Wie man SPF, DKIM, DMARC und mehr mit TXT-Einträgen hinzufügt

Heutzutage ist die E-Mail-Kommunikation zu einem unverzichtbaren Bestandteil unseres persönlichen und geschäftlichen Lebens geworden. E-Mail-Systeme sind jedoch anfällig für Spam, Phishing und andere böswillige Aktivitäten. Hier kommen TXT-Einträge ins Spiel. TXT-Einträge sind eine Art von DNS-Einträgen (Domain Name System), mit denen Sie textbasierte Informationen zu Ihrer Domain hinzufügen können. Diese Informationen werden verwendet, um die E-Mail-Sicherheit zu erhöhen, Ihre Domain zu verifizieren und den reibungslosen Betrieb verschiedener Dienste zu gewährleisten. In diesem Artikel werden wir detailliert untersuchen, was TXT-Einträge sind, ihre wichtigen Anwendungen wie SPF, DKIM und DMARC und wie man sie hinzufügt.

Was sind TXT-Einträge und warum sind sie wichtig?

TXT-Einträge sind eine Art Ressourceneintrag im DNS (Domain Name System). Sie werden verwendet, um beliebige Textinformationen über eine Domain zu speichern. Diese Informationen können für verschiedene Zwecke verwendet werden: Überprüfung des Domaininhabers, Konfiguration von Spam-Präventionsmechanismen, Überprüfung Ihrer Website und mehr. TXT-Einträge liefern zusätzliche Informationen über Ihre Domain und helfen so verschiedenen Diensten im Internet (z. B. E-Mail-Servern), Ihre Domain korrekt zu erkennen und ihre Vertrauenswürdigkeit zu beurteilen.

Die Bedeutung von TXT-Einträgen ist besonders im Hinblick auf die E-Mail-Sicherheit groß. E-Mail-Authentifizierungsprotokolle wie SPF, DKIM und DMARC werden über TXT-Einträge konfiguriert. Diese Protokolle ermöglichen die Autorisierung von E-Mail-sendenden Servern und reduzieren so Spam- und Phishing-Angriffe erheblich. TXT-Einträge werden auch verwendet, um den Domaininhaber zu verifizieren. Beispielsweise können Dienste wie die Google Search Console Sie auffordern, einen TXT-Eintrag hinzuzufügen, um den Besitz Ihrer Website zu bestätigen.

SPF-Eintrag (Sender Policy Framework) hinzufügen

SPF (Sender Policy Framework) ist ein E-Mail-Authentifizierungsprotokoll, das die Autorisierung von E-Mail-sendenden Servern ermöglicht. Ein SPF-Eintrag gibt die IP-Adressen oder Domainnamen der Server an, die berechtigt sind, E-Mails von Ihrer Domain zu senden. Auf diese Weise können empfangende Server überprüfen, ob eine E-Mail von Ihrer Domain gesendet wurde und ob sie von einem autorisierten Server gesendet wurde. SPF hilft, Spam- und Phishing-Angriffe zu verhindern.

Wie wird ein SPF-Eintrag erstellt?

Um einen SPF-Eintrag zu erstellen, können Sie die folgenden Schritte ausführen:

Autorisierte Server identifizieren: Identifizieren Sie alle IP-Adressen oder Domainnamen der Server, die berechtigt sind, E-Mails von Ihrer Domain zu senden. Dazu gehören Ihre eigenen E-Mail-Server, die von Ihnen verwendeten E-Mail-Marketingdienste von Drittanbietern (z. B. Mailchimp, Sendinblue) und andere Anwendungen (z. B. CRM-Systeme).
SPF-Syntax erstellen: Erstellen Sie die SPF-Syntax mit den von Ihnen identifizierten Servern. Die SPF-Syntax beginnt mit "v=spf1" und enthält dann Mechanismen, die die autorisierten Server angeben (z. B. "ip4", "ip6", "include", "a", "mx") und einen Qualifikator (z. B. "+", "-", "~", "?").
SPF-Eintrag zum DNS hinzufügen: Fügen Sie den von Ihnen erstellten SPF-Eintrag als TXT-Eintrag zu den DNS-Einstellungen Ihrer Domain hinzu. Um auf Ihre DNS-Einstellungen zuzugreifen, müssen Sie sich im Kontrollpanel Ihres Domainregistrators oder DNS-Dienstleisters anmelden.

