Eine Adresse mit eigener Domain wirkt professioneller als jede Freemail-Adresse, und sie bleibt bestehen, wenn der Anbieter wechselt. Der Einrichtungsaufwand liegt bei einer knappen Stunde. Die Fehler, die dabei entstehen, kosten dagegen Wochen, weil sie sich erst zeigen, wenn Nachrichten still im Spamordner der Empfänger landen.

Der Grund liegt in einer Trennung, die vielen nicht bewusst ist. Die Domain und das Postfach sind zwei getrennte Dienste, die über DNS-Einträge miteinander verbunden werden. Wer diese Einträge versteht, hat den größten Teil der Arbeit hinter sich.

Domain und Postfach sind zwei Produkte

Am Anfang steht die Registrierung. Wer eine Domain kaufen will, erwirbt zunächst nur das Nutzungsrecht am Namen und die Kontrolle über die zugehörige DNS-Zone. Ein Postfach ist darin nicht automatisch enthalten. Manche Anbieter legen ein Basispaket bei, andere rechnen Mailhosting getrennt ab, weshalb sich der Blick auf die Anzahl der Postfächer und den verfügbaren Speicher vor dem Abschluss lohnt. Bei hosttech und vergleichbaren Anbietern lässt sich beides im selben Kundenkonto verwalten, was den späteren Abgleich der Einträge vereinfacht.

Wichtig ist die Frage, wo die Nameserver liegen. Bleiben sie beim Registrar, werden alle Einträge dort gepflegt. Zeigen sie auf einen Hoster, übernimmt dieser die Zone, und Änderungen im Registrar-Konto bleiben wirkungslos. Genau an dieser Stelle scheitern die meisten Ersteinrichtungen, weil Einträge im falschen Interface landen.

Die Einträge, ohne die nichts funktioniert

Der Mailempfang hängt an einem einzigen Eintragstyp. Der MX-Record verweist auf den zuständigen Mailserver und trägt eine Priorität, wobei der niedrigere Wert zuerst angefragt wird. Wie diese Auflösung im Hintergrund abläuft, erklärt die Darstellung zu Aufgabe und Funktion von DNS im Detail. Ein A-Record allein genügt nicht, denn ohne MX-Eintrag versuchen sendende Server zwar ersatzweise die Zustellung an den A-Record, scheitern dort aber an einem Webserver ohne Mailannahme.

Für den Versand kommen drei TXT-Einträge hinzu. Sie regeln, wer im Namen der Domain senden darf, und sie entscheiden darüber, ob eine Nachricht im Posteingang oder im Spamordner ankommt.

  • SPF listet die berechtigten Sendeserver, üblicherweise als v=spf1 include:… -all, wobei die Kette höchstens zehn DNS-Abfragen auslösen darf
  • DKIM hinterlegt einen öffentlichen Schlüssel unter einem Selector, mit dem sich die Signatur jeder versendeten Nachricht prüfen lässt
  • DMARC unter dem Namen _dmarc legt fest, wie Empfänger mit Nachrichten umgehen, die SPF und DKIM nicht bestehen
  • Optional ergänzen SRV- und Autodiscover-Einträge die automatische Kontoeinrichtung in Outlook und Thunderbird

Der SPF-Eintrag existiert genau einmal pro Domain. Zwei SPF-Zeilen nebeneinander gelten als Fehler und führen dazu, dass die Prüfung fehlschlägt. Wer neben dem Hoster auch einen Newsletterdienst nutzt, ergänzt dessen include-Anweisung deshalb in der bestehenden Zeile.

Absenderauthentifizierung als Pflichtprogramm

Diese drei Verfahren sind längst Standard und werden von großen Empfängersystemen erzwungen. Das Bundesamt für Sicherheit in der Informationstechnik ordnet die technischen Hintergründe der E-Mail-Sicherheit verständlich ein und behandelt neben SPF, DKIM und DMARC auch die Transportverschlüsselung mit TLS, DANE und MTA-STS. Wer alle Punkte umsetzt, verhindert, dass Dritte im Namen der eigenen Domain versenden.

