Seit Gmail, Yahoo und Microsoft ihre Authentifizierungsregeln konsequent durchsetzen, landen die E-Mails einer schlecht konfigurierten Domain nicht mehr nur im Spam: Sie können schlicht abgelehnt werden. Die gute Nachricht: cPanel bündelt SPF, DKIM und DMARC inzwischen auf einer einzigen Seite. Diese Anleitung führt Sie von der ersten Bestandsaufnahme bis zu einer DMARC-Richtlinie mit p=reject, belegt durch Ihre Berichte.
Was Gmail, Yahoo und Microsoft 2026 verlangen
Alle drei großen Postfachanbieter unterscheiden zwischen Regeln für alle Absender und Regeln für Großversender. Hier die Übersicht auf Basis ihrer offiziellen Dokumentation, Stand Oktober 2026.
| Anforderung | Gmail | Yahoo | Outlook.com / Hotmail |
|---|---|---|---|
| Alle Absender | SPF oder DKIM, gültiges Forward- und Reverse-DNS (PTR), TLS, Spamrate < 0,3 % | SPF oder DKIM, gültiges Forward- und Reverse-DNS, Spamrate < 0,3 % | Empfohlene Best Practices |
| Schwelle für Großversender | Rund 5.000 Nachrichten pro Tag an Gmail-Konten | Keine veröffentlichte Zahl („erhebliches Volumen“) | 5.000 oder mehr Nachrichten an Microsofts Verbraucherdienste |
| Großversender: Authentifizierung | SPF und DKIM, DMARC mindestens p=none, Ausrichtung der From-Domain | SPF und DKIM, DMARC mindestens p=none, lockere Ausrichtung akzeptiert | SPF und DKIM bestanden, DMARC veröffentlicht und bestanden |
| Abmeldung | Mit einem Klick (List-Unsubscribe-Header) plus sichtbarer Link | Mit einem Klick, Umsetzung innerhalb von 2 Tagen | Empfohlen |
| Folge | Vorübergehende oder dauerhafte Ablehnung oder Spamordner | Filterung oder Ablehnung | Ablehnung mit Fehler 550 5.7.515 |
Google schreibt in seinen FAQ, dass Gmail die Durchsetzung dieser Regeln ab November 2025 verschärft hat: Nicht konforme Nachrichten werden seitdem vorübergehend oder dauerhaft abgelehnt. Außerdem empfiehlt Gmail einen DKIM-Schlüssel mit mindestens 1024 Bit, idealerweise 2048 Bit, und eine Spamrate möglichst unter 0,1 %.
Warum auch kleine Websites betroffen sind
Sie versenden keine 5.000 Nachrichten pro Tag? Die Regeln für alle Absender gelten trotzdem, und eine Domain ohne DMARC ist ein leichtes Ziel für Spoofing: Jeder kann gefälschte E-Mails in Ihrem Namen verschicken. WordPress-Kontaktformulare, PrestaShop-Bestellbestätigungen und Newsletter durchlaufen dieselben Filter wie Ihre persönlichen E-Mails. Die drei Einträge sind in weniger als einer Stunde eingerichtet und schützen Sie dauerhaft.
SPF, DKIM und DMARC: wer was macht
- SPF listet die Server auf, die für Ihre Domain senden dürfen. Geprüft wird die Umschlagadresse (Return-Path), nicht die angezeigte Adresse.
- DKIM fügt jeder Nachricht eine kryptografische Signatur hinzu. Der Empfänger prüft sie mit dem öffentlichen Schlüssel aus Ihrem DNS.
- DMARC verknüpft beides mit der sichtbaren Adresse (der From-Domain). Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und die geprüfte Domain zur angezeigten passt: das nennt man Ausrichtung (Alignment). DMARC legt außerdem fest, was bei einem Fehlschlag passiert und wohin Berichte gehen.