SPF-Eintrag Beispiel

Nachfolgend finden Sie ein Beispiel für einen einfachen SPF-Eintrag:

v=spf1 ip4:192.0.2.0/24 include:_spf.example.com -all

Dieser SPF-Eintrag bedeutet Folgendes:

v=spf1: Dies ist ein SPF-Eintrag (Version 1).
ip4:192.0.2.0/24: Server im IP-Adressbereich 192.0.2.0/24 sind berechtigt, E-Mails zu senden.
include:_spf.example.com: Server, die im SPF-Eintrag der Domain _spf.example.com angegeben sind, sind ebenfalls berechtigt, E-Mails zu senden. Dies wird häufig für E-Mail-Dienste von Drittanbietern verwendet.
-all: Dies gibt an, dass alle Server außer den angegebenen nicht berechtigt sind, E-Mails zu senden. E-Mails werden abgelehnt.

Die Verwendung von ?all bewirkt, dass E-Mails von anderen Servern als den angegebenen als "neutral" gekennzeichnet werden, was dem empfangenden Server die Entscheidung überlässt. Die Verwendung von ~all bewirkt, dass E-Mails von anderen Servern als den angegebenen als "softfail" gekennzeichnet werden, was bedeutet, dass die E-Mail akzeptiert, aber als verdächtig gekennzeichnet werden kann.

SPF-Eintrag Tipps

Stellen Sie sicher, dass Ihr SPF-Eintrag 255 Zeichen nicht überschreitet. Wenn dies der Fall ist, können Sie anstatt mehrere SPF-Einträge zu verwenden, mit dem Mechanismus "include" auf die SPF-Einträge anderer Domains verweisen.
Aktualisieren Sie Ihren SPF-Eintrag regelmäßig. Wenn sich Ihre Server, die berechtigt sind, E-Mails zu senden, ändern, müssen Sie auch Ihren SPF-Eintrag aktualisieren.
Sie können verschiedene Online-Tools verwenden, um Ihren SPF-Eintrag zu testen. Diese Tools helfen Ihnen zu überprüfen, ob Ihr SPF-Eintrag korrekt konfiguriert ist und von empfangenden Servern korrekt interpretiert wird.

DKIM-Eintrag (DomainKeys Identified Mail) hinzufügen

DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsprotokoll, das die Integrität und Identität von E-Mails überprüft. DKIM ermöglicht die digitale Signierung von E-Mails. Der E-Mail-sendende Server signiert die E-Mail mit einem privaten Schlüssel, und diese Signatur wird vom empfangenden Server mit einem öffentlichen Schlüssel verifiziert. Auf diese Weise wird überprüft, ob die E-Mail zum Zeitpunkt des Versands nicht verändert wurde und von einem autorisierten Server gesendet wurde. DKIM hilft, Spam- und Phishing-Angriffe zu verhindern und die Zustellungsraten von E-Mails zu erhöhen.

Wie wird ein DKIM-Eintrag erstellt?

Um einen DKIM-Eintrag zu erstellen, können Sie die folgenden Schritte ausführen:

Schlüsselpaar erstellen: Erstellen Sie ein Schlüsselpaar (privater Schlüssel und öffentlicher Schlüssel). Der private Schlüssel wird zum Signieren von E-Mails verwendet und muss sicher aufbewahrt werden. Der öffentliche Schlüssel wird von empfangenden Servern zur Überprüfung von E-Mails verwendet und wird zum DNS hinzugefügt. Viele E-Mail-Server und DKIM-Dienste können Ihnen beim Erstellen eines Schlüsselpaars helfen.
DKIM-Selektor (Selector) bestimmen: Der DKIM-Selektor ist ein Name, der verwendet wird, um den DKIM-Eintrag im DNS zu identifizieren. Normalerweise wird ein einfacher Name wie "default" oder "mail" verwendet.
DKIM-Eintrag zum DNS hinzufügen: Erstellen Sie mit dem öffentlichen Schlüssel und dem Selektor einen DKIM-Eintrag und fügen Sie ihn als TXT-Eintrag zu den DNS-Einstellungen Ihrer Domain hinzu. Der DKIM-Eintrag befindet sich im Subdomain "_domainkey" zusammen mit dem Selektornamen (z. B. "default._domainkey.example.com").

