SPF, DKIM und DMARC für deine .at-Domain richtig einrichten

1. Sammle zuerst alle Dienste, die unter deiner Domain senden

Beginne mit einer kurzen Versandliste: persönliche Postfächer, Kontaktformular, Rechnungsversand, Terminbestätigungen und gegebenenfalls Newsletter. Notiere je Dienst, wer Zugang zur Einrichtung hat und wo dessen aktuelle DNS-Anleitung liegt. Ein gut funktionierendes Postfach beweist noch nicht, dass das Kontaktformular richtig eingerichtet ist. Plane für jeden Versandweg einen eigenen Test. Für einen österreichischen Kleinbetrieb ist eine übersichtliche Liste mit Zuständigkeiten hilfreicher als ein kopierter Muster-Eintrag, der nur einen Teil der tatsächlich verwendeten Dienste berücksichtigt. Lass bisherige funktionierende Einstellungen stehen, bis du ihre Aufgabe geklärt hast.

2. Ordne Typ, Host und Wert getrennt zu

Ein DNS-Formular fragt nach unterschiedlichen Feldern. Der Typ sagt, welche Art von Eintrag angelegt wird. Host beziehungsweise Name legt seine Position fest. Der Wert enthält die vom Maildienst vorgegebene Information. In der Tabelle sind die Hostnamen nur Orientierungshilfen: Übernimm immer den tatsächlich vorgegebenen Namen. Manche Anleitungen nennen den vollständigen Host, andere nur den Teil vor deiner Domain. Prüfe, ob die Eingabemaske die Domain bereits ergänzt. Verändere nicht vorschnell einen ähnlich aussehenden Eintrag, denn verschiedene Dienste können unterschiedliche Namen verwenden.

3. SPF: erlaubte Versandquellen in einem Datensatz bündeln

SPF wird als TXT-Eintrag veröffentlicht und betrifft die beim Versand verwendete technische Absenderdomain. Pro geprüftem Namen darf nicht mehr als ein SPF-Datensatz ausgewählt werden. Wenn du einen zweiten Versanddienst ergänzt, lege daher nicht einfach einen weiteren v=spf1-Eintrag am selben Host an. Lass die benötigten Versandquellen im vorgesehenen gemeinsamen Datensatz berücksichtigen. Andere TXT-Einträge, etwa zur Dienstbestätigung, sind davon zu unterscheiden. Übernimm keine fremden include-Werte und ändere eine bestehende Abschlussregel nicht ohne Prüfung durch die zuständige Mailbetreuung.

4. DKIM: den vorgegebenen Selektor genau übernehmen

DKIM ergänzt Nachrichten um eine Signatur; der passende öffentliche Schlüssel wird über DNS geprüft. Der Selektor bestimmt zusammen mit der Signaturdomain, wo gesucht wird. Kopiere deshalb den vollständigen vorgegebenen Namen einschließlich des Bereichs _domainkey. Dein Maildienst kann eine direkte TXT-Veröffentlichung oder eine CNAME-Verknüpfung vorsehen. Nutze genau die verlangte Variante. An einem CNAME-Namen gehören keine zusätzlichen normalen TXT-Einträge dazu. Ein privater Signaturschlüssel gehört weder in ein öffentliches DNS-Feld noch in ein Support-Ticket. Die Schlüsselverwaltung bleibt beim zuständigen Maildienst.

5. DMARC: Prüfung und Richtlinie gemeinsam planen

DMARC verbindet die sichtbare Absenderdomain mit passenden SPF- oder DKIM-Prüfergebnissen und veröffentlicht eine gewünschte Behandlung nicht bestandener Nachrichten. Ein TXT-Eintrag unter _dmarc ist deshalb keine Reparatur für falsch eingerichteten Versand. Eine Richtlinie mit p=none fordert für sich keine Ablehnung an; für Auswertungen braucht es zusätzlich eine geeignete Berichtseinrichtung. Schalte nicht ungeprüft auf eine strengere Richtlinie um. Kläre zuerst sämtliche legitimen Versandwege mit der Mailbetreuung. Auch eine bestandene Authentifizierung garantiert keine Zustellung in den Posteingang.

6. Bearbeite die tatsächlich aktive DNS-Zone

Bei atdomain.at bearbeitest du DNS im Kundenkonto, wenn deine Domain unsere Standardnameserver verwendet. Nutzt du eigene Nameserver, gehört die Änderung in die dort aktive Zone. Sichere vor der Bearbeitung eine Liste der bestehenden Einträge. Trage dann jeden bestätigten Wert mit dem richtigen Typ und Host ein und lies die gespeicherten Angaben noch einmal zurück. Die Website soll währenddessen unverändert verbunden bleiben. Arbeite Dienst für Dienst statt mehrere unbekannte Einträge gleichzeitig zu ersetzen. Notiere Datum, Zweck und verantwortliche Person, damit die nächste Änderung nachvollziehbar bleibt.

• Aktive Nameserver und bestehende Einträge dokumentieren.
• Typ, Host, Wert und TTL aus der passenden Anleitung übernehmen.
• Nach dem Speichern die Angaben zurücklesen.
• Jeden Versanddienst in die Testliste aufnehmen.

7. Beispiel: Postfach und Kontaktformular getrennt abnehmen

Nimm als Planungsbeispiel ein kleines Atelier mit einer .at-Domain: Das Team versendet persönliche Nachrichten aus einem Postfach, die Website verschickt Anfragen aus einem Kontaktformular. Lege zwei Zeilen in deiner Testliste an. Trage bei beiden den zuständigen Dienst, die vorgesehene Absenderadresse und das Prüfergebnis ein. Frage bei Unklarheiten ausdrücklich nach, welcher Versandweg die Nachricht tatsächlich erzeugt. Ein neuer Eintrag für den Formulardienst darf die bisherige Einrichtung des Postfachs nicht unbeabsichtigt ersetzen. Das Beispiel ist eine Arbeitsmethode, keine fertige Konfiguration für jeden Betrieb.

8. Teste Versand und lies die Prüfhinweise

Sende von jedem erfassten Versandweg an ein unabhängiges Testpostfach. Die Nachrichtenansicht kann unter „Original anzeigen“ oder einer ähnlichen Funktion Authentication-Results enthalten. Die Einträge können SPF-, DKIM- und DMARC-Ergebnisse ausweisen. Werte die vom empfangenden Dienst stammenden Prüfhinweise aus; beliebige gleichnamige Kopfzeilen sind kein unabhängiger Beleg. Halte Dienst, Uhrzeit und konkrete Fehlermeldung fest und lasse widersprüchliche Ergebnisse prüfen. Kontrolliere daneben Empfang und Antworten als eigene Funktionstests. Entferne private Nachrichteninhalte, bevor du Diagnoseinformationen an den Support weitergibst.

9. Was die Domain kostet und was du zusätzlich brauchst

Eine reguläre neue .at-Domain kostet bei atdomain.at derzeit 12,99 € Gesamtpreis für das erste Jahr. Die Verlängerung kostet 15,99 € Gesamtpreis pro weiterem Jahr. Diese Domainpreise enthalten kein E-Mail-Postfach und kein Website-Hosting. Plane die Gebühren des ausgewählten Maildienstes gesondert ein und halte dessen Zugang für Einrichtung und Fehlersuche bereit. Falls du noch keinen Namen gewählt hast, suche zunächst nach einer passenden freien Domain. Übernimm anschließend nur die DNS-Anleitung für genau diese Domain und deinen eigenen Dienstvertrag.