SPF, DKIM & DMARC für IONOS.

Warum IONOS authentifizieren?

Bei IONOS steht genauso viel auf dem Spiel wie überall sonst — Gmail und Yahoo verschieben nicht authentifizierte Massen-E-Mails seit ihren Absenderregeln vom Februar 2024 in den Spam-Ordner oder lehnen sie ab, und jedes Postfach behandelt eine nicht ausgerichtete Nachricht als verdächtig — doch IONOS stellt eine besondere Falle. Wenn IONOS sowohl Ihr Registrar als auch Ihr Nameserver ist, veröffentlicht es SPF und DKIM stillschweigend für Sie, sodass E-Mails diese beiden Prüfungen oft direkt ab Werk bestehen und alles in Ordnung erscheint. Was IONOS jedoch nie veröffentlicht, ist DMARC, und ohne einen _dmarc-Eintrag haben Sie keine Richtlinie, keine erzwungene Ausrichtung und keine aggregierten Berichte — Sie können also nicht erkennen, dass etwa Ihr Marketing-Tool oder Ihr Kontaktformular nicht ausgerichtet versendet, und Sie erfüllen nicht die DMARC-Erwartung, die Gmail und Yahoo inzwischen ab einem gewissen Volumen durchsetzen. Die Aufgabe bei IONOS lautet selten „alle drei von Grund auf einrichten“; sie lautet: die beiden bestätigen, die IONOS bereits erledigt hat, den einen ergänzen, den es nicht getan hat, und nachweisen, dass alle drei auf Ihre eigene Domain ausgerichtet sind und nicht auf ionos.com.

Die SPF-Realität bei IONOS

IONOS verwendet das Modell des gemeinsam genutzten include: Jedes IONOS-Postfach versendet über einen festen Pool von IONOS-Mailservern, die hinter einem einzigen include veröffentlicht sind — include:_spf-eu.ionos.com für die europäische Plattform oder include:_spf-us.ionos.com für die US-Plattform. Dieser include löst sich zu einer flachen Liste von IONOS-ip4:-Bereichen ohne verschachtelte includes auf, kostet also genau einen Ihrer zehn SPF-Lookups. Wie Sie ihn veröffentlichen, hängt davon ab, wer Ihr DNS betreibt. Ist IONOS Ihr Nameserver, tippen Sie v=spf1 überhaupt nie selbst ein — der DNS-Editor verfügt über einen eigenen Eintragstyp „IONOS SPF (TXT)“, den IONOS standardmäßig hinzufügt und bei Änderung seiner Versand-IPs aktuell hält; Sie bestätigen lediglich, dass er vorhanden ist. Liegt Ihr DNS anderswo, fügen Sie den include von Hand in Ihr bestehendes Root-SPF ein, halten es bei einem einzigen TXT-Eintrag — v=spf1 include:_spf-eu.ionos.com ~all — und führen alle anderen Absender in derselben Zeile zusammen. Zwei separate v=spf1-Einträge sind ein PermError, der SPF für die gesamte Domain lahmlegt, und sie sind der häufigste Weg, wie IONOS-SPF versehentlich deaktiviert wird.

Zwei Wege zur Einrichtung

Schritt für Schritt

Einzutragende Einträge

IONOS erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.

Das Budget von 10 Lookups

SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von IONOS von diesem Budget verbraucht.

Prüfen, ob es wirklich funktioniert hat

Vertrauen Sie nicht dem DNS-Panel — verifizieren Sie anhand einer echten Nachricht. Versenden Sie von Ihrem IONOS-Postfach an eine Gmail-Adresse, öffnen Sie die E-Mail und wählen Sie ⋮ → Original anzeigen. Sie wollen drei PASS-Zeilen, alle auf Ihre Domain ausgerichtet (nicht auf ionos.com): SPF: PASS von einer IONOS-IP, DKIM: PASS signiert von yourdomain.com mit dem Selector s1-ionos oder s2-ionos und DMARC: PASS. Auf der Kommandozeile sollte dig TXT yourdomain.com genau eine v=spf1-Zeile zurückgeben, und dig CNAME s1-ionos._domainkey.yourdomain.com sollte sich zu s1.dkim.ionos.com auflösen. Denken Sie daran, dass die IONOS-Propagation bei der standardmäßigen TTL von einer Stunde bis zu 48 Stunden dauern kann — ein Fehlschlag unmittelbar nach dem Speichern ist daher meist nur eine Frage des Timings. Unser Domain-Health-Check führt all dies auf einmal aus und markiert alles, was nicht ausgerichtet ist.

