SPF, DKIM & DMARC für Microsoft 365 (GoDaddy / IONOS).
Microsoft 365 (Exchange Online) authentifiziert Ihre Domain mit einer Kombination, die Sie selbst zusammenstellen: einem gemeinsam genutzten SPF-include, das Sie zu Ihrem Root-Record hinzufügen, zwei DKIM-CNAME-Records, deren exakte Ziele Sie im Microsoft-Defender-Portal generieren, und einem DMARC-Policy-Record — allesamt veröffentlicht in demjenigen DNS-Panel, das Ihre Domain verwaltet, hier GoDaddy oder IONOS. Der Haken, über den die meisten M365-Tenants stolpern: Ihre kostenlose *.onmicrosoft.com-Domain wird automatisch mit DKIM signiert, Ihre eigene Custom-Domain (yourdomain.com) hingegen NICHT — Sie müssen deren DKIM-Signierung von Hand aktivieren, sonst stützt sich Ihre Marken-Mail allein auf SPF und scheitert an DMARC, sobald sie weitergeleitet wird. Diese Anleitung führt Sie den echten GoDaddy/IONOS-plus-M365-Weg von Anfang bis Ende: das SPF-include (und die GoDaddy-Reseller-Besonderheit), das Generieren der DKIM-CNAMEs in Defender, deren Veröffentlichung ohne Fehler beim Record-Typ und das Hinzufügen von DMARC.
Warum Microsoft 365 (GoDaddy / IONOS) authentifizieren?
Bei einer Microsoft-365-Domain ist Authentifizierung keine Kür — sie entscheidet zwischen Posteingang und Spam-Ordner. Seit Februar 2024 verlangen Gmail und Yahoo von Massenversendern (grob ab 5.000 Nachrichten pro Tag) das Bestehen von SPF, DKIM und DMARC samt Alignment, und Microsoft selbst begann im Mai 2025, dieselben Anforderungen auf Outlook.com und Hotmail für Versender mit hohem Volumen durchzusetzen — Mail, die nicht konform ist, wird gedrosselt oder direkt abgewiesen. M365 hat obendrein eine spezifische Falle: Microsoft signiert DKIM automatisch für Ihre onmicrosoft.com-Domain, weshalb Tenants annehmen, DKIM „funktioniere einfach“, und es für ihre eigentliche Marken-Domain nie aktivieren. Das tut es aber nicht. Bis Sie die beiden Selektor-CNAMEs veröffentlichen und den Signierungs-Schalter in Defender umlegen, trägt Ihre Custom-Domain-Mail keine auf yourdomain.com ausgerichtete DKIM-Signatur — sie besteht DMARC nur über SPF, und das bricht bei jeder Weiterleitung oder Mailingliste, weil sich der Return-Path ändert, die Signatur, die überstanden hätte, aber nie vorhanden war. Das Aktivieren von Custom-Domain-DKIM schließt diese Lücke: SPF und DKIM richten sich beide auf yourdomain.com aus, DMARC besteht zuverlässig, und die Reputation, die Sie aufbauen, kommt Ihrer Domain zugute.
Die SPF-Realität bei Microsoft 365 (GoDaddy / IONOS)
Microsoft 365 ist ein echter SPF-include-Anbieter: Sie fügen include:spf.protection.outlook.com zum einzigen Root-SPF-TXT-Record Ihrer Domain hinzu, und dieses eine include autorisiert jede ausgehende Exchange-Online-IP. Microsofts empfohlener Record ist v=spf1 include:spf.protection.outlook.com -all (ein Hard Fail; verwenden Sie ~all nur während des Testens). Dieses include löst sich zu einer flachen Liste von ip4/ip6-Bereichen ohne verschachtelte includes auf, kostet also exakt einen Ihrer zehn erlaubten SPF-DNS-Lookups — günstig und stabil. Zwei Anbieter-Eigenheiten sind bei GoDaddy und IONOS relevant. (1) Wenn Sie „Microsoft 365 von GoDaddy“ gekauft haben, schreiben GoDaddys eigene Einrichtung und dessen automatisch verwaltetes DNS stattdessen v=spf1 include:secureserver.net -all vor — aber secureserver.net ist in Wahrheit GoDaddys eigenes gemeinsames Mail-include, nicht Microsofts, sodass spf.protection.outlook.com das include ist, das Microsofts Server tatsächlich autorisiert, falls Ihr ausgehender Versand wirklich über Exchange Online läuft. Verwenden Sie das, was Ihre aktuellen GoDaddy-Anweisungen vorgeben, stapeln Sie nicht beide, und prüfen Sie, dass das beibehaltene include zu Microsofts Bereichen auflöst. Von IONOS weiterverkauftes M365 verwendet normalerweise weiterhin spf.protection.outlook.com. (2) Möglicherweise haben Sie bereits einen verirrten SPF-Record: GoDaddy parkt Domains mit einem Standard-SPF include:secureserver.net, und IONOS-Mail kann einen vorbelegen. Eine Domain darf genau EINEN SPF-Record haben — führen Sie das Microsoft-include in die bestehende v=spf1-Zeile zusammen, statt einen zweiten TXT zu veröffentlichen, sonst scheitert jede SPF-Prüfung als „permerror“.
