Empfänger blockiert deine Mails wegen „fehlendem DKIM“ – obwohl du DKIM bereits eingerichtet hast
Es kommt gelegentlich vor, dass eine einzelne Empfängerin oder ein einzelner Empfänger dir mitteilt, dass deine E-Mail wegen eines fehlenden oder ungültigen DKIM-Eintrags blockiert wurde – obwohl du (oder wir) DKIM für deine Domain bereits eingerichtet habt. In diesem Abschnitt zeigen wir dir, wie du diesen Fall selbst eingrenzen kannst, bevor du den Support kontaktierst.
So prüfst du, ob dein DKIM-Eintrag korrekt aktiv ist
- Führe einen frischen Test über mail-tester.com durch (Anleitung dazu findest du im Abschnitt „Wie kann ich die Einträge testen?“ oben). Ein aktuelles Testergebnis zeigt dir zuverlässig, ob DKIM aus Sicht eines fremden Mailservers gerade tatsächlich aktiv ist.
- Prüfe, ob du tatsächlich über das Postfach versendest, für das der DKIM-Eintrag hinterlegt ist. Nutzt du für den Versand (z. B. aus einem Onlineshop oder einer Marketing-Software) eine andere Absenderadresse oder einen externen Versanddienst, greift unter Umständen ein anderer, zusätzlicher DKIM-Selektor – siehe dazu den Abschnitt „DKIM/DMARC-Einträge für externe E-Mail-Marketing-Tools einrichten“.
- Kontrolliere den DKIM-Eintrag in der DNS-Verwaltung im Kundencenter noch einmal auf Tippfehler oder fehlende abschließende Zeichen – auch kleine Abweichungen führen dazu, dass der Eintrag von außen als ungültig gewertet wird.
Warum blockiert nur ein einzelner Empfänger, obwohl der Mailversand sonst funktioniert?
Es ist möglich, dass DKIM korrekt eingerichtet ist und die große Mehrheit deiner E-Mails problemlos zugestellt wird, während die IT-Abteilung eines einzelnen Empfängers strengere oder veraltete Prüfregeln verwendet und eine Mail dennoch zurückweist. In diesem Fall hilft dir ein aktueller Mail-Tester-Report als Nachweis gegenüber der gegnerischen IT-Abteilung, dass dein DKIM-Eintrag zum Zeitpunkt des Versands gültig war.
Wann solltest du den Support kontaktieren?
- Wenn der Mail-Tester-Report zeigt, dass DKIM nicht aktiv oder fehlerhaft ist.
- Wenn du unsicher bist, ob dein DKIM-Schlüsselpaar noch zu den aktuellen DNS-Einträgen passt.
- Wenn mehrere unabhängige Empfänger gleichzeitig Zustellprobleme melden.
Teile uns in diesem Fall gerne den vollständigen Mail-Tester-Report sowie die betroffene Absenderadresse mit – so können wir DKIM, SPF und DMARC für deine Domain gezielt prüfen.
Anforderungen und Richtlinien für die E‑Mail-Authentifizierung
Seit Februar 2024 ist bei Gmail und Yahoo eine DKIM- und DMARC-Authentifizierung erforderlich, damit die E-Mails zugestellt werden. Andere Mailbox-Anbieter erwarteten bereits zuvor, dass die Absender ihren E-Mail-Verkehr authentifizieren.
Domaininhaber müssen diese E-Mail-Authentifizierungsmethoden für Ihre Domain einrichten:
– Alle Absender: SPF oder DKIM
– Absender von Massen-E-Mails: SPF, DKIM und DMARC
Authentifizierte Nachrichten:
– schützen Empfänger vor schädlichen Nachrichten wie Spoofing und Phishing.
– schützen Sie und Ihre Organisation vor Identitätsdiebstahl.
– werden seltener abgelehnt oder als SPAM markiert.
Wofür benötigt man DKIM, DMARC oder SPF und was ist das?
Grundlegend erklären sich die Funktionen an folgendem Beispiel:
Eine E-Mail ist nichts anderes wie ein Stück Papier, nur eben digital. Trotzdem besteht hier das Risiko der Fälschung. Durch das Fälschen gibt sich eine andere Person als vertrauenswürdiger Absender aus und versucht Spam- und Phishingmails im Namen der Domain zu versenden.
