Newsletter- und Versanddienste

Modul 7: Externe Dienste verknüpfen · Lesezeit: 8 Minuten

Lernziel: Nach dieser Lektion können Sie einen Newsletter- oder Versanddienst so verknüpfen, dass Ihre Mail nicht im Spam landet.

Kernbegriffe: Domainverifizierung (Authentifizierung), DKIM über CNAME, Selector, SPF-Include nur wenn der Dienst danach fragt, Grenze von 10 Abfragen, DMARC-Alignment über DKIM, MX nicht anfassen

Warum ein Newsletterdienst Einträge verlangt

Ein Newsletterdienst wie Mailchimp, Brevo oder MailerLite, oder ein Versanddienst für Rechnungen und Bestätigungen, verschickt Mail mit Ihrer Adresse als Absender, zum Beispiel nieuws@example.com. Doch die Mail kommt von den Servern dieses Dienstes, nicht von Ihrem Mailserver.

Empfänger wie Gmail und Outlook.com prüfen dann: Darf dieser Server im Namen von example.com mailen, und stimmt die Signatur (Lektion 4.3 bis 4.5)? Ist das nicht geregelt, landet Ihr Newsletter im Spam, oder der Dienst schreibt Ihren Absender auf eine eigene Adresse um. Deshalb bittet der Dienst Sie, Ihre Domain zu authentifizieren: ein paar Einträge in Ihrem DNS.

Was der Dienst nicht benötigt: Ihre MX-Einträge. Diese bestimmen, wohin Ihre eingehende Mail geht. Einen Newsletter versenden Sie nur; Antworten kommen ganz normal in Ihrer eigenen Mailbox an. Ändern Sie Ihren MX also niemals für einen Newsletterdienst.

DKIM über CNAME

Die meisten Dienste lassen Sie DKIM über CNAME-Einträge regeln. Der Dienst verwaltet den Schlüssel selbst; Sie verweisen lediglich darauf. So kann der Dienst den Schlüssel austauschen, ohne dass Sie etwas tun müssen.

Mailchimp verwendet zum Zeitpunkt des Schreibens bei neueren Konten zwei Einträge:

k2._domainkey.example.com.   3600   IN   CNAME   dkim2.mcsv.net.
k3._domainkey.example.com.   3600   IN   CNAME   dkim3.mcsv.net.

Ältere Konten haben häufig einen einzigen Eintrag k1._domainkey auf dkim.mcsv.net. Andere Dienste verwenden andere Selectors, wie brevo1._domainkey oder ml._domainkey. Übernehmen Sie genau das, was das Dashboard Ihres Dienstes anzeigt. Die Namen und Ziele unterscheiden sich je nach Dienst und Konto, und sie ändern sich gelegentlich.

k2 und k3 sind Selectors (Lektion 4.4). Jeder Dienst hat einen eigenen Selector, sodass sich die Einträge und der DKIM-Schlüssel Ihres eigenen Mailservers nicht gegenseitig im Weg stehen.

Drei Fehler, die fast jeder einmal macht

1. Doppelter Domainname. Ihr Panel hängt Ihren Domainnamen oft selbst an. Geben Sie k2._domainkey.example.com ein, wird daraus k2._domainkey.example.com.example.com. Tragen Sie nur k2._domainkey ein, es sei denn, Ihr Panel fragt ausdrücklich nach dem vollständigen Namen. Unter dem Feld steht meist, wie der Name am Ende lautet.
2. Den Punkt am Ende des Werts vergessen. Ohne Punkt macht Ihr Panel aus dkim2.mcsv.net womöglich dkim2.mcsv.net.example.com. Manche Panels setzen den Punkt selbst; prüfen Sie nach dem Speichern, wie der Eintrag aussieht (Lektion 2.2).
3. TXT statt CNAME. Verlangt der Dienst einen CNAME, erstellen Sie einen CNAME. Ein TXT-Eintrag mit dkim2.mcsv.net als Text bewirkt nichts.

