Newsletter-Dienst in SPF, DKIM und DMARC einbinden

From: Hotel Beispiel <news@beispiel.at>
Return-Path: <bounce-7f3a@bounces.dienst.example>
Authentication-Results: mx.google.com;
       dkim=pass header.d=beispiel.at;
       spf=pass smtp.mailfrom=bounces.dienst.example;
       dmarc=pass (p=NONE) header.from=beispiel.at

So sieht ein sauber eingebundener Newsletter beim Empfänger aus, mit Beispieldomains. SPF besteht, aber für die Domain des Dienstes, denn die steht im Return-Path. Für DMARC zählt das nicht, weil sie nicht zur Domain im From: passt. DMARC besteht hier trotzdem, und zwar allein wegen der ersten Zeile: Die Mail ist mit beispiel.at signiert. Genau dieser DKIM-Eintrag ist es, den du beim Newsletter-Dienst einrichten musst.

Ein include: im SPF-Eintrag macht den Newsletter nicht DMARC-fest. SPF prüft nach RFC 7208 die Domain aus dem Umschlag, den Return-Path, nicht die Absenderadresse, die der Leser sieht. Die meisten Dienste verwenden dort ihre eigene Domain, damit sie die Rückläufer selbst verarbeiten können. Dann besteht SPF für den Dienst, und dein include: wird bei der Prüfung gar nicht gelesen. Mailchimp verlangt in seiner Anleitung deshalb zwei CNAME-Einträge für DKIM und einen DMARC-Eintrag, aber keinen SPF-Eintrag. Brevo schreibt ausdrücklich, dass SPF und MX zur Authentifizierung „not required“ sind und nur bei einer eigenen IP-Adresse dazukommen.

Das include: ist nicht falsch, es kostet aber eine der zehn DNS-Abfragen, die ein SPF-Eintrag haben darf. Wer es sich sparen kann, sollte es tun. Wie man zählt, steht in SPF-Eintrag erstellen.

Die Dienste im Überblick#

Die Werte hinter den Namen sind bei jedem Konto andere, bis auf die CNAME-Ziele bei Mailchimp. Abschreiben aus einer Anleitung geht deshalb nie, immer aus dem eigenen Konto kopieren.

Die Dienste einzeln#

Brevo#

In Brevo über das Kontomenü zu Settings > Senders, Domains, IPs > Domains, Add a domain, Domain eintragen. Brevo bietet an, die Einträge automatisch beim Domain-Anbieter zu setzen, wenn man sich dort anmeldet. Von Hand sind es drei oder vier Einträge: ein TXT mit dem „Brevo code“, der die Inhaberschaft belegt, DKIM als zwei CNAME oder ein TXT, und ein DMARC-Eintrag. Die CNAME-Fassung zeigt in meiner Messung auf Ziele nach dem Muster b1.beispiel-at.dkim.brevo.com und nutzt laut Brevo 2048 Bit, die TXT-Fassung 1024 Bit.

Beim DMARC-Eintrag schlägt Brevo vor, rua=mailto:rua@dmarc.brevo.com anzuhängen, und warnt: Hat die Domain schon einen DMARC-Eintrag, ersetzt die automatische Einrichtung ihn. Wer seine Berichte selbst auswertet, richtet deshalb von Hand ein und ergänzt nur, was fehlt. Zwei DMARC-Einträge für dieselbe Domain zählen wie keiner.

Mailchimp#

Über das Profilsymbol zu Account & billing, Reiter Domains, bei der bestätigten Domain Start authentication. Mailchimp verlangt zwei CNAME-Einträge und einen TXT-Eintrag für DMARC:

k2._domainkey  CNAME  dkim2.mcsv.net.
k3._domainkey  CNAME  dkim3.mcsv.net.
_dmarc         TXT    "v=DMARC1; p=none; rua=mailto:dmarc@beispiel.at"

Hat die Domain schon einen DMARC-Eintrag, lässt man ihn stehen und legt keinen zweiten an. Mailchimp weist auf einen typischen Fehler hin: Manche DNS-Anbieter hängen die Domain automatisch an, aus k2._domainkey.beispiel.at wird dann k2._domainkey.beispiel.at.beispiel.at. Dann nur k2._domainkey eintragen.

CleverReach#

DKIM liegt unter Mein Konto > Einstellungen > DKIM. Beim Hinterlegen der Domain erzeugt CleverReach den TXT-Eintrag, den du beim Domain-Anbieter setzt, danach prüfen und aktivieren. CleverReach verlangt, dass die Absenderadresse zur Domain mit DKIM passt oder eine Subdomain davon ist. Wer mit einer Gmail- oder Yahoo-Adresse als Absender verschickt, dem ersetzt CleverReach die Adresse nach eigener Aussage vorübergehend durch eine eigene, etwa test=gmail.com@c.havemy.email.

Für SPF nennt CleverReach v=spf1 a mx include:spf.crsend.com ~all als neuen Eintrag oder include:spf.crsend.com als Ergänzung eines bestehenden.

rapidmail#

Unter Kontoeinstellungen > Absender-Einstellungen > Absender-Authentifizierung auf Authentifizierung starten. rapidmail empfiehlt den geführten Weg über den Dienst Entri, der laut rapidmail „automatisch zwei DKIM-Keys sowie einen SPF- und DMARC-Record“ beim Hoster anlegt. Ist der Hoster dort nicht aufgeführt, geht es von Hand: DKIM als TXT unter rm._domainkey, ein zweiter Schlüssel für die Anmeldeformulare. Für Transaktionsmails nennt rapidmail include:spf.smtp.net im SPF-Eintrag.

