Der Umstieg im DNS: MX, SPF, DKIM und DMARC

Modul 4: E-Mail umziehen · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion können Sie den DNS-Wechsel für E-Mail in der richtigen Reihenfolge planen und durchführen, sodass keine Mail verloren geht, Ihre ausgehende Mail nicht im Spam landet und Outlook nicht heimlich weiter beim alten Anbieter anklopft.

Kernbegriffe: TTL, MX-Wechsel, SPF (ein Eintrag), DKIM-Selector, DMARC (p=none, rua), Autodiscover, Autoconfig, Verifizierungseintrag, akzeptierte Domain

Fünf Einträge, ein Zeitpunkt

Für E-Mail auf Ihrer eigenen Domain stehen im DNS mehrere Einträge, die zusammen bestimmen, ob Mail ankommt und ob Ihrer Mail vertraut wird:

Bei einem Umzug ändert sich fast alles davon. Die Kunst liegt in der Reihenfolge. Stellen Sie die MX um, während SPF und DKIM noch nur für Microsoft gelten, dann kommt Ihre Mail zwar an, aber die Mail, die Sie versenden, landet im Spam. Stellen Sie zuerst SPF um, dann kann Microsoft in den Tagen davor nicht mehr richtig in Ihrem Namen mailen.

Diese Lektion behandelt die Reihenfolge. Wie jeder Eintrag genau funktioniert, lesen Sie im DNS-Kurs (Lektionen 4.1 bis 4.5).

Schritt 1, zwei Tage vorher: TTL senken und Backup erstellen

Jeder DNS-Eintrag hat eine TTL (time to live): wie lange andere Server die Antwort speichern dürfen. Steht die TTL Ihres MX auf 86400 Sekunden (ein Tag), dann senden manche Server nach dem Wechsel noch bis zu einen Tag lang weiter an den alten Server.

Senken Sie daher mindestens einen alten TTL-Zeitraum vorher die TTL von MX, SPF und Autodiscover auf 300 oder 3600 Sekunden. Bei einer TTL von einem Tag tun Sie das also mindestens einen Tag vorher; zwei Tage sind großzügig bemessen. Erstellen Sie gleichzeitig ein Backup Ihrer DNS-Zone oder notieren Sie alle aktuellen Einträge. Dann können Sie immer zurück.

Bakkerij De Korrel sieht:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

Die TTL ist bereits 3600 (eine Stunde). Sie setzen MX und SPF auf 300.

Schritt 2, vor dem Wechsel: DKIM und SPF für den neuen Anbieter vorbereiten

Einträge, die nichts kaputtmachen, richten Sie bereits vorab ein:

• DKIM des neuen Anbieters. Der neue Anbieter gibt einen Selector und einen Schlüssel vor, zum Beispiel x._domainkey mit einem TXT-Eintrag v=DKIM1; k=rsa; p=.... Da der Selector anders heißt als der von Microsoft (selector1 und selector2), stehen sie ruhig nebeneinander. Jeder Empfänger schaut nur auf den Selector, der in der Signatur der Mail steht.
• SPF erweitern, nicht ersetzen. Es darf nur einen SPF-Eintrag geben. Fügen Sie den neuen Anbieter im selben Eintrag hinzu, sodass in den Übergangstagen beide senden dürfen:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Die Bäckerei hatte -all. Während des Übergangs wählen sie vorübergehend ~all (softfail): Fehlt dennoch ein Server, wird die Mail eher als verdächtig eingestuft als abgewiesen. Das folgt der Faustregel: ~all, wenn Sie sich nicht ganz sicher sind, -all, wenn Sie sicher wissen, dass alle Absender enthalten sind.

Vergessen Sie nicht die übrigen Absender aus Ihrer Liste aus Lektion 4.1: den Onlineshop, den Newsletter-Dienst, die Buchhaltung. Die bleiben im SPF-Eintrag stehen.