Die häufigste Falle: Ein gültiger SPF-Eintrag reicht nicht, wenn der Return-Path zu einer anderen Domain gehört, etwa zu der Ihres Newsletter-Anbieters. Ohne DKIM-Signatur mit Ihrer eigenen Domain schlägt DMARC fehl.
Schritt 1: Bestandsaufnahme in cPanel
- Melden Sie sich bei cPanel an, öffnen Sie den Bereich E-Mail und dann Email Deliverability (E-Mail-Zustellbarkeit).
- Die Tabelle zeigt Ihre Domains mit einer Statusspalte zur Zustellbarkeit. Eine Domain mit Problemen hat einen Fehler bei DKIM, SPF, DMARC oder Reverse DNS.
- Klicken Sie auf Manage (Verwalten), um die Details zu sehen: Jeder Eintrag wird mit dem von cPanel vorgeschlagenen verglichen.
Die Schaltfläche Repair (Reparieren) behebt ungültige Einträge automatisch, nachdem Sie die Änderungen bestätigt haben. Sie steht nur zur Verfügung, wenn der Server die DNS-Zone der Domain verwaltet. Liegen Ihre Nameserver woanders (bei Ihrem Registrar oder einem CDN-Dienst), kopieren Sie die vorgeschlagenen Einträge und legen Sie sie dort an.
Der DMARC-Bereich dieser Seite ist in aktuellen cPanel-Versionen vorhanden (Version 130 und neuer). Bei älteren Versionen fügen Sie den DMARC-Eintrag manuell im Zone Editor hinzu.
Schritt 2: SPF einrichten
Im SPF-Bereich der Manage-Seite schlägt cPanel einen passenden Eintrag für Ihren Server vor. Für eine Domain, die nur über Ihr Hosting sendet, sieht er so aus:
ihredomain.de. 14400 IN TXT "v=spf1 +a +mx +ip4:203.0.113.10 ~all"Nutzen Sie zusätzlich einen externen Dienst (Newsletter-Tool, Groupware), fügen Sie über Customize dessen include hinzu und speichern Sie mit Install a Customized SPF Record:
ihredomain.de. 14400 IN TXT "v=spf1 +a +mx +ip4:203.0.113.10 include:_spf.beispiel-dienst.com ~all"Drei Regeln gelten:
- Nur ein SPF-Eintrag pro Domain. Zwei
v=spf1-Einträge machen SPF ungültig. - Höchstens zehn DNS-Abfragen. Jedes
include,aodermxverbraucht eine; darüber hinaus liefert SPF einen Fehler. ~alloder-all? cPanel schlägt standardmäßig~all(Softfail) vor. Sobald DMARC aktiv ist, entscheidet DMARC über das Schicksal der Nachrichten:~allbleibt die vorsichtige Wahl, solange Sie nicht sicher sind, alle Quellen erfasst zu haben.
Schritt 3: DKIM aktivieren und veröffentlichen
Klicken Sie im DKIM-Bereich auf Generate Local DKIM Key, falls noch kein Schlüssel existiert. cPanel signiert dann ausgehende E-Mails Ihres Hostings mit dem Selektor default. Der öffentliche Eintrag sieht so aus:
default._domainkey.ihredomain.de. 14400 IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA...IDAQAB"Wird Ihr DNS woanders verwaltet, nutzen Sie Copy und fügen Sie den Wert bei Ihrem DNS-Anbieter ein (das Format „Split“ teilt einen langen Schlüssel in mehrere Zeichenketten, falls Ihre Oberfläche das verlangt). Veröffentlichen Sie niemals den privaten Schlüssel: cPanel kann ihn anzeigen, er muss aber auf dem Server bleiben.
Jeder externe Dienst, der in Ihrem Namen sendet, muss ebenfalls mit Ihrer Domain signieren, über einen eigenen Selektor (zum Beispiel s1._domainkey). Anders als bei SPF können mehrere DKIM-Selektoren problemlos nebeneinander bestehen.
