammen mit einem Link zum Kopieren in die Zwischenablage. Verwenden Sie „Auf Standard zurücksetzen“, um alle benutzerdefinierten Änderungen rückgängig zu machen.

Verwenden Sie SiteGround E-Mail-Marketing?

Fügen Sie _spf.emsnd.net zur Include-Liste hinzu, und zwar zusätzlich zum bereits vorhandenen automatisch generierten Wert – ersetzen Sie nicht, was bereits da ist. Ohne diesen Eintrag ist der SPF-Eintrag Ihrer Domain zwar gültig, E-Mail-Marketing zeigt Ihre Domain jedoch weiterhin als nicht authentifiziert an. Wenn Ihre Nameserver auf einen anderen Anbieter verweisen, fügen Sie dieselbe Include-Anweisung stattdessen über Ihren externen DNS-Anbieter zu Ihrem SPF-Eintrag hinzu.

Was tun, wenn SPF fehlschlägt?

Prüfen Sie, ob für Ihre Domain mehr als ein SPF-Eintrag vorhanden ist. Es darf nur einen geben. Wenn Sie bereits über ein anderes Tool E-Mails versenden, führen Sie include:_spf.emsnd.net in den vorhandenen Eintrag ein, anstatt einen zweiten zu erstellen.

So überprüfen Sie, ob SPF funktioniert

Verwenden Sie ein SPF-Abfragetool wie MXToolbox, um zu bestätigen, dass Ihr Eintrag gültig ist und die richtigen Absender enthält.

Hinweis! Die vollständige Verbreitung einer DNS-Änderung kann 24 Stunden oder länger dauern. Warten Sie ausreichend lange, bevor Sie Ihre DNS-Konfiguration testen. Siehe https://www.siteground.com/kb/dns-propagation

Wenn Sie SiteGround E-Mail-Marketing verwenden, können Sie auch den Abschnitt „Absenderdetails“ im Tool überprüfen. Dort wird der Authentifizierungsstatus Ihrer Domain angezeigt: „Domain-Authentifizierung erforderlich“, „in Bearbeitung“ oder „Ihre Absenderdomain wurde erfolgreich authentifiziert!“, sobald SPF, DKIM und DMARC alle bestanden haben.

Schritt 2: DKIM einrichten

Gehen Sie zu Site Tools > E-Mail > Authentifizierung > DKIM. Die Statusspalte zeigt „AKTIV“ oder „INAKTIV“ für jede Domain an. Wenn der Status INAKTIV ist, klicken Sie auf „Aktivieren“. Der Eintrag wird automatisch zu Ihrer DNS-Zone hinzugefügt, sodass keine weiteren Schritte erforderlich sind.

Was tun, wenn DKIM nicht aktiviert wird?

Überprüfen Sie, ob die Nameserver Ihrer Domain auf SiteGround verweisen. Gehen Sie zu Kundenbereich > Services > Domains > Einstellungen für die betreffende Domain. Wenn die DNS-Zone Ihrer Domain nicht auf SiteGround verweist, wird sie in Ihrem Konto als „Externe Domain“ gekennzeichnet. Außerdem wird angezeigt, dass sie „nicht von uns gehostet“ wird.

Wenn Ihre DNS-Zone an einem anderen Ort verwaltet wird, kann Site Tools den Eintrag nicht automatisch hinzufügen. Sie müssen den in Site Tools angezeigten DKIM-Eintrag kopieren und ihn manuell über Ihren anderen DNS-Anbieter hinzufügen.

Verwenden Sie SiteGround E-Mail-Marketing mit externen Nameservern? Der oben genannte Eintrag gilt dann nicht für Sie. E-Mail-Marketing stellt stattdessen einen separaten CNAME-Eintrag bereit, der normalerweise mailmarketing._domainkey heißt (oder mailmarketing._domainkey.yourdomain.com, je nachdem, ob Ihre DNS-Zone die Domain automatisch ergänzt). Fügen Sie ihn als neuen Eintrag hinzu, ohne bereits vorhandene Einträge zu entfernen. In seltenen Fällen stellt E-Mail-Marketing stattdessen einen TXT-Eintrag bereit. Fügen Sie in diesem Fall genau den angezeigten Eintragstyp hinzu.

So überprüfen Sie, ob DKIM funktioniert

Wenn Ihr DNS bei SiteGround verwaltet wird, prüfen Sie, ob die Statusspalte in Site Tools > E-Mail-Authentifizierung > DKIM „AKTIV“ anzeigt. Um zu bestätigen, dass die Signaturen tatsächlich gültig sind, senden Sie eine Test-E-Mail an sich selbst und überprüfen Sie die Nachricht-Header auf eine DKIM-Signatur. Alternativ können Sie einen Online-DKIM-Prüfer verwenden.

Schritt 3: DMARC einrichten

Gehen Sie zu Site Tools > Domain > DNS-Zonen-Editor und suchen Sie nach dem TXT-Eintrag, der mit v=DMARC1 beginnt. Klicken Sie auf das Stiftsymbol daneben, um ihn zu bearbeiten.

Wenn bereits ein solcher Eintrag vorhanden ist, klicken Sie auf das Stiftsymbol daneben, um ihn zu bearbeiten. Fügen Sie Ihre eigene Adresse für Berichte zum rua-Wert hinzu, da dieser Wert nicht automatisch vorausgefüllt wird.

Wenn kein v=DMARC1-Eintrag vorhanden ist (was ungewöhnlich, aber möglich ist, wenn er entfernt wurde oder die Domain bereits vor Einführung dieser Standardeinstellung bestand), erstellen Sie stattdessen einen neuen TXT-Eintrag:

• Name: _dmarc.ihredomain.com (oder nur _dmarc, je nachdem, ob Ihre DNS-Zone die Domain automatisch ergänzt)
• Typ: TXT
• TTL: Standardwert verwenden
• Wert: v=DMARC1; p=none; rua=mailto:dmarc-reports@ihredomain.com

Was tun, wenn DMARC-Berichte Fehler anzeigen?

