Muss ich bei STRATO DKIM selbst einrichten?

Nicht, solange Sie nur über die STRATO-Postfächer versenden. Laut STRATO werden alle Mails, die über smtp.strato.de rausgehen, automatisch mit DKIM signiert. Selbst eintragen müssen Sie DKIM nur für externe Versanddienste oder wenn Sie eigene Nameserver nutzen.

Wo finde ich bei STRATO die DNS-Einstellungen?

Im STRATO Kunden-Login unter Domains → Domainverwaltung. Dort klicken Sie bei der Domain auf das Zahnrad und wechseln in den Reiter DNS. SPF, DKIM und DMARC pflegen Sie über die TXT- und CNAME-Records.

Was muss ich ins Feld Präfix eintragen?

Nur den Teil vor Ihrer Domain. STRATO ergänzt den Domainnamen automatisch. Für DMARC ist das Präfix also _dmarc, für einen DKIM-Eintrag zum Beispiel selektor._domainkey. Für SPF auf der Hauptdomain bleibt das Präfix leer.

Kann ich bei STRATO einen zweiten DMARC-Eintrag anlegen?

Nein, pro Domain ist genau ein DMARC-Eintrag unter _dmarc erlaubt. Wenn Sie eine eigene Regel setzen wollen, wählen Sie in den DNS-Einstellungen »Keine STRATO-DMARC-Regel« und legen dann einen einzigen TXT-Eintrag mit dem Präfix _dmarc an.

Wie lange dauert es, bis die Änderungen wirken?

STRATO nennt bis zu 24 Stunden, bis DNS-Änderungen vollständig aktiv sind. Oft geht es schneller. Prüfen Sie die Einträge nach dem Speichern mit einem DNS-Check, bevor Sie den externen Dienst die Domain verifizieren lassen.

STRATO: SPF, DKIM und DMARC einrichten

Kurz zur Einordnung: SPF legt fest, welche Server Mails für Ihre Domain versenden dürfen. DKIM versieht jede Mail mit einer digitalen Signatur, die der Empfänger über einen Schlüssel im DNS prüft. DMARC sagt dem Empfänger, was mit Mails passieren soll, die beide Prüfungen nicht bestehen, und verlangt, dass die geprüfte Domain zur Absenderadresse passt. Die Grundlagen mit allen Feldern erklärt unsere Anleitung SPF, DKIM und DMARC einrichten.

Wichtig ist das spätestens, seit Gmail und Yahoo im Februar 2024 von Massenversendern (ab etwa 5.000 Mails pro Tag) SPF, DKIM, DMARC, einen Abmeldelink per Klick und eine Beschwerderate unter 0,3 % verlangen. Microsoft hat für Outlook.com und Hotmail seit Mai 2025 ähnliche Regeln. Aber auch bei kleinen Mengen landen Mails ohne saubere Authentifizierung schneller im Spam.

Was STRATO bereits automatisch erledigt

Laut den STRATO-Hilfeseiten ist für die STRATO-Postfächer schon einiges vorkonfiguriert:

DKIM: Alle Mails, die Sie über smtp.strato.de verschicken, signiert STRATO automatisch mit DKIM. Dafür müssen Sie nichts eintragen, solange Sie mit Ihrer eigenen Absenderadresse senden.
DMARC: Für Domains bei STRATO ist standardmäßig eine STRATO-DMARC-Regel aktiv.
SPF: STRATO empfiehlt, in den meisten Fällen die Einstellung »Keine STRATO SPF-Regel« zu belassen. Eine eigene SPF-Regel brauchen Sie laut STRATO dann, wenn Sie einen externen Versanddienst nutzen.

Wer also nur aus Outlook, Thunderbird oder dem STRATO-Webmail schreibt, muss meist nichts ändern. Handlungsbedarf entsteht, sobald ein zweiter Absender dazukommt: ein Newsletter-Tool wie Brevo, ein Shop-System, ein CRM oder ein Rechnungsprogramm, das Mails mit Ihrer Domain im Absender verschickt. Diese Dienste signieren nicht mit dem STRATO-Schlüssel, deshalb müssen Sie für sie eigene Einträge setzen.