Schritt 4: DMARC im Beobachtungsmodus veröffentlichen
Legen Sie zuerst in cPanel eine E-Mail-Adresse nur für Berichte an, zum Beispiel [email protected]: Sie erhalten mehrere pro Tag. Installieren Sie dann im DMARC-Bereich den vorgeschlagenen Eintrag oder passen Sie ihn im Zone Editor an:
_dmarc.ihredomain.de. 14400 IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r"p=none: keine Aktion bei fehlgeschlagenen Nachrichten, Sie beobachten nur.rua: die Adresse für die täglichen Sammelberichte.adkim=rundaspf=r: lockere Ausrichtung, die Subdomains akzeptiert (ein Return-Path unterbounce.ihredomain.debleibt ausgerichtet).
cPanel weist darauf hin, dass DMARC erst vollständig greift, wenn SPF und DKIM bereits gültig sind. Schließen Sie also zuerst die Schritte 2 und 3 ab.
Schritt 5: DMARC-Berichte lesen
Sammelberichte kommen als komprimierter Anhang (.zip oder .gz) mit einer XML-Datei. Jeder Anbieter (Google, Yahoo, Microsoft und andere) schickt seinen eigenen, meist einmal täglich. Das ist der entscheidende Ausschnitt:
<record>
<row>
<source_ip>198.51.100.25</source_ip>
<count>137</count>
<policy_evaluated>
<disposition>none</disposition>
<dkim>fail</dkim>
<spf>pass</spf>
</policy_evaluated>
</row>
<identifiers>
<header_from>ihredomain.de</header_from>
</identifiers>
</record>So lesen Sie ihn: 137 Nachrichten mit Ihrer Domain wurden von der IP-Adresse 198.51.100.25 versendet. SPF ist ausgerichtet, DKIM nicht, DMARC besteht also dank SPF. Stellen Sie sich für jede Quell-IP drei Fragen:
- Kenne ich diese Quelle? Ihr cPanel-Server, Ihr Newsletter-Tool, Ihre Rechnungssoftware … Wenn ja, ist es legitimer Versand, der korrigiert werden muss.
- Wenn legitim, was schlägt fehl? Kein DKIM: Aktivieren Sie bei diesem Dienst die Signatur mit Ihrer Domain. SPF nicht ausgerichtet: Fügen Sie dessen
includehinzu oder richten Sie einen Return-Path auf Ihrer Domain ein. - Wenn unbekannt, ist es Spoofing? Volumen von unbekannten IPs, die bei SPF und DKIM durchfallen, sind genau das, was
p=rejectblockieren wird.
XML von Hand zu lesen wird schnell mühsam: Zahlreiche kostenlose oder kostenpflichtige DMARC-Analysetools verwandeln diese Dateien in Tabellen pro Quelle. Wichtig ist, sie während der Umstellung jede Woche zu prüfen.
Schritt 6: ohne Schaden von p=none zu p=reject
Wer die Richtlinie zu früh verschärft, lässt eigene legitime E-Mails verschwinden. Gehen Sie stufenweise vor:
| Stufe | Eintrag | Empfohlene Dauer | Bedingung für die nächste Stufe |
|---|---|---|---|
| 1. Beobachtung | p=none | 2 bis 4 Wochen | Alle legitimen Quellen erkannt und ausgerichtet |
| 2. Quarantäne | p=quarantine | 2 bis 4 Wochen | Keine Beschwerden über legitime E-Mails im Spam, stabile Berichte |
| 3. Ablehnung | p=reject | Dauerhaft | Monatliche Kontrolle der Berichte |
; Stufe 2
_dmarc.ihredomain.de. 14400 IN TXT "v=DMARC1; p=quarantine; rua=mailto:[email protected]; adkim=r; aspf=r"
; Stufe 3
_dmarc.ihredomain.de. 14400 IN TXT "v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=r; aspf=r"Der Parameter sp=reject wendet dieselbe Regel auf Subdomains an, die Angreifer gerne ausnutzen, wenn sie ungeschützt bleiben. Der Parameter pct, früher ein beliebter Trick für eine schrittweise Einführung, ist in der neuen Version des DMARC-Standards (RFC 9989, veröffentlicht 2026) nicht mehr enthalten: Setzen Sie stattdessen auf vollständige Stufen und ausreichend lange Beobachtungszeiträume.