Schritt für Schritt
- 1
Bestätigen, dass die Domain in M365 verifiziert ist, und Ihren Tenant-Prefix kennen
Stellen Sie im Microsoft-365-Admin-Center (admin.microsoft.com -> Einstellungen -> Domains) sicher, dass yourdomain.com hinzugefügt ist und Healthy/Verified anzeigt. Notieren Sie den onmicrosoft.com-Prefix Ihres Tenants (das „contoso“ in contoso.onmicrosoft.com) — er taucht in Ihren DKIM-Zielen auf. Sie benötigen Rechte als Globaler Administrator oder Sicherheitsadministrator, um DKIM in Defender zu aktivieren. Klären Sie außerdem vorab eine Frage: Haben Sie M365 direkt von Microsoft gekauft oder als „Microsoft 365 von GoDaddy“ / einen IONOS-verbundenen Plan? Das entscheidet, welches SPF-include Sie verwenden und ob Ihr DNS automatisch verwaltet wird.
- 2
Den GoDaddy- oder IONOS-DNS-Editor öffnen
GoDaddy: Melden Sie sich unter account.godaddy.com an, gehen Sie zu Domains, wählen Sie yourdomain.com und öffnen Sie dann Manage DNS (Domain Settings -> DNS). IONOS: Melden Sie sich an, öffnen Sie Menü -> Domains & SSL, suchen Sie die Domain, klicken Sie auf das Zahnrad/Aktionen-Steuerelement und wählen Sie DNS. Beide zeigen eine Tabelle bestehender Records mit einer Schaltfläche „Record hinzufügen“.
- 3
Den SPF-Record veröffentlichen oder zusammenführen
Fügen Sie einen TXT-Record mit Host/Name = @ (Root) und Wert v=spf1 include:spf.protection.outlook.com -all hinzu. Falls bereits ein SPF-Record existiert (ein beliebiger TXT, der mit v=spf1 beginnt), BEARBEITEN Sie ihn — fügen Sie include:spf.protection.outlook.com vor dem -all/~all ein — statt einen zweiten zu erstellen. Bei „Microsoft 365 von GoDaddy“ verwendet der Reseller-Ablauf include:secureserver.net; behalten Sie nur ein include, und falls Ihr echter ausgehender Versand über Exchange Online läuft, verwenden Sie spf.protection.outlook.com. Ein TTL von 1 Stunde ist in Ordnung.
- 4
Die MX- und Autodiscover-Records hinzufügen, damit Mail zu Exchange Online geroutet wird
Auf der Domain-Seite des Admin-Centers listet Microsoft die exakten DNS-Records auf, die Sie in Ihrem DNS-Panel hinzufügen müssen. Fügen Sie den MX hinzu (zeigt auf yourdomain-com.mail.protection.outlook.com, Priorität 0) sowie den CNAME autodiscover -> autodiscover.outlook.com. Diese regeln Empfang und Client-Einrichtung — SPF/DKIM/DMARC sind separat, aber eine echte M365-Postfach-Einrichtung braucht sie ebenfalls. Beachten Sie bei IONOS die MX-vs.-autodiscover-Einschränkung in den Stolperfallen unten.
- 5
Ihre zwei DKIM-CNAME-Ziele generieren
Gehen Sie zum Defender-Portal unter security.microsoft.com/authentication (Email & collaboration -> Policies & rules -> Threat policies -> Email authentication settings), öffnen Sie die Registerkarte DKIM und klicken Sie auf Ihre Custom-Domain. Versuchen Sie, ihren Schalter auf Enabled zu schieben (oder verwenden Sie „Create DKIM keys“ im Details-Flyout) — der erste Versuch wirft absichtlich einen Client-Error-/„CNAME record doesn't exist“-Dialog und generiert Ihr Schlüsselpaar. Öffnen Sie das Details-Flyout der Domain erneut: der Abschnitt Publish CNAMEs zeigt nun die beiden Host/Wert-Paare (Status = CnameMissing). Neue Domains verwenden das aktuelle Format, das auf ...<char>-v1.dkim.mail.microsoft endet; ältere Tenants zeigen möglicherweise das ...onmicrosoft.com-Format. Kopieren Sie beide exakt — oder führen Sie Get-DkimSigningConfig in Exchange Online PowerShell aus, um Selector1CNAME/Selector2CNAME auszulesen.
