SPF, DKIM & DMARC für Moosend.
Moosend authentifiziert Ihre Versanddomain über die Absender-Seite (Senders), nicht über einen Ein-Klick-Assistenten. Sie fügen eine Absenderadresse hinzu (oder wählen eine aus), öffnen Set up SPF, DKIM, und Moosend gibt Ihnen zwei TXT-Einträge zur Veröffentlichung — einen SPF-Eintrag (include:spfa.mailendo.com) und einen DKIM-Eintrag (am Selektor ms._domainkey) — sowie einen DMARC-Schritt. Sie veröffentlichen sie bei Ihrem DNS-Anbieter, klicken auf Verify DNS records, und grüne Häkchen bestätigen, dass Moosend Kampagnen unter Ihrer eigenen Domain versenden kann statt unter einer geteilten Moosend-Adresse. Es gibt hier zwar einen echten geteilten SPF-include, doch DKIM ist der Eintrag, der Ihren DMARC-Pass tatsächlich verdient.
Warum Moosend authentifizieren?
Eine Moosend-Domain zu authentifizieren entscheidet über Posteingang oder Spam-Ordner, und als Marketing-ESP sind Sie mit ziemlicher Sicherheit genau der Absendertyp, für den diese Regeln geschrieben wurden. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob ab 5.000 Nachrichten pro Tag), SPF, DKIM und DMARC mit Ausrichtung (Alignment) zu bestehen, und Microsoft hat 2025 begonnen, dasselbe für volumenstarke Mail an Outlook.com/Hotmail/Live durchzusetzen — und ein Moosend-Newsletter-Versand ist genau diese Art von Massenversand. Bis Sie authentifizieren, versendet Moosend über die eigene Infrastruktur (die Versandplattform läuft auf der Domain mailendo.com): Empfänger können erkennen, dass die Mail kryptografisch nicht von Ihnen stammt, Ihre From-Adresse richtet sich nicht aus, DMARC kann nicht bestehen, und Ihre Versandreputation wird mit jedem anderen nicht authentifizierten Moosend-Absender in einen Topf geworfen. Das Veröffentlichen des SPF-include und des ms._domainkey DKIM-Schlüssels behebt all das — DKIM signiert unter Ihrer eigenen Domain, DMARC besteht über die Ausrichtung, und die Reputation, die Sie aufbauen, kommt Ihrer Domain zugute statt dem geteilten Pool.
Die SPF-Realität bei Moosend
Moosend ist ein echter "include"-Anbieter: include:spfa.mailendo.com ist ein echter geteilter Mechanismus (mailendo.com ist Moosends eigene Versandinfrastruktur), den Sie in den einen SPF-TXT-Eintrag auf Ihrer Root-Domain einbinden — der Eintrag, den Moosend Ihnen gibt, lautet v=spf1 include:spfa.mailendo.com ~all. Gegen Live-DNS verifiziert: spfa.mailendo.com löst zu einem flachen Eintrag auf, der nur ip4:-Bereiche und ein eigenes ~all enthält, ohne verschachtelte includes, und kostet damit genau EINEN Ihrer 10 SPF-DNS-Lookups — nicht zwei oder drei, wie manche älteren Anleitungen annehmen. Es gibt allerdings eine Feinheit bei der Ausrichtung, die es zu verstehen lohnt. Wie die meisten Marketing-ESPs verarbeitet Moosend Bounces über den eigenen Return-Path (mailendo.com), sodass die SPF-Prüfung oft gegen Moosends Envelope-Domain statt gegen Ihre From-Domain läuft. Das bedeutet, dass der include einen rohen SPF-Pass erzeugen kann, ohne sich für DMARC tatsächlich an Ihrer organisatorischen Domain AUSZURICHTEN — was genau der Grund ist, warum der DKIM-Eintrag (der ms._domainkey TXT) ebenso wichtig ist: DKIM signiert als d=yourdomain.com ist der Mechanismus, der Ihren DMARC-Pass zuverlässig trägt. Veröffentlichen Sie den SPF-include trotzdem — er gehört zu Moosends erforderlicher Zwei-Eintrags-Einrichtung, und Moosends Prüftool kontrolliert, dass er auflöst — behandeln Sie DKIM aber als den Eintrag, der die DMARC-Arbeit leistet. Und behalten Sie genau einen SPF-Eintrag auf Ihrer Domain: binden Sie include:spfa.mailendo.com in Ihre bestehende v=spf1-Zeile ein, statt einen zweiten SPF-TXT hinzuzufügen, denn zwei SPF-Einträge sind selbst schon ein PermError.