Prüfen Sie Ihre Domain mit unserem kostenlosen SPF-, DKIM- und DMARC-Check, bevor Sie etwas ändern. So sehen Sie, welche Einträge bereits veröffentlicht sind.

Schritt für Schritt bei STRATO

DNS-Einstellungen öffnen

Melden Sie sich im STRATO Kunden-Login an und wählen Sie Domains → Domainverwaltung. Klicken Sie bei der gewünschten Domain auf das Zahnrad und dann auf den Reiter DNS. Dort finden Sie unter anderem die Bereiche für MX-, A- und CNAME-Records sowie die TXT- und CNAME-Records, über die Sie SPF, DKIM und DMARC pflegen.

Wichtig zum Feld „Präfix“: STRATO ergänzt den Wert im Feld Präfix automatisch um Ihren Domainnamen. Sie tragen also nur den vorderen Teil ein, etwa _dmarc statt _dmarc.ihre-domain.de. Wer die Domain mit einträgt, erzeugt einen doppelten Namen wie _dmarc.ihre-domain.de.ihre-domain.de.

Vorhandenen SPF-Eintrag prüfen

Pro Domain darf es genau einen SPF-Eintrag geben, und er darf beim Auswerten höchstens 10 DNS-Lookups auslösen. Bevor Sie einen neuen anlegen, prüfen Sie deshalb, ob schon einer existiert, zum Beispiel aus einer früheren Einrichtung. Im DNS-Bereich von STRATO können Sie bei SPF zwischen vordefinierten Regeln und einer eigenen TXT-Regel wählen.

Warum: Zwei SPF-Einträge (zwei TXT-Records, die beide mit v=spf1 beginnen) machen SPF ungültig. Empfänger werten das als Fehler, nicht als Summe beider Einträge.

Externen Absender zu SPF hinzufügen

Legen Sie für die Hauptdomain eine eigene SPF-Regel als TXT-Eintrag an; das Präfix bleibt dafür leer. Der Eintrag muss alle Absender enthalten: die STRATO-Mailserver und den externen Dienst. STRATO veröffentlicht die Liste seiner Mailserver unter _spf.strato.com; in der STRATO-Hilfe wird für STRATO-Mail der Wert v=spf1 redirect=_spf.strato.com genannt. Kommt ein zweiter Absender hinzu, verwenden Sie statt redirect zwei include-Angaben:

Typ	Präfix	Wert (Beispiel)	Zweck
TXT	(leer)	`v=spf1 include:_spf.strato.com include:spf.versanddienst.example ~all`	SPF für STRATO-Postfächer und einen externen Dienst

Den include-Wert Ihres Versanddienstes finden Sie in dessen Hilfe oder im Bereich zur Domain-Authentifizierung; spf.versanddienst.example ist nur ein Platzhalter. Manche Dienste verlangen gar keinen SPF-Eintrag, weil sie eine eigene Rücklaufadresse nutzen und DMARC über DKIM bestehen. Tragen Sie dann nichts zusätzlich ein.

~all oder -all? ~all (Softfail) ist während der Umstellung die vorsichtigere Wahl. Wenn alle Absender erfasst sind, können Sie auf -all wechseln. STRATO selbst nennt die vordefinierte Regel „Fail“ als empfohlene Einstellung, wenn Sie einen eigenen Mailserver (eigenen MX-Record) nutzen, und „Softfail“ vor allem für Tests.

DKIM für externe Dienste eintragen

Jeder externe Versanddienst gibt Ihnen eigene DKIM-Einträge vor, meist als CNAME, manchmal als TXT mit einem langen Schlüssel. Sie tragen sie im Bereich TXT- und CNAME-Records ein. Ins Feld Präfix gehört der Name ohne Domain, also zum Beispiel brevo1._domainkey, ins Feld Wert das Ziel bzw. der Schlüssel aus Ihrem Versanddienst.

Typ	Präfix	Wert (Beispiel)	Zweck
CNAME	`brevo1._domainkey`	`b1.ihre-domain-de.dkim.brevo.com`	DKIM für Brevo
CNAME	`brevo2._domainkey`	`b2.ihre-domain-de.dkim.brevo.com`	DKIM für Brevo

Die Werte in der Tabelle zeigen nur das Muster; übernehmen Sie immer die exakten Angaben aus Ihrem Dienst. Dass DKIM-Einträge als CNAME unter …._domainkey möglich sind, zeigt STRATO selbst: Für Kunden mit eigenen Nameservern nennt die Hilfe zwei CNAME-Records strato-dkim-0002._domainkey und strato-dkim-0003._domainkey, die auf gleichnamige Ziele unter rzone.de zeigen.

