Mailcow einrichten: Diese DNS-Einträge brauchen Sie

Ein Mailserver kann technisch perfekt laufen und trotzdem scheitern: Wenn die DNS-Einträge nicht stimmen, landen Ihre Mails im Spam oder werden gar nicht angenommen. Dieser Artikel zeigt, welche Einträge ein Mailcow-Server braucht, wofür sie da sind und wie Sie prüfen, ob alles passt. Als Beispiel dient die Domain beispiel.de mit dem Mailserver mail.beispiel.de.

Bevor es losgeht: Was Sie brauchen

• Zugang zu den DNS-Einstellungen Ihrer Domain – beim Domain-Anbieter oder einem eigenen DNS-Dienst.
• Einen Server mit fester IP-Adresse (IPv4, gern zusätzlich IPv6), auf dem Mailcow läuft.
• Offenen Port 25 ein- und ausgehend. Manche Server-Anbieter sperren ausgehende Mails auf Port 25 für neue Kunden und schalten ihn erst auf Antrag frei – das sollten Sie vorher klären.
• Eine „saubere“ IP-Adresse: Prüfen Sie vor dem Start, ob die IP auf einer Sperrliste steht (z. B. über MXToolbox). Eine belastete IP verursacht Zustellprobleme, die sich mit keinem DNS-Eintrag beheben lassen.

1. Die Grundeinträge: A, AAAA und MX

Zuerst muss die Welt wissen, wo Ihr Mailserver steht und dass er für Ihre Domain zuständig ist:

• A-Eintrag mail.beispiel.de → IPv4-Adresse des Servers
• AAAA-Eintrag mail.beispiel.de → IPv6-Adresse (falls vorhanden)
• MX-Eintrag beispiel.de → mail.beispiel.de mit Priorität 10

Der MX-Eintrag zeigt immer auf einen Namen, nie direkt auf eine IP-Adresse. Bei mehreren Domains auf einem Mailcow-Server zeigen alle MX-Einträge auf denselben Servernamen.

2. Reverse DNS (PTR): der oft vergessene Eintrag

Der PTR-Eintrag ist die Rückrichtung: Er ordnet der IP-Adresse den Namen mail.beispiel.de zu. Viele empfangende Server prüfen ihn – fehlt er oder passt er nicht zum Namen, mit dem sich Ihr Server meldet, werden Mails abgelehnt oder als Spam markiert. Den PTR-Eintrag setzen Sie nicht bei Ihrem Domain-Anbieter, sondern beim Anbieter des Servers, meist in dessen Verwaltungsoberfläche bei der IP-Adresse.

3. SPF: Wer darf für Ihre Domain senden?

SPF ist ein TXT-Eintrag auf der Domain selbst, der festlegt, welche Server Mails im Namen Ihrer Domain verschicken dürfen. Für einen reinen Mailcow-Betrieb genügt:

beispiel.de TXT "v=spf1 mx a -all"

Das bedeutet: Erlaubt sind die Server aus dem MX-Eintrag, alle anderen nicht. Verschicken Sie zusätzlich über andere Dienste – etwa ein Newsletter-Programm oder ein Online-Shop –, müssen diese mit include: ergänzt werden. Wichtig: Pro Domain darf es nur einen SPF-Eintrag geben. Zwei getrennte SPF-Einträge sind ein häufiger Fehler und machen SPF ungültig.

4. DKIM: die digitale Unterschrift

Mit DKIM signiert Mailcow jede ausgehende Mail. Der Empfänger prüft die Signatur mit einem öffentlichen Schlüssel, den Sie im DNS veröffentlichen. Den Schlüssel erzeugen Sie in der Mailcow-Oberfläche im Bereich ARC/DKIM-Schlüssel (2048 Bit empfohlen). Mailcow zeigt anschließend den fertigen TXT-Eintrag an, typischerweise unter dem Namen dkim._domainkey.beispiel.de.

Der Schlüssel ist lang. Manche DNS-Oberflächen teilen ihn in mehrere Teile auf oder verlangen das sogar – das ist in Ordnung, solange er beim Abruf wieder vollständig zusammengesetzt wird. Prüfen Sie das nach dem Speichern.

5. DMARC: Regeln und Berichte

DMARC legt fest, was Empfänger mit Mails tun sollen, die SPF und DKIM nicht bestehen, und wohin sie Berichte schicken:

_dmarc.beispiel.de TXT "v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de"

Starten Sie mit p=none – dann wird nur beobachtet. Laufen die Berichte ein paar Wochen sauber, stellen Sie auf p=quarantine und später auf p=reject um. Wer gleich mit reject beginnt, riskiert, dass legitime Mails aus vergessenen Quellen (Kontaktformular, Drucker, Shop) plötzlich nicht mehr ankommen.

6. Komfort: Autodiscover und Autoconfig

Damit Outlook, Thunderbird und Handys die Servereinstellungen selbst finden, helfen zwei CNAME-Einträge – autodiscover.beispiel.de und autoconfig.beispiel.de, beide auf mail.beispiel.de – sowie passende SRV-Einträge. Mailcow listet in der Domain-Übersicht über die Schaltfläche DNS alle empfohlenen Einträge auf und zeigt, welche bereits korrekt gesetzt sind. Das ist die beste Checkliste für Ihre Domain.

So prüfen Sie das Ergebnis

• Mailcow selbst: In der DNS-Übersicht der Domain sollten alle Pflicht-Einträge grün sein.
• Testmail an einen Prüfdienst wie mail-tester.com: Sie bekommen eine Punktzahl und konkrete Hinweise zu SPF, DKIM, DMARC und Sperrlisten.
• Kopfzeilen einer Testmail an ein Gmail- oder Outlook-Postfach ansehen („Original anzeigen“): Dort sollte bei SPF, DKIM und DMARC jeweils „PASS“ stehen.

Die häufigsten Fehler

• PTR-Eintrag fehlt oder zeigt auf einen anderen Namen als den Mailserver.
• Zwei SPF-Einträge statt einem – oder SPF vergessen, nachdem ein weiterer Versanddienst dazugekommen ist.
• DKIM-Schlüssel beim Einfügen abgeschnitten.
• DMARC direkt auf reject gestellt, bevor alle Absender erfasst sind.
• DNS-Änderungen zu früh getestet: Je nach Einstellung dauert es einige Minuten bis Stunden, bis neue Einträge überall sichtbar sind.

Fazit

Die DNS-Einträge sind der Teil einer Mailcow-Einrichtung, der über Erfolg oder Frust entscheidet. Wer sie Schritt für Schritt setzt und mit den genannten Werkzeugen prüft, hat einen zuverlässig zustellbaren Mailserver. Ob sich ein eigener Mailserver für Sie überhaupt lohnt, lesen Sie im Artikel Eigenen Mailserver mit Mailcow einrichten – lohnt sich das?