- 6
Die zwei DKIM-CNAME-Records veröffentlichen
Zurück bei GoDaddy/IONOS fügen Sie zwei CNAME-Records hinzu. Host/Name = selector1._domainkey und selector2._domainkey (nur der Selektor — GoDaddy und IONOS hängen yourdomain.com automatisch an, fügen Sie also nicht den vollständigen FQDN ein). „Points to“ = die beiden Ziele aus dem Defender-Flyout. Der Record-Typ MUSS CNAME sein, niemals TXT — dies ist der mit Abstand häufigste Fehler. Speichern Sie beide.
- 7
Die DKIM-Signierung aktivieren
Warten Sie ein paar Minuten, bis die CNAMEs auflösen (gelegentlich bis zu einigen Stunden), kehren Sie dann zum Flyout der Domain in der Defender-DKIM-Registerkarte zurück und schieben Sie „Sign messages for this domain with DKIM signatures“ auf Enabled. Bei Erfolg ändert sich der Status zu „Signing DKIM signatures for this domain“, und Rotate DKIM keys wird verfügbar. Falls ein Fehler auftritt, sind die CNAMEs nicht propagiert oder der Record-Typ/Host ist falsch — beheben Sie zuerst das DNS und versuchen Sie es dann erneut.
- 8
Ihren DMARC-Policy-Record hinzufügen
Fügen Sie einen TXT-Record mit Host/Name = _dmarc und Wert v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. Beginnen Sie mit p=none (reine Überwachung), damit nichts beeinträchtigt wird, während Sie bestätigen, dass M365-Mail ausgerichtetes SPF und DKIM besteht. Behalten Sie genau einen _dmarc-Record für die gesamte Domain.
- 9
Die Authentifizierung an einer echten Nachricht bestätigen
Senden Sie einen Test von einem Postfach auf yourdomain.com an eine Gmail-Adresse, öffnen Sie ihn und nutzen Sie Original anzeigen: Sie möchten SPF: PASS, DKIM: PASS und DMARC: PASS sehen, allesamt yourdomain.com aufführend (nicht onmicrosoft.com). Lassen Sie die Domain dann durch einen Prüfer laufen, um zu bestätigen, dass jeder Record auflöst und DKIM signiert.
Einzutragende Einträge
Microsoft 365 (GoDaddy / IONOS) erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 include:spf.protection.outlook.com -allNur ein SPF-Record — führen Sie ihn in eine bestehende v=spf1-Zeile zusammen. „Microsoft 365 von GoDaddy“ schreibt stattdessen include:secureserver.net vor; für echten ausgehenden Exchange-Online-Versand ist spf.protection.outlook.com das include, das Microsoft autorisiert. |
| MX | @ | yourdomain-com.mail.protection.outlook.comPriorität 0. Das exakte Token wird auf der Domain-Seite des M365-Admin-Centers angezeigt; routet eingehende Mail zu Exchange Online. |
| CNAME | autodiscover | autodiscover.outlook.comOutlook-/Mobile-Client-Auto-Einrichtung. Siehe die IONOS-MX-Koexistenz-Stolperfalle. |
| CNAME | selector1._domainkey | selector1-yourdomain-com._domainkey.contoso.a-v1.dkim.mail.microsoftBeispielhaft — kopieren Sie das exakte Ziel aus dem Defender-DKIM-Flyout (contoso = Ihr Tenant-Prefix, a = Microsofts zugewiesenes dynamisches Zeichen). Muss CNAME sein, nicht TXT. |
| CNAME | selector2._domainkey | selector2-yourdomain-com._domainkey.contoso.a-v1.dkim.mail.microsoftZweiter Selektor, erforderlich für die automatische Schlüsselrotation. Ältere Tenants zeigen stattdessen ein ...contoso.onmicrosoft.com-Ziel — verwenden Sie das, was das Portal anzeigt. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comBeginnen Sie mit p=none, verschärfen Sie später auf quarantine/reject. Ein _dmarc-Record pro Domain. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Microsoft 365 (GoDaddy / IONOS) von diesem Budget verbraucht.
