Die drei Einträge arbeiten zusammen: SPF legt fest, welche Server mit Ihrer Domain versenden dürfen. DKIM versieht jede Mail mit einer Signatur, deren öffentlicher Schlüssel im DNS steht. DMARC sagt dem Empfänger, was mit Mails passieren soll, die weder über SPF noch über DKIM zu Ihrer Domain passen. Die Grundlagen erklären wir in der allgemeinen Anleitung zu SPF, DKIM und DMARC.
Gmail und Yahoo verlangen seit Februar 2024 von Massenversendern SPF, DKIM und DMARC, Microsoft stellt seit Mai 2025 für Outlook.com und Hotmail ähnliche Anforderungen. Auch bei kleinem Volumen gilt: Ohne saubere Authentifizierung landen Mails schneller im Spam – gerade bei GMX, WEB.DE und T-Online.
Vorab: Wo liegt das DNS Ihrer Domain?
Die DNS-Einstellungen im CCP wirken nur für Domains, die Sie bei netcup registriert haben und deren Nameserver auf netcup zeigen. Drei Fälle sollten Sie unterscheiden:
- Domain bei netcup: Sie pflegen alle Einträge im CCP. Das ist der Normalfall dieser Anleitung.
- Externe Domain im netcup-Webhosting: Liegt die Domain bei einem anderen Registrar und ist nur dem Webhosting zugewiesen, können laut netcup die netcup-Nameserver die DNS-Einträge nicht hosten. SPF, DKIM und DMARC tragen Sie dann bei Ihrem Domain-Anbieter ein – zum Beispiel bei IONOS, STRATO oder ALL-INKL.
- Eigene Nameserver oder Cloudflare: Haben Sie im CCP eigene Nameserver hinterlegt, gelten nur noch die Einträge dort.
Wichtig zur Umstellung auf CloudDNS: netcup stellt laut Hilfe-Seite zu CloudDNS Neuregistrierungen schrittweise auf CloudDNS um, Bestand-Domains werden nach und nach migriert. Bei CloudDNS-Domains heißt die Registerkarte CloudDNS statt DNS, DNSSEC hat eine eigene Registerkarte. Die Einträge selbst sind dieselben.
Einrichtung Schritt für Schritt
DNS-Einstellungen im CCP öffnen
Melden Sie sich im Customer Control Panel (CCP) an, gehen Sie in den Menüpunkt Domains und klicken Sie auf das Lupen-Symbol neben Ihrer Domain. Wechseln Sie dann in die Registerkarte DNS – bei Domains mit CloudDNS in die Registerkarte CloudDNS.
Die Tabelle hat die Spalten Host, Type, MX (Priorität, nur bei MX-Einträgen), Destination und gültig; bei CloudDNS kommt TTL hinzu. Gespeichert wird bei Bestand-Domains mit DNS Records speichern, bei CloudDNS mit Änderungen anwenden.
Warum: So beschreiben es die netcup-Anleitungen DNS anpassen (Bestand-Domains) und DNS anpassen (CloudDNS). Das CCP prüft Eingaben auf semantische Richtigkeit: Fehler erscheinen in einem roten Kasten, korrekte Änderungen in einem grünen und sind laut netcup in der Regel nach etwa 10 Minuten aktiv.
Vorhandene Einträge für das netcup-Mailhosting prüfen
Versenden Sie über ein Postfach im netcup-Webhosting oder in der SOGo Groupware, nennt netcup diese Einträge für SPF und DKIM:
| Host | Type | Destination | Zweck |
|---|---|---|---|
@ | TXT | v=spf1 mx a include:_spf.webhosting.systems ~all | SPF für netcup-Mailserver |
key1._domainkey | CNAME | key1._domainkey.webhosting.systems | DKIM, erster Schlüssel |
key2._domainkey | CNAME | key2._domainkey.webhosting.systems | DKIM, zweiter Schlüssel |
Laut netcup sind für vollständige Sicherheit beide DKIM-Einträge nötig. Die Schlüssel selbst liegen bei netcup: Unter key1._domainkey.webhosting.systems und key2._domainkey.webhosting.systems sind derzeit 2048-Bit-RSA-Schlüssel veröffentlicht. Eine eigene DKIM-Schaltfläche im Mail-Panel beschreibt die netcup-Dokumentation nicht; es genügen die beiden CNAME-Einträge.
Fehlen die Einträge? Für SOGo setzt netcup laut Anleitung nur den MX-Eintrag automatisch, SPF und DKIM müssen Sie selbst hinterlegen. Beim Webhosting sind sie Teil der Standard-DNS-Einstellungen. Diese lassen sich bei Bestand-Domains über Standard DNS Einstellungen setzen für Hosting … wiederherstellen, bei CloudDNS über das Record-Preset Hosting ….
Quelle und Vorsicht: Die Werte stammen aus den netcup-Anleitungen DNS-Einträge (Webhosting) und DNS-Einträge (SOGo). Das Zurücksetzen auf den Standard überschreibt Ihre Zone – notieren Sie vorher alle eigenen Einträge (DKIM externer Dienste, Verifizierungscodes, CNAMEs). Tragen Sie fehlende Einträge lieber einzeln von Hand nach.