Sinnvoll ist ein schrittweises Vorgehen bei DMARC. Zunächst wird die Richtlinie auf p=none gesetzt und eine Adresse für die Berichte hinterlegt. Nach zwei bis vier Wochen zeigen diese Reports, welche Systeme im Namen der Domain senden. Erst wenn alle legitimen Quellen erfasst sind, folgt die Verschärfung auf quarantine und später auf reject.

Postfach, Alias oder Weiterleitung

Für die Struktur der Adressen gibt es drei Bausteine, die sich in Kosten und Funktion deutlich unterscheiden.

  • Ein echtes Postfach hat eigenen Speicher und eigene Zugangsdaten und kann senden und empfangen
  • Ein Alias ist eine zusätzliche Empfangsadresse für ein bestehendes Postfach und meist kostenlos, kann aber nicht eigenständig senden
  • Eine Weiterleitung reicht Nachrichten an eine externe Adresse durch, was bei aktivem SPF und DMARC des Absenders zu Zustellproblemen führen kann

Von Catch-all-Adressen ist abzuraten. Sie nehmen jede beliebige Adresse der Domain an und ziehen damit innerhalb weniger Monate erhebliche Spammengen an. Zwei oder drei sauber angelegte Aliase decken denselben Bedarf ab.

Der Zugriff auf die Nachrichten

Beim Abruf stehen zwei Protokolle zur Wahl, und die Entscheidung wirkt sich auf den gesamten Betrieb aus. POP3 lädt Nachrichten auf ein Gerät herunter und löscht sie üblicherweise vom Server, was den Speicherplatz schont und den Zugriff von mehreren Geräten praktisch unmöglich macht.

IMAP belässt alles auf dem Server und spiegelt Ordnerstrukturen auf alle Geräte, weshalb es für den Alltag mit Notebook und Smartphone die einzig sinnvolle Wahl ist. Zu beachten ist dabei der Speicherverbrauch, denn gelöschte Nachrichten liegen je nach Einstellung weiter im Papierkorb und zählen zum Kontingent. Als Ports gelten 993 für IMAP und 465 oder 587 für den Versand, jeweils mit Verschlüsselung.

Ein Punkt betrifft die Anmeldung. Viele Anbieter erzwingen inzwischen ein separates Anwendungspasswort oder eine Zwei-Faktor-Anmeldung für den Webzugang. Wer beides gleichzeitig aktiviert, sollte die Zugangsdaten für die Mailprogramme getrennt dokumentieren, weil sich sonst nach dem nächsten Passwortwechsel alle Geräte gleichzeitig abmelden.

Wenn Nachrichten trotzdem im Spam landen

Bei Zustellproblemen führt der schnellste Weg über die Kommandozeile. Mit dem Netzwerkdiagnosetool nslookup lassen sich MX-, TXT- und DKIM-Einträge direkt abfragen und mit dem vergleichen, was der Anbieter vorgibt. Häufig zeigt sich dabei ein Tippfehler im Selector oder ein SPF-Eintrag, der noch auf den alten Hoster verweist.

Zwei weitere Ursachen tauchen regelmäßig auf. Beim eigenen Server fehlt oft der passende PTR-Eintrag, sodass die Rückwärtsauflösung der IP-Adresse nicht zum Hostnamen passt. Und frisch registrierte Domains haben keine Versandhistorie, weshalb die ersten Wochen mit kleinen Mengen und ohne Massenversand beginnen sollten.

Beim Umzug bestehender Konten

Liegen bereits Nachrichten beim alten Anbieter, gehören sie vor der Umstellung migriert. Bewährt hat sich eine Synchronisierung über IMAP mit einem Werkzeug wie imapsync, die sich mehrfach ausführen lässt und nur Neues überträgt. Der MX-Eintrag wird erst danach umgestellt, und das alte Postfach bleibt zwei Wochen aktiv.

Zum Schluss die formale Seite. Wer geschäftlich mailt, braucht im Signaturblock die Pflichtangaben aus dem Digitale-Dienste-Gesetz, bei Kapitalgesellschaften ergänzt um Registergericht, Registernummer und die vertretungsberechtigten Personen. Diese Angaben einmal sauber zu hinterlegen, ist schneller erledigt als jede spätere Abmahnung.