In der digitalen Welt gibt es aber zum Glück Sicherheitsmechanismen, welche vor solchen betrügerischen Absichten schützen. Diese Mechanismen nennen sich DKIM, DMARC und SPF.
Was ist SPF?
Das Sender Policy Framework (SPF) ist ein Verfahren, welches das Fälschen der Absenderadresse einer E-Mail verhindern soll.
Damit lässt sich zum Beispiel unterbinden, dass ein Versender die Spamfilter umgehen, indem sie einen vertrauenswürdigen Absender vortäuschen. SPF kann SPAM als solches nicht verhindern – aber mit einem SPF-Eintrag kannst du festlegen, welche Server legitimiert sind, E-Mails für deine Domain zu versenden. Somit kann der Mailserver des Empfängers diesen Eintrag abfragen und die E-Mail beim Empfänger als SPAM erkennen.
Wie richte ich SPF ein?
Standardmäßig ist der SPF Eintrag bei HostPress folgender:
DNS-Typ: txt
Wert: v=spf1 +a +mx +a:MEINSERVER.hpress.de -all
Hier gibt es natürlich auch weitere Funktionen, welche man im SPF-Eintrag festlegen kann. Empfehlen können wir dazu den SPF Generator.
Alles weitere zu SPF erfährst du hier.
Was tun, wenn bereits ein SPF beseht?
DNS-Typ: txt
Wert: v=spf1 +a +mx +a:MEINSERVER include:bestehenderspf.com -all
Was ist DKIM?
Die Methode „DKIM“ (DomainKeys Identified Mail) prüft, ob die E-Mail von einem ganz bestimmen Mailserver gesendet wird.
Der Mailserver generiert ein Schlüsselpaar, welches der Domain einen öffentliche Schlüssel per TXT-DNS-Eintrag beifügt. Jede gesendete Email von diesem Server bzw. dieser Domain enthält einen privaten Schlüssel mit einer eigens berechneten Signatur. Diese wird vom empfangenden Mailserver mit dem veröffentlichen Mailschlüssel in den DNS Einstellungen abgeglichen. Hierdurch wird eine eindeutige Identifizierung zwischen Mailsender und Mailempfänger garantiert.
Wie richte ich DKIM ein?
Um DKIM einzurichten, benötigst du den DKIM Key deiner Website auf dem Server.
Diesen findest du in deinen E-Mail Einstellungen:
In diesem Fall wäre der DKIM Key ohne Hochkomma und Punkt folgender:
default._domainkey.beispielwebsite.me. IN TXT
v=DKIM1; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDso0Pr6swB74RiI75ubqb8+oafgSNzyGqORoC8xU9xOUegpIVjUdxRTs5cXH6rqRynUzjPYkxM7tCIldWM14ohtK02noCQeztfyIIARa+RFON0QOKlm6p2LDZe9qxf7oDxMZVKIsAVrvfkQ2O6e/tWjMQvcPfDF7rfQ8oGf7diywIDAQAB;
Sollte dieser Punkt nicht für dich verfügbar sein, melde dich gerne im Support bei uns.
Diesen Eintrag musst du nun in deinen DNS Einstellungen setzen:
Der DKIM Eintrag wird hier folgendermaßen hinterlegt:
Hostname: default._domainkey.beispielwebsite.me
Record-Typ: txt
Adresse: v=DKIM1; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDso0Pr6swB74RiI75ubqb8+oafgSNzyGqORoC8xU9xOUegpIVjUdxRTs5cXH6rqRynUzjPYkxM7tCIldWM14ohtK02noCQeztfyIIARa+RFON0QOKlm6p2LDZe9qxf7oDxMZVKIsAVrvfkQ2O6e/tWjMQvcPfDF7rfQ8oGf7diywIDAQAB;
‼️ Häufiger Stolperstein: Fehlender abschließender Punkt bei CNAME-Zielwerten
Wenn DKIM trotz augenscheinlich korrekt gesetzter DNS-Einträge nicht funktioniert (zum Beispiel bei der Anbindung an Outlook.com oder andere externe Mail-Anbieter), lohnt sich ein genauer Blick auf CNAME-Einträge, die auf externe Ziele zeigen sollen.
