SPF, DKIM und DMARC bei Hetzner einrichten

Zuerst klären: Wo verwaltest du deine Domain?

Hetzner hat mehrere Oberflächen. Je nachdem, welche du nutzt, sieht dein Weg anders aus.

Du hast …	Oberfläche	Was für dich gilt
Webhosting oder Managed Server	konsoleH (Mail-Einstellungen), DNS-Einträge in der Hetzner Console	SPF automatisch, DKIM per Schalter, DMARC selbst anlegen
Nur DNS-Zonen bei Hetzner	Hetzner Console (früher DNS Console)	Alle drei Einträge selbst als TXT anlegen, Werte kommen von deinem Mailanbieter
Dedizierten Server	Robot	Du betreibst den Mailserver selbst, DKIM-Schlüssel kommt aus deiner Mailserver-Software

Wichtig für Webhosting-Kunden: Die DNS-Einträge selbst bearbeitest du laut Hetzner inzwischen hauptsächlich in der Hetzner Console. In konsoleH verwaltest du nur noch den Zugriff auf die Zone, die Nameserver und kannst die Zone zurücksetzen. Vorsicht mit Zone zurücksetzen: Das stellt die Standard-Zone wieder her und löscht alle eigenen Einträge, also auch DKIM und DMARC. Ob du die konsoleH-Nameserver nutzt, erkennst du an ns1.your-server.de, ns.second-ns.com und ns3.second-ns.de.

Liegt deine Domain gar nicht bei Hetzner, sondern zum Beispiel bei IONOS oder STRATO, setzt du die Einträge dort: SPF bei IONOS, DKIM bei STRATO, DMARC bei ALL-INKL.

Vorher prüfen

Schick eine Mail von deiner Hetzner-Adresse an den Mail-Test. Nach etwa 30 Sekunden siehst du alle drei Punkte auf einen Blick: Absender bestätigt (SPF), Mail unterschrieben (DKIM) und Schutzregel (DMARC).

Ohne Testmail geht es auch einzeln: SPF-Check, DKIM-Check und DMARC-Check. Wie die drei zusammenhängen, erklärt SPF, DKIM und DMARC im Überblick.

SPF: Absender bestätigen

Nutzt du die Nameserver von konsoleH, setzt Hetzner automatisch einen Standard-SPF-Eintrag. Für Mails über dein Hetzner-Postfach musst du nichts tun.

Probleme gibt es laut Hetzner, wenn du zusätzlich über externe Dienste verschickst: ein Newsletter-Tool, Microsoft 365, ein Shop-System. Diese Mailserver müssen in den SPF-Eintrag aufgenommen werden. Wichtig: Es darf nur einen SPF-Eintrag pro Domain geben. Ergänze also den vorhandenen Eintrag, statt einen zweiten anzulegen.

Wie der Standard-Eintrag aussieht, hat Hetzner früher in der Doku zur Standard-Zone gezeigt (Stand 2024):

v=spf1 +a +mx ?all

Er erlaubt die Server hinter deinen A- und MX-Einträgen, also deinen Hetzner-Server. Das ?all am Ende ist neutral: Mails von fremden Servern werden weder als Fehler noch als verdächtig gewertet. Microsoft rät von ?all im Echtbetrieb ab. Wenn du den Eintrag sowieso bearbeitest, ersetz ?all durch ~all. Die aktuelle Doku nennt keinen Wert mehr, schau also in deiner Zone nach, was wirklich drinsteht.

Kommt zum Beispiel Microsoft 365 dazu, ergänzt du dessen Angabe im selben Eintrag:

v=spf1 +a +mx include:spf.protection.outlook.com ~all

Welche Angaben dein Eintrag braucht, hängt von deinen Versendern ab. Mehr zum Aufbau erklärt Was ist ein SPF-Eintrag?.

DKIM: Mails unterschreiben

Im Webhosting aktivierst du DKIM in den Einstellungen zur Mailsicherheit:

1. Öffne in konsoleH die Einstellungen zur Mailsicherheit deiner Domain.
2. Wähle DKIM aktivieren. Hetzner erzeugt automatisch ein Schlüsselpaar.
3. Bei konsoleH-Nameservern kann der passende DNS-Eintrag automatisch gesetzt werden.
4. Liegt deine Domain bei einem anderen DNS-Anbieter, zeigt dir konsoleH einen TXT-Eintrag an. Den trägst du dort selbst ein, Name und Wert kopierst du aus konsoleH. Später findest du ihn jederzeit unter Erweiterte Einstellungen.