Microsoft 365 (GoDaddy / IONOS) verbraucht 1 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
DKIM für eine Microsoft-365-Custom-Domain wird über zwei CNAME-Records ausgeliefert — selector1._domainkey und selector2._domainkey —, die auf von Microsoft gehostete öffentliche Schlüssel zeigen, sodass Sie nie einen rohen Schlüssel oder TXT-Record einfügen. Microsoft hält die privaten Schlüssel und nutzt die beiden Selektoren, um sie automatisch zu rotieren, sobald die Signierung aktiv ist. Die exakten Ziele sind für Ihren Tenant einzigartig, und Sie müssen sie aus dem Defender-Portal auslesen (security.microsoft.com/authentication -> Registerkarte DKIM -> Ihre Domain -> das Details-Flyout, Abschnitt Publish CNAMEs) oder aus Get-DkimSigningConfig in Exchange Online PowerShell. Custom-Domains, die seit etwa Mai 2025 hinzugefügt wurden, erhalten das aktuelle Zielformat selector1-yourdomain-com._domainkey.<tenantprefix>.<dynamicchar>-v1.dkim.mail.microsoft (das dynamische Zeichen, z. B. a/n/r, wird von Microsoft zugewiesen und ist nicht konfigurierbar); früher aktivierte Domains behalten das ältere Format selector1-yourdomain-com._domainkey.<tenantprefix>.onmicrosoft.com. Verwenden Sie das Format, das das Portal für IHRE Domain anzeigt — Microsoft akzeptiert beide, aber konvertieren Sie eines nicht von Hand in das andere und mischen Sie die Formate nicht über Ihre beiden Selektoren hinweg. Zwei harte Regeln bei GoDaddy/IONOS: die Records müssen vom Typ CNAME sein (nicht TXT — die häufigste Ursache für „DKIM lässt sich nicht aktivieren“), und Sie müssen sie veröffentlichen, BEVOR Sie den Signierungs-Schalter umlegen, sonst meldet Defender CnameMissing und verweigert die Signierung. Ihre onmicrosoft.com-Domain wird automatisch signiert und benötigt nichts davon — aber diese Signierung bewirkt nichts für Mail, die von Ihrer Marken-Domain versendet wird.
DMARC
DMARC ist ein einzelner TXT-Policy-Record unter _dmarc.yourdomain.com, unabhängig von SPF und DKIM, aber das Element, das sie zusammenbindet. Veröffentlichen Sie v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, um im reinen Überwachungsmodus zu starten — das ändert nichts an der Zustellung, während Sie bestätigen, dass M365-Mail SPF und DKIM besteht, beide ausgerichtet auf yourdomain.com. Exchange Online setzt den SMTP MAIL FROM (Return-Path) auf Ihre Domain und signiert, sobald Custom-Domain-DKIM aktiviert ist, mit d=yourdomain.com, sodass beide Authentifizierungsmethoden ausgerichtet sind und DMARC sauber besteht. Beobachten Sie die Aggregat-Berichte (rua) ein bis zwei Wochen lang, stellen Sie sicher, dass Microsoft als bestehende, ausgerichtete Quelle erscheint und kein legitimer Drittanbieter-Versender (ein CRM, ein Marketing-Tool) scheitert, und verschärfen Sie dann auf p=quarantine und schließlich p=reject. Behalten Sie genau einen _dmarc-Record, egal wie viele Dienste als Ihre Domain versenden — GoDaddy und IONOS lassen Sie bereitwillig ein Duplikat anlegen, und zwei _dmarc-Records sind eine ungültige Konfiguration.
Prüfen, ob es wirklich funktioniert hat
Vertrauen Sie nicht allein dem Defender-Abzeichen „Signing DKIM signatures for this domain“ — bestätigen Sie es an einer echten Nachricht. Senden Sie einen Test von einem Postfach auf yourdomain.com an ein Gmail-Konto, öffnen Sie ihn und wählen Sie das Drei-Punkte-Menü -> Original anzeigen: Sie möchten SPF: PASS, DKIM: PASS und DMARC: PASS sehen, wobei das d= der DKIM-Signatur yourdomain.com zeigt (nicht yourtenant.onmicrosoft.com). Für einen Klartext-Bericht können Sie auch an check-auth@verifier.port25.com senden und die Antwort lesen. Auf der DNS-Seite bestätigen Sie, dass beide Selektor-CNAMEs tatsächlich zu Microsoft-Zielen auflösen (dig/nslookup selector1._domainkey.yourdomain.com CNAME) — ein häufiger GoDaddy-Fehler ist, dass der Record stillschweigend als TXT gespeichert wurde, was zu nichts auflöst. Lassen Sie die Domain durch Qualisends SPF/DKIM/DMARC-Prüfer und Domain-Health-Check laufen, um zu bestätigen, dass SPF genau einen Record und einen Lookup für das Outlook-include hat, beide DKIM-Selektoren live sind und DMARC gültig ist. Sobald Aggregat-Berichte eintreffen, geben Sie einen in den DMARC-Berichtsanalysator — Microsoft sollte als ausgerichtete, bestehende Quelle erscheinen.