Schritt für Schritt
- 1
Öffnen Sie die Senders-Seite
Klicken Sie in der oberen Menüleiste auf More → Settings, dann im linken Menü auf Senders. Diese eine Seite verwaltet sowohl das Hinzufügen von Absenderadressen als auch das Authentifizieren ihrer Domains — SPF, DKIM und DMARC sind alle von hier aus erreichbar.
- 2
Absenderadresse hinzufügen oder auswählen
Falls die From-Adresse, von der Sie Kampagnen versenden werden, nicht aufgeführt ist, klicken Sie auf Add new und speichern Sie sie (z. B. news@yourdomain.com). Moosend authentifiziert pro Absender/Domain, sodass die Adresse, von der Sie tatsächlich versenden, hier existieren muss, bevor Sie das DNS einrichten.
- 3
Öffnen Sie Set up SPF, DKIM
Klicken Sie neben Ihrem Absender auf Set up SPF, DKIM (in manchen Konten als Set up DNS angezeigt). Moosend zeigt zwei TXT-Einträge an — einen für SPF und einen für DKIM — jeweils mit einem Name/Host und einem Value, sowie einen DMARC-Schritt. Lassen Sie diesen Bildschirm offen; Sie werden daraus kopieren.
- 4
Kopieren Sie den DKIM-Wert sorgfältig
Klicken Sie auf den DKIM-Eintrag, um ihn anzuzeigen. Der Host ist ms._domainkey, und der Wert, den Moosend anzeigt, beginnt oft bei k=rsa; p=<langer öffentlicher Schlüssel>. Kopieren Sie den gesamten p=-Schlüssel als eine ununterbrochene Zeichenkette und stellen Sie dann v=DKIM1; voran, sodass der veröffentlichte Wert v=DKIM1; k=rsa; p=… lautet — die vom RFC empfohlene Form. Ein Schlüssel, der abgeschnitten oder über Zeilen aufgeteilt wird, ist der häufigste Grund, warum ein DKIM-Eintrag nicht validiert.
- 5
SPF-Eintrag veröffentlichen oder einbinden
Fügen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag auf der Root (Host @ oder leer) mit v=spf1 include:spfa.mailendo.com ~all hinzu. Falls bereits ein SPF-Eintrag existiert (Google Workspace, Microsoft 365, ein anderes Tool), erstellen Sie keinen zweiten — binden Sie include:spfa.mailendo.com in diese eine v=spf1-Zeile ein. spfa.mailendo.com (mailendo ist Moosends Versandinfrastruktur) ist korrekt, kein Tippfehler.
- 6
DKIM-TXT-Eintrag veröffentlichen
Fügen Sie einen TXT-Eintrag mit Host ms._domainkey und Wert v=DKIM1; k=rsa; p=<der Schlüssel, den Moosend Ihnen gegeben hat> hinzu. Behalten Sie den Typ als TXT — Moosends DKIM ist ein statischer Schlüssel, kein delegierter CNAME. Für einen Subdomain-Absender ist der Host ms._domainkey.subdomain.
- 7
DMARC-Eintrag hinzufügen
Moosend zeigt einen DMARC-Schritt an, erstellt den Eintrag aber nicht für Sie. Fügen Sie einen TXT-Eintrag am Host _dmarc mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. p=none ist reiner Überwachungsmodus, sodass sich an der Zustellung nichts ändert, während Sie die Ausrichtung bestätigen. Überspringen Sie dies, falls Sie bereits einen _dmarc-Eintrag haben — eine Domain darf genau einen haben.
- 8
In Moosend verifizieren
Klicken Sie zurück auf der Senders-Seite auf Verify DNS records. Grüne Häkchen erscheinen neben SPF und DKIM, sobald sie auflösen. Die Verbreitung dauert üblicherweise 30 Minuten, kann aber bis zu 48 Stunden dauern; falls eine Prüfung nicht sofort greift, warten Sie und führen Sie sie erneut aus.