Schritt 3, der Wechselmoment: MX und Autodiscover

Zum vereinbarten Zeitpunkt, nachdem die erste Kopie der Postfächer fertig ist (Lektion 4.2):

1. Ersetzen Sie die MX-Einträge durch die des neuen Anbieters. Entfernen Sie den alten MX; lassen Sie ihn nicht als „Reserve“ mit höherer Priorität stehen, denn dann kommt Mail beim alten Anbieter an, sobald der neue kurz langsam reagiert.
2. Passen Sie Autodiscover an. Outlook sucht seine Einstellungen über autodiscover.example.com. Zeigt das noch auf autodiscover.outlook.com, dann versucht Outlook weiterhin, sich bei Microsoft anzumelden, auch wenn Sie ein neues Konto hinzufügen. Entfernen Sie den Eintrag oder lassen Sie ihn auf das zeigen, was Ihr neuer Anbieter vorgibt. Manche Anbieter nutzen stattdessen autoconfig.example.com (Thunderbird) oder SRV-Einträge wie _imaps._tcp und _submission._tcp (RFC 6186).
3. Führen Sie eine zweite Kopie der Postfächer durch, sodass die Mail der letzten Stunden mitkommt.

Es gibt eine Überraschung bei Microsoft 365, die viele Menschen überrascht. Solange example.com in der Microsoft 365-Umgebung als akzeptierte Domain eingetragen ist, stellt Microsoft Mail zwischen Benutzern derselben Umgebung intern zu, ohne auf den MX zu schauen. Mailt ein Kollege, der noch in Outlook bei Microsoft arbeitet, an einen anderen Kollegen, dann landet diese Mail im alten Postfach. Deshalb stellen Sie alle Mitarbeitenden am selben Tag um und entfernen Sie die Domain nach der Übergangsphase aus der Microsoft-Umgebung.

Schritt 4, DMARC: Mitlesen während des Übergangs

DMARC teilt Empfängern mit, was sie tun sollen, wenn eine Mail SPF oder DKIM nicht besteht, und sendet Ihnen Berichte. Die Bäckerei hatte p=quarantine. Das ist gut, aber während eines Wechsels gefährlich: Ist DKIM beim neuen Anbieter noch nicht aktiv, landet die eigene Mail bei Kunden im Spam.

Das sichere Vorgehen:

• Haben Sie noch kein DMARC, beginnen Sie mit p=none und einer rua-Adresse. Dann passiert nichts mit Ihrer Mail, aber Sie erhalten Berichte.
• Haben Sie bereits quarantine oder reject, prüfen Sie vor dem Wechsel mit einer Testmail, dass DKIM des neuen Anbieters funktioniert (die Kopfzeile einer empfangenen Mail zeigt dkim=pass mit d=example.com). Sind Sie unsicher, setzen Sie vorübergehend p=none und lesen Sie die Berichte einige Wochen mit.
• Verschärfen Sie danach schrittweise: none, dann quarantine, dann eventuell reject. Nach dem neuen DMARC-Standard (RFC 9989) können Sie in der Testphase auch t=y verwenden; das alte Tag pct entfällt.

Schritt 5, nach einigen Wochen: Aufräumen

Funktioniert alles einige Wochen gut, räumen Sie die alten Einträge auf:

• das alte include aus SPF (eventuell zurück zu -all);
• die alten DKIM-Einträge (selector1 und selector2);
• den Verifizierungseintrag MS=ms... und eventuelle weitere Einträge für Microsoft, wie enterpriseregistration und lyncdiscover, falls vorhanden;
• die TTL zurück auf einen gewöhnlichen Wert, etwa 3600;
• die Domain aus der alten Microsoft- oder Google-Umgebung.

Lassen Sie das alte Include stehen, darf der alte Anbieter noch jahrelang in Ihrem Namen mailen. Das ist eine offene Tür.