Häufige Stolperfallen

• Abdeckung

  EU vs. US ist der Fehler Nr. 1 bei IONOS: Postfächer der EU-Plattform benötigen include:_spf-eu.ionos.com, Konten der US-Plattform benötigen include:_spf-us.ionos.com. Der falsche autorisiert die IPs des falschen Rechenzentrums und führt bei jeder Nachricht zu einem Softfail, obwohl der Eintrag korrekt aussieht. Richten Sie ihn nach der Region Ihres Kontos aus, nicht nach Ihrem eigenen Standort.

• Bricht die Authentifizierung

  Wenn IONOS Ihr DNS hostet, fügen Sie keine manuelle SPF-Zeile ein — IONOS veröffentlicht und pflegt bereits eine über den Eintragstyp „IONOS SPF (TXT)“. Wenn Sie zusätzlich Ihre eigene v=spf1-Zeile hinzufügen, entstehen zwei SPF-Einträge, was ein PermError ist und SPF komplett lahmlegt.

• Abdeckung

  Der eigene _spf-eu.ionos.com-Eintrag von IONOS endet auf ?all (neutral), nicht auf ~all. Das können Sie nicht ändern — es ist der Eintrag von IONOS —, aber belassen Sie Ihren äußeren Eintrag bei ~all und übernehmen Sie den neutralen Qualifier nicht in Ihr eigenes SPF.

• DNS-Einrichtung

  DKIM ist per CNAME delegiert, versuchen Sie daher nie, einen DKIM-TXT-Schlüssel für IONOS-Postfächer einzufügen. Wenn Sie die CNAMEs gelöscht haben, fügen Sie s1-ionos._domainkey, s2-ionos._domainkey und den kontospezifischen numerischen Selector erneut hinzu — und kopieren Sie diesen numerischen Selector exakt aus Ihrem Panel; er ist für Ihr Konto eindeutig.

• DNS-Einrichtung

  Über IONOS gekauftes Microsoft 365 oder Exchange wird in Microsoft authentifiziert, nicht über die s1-ionos-CNAMEs. DKIM für diese Domains wird im Microsoft-365-Defender-Portal konfiguriert (und Exchange Online wendet inzwischen automatisch eine Standard-DKIM-Signatur auf ausgehende Mail an, noch bevor Sie einen eigenen Selector einrichten). Die IONOS-CNAMEs s1-ionos/s2-ionos decken nur die eigenen Postfächer von IONOS ab.

• DNS-Einrichtung

  Wenn Ihre Nameserver von IONOS wegzeigen, ist das IONOS-DNS-Panel nicht maßgeblich und sein automatisch verwaltetes SPF/DKIM greift nicht — Sie müssen den include und die CNAMEs bei Ihrem tatsächlichen DNS-Host hinzufügen.

• DNS-Einrichtung

  Bei Cloudflare oder jedem proxyfähigen DNS stellen Sie die DKIM-CNAMEs auf DNS-only (graue Wolke). Ein proxied CNAME schreibt das Ziel um, und die DKIM-Verifizierung schlägt fehl.

• Abdeckung

  Geben Sie ihm Zeit: IONOS gibt an, dass die Propagation bis zu 48 Stunden dauern kann, und die Standard-TTL seiner Einträge beträgt eine Stunde. Ein Test, der unmittelbar nach dem Speichern fehlschlägt, ist meist nur die Propagation, kein defekter Eintrag.

Erstellen Sie Ihren SPF-Eintrag

IONOS ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.

IONOS SPF — FAQ

Weiterführende Lektüre

Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.