Kundenbereich
Webhosting•16. Dezember 2025• 229 Aufrufe

Wie man SPF, DKIM und DMARC in cPanel konfiguriert

Wie man SPF, DKIM und DMARC in cPanel konfiguriert

Geschätzte Zeit : 15 Minuten
Schwierigkeit : Mittel ⭐⭐
Voraussetzungen : Zugang zu cPanel, Domain mit verwaltetem DNS

📋 Einführung

SPF, DKIM und DMARC sind drei wesentliche E-Mail-Authentifizierungsprotokolle für:

  • ✅ Verbesserung der Zustellbarkeit Ihrer E-Mails
  • 🛡️ Schutz Ihrer Domain vor Spoofing und Phishing
  • 📬 Vermeidung, dass Ihre E-Mails im Spam landen
  • ✨ Einhaltung der Anforderungen von Gmail und Yahoo (ab Februar 2024 verpflichtend)

🔍 Verständnis von SPF, DKIM und DMARC

Überblick

Protokoll Funktion Analogie
SPF Überprüft, ob der Server berechtigt ist, E-Mails zu senden Liste der autorisierten Faktoren
DKIM Fügt der E-Mail eine digitale Signatur hinzu Echtheitsstempel
DMARC Definiert die Richtlinie im Falle eines Fehlers Anweisungen an den Empfänger

SPF (Sender Policy Framework)

SPF ermöglicht es, anzugeben, welche Server berechtigt sind, E-Mails für Ihre Domain zu senden.

Funktionsweise :

  1. Sie veröffentlichen eine Liste von autorisierten Servern in einem DNS TXT-Eintrag
  2. Der empfangende Server überprüft, ob die E-Mail von einem autorisierten Server stammt
  3. Wenn nicht autorisiert → kann die E-Mail abgelehnt oder als Spam markiert werden

Beispiel für einen SPF-Eintrag :

v=spf1 +a +mx +ip4:123.456.789.0 include:_spf.google.com ~all

DKIM (DomainKeys Identified Mail)

DKIM fügt jeder ausgehenden E-Mail eine kryptografische Signatur hinzu.

Funktionsweise :

  1. Ihr Server signiert jede E-Mail mit einem privaten Schlüssel
  2. Der öffentliche Schlüssel wird in Ihrem DNS veröffentlicht
  3. Der Empfänger überprüft die Signatur mit dem öffentlichen Schlüssel
  4. Wenn die Signatur gültig ist → ist die E-Mail authentisch und unverändert

Beispiel für einen DKIM-Eintrag :

default._domainkey.ihredomain.com IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBA..."

DMARC (Domain-based Message Authentication, Reporting & Conformance)

DMARC definiert, was der Empfänger tun soll, wenn SPF oder DKIM fehlschlägt.

Funktionsweise :

  1. Sie definieren eine Richtlinie (none, quarantine, reject)
  2. Der Empfänger wendet diese Richtlinie auf nicht authentifizierte E-Mails an
  3. Sie erhalten Berichte über Versuche zur Spoofing

Beispiel für einen DMARC-Eintrag :

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

📊 Zusammenfassende Tabelle

Element SPF DKIM DMARC
Typ des Eintrags TXT TXT TXT
Name @ oder Domain default._domainkey _dmarc
Obligatorisch ✅ Ja ✅ Ja ⚠️ Empfohlen
Automatisch konfiguriert ✅ cPanel ✅ cPanel ❌ Manuell
Schützt vor Unberechtigten Servern Inhaltsfälschung Identitätsdiebstahl

⚙️ Methode 1 : Automatische Konfiguration (E-Mail-Zustellbarkeit)

cPanel bietet ein E-Mail-Zustellbarkeit-Tool, das SPF und DKIM automatisch konfiguriert.

