Die SPF-, DKIM- und DMARC-Einträge bestätigen den empfangenden E-Mail-Servern, dass eine im Namen Ihrer Domain versendete E-Mail tatsächlich von Ihnen stammt. Gmail, Outlook.com und andere große E-Mail-Dienste verschieben nicht authentifizierte E-Mails häufig in den Spam-Ordner oder weisen sie sogar zurück. Auf dem cPanel-Hosting können Sie alle drei Einträge an einem Ort, auf der Seite E-Mail-Zustellbarkeit, überprüfen und korrigieren.

Was die einzelnen Einträge bedeuten und wie sie aufgebaut sind, wird in den Artikeln zu den SPF-, DKIM- und DMARC-Einträgen beschrieben. Dieser Artikel erläutert die Schritte, die Sie im cPanel durchführen müssen.

Was richtet cPanel automatisch ein?

Für eine neue Domain oder Subdomain erstellt cPanel automatisch das DKIM-Schlüsselpaar und den SPF-Eintrag, sodass Sie sich in den meisten Fällen nicht darum kümmern müssen. Der DMARC-Eintrag fehlt jedoch häufig, insbesondere bei Subdomains und später hinzugefügten Domains. Diesen können Sie mit einem Klick nachtragen, wie Sie im Folgenden sehen werden.

All dies funktioniert automatisch, wenn die DNS-Zone der Domain vom Webhosting verwaltet wird, d. h., wenn die Domain die zum Webhosting gehörenden Nameserver nutzt (diese finden Sie im Kundenbereich auf der Registerkarte Webhosting-Daten des Webhostings). Falls Sie die DNS-Verwaltung anderweitig durchführen, beispielsweise bei Cloudflare oder bei Ihrem Domain-Registrar, lesen Sie bitte den Abschnitt über externe DNS-Verwaltung.

Überprüfung des Status

Melden Sie sich bei cPanel an und klicken Sie in der Gruppe E-Mail auf das Symbol E-Mail-Zustellbarkeit. Die Liste zeigt für jede Domain und jede Subdomain den Status an:

• Gültig: Alle drei Einträge sind in Ordnung.
• Problem vorhanden: Ein Eintrag fehlt oder ist fehlerhaft; in Klammern sehen Sie, welcher, zum Beispiel (DMARC).
• DNS-Fehler aufgetreten: Die Prüfung konnte nicht laufen, meist weil ein anderer Eintrag (zum Beispiel DKIM) fehlerhaft ist. Den Grund sehen Sie auf der Seite Verwalten.

Die Schaltfläche Reparieren am Ende der Zeile setzt fehlerhafte DKIM- und SPF-Einträge auf den von cPanel vorgeschlagenen Wert. Fehlt nur DMARC, ist die Schaltfläche ausgegraut; gehen Sie dann über Verwalten weiter. Haben Sie den SPF-Eintrag früher für externe Dienste ergänzt, verwenden Sie Reparieren nicht, denn es überschreibt die Ergänzungen mit dem vorgeschlagenen Wert: Passen Sie den Eintrag stattdessen auf der Seite Verwalten an.

Verwaltung von Einträgen

Die Schaltfläche Verwalten öffnet die Detailseite der Domain, auf der DKIM, SPF und DMARC jeweils einen eigenen Block haben. Neben der Anzeige GÜLTIG sehen Sie die Felder Name und Wert des aktuellen Eintrags; mit dem Link Kopieren kopieren Sie sie in die Zwischenablage.

Einrichtung eines DMARC-Eintrags

Steht im DMARC-Block PROBLEM VORHANDEN, zeigt cPanel auch einen vorgeschlagenen Eintrag: v=DMARC1; p=none;. Das ist die mildeste Regel: Sie ändert nichts an der Zustellung, aber für Anbieter, die DMARC prüfen, hat die Domain damit eine Regel. Klicken Sie auf Vorgeschlagenen Eintrag Installieren.

cPanel bestätigt die Installation mit einer Erfolgsmeldung („The system updated the “DMARC” record…“). In unserem Test war der Eintrag nach einer halben Minute auf den Nameservern; die Statusliste wechselte manchmal erst nach dem Neuladen der Seite auf Gültig.

p=none ist ein guter Anfang, schützt aber allein nicht vor Fälschungen. Wenn die Berichte zeigen, dass alle Ihre eigenen E-Mails die Prüfung bestehen, verschärfen Sie die Regel auf p=quarantine und später p=reject, indem Sie auf der Seite Zoneneditor der Gruppe Domains den TXT-Eintrag _dmarc bearbeiten. Die schrittweise Einführung beschreiben der Artikel über den DMARC-Eintrag und unser Blogbeitrag zur DMARC-Einrichtung.

Anpassung der SPF-Einstellungen für externe Absender

Falls unter dem Domainnamen nicht nur der Webhosting-Anbieter E-Mails versendet, sondern beispielsweise auch ein Newsletter-Dienst, eine Online-Shop-Plattform, ein Rechnungsstellungsprogramm oder Google Workspace, müssen diese ebenfalls im SPF-Eintrag aufgeführt werden. Eine Domain darf nur einen SPF-Eintrag haben; daher muss der bestehende Eintrag ergänzt werden, anstatt einen zweiten Eintrag hinzuzufügen. Klicken Sie im SPF-Block auf den Link Anpassen.