HubSpot#

Unter Settings > Content > Domains & URLs, Reiter Email Sending, Connect sending domain. Der Assistent erzeugt die Einträge: zwei CNAME für DKIM, ein SPF-include: mit einer Kontonummer im Namen, etwa include:123456.spf03.hubspotemail.net, und einen DMARC-Eintrag. HubSpot weist darauf hin, das include: in den vorhandenen SPF-Eintrag zu schreiben und keinen zweiten anzulegen.

Mailjet#

Nicht in der Überschrift, aber in Tirol der häufigste Dienst in meiner Messung. Mailjet verlangt einen TXT-Eintrag unter mailjet._domainkey mit dem Schlüssel aus dem Konto und include:spf.mailjet.com im SPF-Eintrag. Ob beides erkannt ist, zeigt Mailjet unter Account Settings > Domains & DNS mit einem grünen Haken.

Eine Subdomain für den Newsletter#

Microsoft empfiehlt in seiner Anleitung zu SPF, Massenversand über eine Subdomain laufen zu lassen, etwa news.beispiel.at. Probleme beim Dienst treffen dann nicht den Ruf der Domain, von der Angebote und Rechnungen kommen, und die Subdomain hat ihre eigenen zehn DNS-Abfragen. DMARC der Hauptdomain gilt für Subdomains mit, solange sie keinen eigenen _dmarc-Eintrag haben. Mit der lockeren Ausrichtung, der Voreinstellung, passt eine Signatur mit news.beispiel.at zu einem From: mit beispiel.at und umgekehrt. Wie man das bei Microsoft 365 einrichtet, steht in Microsoft 365: SPF, DKIM und DMARC.

Messung: Welche Dienste in Tirol eingebunden sind#

In eigener Sache: Am 05.10.2026 um 08:13 UTC habe ich die SPF- und DKIM-Einträge von 149 Tiroler Domains abgefragt, 34 Tourismusverbände und 115 Betriebe aus meiner Akquise-Liste, mit 84 Selector-Namen, darunter die der Dienste oben. Passiv per DNS-over-HTTPS, drei Domains gibt es nicht mehr, bleiben 146. Gezählt ist, welche Dienste im SPF-Eintrag stehen und welche einen DKIM-Schlüssel für die Domain veröffentlichen.

• Mailjet ist der häufigste Dienst: 13 Domains erlauben ihn im SPF-Eintrag, 11 haben auch seinen DKIM-Schlüssel. Bei 3 steht nur das SPF-include, das für DMARC nicht reicht.
• Mailchimp ist bei 10 Domains per DKIM eingebunden, alle über die CNAME-Einträge auf mcsv.net. 6 Domains führen zusätzlich include:servers.mcsv.net im SPF-Eintrag, das Mailchimps Anleitung nicht verlangt.
• CleverReach steht bei 11 Domains im SPF-Eintrag. Ob dazu ein DKIM-Schlüssel gehört, kann ich von außen nicht sagen: Der Name hängt am Konto, und ich kenne ihn nicht.
• Brevo samt den alten Namen Sendinblue und Newsletter2Go steht bei 6 Domains im SPF-Eintrag, einen DKIM-Schlüssel von Brevo veröffentlichen 3.

Insgesamt finden sich bei 39 der 146 Domains Spuren eines Versand- oder Newsletter-Dienstes. Von diesen 39 haben 6 keinen DMARC-Eintrag, 26 stehen auf p=none, und nur 14 haben eine Berichtsadresse. Ohne Berichte sieht niemand, ob die Newsletter DMARC bestehen. Namen veröffentliche ich nicht.

Was zu tun ist#

1. Im Dienst die Absenderdomain authentifizieren und die DKIM-Einträge setzen, so wie oben beim jeweiligen Dienst beschrieben.
2. SPF nur ergänzen, wenn der Dienst es verlangt, und dann in den vorhandenen Eintrag schreiben, nicht in einen zweiten. Den fertigen Eintrag baut der SPF-Generator.
3. Eine Testkampagne an ein Gmail-Postfach, Original anzeigen. Fertig ist es bei dkim=pass header.d= mit deiner Domain und dmarc=pass.
4. DMARC mit Berichtsadresse, falls noch nicht vorhanden. Den Eintrag erzeugt der DMARC-Generator.
5. Die Spam-Rate im Blick behalten. Ab einer gewissen Menge an Gmail-Adressen zeigt sie Google Postmaster Tools, aber nur, wenn mit der eigenen Domain signiert wird.

Was nicht hilft#

Nur das SPF-include eintragen, weil es in alten Anleitungen so stand. Für DMARC zählt die Signatur, nicht das include.

Einen zweiten SPF-Eintrag für den Dienst anlegen. Zwei Einträge mit v=spf1 sind ein permerror, danach besteht SPF für keinen Versandweg mehr, auch nicht für das eigene Postfach.

Die automatische Einrichtung über einen bestehenden DMARC-Eintrag laufen lassen, ohne nachzusehen. Brevo warnt selbst davor, dass dabei der vorhandene Eintrag ersetzt wird, samt eigener Berichtsadresse.

Mit einer Gmail-Adresse als Absender verschicken. Gmail-Adressen lassen sich nicht für einen fremden Dienst signieren. Dienste wie CleverReach ersetzen sie deshalb, und die Empfänger sehen eine fremde Adresse.

Häufige Fragen#

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Das Paket E-Mail-Schutz bindet jeden Versanddienst mit DKIM ein, räumt den SPF-Eintrag auf und liest die DMARC-Berichte, bis jeder Versandweg besteht. Kostenlos vorab: der E-Mail-Check.

Stand 05.10.2026. Hilfeseiten der Dienste an diesem Tag abgerufen, DNS-Messung am 05.10.2026 um 08:13 UTC.