Mit einer echten Nachricht prüfen
Senden Sie eine E-Mail von Ihrem cPanel-Postfach an eine Gmail-Adresse, öffnen Sie sie und wählen Sie Original anzeigen. Gmail zeigt SPF, DKIM und DMARC mit PASS oder FAIL an. Suchen Sie in den vollständigen Headern die Zeile Authentication-Results:
Authentication-Results: mx.google.com;
dkim=pass [email protected] header.s=default;
spf=pass smtp.mailfrom=ihredomain.de;
dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=ihredomain.deMachen Sie denselben Test von Ihrer Website aus: Kontaktformular, Passwort-Zurücksetzung, Testbestellung. E-Mails, die per PHP ohne Authentifizierung versendet werden, gehen manchmal mit einer Umschlagadresse des Hosting-Kontos statt Ihrer Domain hinaus. Stellen Sie Ihr CMS auf authentifiziertes SMTP mit einer echten Adresse Ihrer Domain um, dann sind SPF und DKIM ausgerichtet.
Die häufigsten Ablehnungsfehler
5.7.26bei Gmail: Die Nachricht ist nicht authentifiziert (weder SPF noch DKIM gültig und ausgerichtet). Gehen Sie zurück zur Bestandsaufnahme in Schritt 1.550 5.7.515bei Microsoft: Die sendende Domain erreicht nicht das für Großversender geforderte Authentifizierungsniveau. SPF und DKIM müssen beide bestehen, DMARC muss veröffentlicht sein und bestehen.- DMARC schlägt fehl, obwohl SPF besteht: Der Return-Path gehört zur Domain eines Dienstleisters. Aktivieren Sie dort DKIM mit Ihrer Domain.
- DKIM schlägt nach einem Umzug fehl: Der Schlüssel wurde auf dem neuen Server neu erzeugt, im externen DNS steht aber noch der alte Wert.
- Fehlender oder widersprüchlicher PTR: Der Bereich Reverse DNS der Manage-Seite zeigt es an. Dieser Eintrag hängt vom Inhaber der IP-Adresse ab, also von Ihrem Hoster.
FAQ
Reicht DMARC mit p=none für Gmail und Outlook?
Streng genommen ja: Gmail, Yahoo und Microsoft akzeptieren p=none als Minimum. Diese Richtlinie schützt Ihre Domain aber nicht vor Spoofing. Streben Sie p=reject an, sobald Ihre legitimen E-Mails ausgerichtet sind.
Wie lange dauert es, bis Änderungen greifen?
Die Seite Email Deliverability prüft die Einträge nach einer Reparatur innerhalb weniger Minuten erneut. Auf Empfängerseite müssen Sie die TTL Ihrer DNS-Einträge abwarten, meist einige Stunden.
Was tun, wenn die Schaltfläche Repair fehlt?
Ihre DNS-Zone wird nicht vom cPanel-Server verwaltet. Kopieren Sie die vorgeschlagenen Einträge und legen Sie sie beim Anbieter Ihrer Nameserver an.
Brauche ich für jede Subdomain einen DMARC-Eintrag?
Nein. Der Eintrag der Hauptdomain gilt auch für Subdomains, und mit dem Parameter sp können Sie ihnen eine eigene Richtlinie geben.
Enthalten DMARC-Berichte den Inhalt meiner E-Mails?
Nein. Sammelberichte (rua) enthalten nur Statistiken: IP-Adressen, Mengen und die Ergebnisse von SPF, DKIM und DMARC.