DMARC bei Metanet, Hosttech und weiteren Schweizer Hostern

Vorher prüfen: Wo liegt Ihr DNS?

Geben Sie Ihre Domain im kostenlosen Domain-Check ein: Kostenloser Domain-Check. Sie sehen, ob SPF, DKIM und DMARC schon vorhanden sind und welche Nameserver zuständig sind.

Das ist wichtig. Ein Eintrag wirkt nur dort, wo die Nameserver hinzeigen. Steht die Domain bei Hoster A, das DNS aber bei Hoster B, tragen Sie alles bei B ein. Die Nameserver sind die Server, die für Ihre Domain die DNS-Antworten liefern.

Kurz zu den Begriffen: SPF listet die Server, die für Ihre Domain senden dürfen. DKIM setzt eine digitale Unterschrift in jede Mail. DMARC sagt den Empfängern, was mit Mails geschehen soll, die beides nicht bestehen.

Metanet

DNS-Editor: Im Kundenportal my.metanet.ch wählen Sie die Domain und dann auf Domain-Ebene «DNS-Verwaltung». Dort wählen Sie den Typ, klicken auf «Hinzufügen» und speichern mit «Jetzt speichern». Verwaltet Plesk die Zone, finden Sie den Editor in Plesk unter «DNS-Einstellungen».

SPF: Metanet nennt für Domains in seinem Netz diesen Eintrag:

• v=spf1 include:_spf.sui-inter.net +mx +a -all

Senden weitere Dienste für Sie, gehören deren include in denselben Eintrag.

DKIM: Bei Metanet Business Mail aktiviert der Support DKIM. Sie melden sich dort. Verwalten Sie die DNS-Zone selbst, erhalten Sie vom Support den nötigen TXT-Eintrag. Beim Webhosting mit Plesk bietet Plesk die DKIM-Signatur an. Sie schalten sie in den E-Mail-Einstellungen der Domain ein.

Hosttech

DNS-Editor: Im Kundencenter myhosttech.eu gehen Sie zu «Domains», dann «Domaincenter». Bei der Domain klicken Sie auf «Details» und dann auf «DNS Records».

SPF: Hosttech nennt als Beispiel v=spf1 a mx -all und keinen eigenen include. Wichtig: Wählen Sie den Typ TXT. Hosttech weist ausdrücklich darauf hin, nicht den Typ «SPF» aus der Auswahl zu nehmen.

DKIM: DKIM gibt es bei Hosttech nur mit Plesk, nicht mit Confixx. So geht es:

1. In Plesk links «E-Mail» öffnen, oben «E-Mail-Einstellungen».
2. Die Domain wählen.
3. Unten die Option «DKIM-Spamschutzsystem … verwenden» aktivieren und «Übernehmen» klicken.
4. Daneben «Konfiguration des externen DNS» öffnen.
5. Im DNS-Editor zwei TXT-Einträge anlegen: default._domainkey.example.com mit dem Wert aus Plesk (beginnt mit v=DKIM1) und _domainkey.example.com mit dem Wert o=-.

Einen Punkt am Ende des Namens braucht der Hosttech-Editor laut Anleitung nicht.

Green (green.ch)

DNS-Editor: Im Kundenportal my.green.ch öffnen Sie «Shared Hosting» und «Alle Domänen». Neben der Domain klicken Sie auf das Bannersymbol in der Spalte «DNS». Für eigene Einträge brauchen Sie die «Manuelle DNS-Verwaltung».

Vorsicht: Wechseln Sie von manuell auf «Automatische DNS-Verwaltung», löscht Green laut Hilfe alle bestehenden Einträge unwiderruflich und setzt Standardwerte.

SPF: Der Standardeintrag von Green für Web- und Mailhosting lautet:

• v=spf1 include:servicehoster.ch a mx ~all

DKIM: Beim Mailhosting erstellt Green den DKIM-Eintrag automatisch, sobald die Nameserver der Domain auf Green zeigen. Bei externem DNS muss die Domain mindestens einmal die Green-Nameserver genutzt haben. Danach kopieren Sie den Eintrag in die externe Zone. Hosted Exchange hat einen eigenen Weg: Sie erzeugen die DKIM-Einträge im EdgePilot-Portal unter «DKIM-Verwaltung» und tragen sie selbst im DNS ein.

DMARC: Green empfiehlt als Start _dmarc mit v=DMARC1; p=none und bietet dafür einen Generator an.