SPF um externe Versender ergänzen
Kommt ein Newsletter-Tool, ein Shop-System oder ein CRM hinzu, das mit Ihrer Absenderadresse verschickt und einen SPF-Eintrag verlangt, ergänzen Sie den vorhandenen TXT-Eintrag auf Host @. Das include des Dienstes kommt vor ~all:
| Stand | Destination |
|---|---|
| Vorher | v=spf1 mx a include:_spf.webhosting.systems ~all |
| Nachher | v=spf1 mx a include:_spf.webhosting.systems include:spf.ihr-dienst.example ~all |
spf.ihr-dienst.example ist ein Platzhalter – den richtigen Wert finden Sie in der Hilfe Ihres Versanddienstes.
Warum nur ein Eintrag: Pro Domain ist genau ein SPF-Eintrag erlaubt, und er darf höchstens 10 DNS-Abfragen auslösen. Der netcup-Standard verbraucht davon bereits fünf: je eine für mx und a, eine für _spf.webhosting.systems und zwei für die darin enthaltenen _spf_v4- und _spf_v6-Einträge (Stand Oktober 2026, per DNS-Abfrage geprüft). Viele Newsletter-Dienste wie Brevo brauchen gar keinen SPF-Eintrag auf Ihrer Domain, weil sie DMARC über DKIM bestehen – siehe unsere Brevo-Anleitung.
DKIM für externe Dienste eintragen
Jeder Dienst, der in Ihrem Namen versendet, bringt einen eigenen DKIM-Eintrag mit eigenem Selektor mit. Die Einträge key1 und key2 von netcup bleiben dabei unangetastet. Legen Sie eine neue Zeile an und übernehmen Sie die Werte des Dienstes:
| Host | Type | Destination | Hinweis |
|---|---|---|---|
selektor._domainkey | TXT | v=DKIM1; k=rsa; p=MIIBIjAN… | Schlüssel direkt im DNS |
selektor._domainkey | CNAME | Zielname des Dienstes | Schlüssel beim Dienst |
Ins Feld Host gehört nur der Teil vor Ihrer Domain, also zum Beispiel brevo1._domainkey – so wie netcup selbst key1._domainkey einträgt.
CNAME oder TXT? Gibt der Dienst einen CNAME vor, kann er seinen Schlüssel wechseln, ohne dass Sie das DNS erneut anfassen. Laut netcup kann ein CNAME nur angelegt werden, wenn für denselben Host noch kein anderer Eintrag existiert, und nie direkt auf der Hauptdomain (@). Steht unter dem Selektor schon ein alter TXT-Eintrag, löschen Sie ihn zuerst.
DMARC unter _dmarc anlegen
In den netcup-Anleitungen zu den Mail-DNS-Einträgen ist kein DMARC-Eintrag aufgeführt. Sehen Sie in der Tabelle nach, ob bereits einer mit Host _dmarc existiert. Wenn ja, bearbeiten Sie ihn; wenn nicht, legen Sie eine neue Zeile an:
| Host | Type | Destination |
|---|---|---|
_dmarc | TXT | v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de |
Werten Sie die Berichte einige Wochen aus. Erscheinen darin nur noch Ihre eigenen, korrekt authentifizierten Versender, stellen Sie auf p=quarantine und später auf p=reject um.
Warum mit p=none beginnen: So sehen Sie zuerst, wer alles mit Ihrer Domain versendet – Kontaktformular, Rechnungsprogramm, Newsletter –, ohne dass Mails abgewiesen werden. Für die Berichte eignet sich ein eigenes Postfach, denn die täglichen XML-Berichte füllen sonst den Posteingang.
Speichern, warten, testen
Nach dem Speichern sind die Einträge laut netcup meist nach etwa 10 Minuten im netcup-DNS. Bis Ihr alter Eintrag aus allen Zwischenspeichern verschwunden ist, kann es je nach TTL bis zu 48 Stunden dauern. Schicken Sie danach eine Testmail an ein Gmail- oder Outlook-Postfach und prüfen Sie im Header die Zeile „Authentication-Results“: Dort sollten spf=pass, dkim=pass und dmarc=pass stehen.
Schneller geht es mit unserem kostenlosen E-Mail-Spam-Test: Mail an die Testadresse schicken, und der Bericht zeigt SPF, DKIM und DMARC samt Domain-Abgleich, den sendenden Server und Sperrlisten. Die DNS-Einträge allein prüft der SPF-, DKIM- und DMARC-Check – geben Sie dort als Selektor key1 ein.
_spf.webhosting.systems erscheinen.DNS bei netcup, Postfach woanders
Häufig liegt die Domain bei netcup, die Firmenmails laufen aber über Google Workspace, Microsoft 365 oder einen anderen Anbieter. netcup weist selbst darauf hin, dass Sie Domains etwa mit Google Workspace oder Proton verbinden und die A-Einträge trotzdem auf netcup zeigen lassen können. Dann gilt:
- MX ersetzen: Löschen Sie die MX-Einträge des netcup-Mailservers und tragen Sie die des neuen Anbieters ein.