Schritt 1 : Zugriff auf E-Mail-Zustellbarkeit

  1. Loggen Sie sich in cPanel ein
  2. Im Abschnitt E-Mail klicken Sie auf E-Mail-Zustellbarkeit

Bild

Schritt 2 : Überprüfen des aktuellen Status

Sie sehen die Liste Ihrer Domains mit ihrem Status :

Status Bedeutung
✅ Gültig SPF und DKIM korrekt konfiguriert
⚠️ Probleme vorhanden Fehlende oder falsche Konfiguration

Schritt 3 : Automatisch reparieren

Wenn Probleme festgestellt werden :

  1. Klicken Sie auf Repair (Reparieren) neben der betroffenen Domain
  2. cPanel zeigt die vorgeschlagenen Einträge an
  3. Klicken Sie auf Repair, um automatisch anzuwenden
    Bild

💡 Hinweis : Diese Methode funktioniert nur, wenn Ihr DNS vom gleichen Server wie cPanel verwaltet wird. Andernfalls verwenden Sie die manuelle Methode.

Schritt 4 : Überprüfen der Konfiguration

Nach der Reparatur sollte der Status auf Gültig ✅ wechseln

Sie können auf Verwalten klicken, um die Details jedes Eintrags zu sehen.

⚙️ Methode 2 : Manuelle Konfiguration

Wenn Ihr DNS woanders verwaltet wird (Cloudflare, OVH, Gandi usw.), müssen Sie die Einträge manuell hinzufügen.

Schritt 1 : Werte in cPanel abrufen

  1. Gehen Sie zu E-Mail → E-Mail-Zustellbarkeit
  2. Klicken Sie auf Verwalten neben Ihrer Domain
  3. Notieren Sie sich die vorgeschlagenen Werte für SPF und DKIM

Schritt 2 : SPF-Eintrag hinzufügen

In cPanel (Zonen-Editor)

  1. Gehen Sie zu Domains → Zonen-Editor
  2. Klicken Sie auf Verwalten neben Ihrer Domain
  3. Klicken Sie auf + Eintrag hinzufügen → Add TXT Record
Feld Wert
Name ihredomain.com (oder @)
TTL 14400
Typ TXT
Eintrag v=spf1 +a +mx +ip4:IHR_IP include:_spf.google.com ~all
  1. Klicken Sie auf Eintrag speichern

SPF-Einträge je nach Ihrer Konfiguration

Situation SPF-Eintrag
Nur cPanel-E-Mail v=spf1 +a +mx ~all
Mit MailChannels v=spf1 +a +mx include:relay.mailchannels.net ~all
Mit Google Workspace v=spf1 include:_spf.google.com ~all
Mit Microsoft 365 v=spf1 include:spf.protection.outlook.com ~all
Mit SendGrid v=spf1 include:sendgrid.net ~all
Mit Mailchimp v=spf1 include:servers.mcsv.net ~all
Kombiniert (cPanel + Google) v=spf1 +a +mx include:_spf.google.com ~all

Verstehen der SPF-Syntax

Element Bedeutung
v=spf1 Version des SPF-Protokolls
+a Erlaubt die IP der Domain (A-Eintrag)
+mx Erlaubt die MX-Server der Domain
+ip4:123.456.789.0 Erlaubt eine spezifische IP
include:domaine.com Schließt die autorisierten Server einer anderen Domain ein
~all Soft fail : als verdächtig markieren, wenn nicht autorisiert
-all Hard fail : ablehnen, wenn nicht autorisiert
?all Neutral : nicht überprüfen

⚠️ Wichtig : Eine Domain kann nur einen SPF-Eintrag haben. Wenn Sie mehrere Dienste verwenden, kombinieren Sie diese in einem einzigen Eintrag.

Schritt 3 : DKIM-Eintrag hinzufügen

DKIM-Schlüssel abrufen

  1. In E-Mail-Zustellbarkeit klicken Sie auf Verwalten
  2. Unter DKIM kopieren Sie den vollständigen Wert des öffentlichen Schlüssels

Eintrag hinzufügen

  1. Im Zonen-Editor klicken Sie auf + Eintrag hinzufügen → Add TXT Record
Feld Wert
Name default._domainkey.ihredomain.com
TTL 14400
Typ TXT
Eintrag v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEB... (Ihr Schlüssel)
  1. Klicken Sie auf Eintrag speichern

💡 Hinweis : Der Selektor default kann je nach Ihrer Konfiguration variieren. Einige Dienste verwenden andere Selektoren wie google, selector1 usw.

