Hilfe Absender-Schutz der Mails setzen

Absender-Schutz der Mails setzen

Der Absender-Schutz besteht aus kurzen Einträgen im DNS deiner Domain. Sie sagen Empfängern, welche Server in deinem Namen Mails senden dürfen und was mit Fälschungen passieren soll. Fehlt der erste davon, können deine eigenen Mails im Spam landen. Diese Seite zeigt, was zu tun ist, mit den fertigen Einträgen zum Kopieren.

Sicherheit deiner Website ansehen

Nutze diese Seite, wenn die Sicherheit deiner Website bei Absender-Schutz der Mails weniger als 2 von 2 zeigt oder „gesetzt, wirkt noch nicht“ meldet. Du brauchst Zugang zu den DNS-Einstellungen, also dorthin, wo die Domain verwaltet wird. Dauer: zehn Minuten, plus Geduld bei DMARC, das hat ein eigenes Szenario.

Zwei Einträge im DNS

  1. Wir prüfen zwei Einträge. SPF nennt die Server, die im Namen deiner Domain senden dürfen. DMARC sagt Empfängern, was mit Fälschungen passieren soll. Beide sind TXT-Einträge, du setzt sie beim Hoster oder Domain-Anbieter in den DNS-Einstellungen.
  2. SPF ist ein TXT-Eintrag an der Domain selbst (das Feld für den Namen bleibt leer oder bekommt ein @). Den Wert gibt dein Mail-Anbieter vor, er steht in dessen Hilfe unter „SPF“. Er beginnt immer mit v=spf1. Ein Beispiel, hier für Google Workspace:
    v=spf1 include:_spf.google.com ~all
  3. DMARC ist ein TXT-Eintrag mit dem Namen _dmarc. Für den Start im Beobachtungs-Modus, mit einer Adresse für die Berichte:
    v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de
    Die Adresse muss es geben. Ein eigenes Postfach lohnt sich, die Berichte kommen meist täglich.
  4. Dazu gehört DKIM, eine Signatur an jeder Mail. Sie wird beim Mail-Anbieter eingeschaltet, der nennt dir auch den passenden DNS-Eintrag. DKIM prüfen wir nicht: der Eintrag liegt unter einem Namen, den nur dein Mail-Anbieter kennt. Setzen solltest du es trotzdem, denn DMARC wertet SPF und DKIM aus.
  5. Danach unter Website bei „Sicherheit“ auf „Neu prüfen“ klicken. Änderungen im DNS brauchen manchmal ein paar Minuten. Die Kachel „Absender-Schutz der Mails“ zeigt dann 2 von 2.

DMARC scharf stellen, mit Sorgfalt

  1. Mit p=none schaut DMARC nur zu: Empfänger stellen weiter alles zu, auch Fälschungen, und schicken dir Berichte. Deshalb steht unter „Sicherheit“ dann „beobachtet bisher nur“ und nicht „geschützt“.
  2. Ein paar Wochen laufen lassen und die Berichte lesen. Sie nennen jeden Server, der in deinem Namen gesendet hat. Fällt dort ein eigener Dienst durch, etwa der Newsletter-Versand oder der Shop, gehört er erst in den SPF-Eintrag oder braucht DKIM.
  3. Fallen nur noch fremde Absender durch, den Eintrag auf p=quarantine stellen:
    v=DMARC1; p=quarantine; rua=mailto:dmarc@deine-domain.de
    Fälschungen landen dann im Spam. Mit p=reject werden sie abgewiesen.
  4. Erst jetzt zählt der Absender-Schutz unter „Sicherheit“ als geschützt. Das ist gewollt: ein Eintrag, der nur zuschaut, schützt noch nicht.

Wenn es hakt

Es gibt schon einen SPF-Eintrag
Eine Domain darf nur einen SPF-Eintrag haben, ein zweiter macht beide ungültig. Den vorhandenen ergänzen: jedes weitere include: kommt in dieselbe Zeile, vor das ~all. Wir prüfen, ob ein SPF-Eintrag da ist, nicht ob sein Inhalt zu deinem Mail-Anbieter passt.
Nach dem Scharfstellen landen eigene Mails im Spam
Dann sendet ein Dienst in deinem Namen, der weder im SPF-Eintrag steht noch mit DKIM signiert. Sofort zurück auf p=none, den Dienst nachtragen, dann wieder scharf stellen.
Die Einträge stehen drin, die Prüfung zeigt sie nicht
Änderungen im DNS brauchen je nach Anbieter Minuten bis Stunden. Prüfe auch den Ort: SPF gehört an die Domain selbst, nicht an www, und DMARC an den Namen _dmarc. Manche Anbieter hängen die Domain von selbst an, dann reicht _dmarc als Name, sonst steht sie doppelt da.
Die Kachel zeigt einen Strich statt einer Zahl
Steht darunter „kein Mail-Empfang über die Domain“, hat die Domain keinen MX-Eintrag, und wir treffen keine Aussage. Steht dort „noch nicht gemessen“, ist die DNS-Abfrage gescheitert. Dann hilft „Neu prüfen“.

Und danach?

Der nächste Punkt der Sicherheit ist das Zertifikat. Läuft es ab, warnen Browser vor deiner Website.

Zertifikat prüfen

Weitere Anleitungen: Dein erster Bericht · Google Search Console verbinden · WordPress- oder Kirby-Plugin installieren · Bing Webmaster Tools verbinden · Erledigt und Nachprüfen · Die Einstellungen deiner Website · So messen wir · Unsere Prüfung wird blockiert · Schutz-Einstellungen setzen · Zertifikat prüfen und verlängern · Server-Auskunft: Versionen verstecken · PHP und Updates aktuell halten · Datenexport und Anbieterwechsel