Woran erkenne ich das Problem?
Fehlt am Ende des Ziel-Werts eines CNAME-Eintrags der abschließende Punkt, hängt das DNS-System automatisch die eigene Domain erneut an das Ziel an. Aus einem gewünschten Ziel wie
ziel-anbieter.beispiel.com
wird durch die fehlende Punkt-Notation dann intern faktisch
ziel-anbieter.beispiel.com.deine-domain.de
und der Eintrag verweist dadurch ins Leere. Die Aktivierung von DKIM (oder anderen darauf angewiesenen Diensten) schlägt dann fehl, obwohl der Eintrag im Kundencenter auf den ersten Blick richtig aussieht.
So behebst du es
- Öffne den betroffenen CNAME-Eintrag in deiner DNS-Verwaltung im Kundencenter.
- Prüfe, ob der Zielwert korrekt und vollständig eingetragen ist.
- Speichere den Eintrag erneut und warte die übliche DNS-Replikationszeit ab (in der Regel einige Stunden).
- Teste anschließend erneut, ob die Funktion (z. B. DKIM) korrekt greift.
Fazit
Ein fehlender abschließender Punkt bei CNAME-Zielwerten ist ein leicht zu übersehender, aber häufiger Grund dafür, dass DKIM oder andere DNS-abhängige Funktionen trotz scheinbar korrekter Konfiguration nicht funktionieren. Wenn du dir unsicher bist, ob dein Eintrag korrekt formatiert ist, prüft unser Support-Team das gerne für dich.
DKIM/DMARC-Einträge für externe E-Mail-Marketing-Tools einrichten
Viele externe E-Mail-Marketing- bzw. Newsletter-Dienste (z. B. für automatisierte Kampagnen-Mails) verlangen zusätzlich zu den bereits bei HostPress hinterlegten E-Mail-Authentifizierungseinträgen einen eigenen DKIM-Selektor auf deiner Domain, damit die über den externen Dienst versendeten Mails ebenfalls als authentifiziert gelten. Dies ist unabhängig vom DKIM-Eintrag, den du für deine HostPress-Postfächer bereits eingerichtet hast.
Woran erkenne ich, dass ein externer Dienst einen eigenen DKIM-Eintrag benötigt?
Der jeweilige Marketing-Anbieter stellt dir in seinem eigenen Dashboard (unter „Domain-Authentifizierung“, „Sender-Domain“ oder ähnlich benannt) individuelle DNS-Werte zur Verfügung, typischerweise:
- Einen oder mehrere TXT-Einträge zur reinen Domain-Verifizierung.
- Ein oder zwei zusätzliche DKIM-Selektoren mit eigenem, anbieterspezifischem Hostnamen (z. B. selector1._domainkey oder ähnlich, abweichend vom HostPress-Standard-Selektor default._domainkey).
- Optional einen eigenen DMARC-Hinweis, sofern noch kein DMARC-Eintrag existiert.
Einrichtung in der HostPress-DNS-Verwaltung
- Kopiere die vom Marketing-Tool angegebenen Hostnamen und Werte unverändert (inkl. Groß-/Kleinschreibung und Sonderzeichen).
- Öffne im HostPress-Kundencenter die DNS-Verwaltung der betroffenen Domain.
- Lege für jeden vom Anbieter genannten Eintrag einen neuen TXT-Record mit dem jeweils angegebenen Hostnamen und Wert an. Bestehende Einträge (z. B. dein vorhandener SPF- oder DKIM-Eintrag für HostPress-Postfächer) bleiben davon unberührt und müssen nicht verändert werden.
- Falls der Anbieter eine Ergänzung des bestehenden SPF-Eintrags verlangt (z. B. per include:-Mechanismus), darf pro Domain nur ein einziger SPF-Eintrag existieren – die zusätzliche Angabe muss in den bestehenden SPF-Record eingefügt werden, nicht als separater Eintrag.
- Nach dem Speichern etwas Zeit für die DNS-Propagation einplanen (in der Regel bis zu einigen Stunden).