DKIM-Eintrag Beispiel

Nachfolgend finden Sie ein Beispiel für einen DKIM-Eintrag:

default._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDdlatRjRpwdjjU8WaDp8Z4eRhGnNNutX2K4ybIoW9atN0/vyhL55alWwS6le9tYT0KjXPaU8BNhFeeiAmjuhHQEPNviBSFF+ujW0K/ZRoWjuJie+Vyj4kPhDeNNh7JyDRQbfmdnW5xmP0zQ6alKRt0n6v60dzJOjLwIDAQAB;"

Dieser DKIM-Eintrag bedeutet Folgendes:

default._domainkey.example.com.: Die Subdomain, in der sich der DKIM-Eintrag befindet. Verwendet den Selektornamen "default".
IN TXT: Dies ist ein TXT-Eintrag.
"v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDdlatRjRpwdjjU8WaDp8Z4eRhGnNNutX2K4ybIoW9atN0/vyhL55alWwS6le9tYT0KjXPaU8BNhFeeiAmjuhHQEPNviBSFF+ujW0K/ZRoWjuJie+Vyj4kPhDeNNh7JyDRQbfmdnW5xmP0zQ6alKRt0n6v60dzJOjLwIDAQAB;": Der Inhalt des DKIM-Eintrags. Enthält Parameter wie "v" (Version), "k" (Schlüsseltyp) und "p" (öffentlicher Schlüssel).

DKIM-Eintrag Tipps

Bewahren Sie Ihren privaten DKIM-Schlüssel sicher auf. Der Diebstahl des privaten Schlüssels ermöglicht es böswilligen Personen, in Ihrem Namen E-Mails zu versenden.
Sie können verschiedene Online-Tools verwenden, um Ihren DKIM-Eintrag zu testen. Diese Tools helfen Ihnen zu überprüfen, ob Ihr DKIM-Eintrag korrekt konfiguriert ist und von empfangenden Servern korrekt interpretiert wird.
Überprüfen und aktualisieren Sie Ihren DKIM-Eintrag regelmäßig. Insbesondere wenn Sie eine Schlüsselrotation durchführen, müssen Sie Ihren DKIM-Eintrag aktualisieren.

DMARC-Eintrag (Domain-based Message Authentication, Reporting & Conformance) hinzufügen

DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein E-Mail-Authentifizierungsprotokoll, das auf den Protokollen SPF und DKIM basiert. DMARC ermöglicht es Domaininhabern, zu bestimmen, was mit E-Mails geschehen soll, die die SPF- und DKIM-Prüfungen nicht bestehen (z. B. Quarantäne oder Ablehnung), und Berichte über diese E-Mails zu erhalten. DMARC hilft, Spam- und Phishing-Angriffe zu verhindern und den E-Mail-Ruf Ihrer Domain zu schützen.

Wie wird ein DMARC-Eintrag erstellt?

Um einen DMARC-Eintrag zu erstellen, können Sie die folgenden Schritte ausführen:

DMARC-Richtlinie festlegen: Bestimmen Sie, was mit E-Mails geschehen soll, die die SPF- und DKIM-Prüfungen nicht bestehen. Es gibt drei grundlegende DMARC-Richtlinien: "none" (keine Aktion), "quarantine" (Quarantäne) und "reject" (Ablehnung).
Berichts-Adresse festlegen: Legen Sie eine E-Mail-Adresse fest, um Berichte über E-Mails zu erhalten, die die SPF- und DKIM-Prüfungen nicht bestehen. An diese Adresse werden DMARC-Berichte gesendet.
DMARC-Eintrag zum DNS hinzufügen: Erstellen Sie mit der DMARC-Richtlinie und der Berichts-Adresse einen DMARC-Eintrag und fügen Sie ihn als TXT-Eintrag zu den DNS-Einstellungen Ihrer Domain hinzu. Der DMARC-Eintrag befindet sich in der Subdomain "_dmarc" ("_dmarc.example.com").

