DKIM und DMARC beim Hoster einschalten: wo der Schalter ist

DKIM-Signature: v=1; a=rsa-sha256; d=beispiel.at; s=dkim11; ...
Authentication-Results: mx.google.com;
       dkim=pass header.d=beispiel.at;
       spf=pass smtp.mailfrom=beispiel.at;
       dmarc=pass (p=NONE) header.from=beispiel.at

So sieht es aus, wenn beim Hoster alles eingeschaltet ist: Die Mail ist mit der eigenen Domain signiert (d=), SPF besteht für die eigene Domain, und DMARC findet beides passend. Bei den meisten Hostern ist DKIM ein Schalter im Kundenmenü oder schon ab Werk an. SPF legt der Hoster meist selbst an, solange seine Nameserver für die Domain zuständig sind. Den DMARC-Eintrag setzt fast nie jemand für dich.

„Das macht der Hoster“ stimmt meist für DKIM und SPF, aber so gut wie nie für eine wirksame DMARC-Richtlinie. Und es stimmt nur, solange Postfach und DNS beim selben Anbieter liegen. Zeigen die Nameserver woandershin, etwa zu Cloudflare oder zur Agentur, legt der Hoster gar nichts an, und alle drei Einträge müssen dort von Hand hinein.

Was DKIM, SPF und DMARC sind und in welcher Reihenfolge man sie einführt, steht in DMARC einrichten. Hier geht es nur darum, wo bei welchem Anbieter der Schalter sitzt.

Zuerst: Wer verschickt deine Mails wirklich?#

Bevor du irgendwo klickst, schick dir eine Mail von deiner Adresse an ein Gmail- oder Outlook-Postfach und öffne dort den Header (Gmail: Mehr > Original anzeigen). Zwei Angaben genügen:

1. d= in der Zeile DKIM-Signature. Steht dort deine Domain, signiert der Hoster schon. Steht dort eine Domain des Hosters oder gar keine Signatur, ist DKIM für dich nicht eingeschaltet. Der Wert hinter s= ist der Selector, also der Name, unter dem der Schlüssel im DNS liegt.
2. smtp.mailfrom= in Authentication-Results. Das ist die Domain, die SPF prüft. Ist es nicht deine, hilft dir ein SPF-Eintrag für DMARC wenig.

Wie man den Header Zeile für Zeile liest, steht in E-Mail-Header lesen, wie man den Schlüssel zu einem Selector abfragt, in DKIM-Selector finden. Den Stand der Domain von außen zeigt der E-Mail-Check.

Die Anbieter im Überblick#

„Keine Anleitung gefunden“ heißt: Am 05.10.2026 stand in der öffentlichen Hilfe des Anbieters nichts dazu. Das heißt nicht, dass es die Funktion nicht gibt. Im Zweifel beim Support nachfragen und den Header der Testmail mitschicken.

Die Anbieter einzeln#

STRATO#

STRATO schreibt, dass es „bereits seit Jahren alle ausgehenden E-Mails mit DKIM“ signiert. Wer nur über die STRATO-Postfächer versendet, muss dafür nichts tun. Eigene DKIM-Einträge braucht es erst für einen externen Dienst. Sie kommen im Kunden-Login unter Domainverwaltung > Zahnrad bei der Domain > DNS > TXT- und CNAME-Records > verwalten.

SPF und DMARC sitzen in denselben DNS-Einstellungen. STRATO bietet dort vordefinierte Regeln an, etwa „Standard STRATO Mailserver“ für SPF, und schreibt zu DMARC: „DMARC ist bei STRATO bereits aktiviert.“ Wer eine eigene Richtlinie will, wählt „Keine STRATO-DMARC-Regel“ und legt einen TXT-Eintrag mit dem Präfix _dmarc an. Verschickt ein zweiter Dienst mit deiner Domain, gehört er zusammen mit STRATO in einen einzigen SPF-Eintrag. Seine Absender-Adressen veröffentlicht STRATO unter _spf.strato.com (am 05.10.2026 per DNS abgefragt), das ist der Name für include:.

IONOS#

Mit den IONOS-Nameservern, der Voreinstellung, ist DKIM laut IONOS-Hilfe automatisch eingerichtet, „you do not need to do anything else“. Liegt das DNS woanders, legt man dort drei CNAME-Einträge an, so wie sie in der Hilfe stehen:

s1-ionos._domainkey     CNAME  s1.dkim.ionos.com.
s2-ionos._domainkey     CNAME  s2.dkim.ionos.com.
s42582890._domainkey    CNAME  s42582890.dkim.ionos.com.

SPF ist als „IONOS SPF“ für alle bei IONOS verwalteten Domains ab Werk aktiv. Neu anlegen geht unter Domains & SSL > DNS > Record hinzufügen > IONOS SPF (TXT). Der Eintrag, den eine Domain mit IONOS-Postfach in meiner Messung trägt, lautet v=spf1 include:_spf-eu.ionos.com ~all. DMARC legt man im selben Menü als TXT-Eintrag mit dem Hostnamen _dmarc an.