SPF: nur wenn der Dienst danach fragt

Bei SPF denken viele: Jeder Dienst, der mailt, muss in meinem SPF-Eintrag stehen. Das ist nicht immer der Fall.

SPF prüft die Adresse im Umschlag der Mail (den Return-Path), nicht die Absenderadresse, die Sie sehen. Viele Newsletterdienste, darunter Mailchimp, verwenden im Umschlag eine eigene Domain. Ihre SPF-Prüfung läuft also über ihre eigene Domain, und Ihr SPF-Eintrag spielt dabei keine Rolle. Mailchimp verlangt deshalb kein Include in Ihrem SPF-Eintrag.

Andere Dienste verwenden im Umschlag tatsächlich eine Adresse auf Ihrer Domain, oder lassen Sie eine eigene Subdomain einrichten (zum Beispiel bounce.example.com). Diese verlangen ein include: in Ihrem SPF-Eintrag oder einen SPF-Eintrag auf dieser Subdomain. Tun Sie also genau das, was der Dienst verlangt:

• verlangt der Dienst ein Include, tragen Sie es in Ihren bestehenden SPF-Eintrag ein, niemals in einen zweiten (Lektion 4.3);
• verlangt der Dienst es nicht, fügen Sie nichts hinzu.

Warum sparsam damit umgehen? Ein SPF-Eintrag darf bei einer Prüfung höchstens 10 DNS-Abfragen verursachen. Jedes include, a, mx, exists und redirect zählt mit, und die Includes eines Dienstes enthalten selbst oft wieder weitere Includes. Mit einem Webhost, Microsoft 365, einem Newsletterdienst, einer Buchhaltungssoftware und einem CRM überschreiten Sie so schnell die Grenze. Dann ist Ihr gesamter SPF-Eintrag ungültig (permerror). Entfernen Sie Includes von Diensten, die Sie nicht mehr nutzen oder die nicht danach fragen.

DMARC: hier geht es um Folgendes

DMARC (Lektion 4.5) genehmigt eine Mail, wenn SPF oder DKIM erfolgreich ist und zur Domain in der Absenderadresse passt (Alignment). Bei einem Newsletterdienst, der im Umschlag eine eigene Domain verwendet, kann SPF niemals mit example.com ausgerichtet sein. DMARC kann dann nur über DKIM bestehen: eine Signatur mit d=example.com, und die erhalten Sie nur, wenn Sie die CNAME-Einträge gesetzt haben.

Deshalb:

1. setzen Sie zuerst die DKIM-Einträge des Dienstes;
2. warten Sie, bis der Dienst meldet, dass Ihre Domain authentifiziert ist;
3. schicken Sie eine Testmail an sich selbst und prüfen Sie in den Headern, ob DKIM pass zeigt mit d=example.com;
4. passen Sie erst danach Ihre DMARC-Richtlinie von none auf quarantine oder reject an.

Haben Sie noch keinen DMARC-Eintrag, bitten viele Dienste Sie, einen anzulegen. Beginnen Sie mit p=none (Lektion 4.5). Grosse Empfänger wie Gmail und Yahoo verlangen seit 2024, dass Massenversender einen DMARC-Eintrag haben.

Antworten und Bounces

Antwortet ein Leser auf Ihren Newsletter, geht das an die Antwortadresse, die Sie im Dienst einstellen, und über Ihren MX an Ihre eigene Mailbox. Unzustellbare Nachrichten (Bounces) gehen an die Umschlagadresse und damit an den Dienst, der sie verarbeitet. Auch dafür müssen Sie an Ihrem MX nichts ändern.