Swizzonic (ehemals Switchplus)

DNS-Editor: Im Kundenbereich wählen Sie die Domain und den Bereich für Domain und DNS. Dort öffnen Sie die DNS-Konfiguration im erweiterten Modus und fügen den Eintrag hinzu. Bestätigen Sie mit «Apply». Die Zone lässt sich bei Swizzonic nur verwalten, wenn die Swizzonic-Nameserver hinterlegt sind.

DKIM: Domain wählen, auf «EMAIL» klicken, oben rechts «ACTIONS» und dann «DKIM» wählen. DKIM im Fenster aktivieren.

SPF: Swizzonic veröffentlicht keinen include in der Hilfe. Im selben Menü zeigt Swizzonic an, ob Ihr SPF korrekt, fehlend oder nicht standardkonform ist. Senden Sie auch über andere Dienste, müssen Sie deren SPF ergänzen.

DMARC: Über «EMAIL», «ACTIONS» und «DMARC» legen Sie den Eintrag direkt an.

Novatrend

DNS-Editor: Novatrend arbeitet mit cPanel. Im Kundencenter klicken Sie links auf «Webhosting» und beim Hosting auf «cPanel». Im Abschnitt «Domänen» öffnen Sie «Zoneneditor» und bei der Domain «Verwalten». Ein @ als Name ersetzen Sie laut Novatrend durch die Domain mit Punkt am Ende, also example.com..

SPF und DKIM: Im cPanel-Abschnitt «E-Mail» öffnen Sie «E-Mail-Zustellbarkeit» und klicken bei der Domain auf «Reparieren». cPanel setzt dann SPF und DKIM, die Domain zeigt «Gültig». Das kann einige Stunden dauern. Liegen die Nameserver extern, nennt Novatrend diesen SPF-Eintrag:

• v=spf1 mx a:mail.example.com include:_spf.tophost.ch -all

Den DKIM-Wert finden Sie in diesem Fall ebenfalls unter «E-Mail-Zustellbarkeit».

Der DMARC-Eintrag: bei allen Hostern gleich

Legen Sie einen neuen TXT-Eintrag an:

• Name: _dmarc
• Wert: v=DMARC1; p=none; rua=mailto:dmarc@example.com; fo=1

p=none heisst: nur beobachten, nichts blockieren. An die rua-Adresse senden die Empfänger täglich Berichte als XML-Datei. Mit DomainRadar erhalten Sie eine eigene Berichtsadresse, die diese Dateien auswertet.

Die Reihenfolge ist immer gleich:

1. SPF prüfen: genau ein Eintrag mit allen Versandwegen.
2. DKIM einschalten, beim Hoster und bei jedem Drittdienst.
3. DMARC mit p=none setzen.
4. Zwei bis vier Wochen die Berichte beobachten.
5. Auf p=quarantine und später auf p=reject verschärfen. Wann der richtige Zeitpunkt ist, erklärt DMARC von p=none auf quarantine und reject – wann ist es sicher?.

Typische Fehler

• Eintrag im falschen DNS: Die Nameserver zeigen woanders hin. Der Eintrag existiert, wirkt aber nicht.
• Zwei SPF-Einträge: Der Hoster setzt einen, Sie ergänzen einen zweiten. Damit ist SPF ungültig. Wie Sie zusammenführen, steht in Zwei SPF-Einträge bei einer Domain – warum das alles ungültig macht.
• Typ «SPF» statt TXT: Einige Editoren bieten den alten Typ noch an. Nehmen Sie TXT.
• Domain doppelt im Namen: Der Editor hängt die Domain selbst an. Dann entsteht _dmarc.example.com.example.com.
• Mail bei Microsoft 365 oder Google, SPF nur mit Hoster: Der include des Mail-Anbieters fehlt.
• Unbedacht auf automatische DNS-Verwaltung gewechselt: Bei Green gehen so eigene Einträge verloren.

So prüfen Sie, dass es wirkt

Warten Sie die Gültigkeitsdauer (TTL) des Eintrags ab, meist einige Minuten bis wenige Stunden. Prüfen Sie die Domain erneut im Domain-Check. Senden Sie zusätzlich eine Mail an ein Gmail-Konto und öffnen Sie «Original anzeigen». Dort sollte bei SPF, DKIM und DMARC jeweils «PASS» stehen.

Was DomainRadar dabei übernimmt

DomainRadar prüft SPF, DKIM und DMARC Ihrer Domain laufend und wertet die DMARC-Berichte für Sie aus. Sie sehen, welche Dienste in Ihrem Namen senden und wann Sie gefahrlos verschärfen können. Ändert sich ein Eintrag beim Hoster, erhalten Sie einen Alarm.