ALL-INKL#

ALL-INKL schreibt in seiner Anleitung zum DMARC-Eintrag: Die DNS-Einträge für SPF und DKIM zum eigenen Mailserver werden „by default“ angelegt. Der Standard-SPF-Eintrag lautet laut Hilfe v=spf1 a mx include:spf.kasserver.com ~all. Alles weitere passiert im KAS unter Tools > DNS-Einstellungen, Domain bearbeiten, Neuen DNS-Eintrag hinzufügen: DMARC als TXT mit dem Namen _dmarc, ein fremder DKIM-Schlüssel als TXT mit dem Namen <selector>._domainkey. Das Datenfeld fasst laut ALL-INKL bis zu 512 Zeichen, also Schlüssel bis 2048 Bit.

Wichtig bei ALL-INKL: Den vorhandenen SPF-Eintrag bearbeiten, nicht einen zweiten anlegen. ALL-INKL weist ausdrücklich darauf hin, dass es pro Domain nur einen geben darf.

Hetzner (konsoleH)#

In der konsoleH gibt es die Funktion „DKIM aktivieren“. Sie erzeugt laut Hetzner-Dokumentation ein Schlüsselpaar und hinterlegt es auf dem Mailserver. Mit den konsoleH-Nameservern kann der DNS-Eintrag automatisch gesetzt werden, bei fremden Nameservern trägt man den angezeigten TXT-Eintrag dort ein. Ebenso setzt die konsoleH mit ihren Nameservern einen Standard-SPF-Eintrag. Für DMARC nennt Hetzner als Beispiel v=DMARC1; p=none, ohne Berichtsadresse. Eine rua-Adresse gehört dazu, sonst erfährt man nie, was scheitert.

netcup (Webhosting)#

netcup verwaltet den DKIM-Schlüssel für das Webhosting zentral und verlangt laut Hilfe zwei CNAME-Einträge, beide:

key1._domainkey   CNAME  key1._domainkey.webhosting.systems.
key2._domainkey   CNAME  key2._domainkey.webhosting.systems.
@                 TXT    "v=spf1 mx a include:_spf.webhosting.systems ~all"

Die Einträge setzt man im Customer Control Panel unter Domains > Lupe neben der Domain > DNS. Einen DMARC-Eintrag nennt die Anleitung nicht, er kommt als TXT _dmarc dazu.

Mittwald#

Wer Domain und Postfach bei Mittwald hat, für den sind laut Mittwald „bereits alle notwendigen Einstellungen“ für DKIM vorgenommen. Die Selector heißen agenturserver und agenturserver2048. Liegt das DNS woanders, müssen genau diese beiden als TXT-Einträge unter agenturserver._domainkey und agenturserver2048._domainkey dort stehen. Für DMARC verweist Mittwald auf den DNS-Editor und schreibt, dass es dazu „keinen speziellen Support“ gibt.

World4You#

Bei World4You liegen DKIM und SPF als Schalter im Kundenbereich unter Ihr Paket > E-Mail & Exchange > Einstellungen. Der DKIM-Schalter legt einen TXT-Eintrag dkim11._domainkey an, der SPF-Schalter v=spf1 mx include:spf.w4ymail.at -all. Beides steht danach unter Ihr Paket > Domains > DNS. Bei externem DNS kopiert man genau diese Werte dorthin. DMARC kommt als TXT _dmarc dazu. In der Messung unten tragen alle Domains mit World4You-Postfach, die SPF haben, genau diesen Eintrag.

easyname#

easyname nennt für Domains im Controlpanel v=spf1 include:spf.easyname.com -all und für das neuere CloudPit v=spf1 a mx include:secure-mailgate.com ~all, gesetzt unter Domains > DNS bei der Domain. Eine Anleitung für DKIM bei den easyname-Postfächern habe ich in der öffentlichen Hilfe am 05.10.2026 nicht gefunden.

domainfactory#

Bei domainfactory beschreibt die Hilfe DKIM nur für Microsoft 365, mit den CNAME-Einträgen unter Kundenmenü > Auftrag verwalten > Nameserver-Einstellungen > DNS-Einstellungen. Für die eigenen Postfächer gilt: Testmail an dich selbst, d= im Header ansehen, und wenn dort nicht deine Domain steht, den Support fragen.

A1#

A1 nennt in der Business-Hilfe zu den Zoneneinträgen nur den MX mx1.a1.net, DKIM kommt dort nicht vor. Derselbe Weg wie bei domainfactory: Testmail an dich selbst, d= im Header ansehen, bei fremder Domain den Support fragen. SPF und DMARC setzt du bei A1 wie überall als TXT-Einträge in der DNS-Zone.

Microsoft 365 und Google Workspace#

Bei beiden schaltet man DKIM nicht beim Hoster, sondern in der Verwaltung des Mailanbieters ein, und trägt die angezeigten Einträge beim DNS-Anbieter ein. Die Kurzfassung mit Klickpfaden steht in DMARC einrichten.