In der Praxis: So sieht es bei einem Anbieter aus

In Mein WebOké befindet sich im Reiter DNS die Karte E-Mail-Einstellungen. Diese zeigt MX, SPF und DMARC mit einem farbigen Punkt sowie rechts oben, welchen Mail-Anbieter sie anhand Ihres MX erkennt. Mit Schnell einstellen setzen Sie auf einen Schlag die Einträge für einen Anbieter, und der gelbe Hinweis warnt, dass bestehende MX- und SPF-Einträge ersetzt werden. Erstellen Sie deshalb zuerst ein DNS-Backup und prüfen Sie danach, ob der SPF-Eintrag noch Ihre übrigen Absender enthält. Auf der Produktseite eines Hostingpakets befindet sich die Karte E-Mail festlegen, die pro Eintrag anzeigt, ob er Korrekt, Achtung, Falsch oder Nicht gefunden ist, und den Wert mit einer Kopierschaltfläche anzeigt. Liegt das DNS bei einem anderen Anbieter, übernehmen Sie diese Werte dort. Andere Anbieter und DNS-Panels bieten vergleichbare Übersichten; die Einträge selbst sind überall gleich.

Zusammenfassung

• Senken Sie die TTL mindestens einen alten TTL-Zeitraum vorher und erstellen Sie ein Backup Ihrer DNS-Zone.
• Richten Sie DKIM des neuen Anbieters und einen erweiterten SPF-Eintrag (ein Eintrag, beide Anbieter) bereits vor dem Wechsel ein.
• Wechseln Sie MX und Autodiscover gleichzeitig, und stellen Sie alle Mitarbeitenden am selben Tag um; sonst liefert Microsoft interne Mail weiterhin an die alten Postfächer aus.
• Stellen Sie DMARC während des Übergangs nicht strenger ein, als Sie sicher wissen; beginnen Sie ohne DMARC mit p=none und Berichten.
• Räumen Sie nach einigen Wochen das alte Include, die DKIM-Einträge, Verifizierungseinträge und die Domain in der alten Umgebung auf.

Quiz

Aufgabe

Aufgabe A4.3: Ihre E-Mail-Einträge im Überblick. Geben Sie Ihre Domain ein, sowie den DKIM-Selector Ihres (neuen) Anbieters. Das Programm prüft, ob der MX auf Ihren Anbieter zeigt, ob es genau einen SPF-Eintrag gibt, ob der DKIM-Schlüssel auf diesem Selector steht und ob es genau einen DMARC-Eintrag gibt. Es misst auch die TTL Ihres MX beim zuständigen Nameserver: für einen geplanten Wechsel sollte diese 3600 oder niedriger sein.

Aufgabe E4.3: Ihr Umstellungsplan. Schreiben Sie für Ihre eigene Domain das Drehbuch aus dieser Lektion: pro Schritt Datum und Uhrzeit, die Einträge vorher und nachher (altes und neues SPF als eine Zeile), wer es durchführt, und was Sie nach jedem Schritt kontrollieren.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• WebOké Anleitung 6.7: Die Karte E-Mail einrichten (MX, SPF, DKIM, DMARC)
• WebOké Anleitung 5.6: E-Mail schnell im DNS einrichten
• WebOké Anleitung 5.7: DNS zurücksetzen und ein DNS-Backup erstellen
• DirectAdmin Anleitung 10.4: Nach dem Umzug: MX-Einträge und Ihre Geräte
• Kostenloser DNS-Kurs 4.3: SPF: wer darf im Namen Ihrer Domain E-Mails versenden?
• Kostenloser DNS-Kurs 4.4: DKIM: die Unterschrift unter Ihrer Mail
• Kostenloser DNS-Kurs 4.5: DMARC: was Empfänger mit gefälschter Mail tun sollen
• Kostenloser DNS-Kurs 6.3: DNS bei einem Umzug
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV-Einträge für Mailprogramme)