Schritt 4 : DMARC-Eintrag hinzufügen

DMARC wird nicht automatisch von cPanel konfiguriert. Sie müssen ihn manuell hinzufügen.

  1. Im Zonen-Editor klicken Sie auf + Eintrag hinzufügen → Add TXT Record
Feld Wert
Name _dmarc.ihredomain.com (oder _dmarc)
TTL 14400
Typ TXT
Eintrag v=DMARC1; p=none; rua=mailto:[email protected]
  1. Klicken Sie auf Eintrag speichern

📝 Empfohlene DMARC-Konfigurationen

Schrittweise Richtlinie (empfohlen für den Einstieg)

Beginnen Sie mit einer flexiblen Richtlinie und verstärken Sie diese schrittweise :

Phase 1 : Überwachung (2-4 Wochen)

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100
  • p=none : Nichts tun, nur überwachen
  • rua=mailto:... : Aggregierte Berichte erhalten

Phase 2 : Quarantäne (2-4 Wochen)

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=25
  • p=quarantine : Nicht authentifizierte E-Mails in den Spam verschieben
  • pct=25 : Auf 25% der E-Mails anwenden (schrittweiser Test)

Phase 3 : Vollständige Quarantäne

v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100

Phase 4 : Ablehnung (maximaler Schutz)

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=100
  • p=reject : Vollständige Ablehnung nicht authentifizierter E-Mails
  • ruf=mailto:... : Detaillierte forensische Berichte erhalten

DMARC-Parameter erklärt

Parameter Werte Beschreibung
v DMARC1 Version (obligatorisch)
p none, quarantine, reject Richtlinie für die Domain
sp none, quarantine, reject Richtlinie für Subdomains
pct 0-100 Prozentsatz der E-Mails, die gefiltert werden sollen
rua mailto:[email protected] Adresse für aggregierte Berichte
ruf mailto:[email protected] Adresse für forensische Berichte
adkim r (entspannt), s (streng) DKIM-Ausrichtung
aspf r (entspannt), s (streng) SPF-Ausrichtung
fo 0, 1, d, s Fehlerberichterstattungsoptionen

Beispiele für DMARC-Konfigurationen

Anwendungsfall DMARC-Eintrag
Einsteiger (Überwachung) v=DMARC1; p=none; rua=mailto:[email protected]
Standard v=DMARC1; p=quarantine; rua=mailto:[email protected]; pct=100
Streng v=DMARC1; p=reject; rua=mailto:[email protected]; pct=100
Vollständig mit Subdomains v=DMARC1; p=reject; sp=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1; pct=100

✅ Überprüfen der Konfiguration

Methode 1 : E-Mail-Zustellbarkeit cPanel

  1. Gehen Sie zurück zu E-Mail → E-Mail-Zustellbarkeit
  2. Überprüfen Sie, ob der Status für Ihre Domain Gültig ✅ ist

Methode 2 : Online-Tools

Tool URL Überprüft
MXToolbox mxtoolbox.com/SuperTool.aspx SPF, DKIM, DMARC
Mail Tester mail-tester.com Gesamtpunktzahl + Authentifizierung
DMARC Analyzer dmarcanalyzer.com/dmarc/dmarc-record-check DMARC
Google Admin Toolbox toolbox.googleapps.com/apps/checkmx MX, SPF, DKIM
DKIM Validator dkimvalidator.com DKIM
EasyDMARC easydmarc.com/tools SPF, DKIM, DMARC

Methode 3 : Überprüfungsbefehle

SPF überprüfen

# Linux/Mac
dig TXT ihredomain.com +short

# Windows
nslookup -type=TXT ihredomain.com

Erwartetes Ergebnis :

"v=spf1 +a +mx ~all"

DKIM überprüfen

# Linux/Mac
dig TXT default._domainkey.ihredomain.com +short

# Windows
nslookup -type=TXT default._domainkey.ihredomain.com

Erwartetes Ergebnis :

"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEB..."