Einschränkung: CNAME-Records sind bei STRATO nur unterhalb der Domain möglich, nicht für die Domain selbst. Für denselben Namen darf außerdem kein anderer Eintrag existieren. Bei DKIM ist das unkritisch, weil jeder Selektor einen eigenen Namen hat.

DMARC anpassen oder eigene Regel setzen

Die STRATO-Standardregel für DMARC ist bereits aktiv. Wollen Sie eine eigene Regel, etwa um Berichte an ein Auswertungs-Tool zu schicken oder die Richtlinie selbst zu steuern, wählen Sie in den DNS-Einstellungen der Domain »Keine STRATO-DMARC-Regel« und legen einen TXT-Eintrag an:

Typ	Präfix	Wert (Beispiel)	Zweck
TXT	`_dmarc`	`v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de`	DMARC im Beobachtungsmodus mit Berichten

STRATO nennt in der Hilfe als Beispiel v=DMARC1; p=quarantine; pct=100; statt quarantine können Sie none oder reject verwenden. Gespeichert wird mit »Einstellung übernehmen«. Wenn Sie gerade einen neuen Versanddienst anbinden, ist p=none mit Berichten der sichere Start: Sie sehen, ob alle legitimen Mails DKIM oder SPF bestehen, bevor Sie verschärfen.

Zurück zur Standardregel: Laut STRATO geht das nur, wenn kein TXT-Eintrag mit dem Präfix _dmarc mehr existiert. Löschen Sie ihn vorher über den Button „Löschen“. Haben Sie mehrere Domains, wiederholen Sie die Einrichtung für jede einzelne.

Warten, dann im Versanddienst verifizieren

STRATO gibt an, dass DNS-Änderungen bis zu 24 Stunden brauchen können, bis sie vollständig aktiv sind. Prüfen Sie die Einträge zuerst mit einem DNS-Check und klicken Sie erst danach im Versanddienst auf „Verifizieren“ oder „Authentifizieren“. Schlägt die Prüfung fehl, liegt es meist an einem Tippfehler im Präfix oder am noch nicht aktualisierten Cache.

Sonderfall: eigene Nameserver

Haben Sie die Domain bei STRATO, die DNS-Zone aber bei einem anderen Anbieter (zum Beispiel Cloudflare) und nutzen weiter die STRATO-Postfächer, gelten die Einstellungen im STRATO-Kunden-Login nicht mehr. Laut STRATO müssen Sie DKIM und andere Einträge dann selbst beim DNS-Anbieter pflegen. Die Hilfe nennt dafür den MX-Record smtpin.rzone.de, den SPF-Wert v=spf1 redirect=_spf.strato.com und die beiden DKIM-CNAMEs strato-dkim-0002._domainkey und strato-dkim-0003._domainkey.

STRATO weist darauf hin, dass die DKIM-Selektoren in Abständen wechseln können. Wer eigene Nameserver nutzt, sollte die aktuelle STRATO-Hilfe deshalb regelmäßig prüfen. Umgekehrt gilt: Sobald ein eigener MX-, A- oder SPF-Record gesetzt ist, lässt sich bei STRATO der NS-Record nicht mehr bearbeiten.

Typische Fehler bei STRATO

Domain im Präfix doppelt: _dmarc.ihre-domain.de ins Präfix-Feld eingetragen. STRATO hängt die Domain ohnehin an.
Zweiter SPF-Eintrag: Für den Newsletter-Dienst wurde ein neuer TXT-Record mit v=spf1 angelegt, statt den bestehenden zu erweitern.
STRATO-Server vergessen: Die eigene SPF-Regel enthält nur den externen Dienst. Dann scheitern SPF-Prüfungen für Mails aus den STRATO-Postfächern.
Standardregel nicht abgewählt: Eine eigene DMARC-Regel wird angelegt, ohne vorher »Keine STRATO-DMARC-Regel« auszuwählen, wie es STRATO vorsieht. Pro Domain darf es nur einen DMARC-Eintrag unter _dmarc geben.
Zu früh verschärft: p=reject gesetzt, bevor der externe Dienst mit Ihrer Domain signiert. Dann werden echte Newsletter abgewiesen, was sich auch in Ihrer Bounce-Rate zeigt.
Absender ohne eigene Domain: Der Versanddienst verschickt mit Ihrer Adresse, signiert aber mit seiner eigenen Domain. DKIM besteht dann zwar, passt aber nicht zur Absenderdomain, und DMARC schlägt fehl.