In der Praxis: So sieht es in einem Panel aus

Im Beispielpanel DirectAdmin öffnen Sie DNS-Verwaltung, klicken auf Eintrag hinzufügen, wählen CNAME, tragen bei Name nur k2._domainkey ein und bei Wert dkim2.mcsv.net. mit dem Punkt. Danach machen Sie dasselbe für k3. In Mein WebOké läuft es auf dem Reiter DNS genauso; das Fenster zeigt unter dem Namensfeld den vollständigen Namen an und warnt, wenn der Punkt fehlt.

In anderen Panels, wie cPanel, Plesk, Cloudflare oder dem DNS-Bildschirm Ihres Registrars, heissen die Schaltflächen anders, aber es sind dieselben Felder. Achten Sie bei Cloudflare auf den Proxy: Setzen Sie Einträge für DKIM auf „DNS only“ (Cloudflare macht das bei CNAMEs mit _domainkey meist bereits automatisch).

Zusammenfassung

• Ein Newsletterdienst benötigt Ihre MX-Einträge nicht; lassen Sie sie unverändert.
• DKIM läuft meist über CNAME-Einträge mit einem eigenen Selector. Übernehmen Sie, was Ihr Dashboard anzeigt.
• Tragen Sie nur den ersten Teil des Namens ein und achten Sie auf den Punkt am Ende des Werts.
• Setzen Sie ein SPF-Include nur, wenn der Dienst danach fragt, in Ihren bestehenden Eintrag, und bleiben Sie unter 10 Abfragen.
• DMARC gelingt bei solchen Diensten über DKIM-Alignment; verschärfen Sie Ihre Richtlinie erst, wenn DKIM funktioniert.

Quiz

Aufgabe

Aufgabe Z7.4: Einen Newsletterdienst erkennen. Schauen Sie sich an, wie ein Newsletterdienst DKIM selbst regelt.

1. Suchen Sie den CNAME-Eintrag von k2._domainkey.mailchimp.com und von k3._domainkey.mailchimp.com. Schreiben Sie die Zielnamen ab.
2. Suchen Sie den SPF-Eintrag von mailchimp.com und zählen Sie, wie viele include:-Bestandteile darin stehen.

Die Prüfung fragt die Einträge beim Einreichen live ab.

Aufgabe O7.4: Selbst einrichten in Ihrer Übungszone. Verknüpfen Sie einen nachgebildeten Newsletterdienst mit Ihrer Übungszone <code>.dnspractice.eu. In der Übungszone verwenden Sie den fiktiven Dienst newsletter-demo.dnspractice.eu; bei Ihrer echten Domain übernehmen Sie die Werte aus dem Dashboard Ihres Newsletterdienstes.

1. Erstellen Sie einen CNAME k2._domainkey.<code>.dnspractice.eu auf dkim2.newsletter-demo.dnspractice.eu. Achten Sie auf den Namen: keine doppelte Zone dahinter.
2. Erstellen Sie einen CNAME k3._domainkey.<code>.dnspractice.eu auf dkim3.newsletter-demo.dnspractice.eu.
3. Sorgen Sie dafür, dass auf <code>.dnspractice.eu genau ein SPF-Eintrag steht, der mit v=spf1 beginnt und mit ~all oder -all endet. Fügen Sie für diesen Dienst kein Include hinzu.
4. Lassen Sie Ihre MX-Einträge auf <code>.dnspractice.eu unverändert: Dieser Dienst benötigt sie nicht.

Weiterführende Informationen

Diese Seiten beschreiben die Schritte in den Panels von WebOké (DirectAdmin und Mein WebOké). In anderen Panels funktioniert es auf dieselbe Weise.

• DNS-Einträge in Mein WebOké verwalten (mit Beispielen für CNAME, TXT und externe Dienste)
• DirectAdmin Anleitung 5.4: CNAME-Einträge und der Punkt am Ende
• DirectAdmin Anleitung 5.8: DKIM aktivieren und überprüfen
• DirectAdmin Anleitung 5.7: SPF einrichten und ergänzen
• Was ist DMARC? Erklärung in einfacher Sprache