DMARC überprüfen

# Linux/Mac
dig TXT _dmarc.ihredomain.com +short

# Windows
nslookup -type=TXT _dmarc.ihredomain.com

Erwartetes Ergebnis :

"v=DMARC1; p=quarantine; rua=mailto:[email protected]"

Methode 4 : Test-E-Mail senden

  1. Sendet eine E-Mail an [email protected]
  2. Sie erhalten einen detaillierten Bericht mit den Ergebnissen von SPF, DKIM und DMARC

Oder verwenden Sie mail-tester.com :

  1. Gehen Sie zu mail-tester.com
  2. Kopieren Sie die bereitgestellte temporäre E-Mail-Adresse
  3. Sendet eine E-Mail an diese Adresse
  4. Überprüfen Sie Ihre Punktzahl und die Authentifizierungsdetails

📧 Konfiguration für externe Dienste

Google Workspace (professionelles Gmail)

SPF

v=spf1 include:_spf.google.com ~all

DKIM

  1. Gehen Sie in der Google Admin-Konsole zu Anwendungen → Google Workspace → Gmail → E-Mails authentifizieren
  2. Generieren Sie den DKIM-Schlüssel
  3. Fügen Sie den von Google bereitgestellten TXT-Eintrag hinzu

Microsoft 365 (professionelles Outlook)

SPF

v=spf1 include:spf.protection.outlook.com ~all

DKIM

  1. Im Microsoft 365 Admin Center
  2. Einstellungen → Domains → Wählen Sie Ihre Domain aus
  3. Kopieren Sie die bereitgestellten DKIM CNAME-Einträge

E-Mail-Versanddienste

Dienst SPF einfügen DKIM-Dokumentation
SendGrid include:sendgrid.net SendGrid-Dashboard
Mailchimp include:servers.mcsv.net Account → Einstellungen → Verifizierte Domains
Sendinblue include:sendinblue.com Einstellungen → Absender → Domains
Mailjet include:spf.mailjet.com Kontoeinstellungen → Domains
Amazon SES include:amazonses.com AWS SES-Konsole

Beispiel : cPanel + Mailchimp kombiniert

v=spf1 +a +mx include:servers.mcsv.net ~all

🔧 Fehlersuche

SPF : "Zu viele DNS-Abfragen"

Problem : SPF ist auf maximal 10 DNS-Abfragen beschränkt.

Lösung :

  • Reduzieren Sie die Anzahl der include:
  • Verwenden Sie direkte IPs (ip4:) anstelle von include:
  • Verwenden Sie einen "SPF Flattening"-Dienst

SPF : "Mehrere SPF-Einträge"

Problem : Sie haben mehrere SPF-Einträge.

Lösung : Fassen Sie alle Ihre Einträge in einem einzigen zusammen :

❌ Falsch (2 Einträge) :

v=spf1 +a +mx ~all
v=spf1 include:_spf.google.com ~all

✅ Richtig (1 Eintrag) :

v=spf1 +a +mx include:_spf.google.com ~all

DKIM : "Kein DKIM-Eintrag gefunden"

Ursache Lösung
Falscher Selektor Überprüfen Sie den Namen des Selektors (default, google usw.)
DNS-Propagation Warten Sie 24-48 Stunden nach der Erstellung
Truncated Key Überprüfen Sie, ob der Schlüssel vollständig ist
Falsche Domain Überprüfen Sie das Format selecteur._domainkey.domaine.com

DKIM: Schlüssel zu lang

Wenn Ihr DKIM-Schlüssel 255 Zeichen überschreitet, muss er aufgeteilt werden:

"v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA..." "...Fortsetzung des Schlüssels..."

Einige DNS verwalten dies automatisch, andere erfordern eine manuelle Aufteilung.