Messung: Wo die Post von 146 Tiroler Domains liegt, und wer signiert#

In eigener Sache: Am 05.10.2026 um 08:13 UTC habe ich für 149 Tiroler Domains, 34 Tourismusverbände und 115 Betriebe aus meiner Akquise-Liste, die MX-, NS-, SPF- und DMARC-Einträge abgefragt und je Domain 84 Selector-Namen, darunter die oben genannten der Hoster (s1-ionos, dkim11, agenturserver, strato-dkim-0002 und andere). Passiv, per DNS-over-HTTPS bei Cloudflare, ohne Verbindung zu einem Mailserver. Drei Domains gibt es nicht mehr, bleiben 146. Den Anbieter habe ich am MX-Eintrag erkannt, bei eigenen Servernamen zusätzlich an den Nameservern.

Drei Befunde:

• Die deutschen Großhoster spielen in Tirol kaum eine Rolle. Keine einzige der 146 Domains nimmt Post bei STRATO oder netcup an, eine bei IONOS, drei bei ALL-INKL, vier bei Hetzner, fünf bei Mittwald. 67 liegen bei Microsoft 365, 22 hinter einem Filterdienst wie Hornetsecurity oder Proofpoint, 20 auf einem eigenen oder kaum zuordenbaren Server.
• Wo der Hoster einen Schalter hat und ihn bewirbt, ist er an. 8 von 9 Domains mit World4You-Postfach haben den Schlüssel unter dkim11, und 8 tragen genau den SPF-Eintrag, den der Schalter setzt. Keine einzige davon hat eine wirksame DMARC-Richtlinie: 8 stehen auf p=none, eine hat gar keinen Eintrag.
• Bei Microsoft 365 ist es gut die Hälfte. 36 der 67 Domains haben irgendeinen DKIM-Schlüssel, nur 29 einen von Microsoft selbst. Microsoft signiert eigene Domains erst, wenn man DKIM einschaltet.

Insgesamt finde ich bei 70 von 146 Domains einen DKIM-Schlüssel. Bei den übrigen 76 heißt das nur: nicht unter diesen 84 Namen. Bei ALL-INKL etwa kenne ich den Selector nicht, den der Hoster ab Werk verwendet, die 0 von 3 dort ist also kein Beleg, dass nicht signiert wird. Am MX-Eintrag sieht man außerdem nur, wer die Post annimmt, nicht zwingend, wer verschickt. Namen veröffentliche ich nicht.

Was zu tun ist#

1. Testmail an dich selbst, Header öffnen, d= und smtp.mailfrom= notieren. Der Weg dauert zwei Minuten.
2. Steht dort nicht deine Domain: im Abschnitt zu deinem Hoster den Schalter suchen oder die Einträge bei deinem DNS-Anbieter nachtragen.
3. SPF auf einen einzigen Eintrag bringen, der alle Versender enthält. Wie man ihn zusammensetzt, ohne über zehn DNS-Abfragen zu kommen, steht in SPF-Eintrag erstellen. Den Eintrag baut der SPF-Generator.
4. DMARC setzen, mit Berichtsadresse: v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.at. Den Eintrag erzeugt der DMARC-Generator. Wann man von none weitergeht, steht in DMARC-Policy.
5. Nach einem Tag noch einmal die Testmail. Erst wenn dort dkim=pass mit deiner Domain und dmarc=pass steht, ist es fertig.

Was nicht hilft#

Den DKIM-Schlüssel aus einer Anleitung abschreiben. Der öffentliche Schlüssel ist für jedes Konto ein anderer. Nur die Selector-Namen und CNAME-Ziele sind bei manchen Hostern für alle gleich.

Einen zweiten SPF-Eintrag für den Hoster anlegen, weil der erste vom Newsletter-Dienst stammt. Zwei Einträge mit v=spf1 sind ein permerror, danach besteht SPF für keinen Weg mehr.

Nameserver wechseln und die Maileinträge vergessen. Wer seine Domain zu Cloudflare oder zur Agentur umzieht, nimmt die automatisch gesetzten Einträge des Hosters nicht mit. Die Mails gehen weiter hinaus, aber ohne passende Signatur, und das merkt erst der Empfänger.

Sich auf die DMARC-Regel des Hosters verlassen, ohne sie anzusehen. Ein Eintrag ohne rua liefert keine Berichte, und ohne Berichte gibt es nie einen belegten Zeitpunkt, um auf quarantine umzustellen.

Häufige Fragen#

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Das Paket E-Mail-Schutz schaltet SPF, DKIM und DMARC beim bestehenden Hoster ein, trägt fehlende Einträge beim DNS-Anbieter nach und stellt die Richtlinie anhand der Berichte schrittweise um. Vorher kostenlos selbst prüfen: der E-Mail-Check.

Stand 05.10.2026. Hilfeseiten der Anbieter an diesem Tag abgerufen, DNS-Messung am 05.10.2026 um 08:13 UTC.