Wechseln Sie nicht sofort zu p=quarantine oder p=reject. Prüfen Sie zunächst die Berichte über mehrere Wochen und stellen Sie sicher, dass keine legitimen Nachrichten fälschlicherweise erfasst werden. Verschärfen Sie die Richtlinie anschließend, sobald Sie sicher sind, dass alles ordnungsgemäß funktioniert.

Wenn Ihre DNS-Zone anderswo verwaltet wird

Der DNS-Zonen-Editor verwaltet nur Einträge für Domains, die auf die Nameserver von SiteGround verweisen. Daher finden Sie dort keinen vorhandenen DMARC-Eintrag, den Sie überprüfen oder bearbeiten könnten. Fügen Sie den Eintrag stattdessen direkt über Ihren externen DNS-Anbieter hinzu. Verwenden Sie denselben Namen, Typ und Wert wie oben angegeben (oder genau den Wert, den E-Mail-Marketing Ihnen bereitgestellt hat, wenn Sie die Einrichtung für dieses Tool vornehmen).

Ihre Einrichtung nach einigen Tagen überprüfen

DMARC-Berichte sind die beste Möglichkeit, um zu bestätigen, dass alle drei Protokolle gemeinsam funktionieren und nicht nur einzeln. Warten Sie bis zu 72 Stunden, bis sich Ihr DMARC-Eintrag verbreitet hat, und überprüfen Sie ihn anschließend mit einem Online-DMARC-Prüftool. Sobald Berichte an Ihrer angegebenen Adresse eingehen, überprüfen Sie sie mehrere Wochen lang. Sie zeigen, ob Ihre legitimen E-Mails (sowie alle anderen Dienste, die in Ihrem Namen E-Mails versenden) SPF und DKIM erfolgreich durchlaufen.

Häufige Fehler und wie Sie sie vermeiden

Bei der Einrichtung tritt selten alles gleichzeitig fehl. Meistens ist nur eine kleine Einstellung falsch. Folgendes sollten Sie zuerst überprüfen.

SPF nicht aktualisieren, wenn Sie ein neues Versandtool hinzufügen

Jeder Dienst, der in Ihrem Namen E-Mails versendet, muss in Ihrem SPF-Eintrag enthalten sein. Wenn Sie ein neues Tool hinzufügen, ohne SPF zu aktualisieren, kann die Authentifizierung seiner E-Mails fehlschlagen.

Nicht übereinstimmende „Von“-Domains zwischen DKIM und Ihrer sichtbaren Absenderadresse

Wenn die Domain Ihrer sichtbaren „Von“-Adresse nicht mit der Domain übereinstimmt, an die Ihre DKIM-Signatur gebunden ist, kann DMARC trotzdem fehlschlagen, obwohl DKIM selbst erfolgreich war.

Annehmen, dass SPF allein ausreicht

SPF überprüft den sendenden Server. Es überprüft jedoch nicht die Integrität der Nachricht und legt keine Richtlinie für den Umgang mit Fehlern fest. DKIM und DMARC decken die Bereiche ab, die SPF nicht abdeckt.

Nächste Schritte

Wenn Sie Kampagnen über das E-Mail-Marketing-Tool von SiteGround versenden, ist eine korrekt eingerichtete Konfiguration von SPF, DKIM und DMARC einer der wichtigsten Faktoren dafür, ob diese Kampagnen tatsächlich im Posteingang ankommen.

Tipps vom SiteGround-Team

• Wenn Sie mehrere Domains verwalten, authentifizieren Sie diese nacheinander und nicht alle gleichzeitig. So lässt sich die Ursache eines DMARC-Fehlers leichter zurückverfolgen, wenn Sie jeweils nur die Berichte einer Domain überwachen.
• Führen Sie eine Liste aller Dienste, die in Ihrem Namen E-Mails versenden (das Kontaktformular Ihrer Website, externe Tools, E-Mail-Marketing). So können Sie einen SPF-Fehler am schnellsten erkennen, bevor er auftritt.
• DMARC-Berichte liegen im XML-Format vor und sind mit bloßem Auge nicht leicht zu lesen. Ein kostenloser Berichts-Parser kann Zeit sparen, wenn Sie die Berichte regelmäßig überprüfen.

Häufig gestellte Fragen zur E-Mail-Authentifizierung

Benötige ich SPF, DKIM und DMARC alle drei?

Ja. Jeder überprüft etwas anderes. Wenn Sie einen davon weglassen, findet die entsprechende Prüfung nicht statt.

Was passiert, wenn ich nur SPF einrichte?

DKIM und DMARC werden weiterhin nicht ausgeführt. Gefälschte E-Mails mit einer manipulierten „Von“-Adresse können daher weiterhin zugestellt werden.

Wie lange dauert es, bis DNS-Einträge propagiert werden?

Normalerweise dauert es einige Stunden. Warten Sie jedoch bis zu 72 Stunden, bevor Sie mit der Fehlersuche beginnen.

Warum ist meine E-Mail-Authentifizierung fehlgeschlagen?

Meistens liegt ein Tippfehler im DNS-Eintrag vor, es gibt mehr als einen SPF-Eintrag oder die DNS-Änderungen sind noch nicht übernommen worden.

Kann ich DMARC ohne SPF und DKIM einrichten?

Technisch gesehen ja, aber es bringt wenig. DMARC ist darauf angewiesen, dass SPF und/oder DKIM erfolgreich sind, damit überhaupt etwas geprüft werden kann.