- 9
An einer echten Nachricht bestätigen
Senden Sie einen Test an eine Gmail-Adresse, öffnen Sie ihn und wählen Sie ⋮ → Show original. Sie möchten SPF: PASS, DKIM: PASS mit d=yourdomain.com (Selektor ms) und DMARC: PASS sehen — die DKIM-Domain, die yourdomain.com zeigt, ist Ihr ausgerichteter Pass, nicht der Moosend/mailendo-Host.
Einzutragende Einträge
Moosend erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 include:spfa.mailendo.com ~allRoot-SPF — behalten Sie genau EINEN SPF-Eintrag; binden Sie include:spfa.mailendo.com in Ihre bestehende v=spf1-Zeile ein, falls Sie bereits eine haben. Kostet 1 Ihrer 10 DNS-Lookups (verifiziert flacher, nur-ip4-Eintrag). |
| TXT | ms._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ…(public key from Moosend)Beispielhaft — kopieren Sie den exakten Schlüssel aus Set up SPF, DKIM in Ihrem Moosend-Konto. Moosend zeigt den Wert üblicherweise beginnend bei k=rsa; p=…; stellen Sie v=DKIM1; für die vom RFC empfohlene Form voran und fügen Sie den vollständigen p=-Schlüssel ohne zusätzliche Leerzeichen oder Zeilenumbrüche ein. TXT, nicht CNAME. Subdomain-Absender verwenden ms._domainkey.subdomain. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDiesen fügen Sie selbst hinzu — Moosend erstellt ihn nie. Einer pro Domain; beginnen Sie bei p=none, verschärfen Sie dann auf quarantine/reject. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Moosend von diesem Budget verbraucht.
Moosend verbraucht 1 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
DKIM ist bei Moosend ein statischer TXT-Eintrag, den Sie am Selektor ms._domainkey veröffentlichen — Host ms._domainkey.yourdomain.com — kein an Moosend delegierter CNAME. Wenn Sie auf der Senders-Seite Set up SPF, DKIM öffnen, zeigt Moosend den Namen des Eintrags und einen Wert, der typischerweise mit k=rsa; p=<langer öffentlicher Schlüssel> beginnt. Zwei Moosend-spezifische Details bringen Leute zu Fall. Erstens: Veröffentlichen Sie den Wert mit einem vorangestellten v=DKIM1;-Tag, sodass der finale Eintrag v=DKIM1; k=rsa; p=<Schlüssel> lautet. Das Weglassen von v= ist technisch zulässig — RFC 6376 behandelt eine fehlende Version als Standard DKIM1, und Gmail, Yahoo und Microsoft bestehen die Signatur trotzdem — doch das Voranstellen von v=DKIM1; ist die vom RFC empfohlene Form und verhindert, dass strengere Prüftools und manche DNS-Panels den Eintrag beanstanden. Wenn ein exakt kopierter Schlüssel dennoch nicht validiert, ist der häufigere Übeltäter der lange p=-Wert selbst: ein DNS-Panel, das ihn abschneidet oder ein Leerzeichen oder einen Zeilenumbruch einfügt, zerstört den Schlüssel — fügen Sie ihn daher als eine ununterbrochene Zeichenkette ein. Zweitens: Weil dies ein TXT-Schlüssel ist, den Sie einfügen (kein von Moosend kontrollierter CNAME), hält Moosend zwar den passenden privaten Schlüssel, es gibt aber keine automatische Schlüsselrotation — falls Sie den Schlüssel je rotieren, kopieren Sie den neuen Wert selbst erneut ins DNS. Sobald der Eintrag auflöst, signiert Moosend Ihre ausgehenden Kampagnen mit d=yourdomain.com, sodass DKIM sich an Ihrer Domain ausrichtet und Ihren DMARC-Pass trägt. Wenn Ihre From-Adresse eine Subdomain verwendet, wird der Host zu ms._domainkey.subdomain.yourdomain.com, und diese Subdomain braucht ebenfalls ein eigenes SPF.