Häufige Stolperfallen
- DNS-Einrichtung
DKIM-Records müssen vom Typ CNAME sein, nicht TXT. GoDaddy und IONOS setzen das „Record hinzufügen“-Dropdown beide standardmäßig auf andere Typen, und ein als TXT gespeicherter Selektor löst zu nichts auf — dies ist der Grund Nummer eins für „DKIM lässt sich nicht aktivieren“ in Defender.
- DNS-Einrichtung
Veröffentlichen Sie die zwei Selektor-CNAMEs, BEVOR Sie den Defender-Signierungs-Schalter umlegen. Der erste Schalter-Versuch soll fehlschlagen (ein Client-Error-/„CNAME record doesn't exist“-Dialog) — er generiert lediglich die Schlüssel und zeigt Ihnen die CNAME-Werte. Wenn Sie aktivieren, bevor die CNAMEs auflösen, bleibt der Status CnameMissing und die Signierung schaltet sich nicht ein.
- Abdeckung
Custom-Domain-DKIM ist standardmäßig AUS. Microsoft signiert automatisch nur Ihre *.onmicrosoft.com-Domain, weshalb Tenants fälschlich annehmen, DKIM sei erledigt. Mail von yourdomain.com bleibt unsigniert — und bei Weiterleitungen DMARC-fragil —, bis Sie es aktivieren.
- Bricht die Authentifizierung
Eine Domain darf nur EINEN SPF-Record haben. GoDaddy parkt Domains mit einem Standard-SPF include:secureserver.net, und von IONOS weiterverkaufte Mail kann einen vorbelegen; das Hinzufügen eines zweiten v=spf1-TXT für Microsoft verursacht einen permerror. Führen Sie stattdessen include:spf.protection.outlook.com in die bestehende Zeile zusammen.
- Abdeckung
GoDaddy und IONOS hängen Ihre Domain automatisch an das Host/Name-Feld an. Geben Sie nur selector1._domainkey, @ oder _dmarc ein — niemals den vollständigen yourdomain.com-FQDN, sonst erstellen Sie selector1._domainkey.yourdomain.com.yourdomain.com.
- DNS-Einrichtung
IONOS lässt eine Domain nicht gleichzeitig einen MX-Record und einen Top-Level-autodiscover-CNAME halten — eine dokumentierte Exchange-Online-Einschränkung. Lassen Sie entweder den Root-autodiscover-CNAME weg oder erstellen Sie ihn gemäß IONOS' Umgehungslösung auf einer Subdomain; das betrifft SPF/DKIM/DMARC nicht.
- Abdeckung
Wenn Sie „Microsoft 365 von GoDaddy“ gekauft haben, ist Ihr DNS wahrscheinlich automatisch verwaltet, und GoDaddys vorgeschriebenes SPF-include ist dessen eigenes include:secureserver.net, nicht spf.protection.outlook.com — und manuelle Bearbeitungen können überschrieben werden. IONOS-verbundenes M365 kann Records ebenfalls automatisch schreiben. Prüfen Sie vor dem manuellen Bearbeiten, wer Ihre Zone kontrolliert, und bestätigen Sie, falls Ihr echter ausgehender Versand über Exchange Online läuft, dass das SPF-include Microsofts Server tatsächlich autorisiert.
- Abdeckung
Springen Sie nicht direkt zu DMARC p=reject. Beginnen Sie mit p=none, lesen Sie die Aggregat-Berichte, bis Microsoft und jeder legitime Versender als ausgerichtet/bestehend erscheinen, und steigern Sie dann auf quarantine und reject — sonst können Sie Ihre eigene Mail ins Leere routen.
Erstellen Sie Ihren SPF-Eintrag
Microsoft 365 (GoDaddy / IONOS) ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listMicrosoft 365 (GoDaddy / IONOS) SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.