Einrichtung testen

Zwei Tests reichen in der Regel:

DNS prüfen: Geben Sie Ihre Domain in unseren kostenlosen SPF-, DKIM- und DMARC-Check ein. Er zeigt, ob genau ein SPF-Eintrag existiert, wie viele Lookups er braucht und ob ein gültiger DMARC-Eintrag veröffentlicht ist.
Echte Mail prüfen: Schicken Sie je eine Testmail aus dem STRATO-Postfach und aus dem externen Dienst an ein Gmail-Konto. Unter „Original anzeigen“ sollten DKIM und DMARC mit PASS erscheinen, bei DKIM mit Ihrer eigenen Domain. SPF kann beim externen Dienst auch für dessen Rücklauf-Domain gelten; für DMARC genügt ein passendes DKIM.

Ergebnis des SPF-, DKIM- und DMARC-Checks für inboxlotse.com: SPF, DMARC und DKIM in Ordnung — So sieht das Ergebnis des Checks aus – hier für unsere eigene Domain inboxlotse.com.

Weiterlesen: Der Leitfaden zur E-Mail-Zustellbarkeit zeigt, was neben der Authentifizierung zählt: Listenpflege, Versandrhythmus und Inhalte. Wenn Sie noch ein Newsletter-Tool suchen, hilft unser Software-Vergleich.

Sind SPF, DKIM und DMARC für Ihre STRATO-Domain korrekt veröffentlicht? Unser Check liest die Einträge live aus und zeigt Fehler in verständlicher Sprache, kostenlos und ohne Anmeldung.

Domain jetzt prüfen

Häufige Fragen

Muss ich bei STRATO DKIM selbst einrichten?: Nicht, solange Sie nur über die STRATO-Postfächer versenden. Laut STRATO werden alle Mails, die über smtp.strato.de rausgehen, automatisch mit DKIM signiert. Selbst eintragen müssen Sie DKIM nur für externe Versanddienste oder wenn Sie eigene Nameserver nutzen.
Wo finde ich bei STRATO die DNS-Einstellungen?: Im STRATO Kunden-Login unter Domains → Domainverwaltung. Dort klicken Sie bei der Domain auf das Zahnrad und wechseln in den Reiter DNS. SPF, DKIM und DMARC pflegen Sie über die TXT- und CNAME-Records.
Was muss ich ins Feld Präfix eintragen?: Nur den Teil vor Ihrer Domain. STRATO ergänzt den Domainnamen automatisch. Für DMARC ist das Präfix also _dmarc, für einen DKIM-Eintrag zum Beispiel selektor._domainkey. Für SPF auf der Hauptdomain bleibt das Präfix leer.
Kann ich bei STRATO einen zweiten DMARC-Eintrag anlegen?: Nein, pro Domain ist genau ein DMARC-Eintrag unter _dmarc erlaubt. Wenn Sie eine eigene Regel setzen wollen, wählen Sie in den DNS-Einstellungen »Keine STRATO-DMARC-Regel« und legen dann einen einzigen TXT-Eintrag mit dem Präfix _dmarc an.
Wie lange dauert es, bis die Änderungen wirken?: STRATO nennt bis zu 24 Stunden, bis DNS-Änderungen vollständig aktiv sind. Oft geht es schneller. Prüfen Sie die Einträge nach dem Speichern mit einem DNS-Check, bevor Sie den externen Dienst die Domain verifizieren lassen.

Quellen: STRATO-Hilfe „Wie kann ich bei STRATO meine DNS-Einträge verwalten?“ und „Wie kann ich DMARC bei STRATO aktivieren?“. Menübezeichnungen können sich ändern; maßgeblich ist die aktuelle Oberfläche im Kunden-Login.