• Den include-Wert des externen Anbieters (zum Beispiel _spf.google.com) fügen Sie unter Include-Liste (INCLUDE) über den Link Add A New “+include” Item hinzu.
• Wenn der Anbieter eine IP-Adresse angibt, tragen Sie diese bitte in den Abschnitt Additional IP Address Blocks (IPv4) oder (IPv6) ein.
• Das Kontrollkästchen Use the “-all” Entry verschärft das Ende des Eintrags von ~all auf -all: Der empfangende Server darf dann E-Mails von nicht aufgeführten Servern ablehnen. Schalten Sie es nur ein, wenn Sie sicher alle Absender aufgeführt haben.

Unten auf der Seite sehen Sie unter VORSCHAU DES AKTUALISIERTEN EINTRAGS den neuen Eintrag; die Schaltfläche Install A Customized SPF Record speichert ihn. Der Eintrag darf höchstens 10 DNS-Abfragen enthalten (jedes include, a und mx zählt); darüber ignorieren die empfangenden Server den ganzen Eintrag. Das Ergebnis prüfen Sie mit unserem kostenlosen SPF-Prüftool.

Wenn am unteren Rand der Anpassungsseite ein gelber Warnhinweis darauf hinweist, dass der Server kein autoritativer Nameserver für die Domain ist („This system does not control DNS…“), wird das DNS der Domain nicht vom Webhosting-Anbieter verwaltet. In diesem Fall werden die Änderungen im cPanel nicht wirksam: Der vorgeschlagene Eintrag muss beim tatsächlichen DNS-Anbieter der Domain vorgenommen werden, wie im folgenden Abschnitt beschrieben.

Der DKIM-Schlüssel

Im DKIM-Block steht der TXT-Eintrag mit dem öffentlichen Schlüssel unter dem Namen default._domainkey. Der Link Privaten Schlüssel Anzeigen zeigt den privaten Schlüssel: Geben Sie ihn nie weiter und kopieren Sie ihn nirgendwohin, denn damit könnte jeder E-Mails im Namen Ihrer Domain signieren. In ein externes DNS gehört nur der öffentliche Eintrag.

Steht im DKIM-Block die Warnung „A DKIM key for “pelda.hu” does not exist on the local server.“, gibt es auf dem Server keinen privaten Schlüssel für die Domain: Ausgehende E-Mails gehen dann ohne DKIM-Signatur hinaus, und auch die DMARC-Prüfung meldet einen Fehler (DNS ERRORS OCCURRED, „DKIM record not valid“). Das kann zum Beispiel nach einer Umbenennung der Hauptdomain passieren.

1. Klicken Sie auf die Schaltfläche Generate Local DKIM Key. cPanel erstellt ein neues Schlüsselpaar.
2. Der DKIM-Block zeigt danach einen Suggested “DKIM” (TXT) Record mit dem neuen öffentlichen Schlüssel. Klicken Sie auf Vorgeschlagenen Eintrag Installieren, damit der neue Schlüssel auch ins DNS kommt.

Derselbe Vorschlag erscheint auch, wenn der DKIM-Eintrag im DNS nicht zum Schlüssel des Servers passt. Der DMARC-Block wechselt nach der Korrektur von DKIM von selbst auf GÜLTIG.

Wenn Sie die DNS-Einstellungen Ihrer Domain anderweitig verwalten

Gehören die Nameserver der Domain nicht zum Hosting, kann cPanel das DNS nicht ändern, und die Seite E-Mail-Zustellbarkeit zeigt den Status Problem vorhanden. Dann gehen Sie so vor:

1. Öffnen Sie die Seite Verwalten der Domain und kopieren Sie mit den Links Kopieren die Felder Name und Wert der vorgeschlagenen Einträge.
2. Beim DKIM-Eintrag wechseln Sie in der Zeile Ansicht: zwischen Vollständig und Geteilte Ansicht. Die geteilte Ansicht zerlegt den langen Schlüssel in Stücke von 255 Zeichen, falls die Oberfläche des DNS-Anbieters ihn nicht am Stück annimmt.
3. Fügen Sie die TXT-Einträge bei Ihrem externen DNS-Anbieter hinzu. Falls dort bereits ein SPF-Eintrag vorhanden ist, fügen Sie keinen zweiten hinzu, sondern ergänzen Sie den bestehenden.
4. Nachdem die DNS-Änderung übernommen wurde (Was ist DNS-Propagierung?), laden Sie die Seite „E-Mail-Zustellbarkeit“ erneut.

Überprüfung mit einer Test-E-Mail

Senden Sie eine E-Mail an eine Gmail-Adresse, öffnen Sie diese und wählen Sie im Menü der E-Mail die Option Original anzeigen aus. Die Zeilen SPF: PASS, DKIM: 'PASS' und DMARC: 'PASS' zeigen an, dass alles in Ordnung ist. Sie können die Einträge auch mit unserem kostenlosen DKIM- und DMARC-Prüftool überprüfen.

Sollten die E-Mails trotz korrekter Authentifizierung dennoch im Spam-Ordner landen, finden Sie weitere mögliche Ursachen im Artikel zum Thema Spam-Ordner. Allgemeine Informationen zur Einrichtung von SPF und DKIM finden Sie in unserem Blogbeitrag, während der Artikel zum Thema Fälschung von E-Mail-Adressen Maßnahmen zum Schutz vor der Fälschung von Domain-E-Mail-Adressen erläutert.