DMARC: "DMARC-Eintrag nicht gefunden"

Ursache Lösung
Falscher Name Musste genau _dmarc.ihredomain.com sein
DNS-Propagation Warten Sie einige Stunden
Falsche Syntax Überprüfen Sie mit einem DMARC-Validator

Emails landen immer im Spam

Überprüfen Sie in der Reihenfolge:

  1. ✅ SPF konfiguriert und gültig
  2. ✅ DKIM konfiguriert und gültig
  3. ✅ DMARC konfiguriert
  4. ✅ PTR (Reverse DNS) konfiguriert
  5. ✅ IP nicht auf der Blacklist (überprüfen Sie auf mxtoolbox.com/blacklists.aspx)
  6. ✅ Inhalt der E-Mail (keine Spam-Wörter, gutes Verhältnis von Text/Bildern)

📊 DMARC-Berichte lesen

Berichtsformat

DMARC-Berichte werden im XML-Format gesendet. Vereinfachtes Beispiel:

<record>
  <row>
    <source_ip>123.456.789.0</source_ip>
    <count>10</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>pass</spf>
    </policy_evaluated>
  </row>
</record>

DMARC-Analyse-Services

XML-Berichte sind schwer zu lesen. Verwenden Sie einen kostenlosen Dienst:

Dienst URL Funktionen
DMARC Analyzer dmarcanalyzer.com Begrenzte kostenlose Version
Postmark DMARC dmarc.postmarkapp.com Kostenlos
EasyDMARC easydmarc.com Begrenzte kostenlose Version
URIports uriports.com Kostenlos
DMARCLY dmarcly.com Begrenzte kostenlose Version

⚠️ Gute Praktiken

Zu tun ✅

Praxis Grund
DMARC im Modus p=none starten Beobachten, bevor Sie blockieren
Nach jeder Änderung testen Unterbrechungen vermeiden
DMARC-Berichte überwachen Probleme erkennen
SPF aktualisieren, wenn Sie den Dienst wechseln Liste aktuell halten
~all anstelle von -all zu Beginn verwenden Fehlerfreundlicher

Zu vermeiden ❌

Praxis Risiko
Direkt zu p=reject wechseln Eigene E-Mails blockieren
Vergessen, alle Versanddienste einzuschließen E-Mails abgelehnt
Mehrere SPF-Einträge haben Ungültige Konfiguration
DMARC-Berichte ignorieren Probleme übersehen
Konfigurationen kopieren, ohne sie anzupassen Falsche Werte

📝 Zusammenfassung

EMAIL-AUTHENTIFIZIERUNG - CPANEL KONFIGURATION

┌─────────────────────────────────────────────────────────────┐
│                         SPF                                 │
├─────────────────────────────────────────────────────────────┤
│ Typ: TXT                                                   │
│ Name: ihredomain.com (oder @)                             │
│ Wert: v=spf1 +a +mx ~all                                   │
│ → Erlaubt Server, für Ihre Domain zu senden               │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│                         DKIM                                │
├─────────────────────────────────────────────────────────────┤
│ Typ: TXT                                                   │
│ Name: default._domainkey.ihredomain.com                   │
│ Wert: v=DKIM1; k=rsa; p=IHRE_ÖFFENTLICHE_SCHLÜSSEL        │
│ → Signiert jede E-Mail kryptografisch                     │
└─────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────┐
│                        DMARC                                │
├─────────────────────────────────────────────────────────────┤
│ Typ: TXT                                                   │
│ Name: _dmarc.ihredomain.com                               │
│ Wert: v=DMARC1; p=none; rua=mailto:[email protected]       │
│ → Legt die Richtlinie fest, wenn SPF/DKIM fehlschlägt      │
└─────────────────────────────────────────────────────────────┘

AUTOMATISCHE KONFIGURATION (cPanel) :
1. E-Mail → E-Mail-Zustellbarkeit
2. Klicken Sie auf "Reparieren", wenn Probleme erkannt werden
3. DMARC manuell im Zonen-Editor hinzufügen

EMPFOHLENE DMARC-FORTSCHRITTSSTUFEN :
Phase 1: p=none (Überwachung) → 2-4 Wochen
Phase 2: p=quarantine; pct=25 → 2-4 Wochen  
Phase 3: p=quarantine; pct=100 → 2-4 Wochen
Phase 4: p=reject; pct=100 → Maximale Sicherheit

ÜBERPRÜFUNG :
├── cPanel E-Mail-Zustellbarkeit → Status "Gültig"
├── mail-tester.com → Punktzahl 10/10
├── mxtoolbox.com → Vollständige Überprüfung
└── dig TXT ihredomain.com → Einträge anzeigen
Zurück zur Dokumentation