- SPF umbauen: Schreiben Sie das
includedes Mail-Anbieters in den vorhandenen SPF-Eintrag.include:_spf.webhosting.systemsbleibt nur, wenn weiterhin etwas über netcup verschickt wird;mxundasind dann meist überflüssig und kosten nur Abfragen. - DKIM des neuen Anbieters ergänzen: Die netcup-Einträge
key1undkey2stören nicht, signieren aber nur Mails, die über netcup laufen.
Wie die Werte für die großen Anbieter aussehen und wo Sie DKIM einschalten, zeigen unsere Anleitungen für Google Workspace und Microsoft 365.
Typische Fehler bei netcup
- Kontaktformular über PHP
mail(): netcup schreibt ausdrücklich, dass die SPF- und DKIM-Einträge nicht für Mails gelten, die über den Webserver (phpmail, sendmail) verschickt werden. Stellen Sie Formulare und Shop-Systeme auf SMTP mit einem echten Postfach um, etwa per SMTP-Plugin in WordPress. - Zweiter SPF-Eintrag: Der Dienst sagt „SPF-Eintrag anlegen“, und es entsteht ein zweiter TXT-Eintrag mit
v=spf1. Ergebnis: SPF schlägt komplett fehl, auch für das netcup-Postfach. Zusammenführen statt doppeln. - Smarthost ohne DNS-Anpassung: Leiten Sie Mails im Webhosting Control Panel unter E-Mail → Smarthosts über einen externen Dienst, müssen laut netcup-Anleitung SPF und DKIM auf diesen Dienst angepasst werden.
- Nur ein DKIM-Schlüssel: Wer nur
key1._domainkeyanlegt, riskiert Fehler, sobald netcup mit dem zweiten Schlüssel signiert. Legen Sie immer beide CNAME-Einträge an. - Standard zurückgesetzt: „Standard DNS Einstellungen setzen“ oder das Hosting-Preset stellt die netcup-Einträge her, entfernt aber eigene Ergänzungen wie DKIM externer Dienste oder DMARC.
Kommen Mails trotz korrekter Einträge nicht an, liegt es oft an Inhalt, Liste oder Reputation. Hilfe dazu finden Sie in Warum landen E-Mails im Spam?
Newsletter über das netcup-Postfach?
Das Webhosting-Postfach ist für die normale Korrespondenz gedacht. Laut netcup-Anleitung darf ein Postfach standardmäßig höchstens 250 Mails in 60 Minuten und maximal 750 Mails in 24 Stunden versenden. Für Newsletter ist ein spezialisierter Dienst besser: Er bringt One-Click-Abmeldung, Bounce-Verarbeitung und Statistiken mit. Einen Überblick gibt unser Vergleich der E-Mail-Marketing-Software.
Stimmen SPF, DKIM und DMARC Ihrer netcup-Domain? Der Check fragt die veröffentlichten Einträge ab, zählt die SPF-Abfragen und zeigt Fehler wie doppelte SPF-Einträge oder fehlendes DMARC sofort.
Domain jetzt prüfenWie es weitergeht
Mit sauberer Authentifizierung ist die technische Grundlage gelegt. Ob Ihre Mails im Posteingang landen, entscheiden danach vor allem Reputation, Inhalt und Beschwerderate. Kommen Mails bei deutschen Anbietern nicht an, hilft Mails kommen nicht an: GMX, WEB.DE und T-Online.
Häufige Fragen
- Wo bearbeite ich bei netcup die DNS-Einträge?
- Im Customer Control Panel (CCP) unter Domains: Lupen-Symbol neben der Domain anklicken und in die Registerkarte DNS wechseln. Bei Domains, die schon auf CloudDNS umgestellt sind, heißt die Registerkarte CloudDNS.
- Welcher SPF-Eintrag ist für netcup richtig?
- Für Mails über das netcup-Webhosting oder SOGo nennt netcup v=spf1 mx a include:_spf.webhosting.systems ~all als TXT-Eintrag auf der Hauptdomain. Weitere Versender ergänzen Sie mit ihrem include im selben Eintrag.
- Wie richte ich DKIM bei netcup ein?
- Mit zwei CNAME-Einträgen: key1._domainkey zeigt auf key1._domainkey.webhosting.systems, key2._domainkey auf key2._domainkey.webhosting.systems. Laut netcup sind beide nötig. Externe Dienste bekommen zusätzlich eigene Einträge mit ihrem Selektor.
- Legt netcup automatisch einen DMARC-Eintrag an?
- In den netcup-Anleitungen zu den Mail-DNS-Einträgen ist kein DMARC-Eintrag aufgeführt. Prüfen Sie, ob unter _dmarc schon ein TXT-Eintrag existiert, und legen Sie sonst einen an, zum Beispiel mit p=none und einer rua-Adresse für Berichte.
- Warum besteht mein Kontaktformular SPF und DKIM nicht?
- Wahrscheinlich verschickt es über PHP mail() bzw. sendmail. netcup schreibt, dass die SPF- und DKIM-Einträge nur für Mails über den Mailserver des Produkts gelten. Stellen Sie das Formular auf SMTP mit einem netcup-Postfach um.