Prüfen, ob die Einrichtung erfolgreich war
Die meisten Marketing-Tools bieten im eigenen Dashboard eine Funktion zur Überprüfung der Domain-Authentifizierung an. Zusätzlich kannst du wie im Abschnitt „Wie kann ich die Einträge testen?“ beschrieben eine Test-E-Mail über den jeweiligen externen Dienst versenden und mit einem Mail-Testing-Tool auswerten lassen.
Was ist DMARC?
Die Methode „DMARC“ (Domain-based Message Authentication, Reporting and Conformance) ist kompatibel mit beiden Methoden (SPF und DKIM) und kann ergänzend verwendet werden.
Diese Methode verwendet nicht nur SPF und DKIM, sondern verfügt auch über die Möglichkeit, geprüfte E-Mails auszuwerten und Feedback über die Überprüfung zu geben.
Wie richte ich DMARC ein?
Der Standardmäßige DMARC Eintrag ist dieser hier:
Hostname: _dmarc
Record-Typ: txt
Adresse: v=DMARC1; p=quarantine;
So baut sich der DMARC-Record auf:
Version (v): Dieses Feld gibt die DMARC-Version an, die verwendet wird. Derzeit ist die einzige Version 1, daher lautet der Wert „v=DMARC1“.
Richtlinie (p): Dieses Feld gibt an, welche Aktion der E-Mail-Server ausführen soll, wenn eine E-Mail die DMARC-Überprüfung nicht besteht. Mögliche Werte sind:
none: Keine Maßnahmen ergreifen, Berichte senden, quarantine: Mails in Spam verschieben oder zurückhalten, reject: Mails komplett ablehnen.
Prozentsatz (pct): Dieses optionale Feld gibt den Prozentsatz der E-Mails an, die gemäß der Richtlinie behandelt werden sollen. Der Wert reicht von 0 bis 100. Wenn kein Wert angegeben ist, wird standardmäßig 100 % angenommen.
Adresse für aggregierte Berichte (rua): Dieses Feld gibt die E-Mail-Adresse an, an die aggregierte Berichte über den E-Mail-Verkehr gesendet werden sollen. Diese Berichte enthalten zusammengefasste Informationen über die Authentifizierungsergebnisse von E-Mails, die im Namen Ihrer Domain gesendet wurden.
Adresse für forensische Berichte (ruf): Dieses optionale Feld gibt die E-Mail-Adresse an, an die forensische Berichte über einzelne fehlerhafte E-Mails gesendet werden sollen. Diese Berichte enthalten detaillierte Informationen über jede fehlerhafte E-Mail, einschließlich Header-Informationen und Authentifizierungsergebnissen.
Mit einem DMARC-Generator kannst du die gewünschte Behandlung genau einstellen.
Wie kann ich die Einträge testen?
Damit man testen kann, ob die Einträge korrekt gesetzt wurden und ob die E-Mail nicht als Spam gekennzeichnet wird, gibt es folgendes Tool:
Mail Tester
Hier erhält man nun eine E-Mail-Adresse, an welche man eine Test-E-Mail von seinem Postfach aus senden kann.
Bei allen unseren E-Mail-Postfächern verwenden wir unseren Webmailer, welchen du über folgenden Link erreichst: https://webmail.meinedomain.de/
Hier loggen wir uns jetzt mit unseren E-Mail-Logindaten ein, welche wir in Plesk festgelegt haben.
Sobald wir eingeloggt sind, können wir unsere Test-E-Mail an die vom Test Mailer angegebene Adresse senden:
Die Empfängeradresse erhalten wir wie oben beschrieben vom Mail Tester.
Damit unser Test auch ordentliche Ergebnisse bringt, kann man diesen noch mit einem Beispieltext aus ein paar Sätzen ergänzen, wie oben angegeben.
Wurde die E-Mail versendet, klickt man beim Mail Tester auf den Button „danach prüfen sie das Ergebnis“
Wenn alles richtig konfiguriert wurde, sollte ein perfektes Ergebnis nun so aussehen:
Kontaktiere einfach unseren Support bei Fragen zur Einrichtung oder bei Fragen zu diesem Thema.