DMARC-Eintrag Beispiel

Nachfolgend finden Sie ein Beispiel für einen DMARC-Eintrag:

_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; adkim=r; aspf=r; rf=afrf1; pct=100; fo=0:1:d:s"

Dieser DMARC-Eintrag bedeutet Folgendes:

_dmarc.example.com.: Die Subdomain, in der sich der DMARC-Eintrag befindet.
IN TXT: Dies ist ein TXT-Eintrag.
"v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; adkim=r; aspf=r; rf=afrf1; pct=100; fo=0:1:d:s": Der Inhalt des DMARC-Eintrags. Enthält Parameter wie "v" (Version), "p" (Richtlinie), "rua" (Aggregat-Berichts-Adresse), "ruf" (Forensik-Berichts-Adresse), "adkim" (DKIM-Alignment-Modus), "aspf" (SPF-Alignment-Modus), "rf" (Berichtsformat), "pct" (Prozentsatz der Richtlinienanwendung) und "fo" (Fehleroptionen).

In diesem Beispiel:

`v=DMARC1`: Gibt die DMARC-Version an (DMARC1 wird immer verwendet).
`p=none`: Setzt die DMARC-Richtlinie auf "none". Dies bedeutet, dass E-Mails nicht abgelehnt oder in Quarantäne verschoben werden. Dies wird normalerweise verwendet, wenn DMARC zum ersten Mal implementiert wird und sich in der Überwachungsphase befindet.
`rua=mailto:[email protected]`: Gibt die Aggregat-Berichts-Adresse an. An diese Adresse werden DMARC-Berichte von E-Mail-Servern gesendet. Diese Berichte enthalten Informationen über die Authentifizierungsergebnisse von E-Mails, die von Ihrer Domain gesendet werden.
`ruf=mailto:[email protected]`: Gibt die Forensik-Berichts-Adresse an. An diese Adresse werden detailliertere Berichte über den Inhalt von E-Mails gesendet. Normalerweise wird dieser Parameter aus Datenschutzgründen weniger verwendet.
`adkim=r`: Setzt den DKIM-Alignment-Modus auf "relaxed". Dies bedeutet, dass der Domainname zwischen der DKIM-Signatur und der "From"-Adresse im E-Mail-Header nicht genau übereinstimmen muss.
`aspf=r`: Setzt den SPF-Alignment-Modus auf "relaxed". Dies bedeutet, dass der Domainname zwischen dem im SPF-Eintrag angegebenen Domainnamen und der "From"-Adresse im E-Mail-Header nicht genau übereinstimmen muss.
`rf=afrf1`: Gibt das Berichtsformat an. Der Wert "afrf1" gibt das IETF Automated Feedback Reporting Format an.
`pct=100`: Gibt den Prozentsatz der E-Mails an, auf die die DMARC-Richtlinie angewendet wird. Der Wert "100" bedeutet, dass die Richtlinie auf alle E-Mails angewendet wird.
`fo=0:1:d:s`: Gibt die Fehleroptionen an. Dieser Parameter steuert, unter welchen Bedingungen Forensik-Berichte erstellt werden. In diesem Beispiel stellen die Werte "0", "1", "d" und "s" bestimmte Fehlerszenarien dar.

DMARC-Eintrag Tipps

Beginnen Sie bei der ersten Implementierung von DMARC mit der Richtlinie "p=none". Dies verhindert, dass Ihre E-Mails versehentlich abgelehnt oder in Quarantäne verschoben werden. Indem Sie die Berichte überwachen und Ihre SPF- und DK