In der Hetzner-Doku sieht der Name des Eintrags zum Beispiel so aus: default_1707._domainkey. Der Wert beginnt mit v=DKIM1; p= und ist in mehrere Stücke in Anführungszeichen aufgeteilt. Das ist normal, denn ein Stück darf höchstens 255 Zeichen lang sein. Kopier Name und Wert immer aus konsoleH, nicht aus einem Beispiel.

Du kannst statt des automatischen Schlüssels auch einen eigenen verwenden: unter Erweiterte Einstellungen einen neuen Schlüssel erstellen und das erzeugte Paar mit deinem eigenen überschreiben. Der private Schlüssel darf laut Hetzner nicht mit einem Passwort geschützt sein.

Hast du nur die DNS-Zone bei Hetzner und verschickst über einen anderen Dienst, bekommst du den DKIM-Wert von diesem Dienst. Für Microsoft 365 und Google Workspace gibt es eigene Anleitungen: DKIM in Microsoft 365 und DKIM in Google Workspace. Grundlagen: Was ist DKIM?.

DMARC: Schutzregel festlegen

DMARC setzt Hetzner nicht automatisch. Du legst einen TXT-Eintrag in der DNS-Zone an. In der Hetzner Console geht das so:

1. Dein Projekt öffnen und links im Menü DNS wählen.
2. Die Zone deiner Domain öffnen.
3. Auf Typ klicken und TXT auswählen.
4. Name _dmarc und den Wert eintragen. Den Wert setzt du laut Hetzner in Anführungszeichen, also "v=DMARC1; p=none".
5. Mit Hinzufügen speichern.

Als Wert empfiehlt sich für den Start, wie im Beispiel von Hetzner:

v=DMARC1; p=none

p=none heißt: Mails werden weiter zugestellt, du siehst aber, ob alles passt. Möchtest du Berichte bekommen, ergänzt du eine Adresse:

v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de

Hetzner erklärt die drei Regeln so: Bei none wird nur ausgewertet, bei quarantine kann die Mail als Spam behandelt werden, bei reject lehnt der Empfänger sie ab. Verschärfe erst, wenn alle deine Versender SPF oder DKIM bestehen. Mehr dazu in Was ist DMARC?.

Sonderfall: Domain bei Hetzner, Mails über Microsoft 365 oder Google

Das ist häufig: Die Website läuft bei Hetzner, die Postfächer bei Microsoft 365 oder Google Workspace. Dann gilt:

• Im SPF-Eintrag muss der Mailanbieter stehen, zum Beispiel include:spf.protection.outlook.com oder include:_spf.google.com.
• DKIM aktivierst du beim Mailanbieter, nicht in konsoleH. Die Einträge dafür legst du in deiner Hetzner-Zone an.
• Für Formular-Mails von der Website bleibt der Hetzner-Server Versender und muss ebenfalls im SPF stehen.

Die Schritte findest du in SPF für Microsoft 365, DMARC für Microsoft 365, SPF für Google Workspace und DMARC für Google Workspace.

Danach testen

Schick nach dem Speichern eine neue Mail an den Mail-Test. Alle drei Prüfpunkte sollten grün sein. Bleibt einer rot, prüf ihn gezielt im SPF-Check, DKIM-Check oder DMARC-Check. Andere Anbieter findest du unter Anleitungen pro Anbieter.

Typische Fehler und Lösungen

Problem	Ursache	Lösung
SPF ungültig	Zweiter SPF-Eintrag angelegt	Beide zu einem zusammenführen
Newsletter im Spam	Externer Versender fehlt im SPF	Angabe des Dienstes ergänzen
DKIM fehlt trotz Aktivierung	Domain liegt bei externem DNS-Anbieter	Angezeigten TXT-Eintrag dort selbst anlegen
TXT-Wert wird nicht übernommen	Anführungszeichen fehlen oder langer Wert ohne Aufteilung	Wert in Anführungszeichen setzen. Laut Hetzner darf ein Teilstück höchstens 255 Zeichen haben, lange Werte in mehrere Teile in Anführungszeichen aufteilen
Eigene Einträge plötzlich weg	In konsoleH „Zone zurücksetzen“ geklickt	DKIM, DMARC und SPF-Ergänzungen neu anlegen
DMARC nicht gefunden	Name falsch	Name exakt _dmarc, Typ TXT