DMARC
DMARC ist ein separater Richtlinien-Eintrag, den Sie selbst veröffentlichen — Moosend zeigt im Bildschirm Set up SPF, DKIM zwar einen DMARC-Schritt an, erstellt den Eintrag aber nicht für Sie. Fügen Sie einen TXT-Eintrag bei _dmarc.yourdomain.com hinzu, der mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com beginnt. p=none ist reiner Überwachungsmodus: Es ändert nichts an der Zustellung, bittet Empfänger aber, Ihnen aggregierte (rua) Berichte zu mailen, damit Sie bestätigen können, dass Moosend-Mail DKIM ausgerichtet an Ihrer Domain besteht (und SPF, wo es sich ausrichtet). Beobachten Sie diese Berichte ein oder zwei Wochen, stellen Sie sicher, dass jeder legitime Absender — Moosend plus alle anderen Tools — authentifiziert, und verschärfen Sie dann die Richtlinie auf p=quarantine und schließlich p=reject, sobald die Ausrichtung durchgängig ist. Behalten Sie genau einen _dmarc-Eintrag für die gesamte Domain, egal wie viele Absender Sie nutzen; Moosend selbst weist darauf hin, dass Sie den DMARC-Schritt überspringen können, wenn Sie bereits einen DMARC-Eintrag haben, da eine Domain nur einen haben kann. Weil Moosends Return-Path bedeutet, dass SPF sich möglicherweise nicht ausrichtet, stützt sich DMARC hier auf ausgerichtetes DKIM — ein weiterer Grund, warum der ms._domainkey-Eintrag nicht optional ist.
Prüfen, ob es wirklich funktioniert hat
Die Verifizierung von Moosend geschieht auf zwei Ebenen. In Moosend: Kehren Sie nach dem Veröffentlichen zur Senders-Seite zurück und klicken Sie auf Verify DNS records — grüne Häkchen neben SPF und DKIM bedeuten, dass die Einträge auflösen. Die Verbreitung dauert üblicherweise 30 Minuten, kann aber bis zu 48 Stunden dauern, und Moosend lässt Sie die Prüfung erneut ausführen, falls sie nicht sofort greift. Doch die Häkchen im Dashboard bestätigen nur, dass die Einträge existieren, nicht, dass Mail sich ausrichtet — bestätigen Sie es daher an einer echten Nachricht: Senden Sie eine Testkampagne oder Test-E-Mail an eine Gmail-Adresse, öffnen Sie sie und wählen Sie ⋮ → Show original. Sie möchten SPF: PASS, DKIM: PASS mit d=yourdomain.com und Selektor ms (nicht dem mailendo-Host) sowie DMARC: PASS sehen. Lassen Sie dann Ihre Domain durch die Domain-Gesundheitsprüfung von Qualisend laufen, um zu bestätigen, dass der SPF, der ms._domainkey DKIM-Eintrag und Ihr DMARC-Eintrag alle sauber auflösen und Ihr SPF unter dem 10-Lookup-Limit bleibt — und sobald DMARC-Aggregatberichte eintreffen, geben Sie einen davon in den DMARC-Bericht-Analyzer ein: Moosend/mailendo sollte als ausgerichtete, bestehende Quelle erscheinen. Eine Moosend-Eigenart, die man kennen sollte: Das Bearbeiten des DNS dieser Domain nach der Verifizierung kann ihre Absender auf nicht verifiziert zurückstufen, und Moosend prüft verifizierte Absender periodisch erneut — falls ein Absender also auf nicht verifiziert umspringt, klicken Sie einfach erneut auf Verify DNS records.
Häufige Stolperfallen
- DNS-Einrichtung
Veröffentlichen Sie den DKIM-Wert mit einem v=DKIM1;-Tag. Moosend zeigt den Schlüssel oft beginnend bei k=rsa; p=… ohne Versions-Tag an — veröffentlichen Sie ihn als v=DKIM1; k=rsa; p=… . Das Weglassen von v= ist technisch zulässig (RFC 6376 setzt es standardmäßig auf DKIM1, und Gmail/Yahoo/Microsoft bestehen ihn), doch der Tag ist die empfohlene Form und vermeidet Warnungen von strengeren Prüftools. Ebenso wichtig: Fügen Sie den langen p=-Schlüssel als eine ununterbrochene Zeichenkette ein — ein abgeschnittener oder durch Leerzeichen unterbrochener Schlüssel ist der häufigste Grund, warum ein Moosend-DKIM-Eintrag nicht validiert.
- Abdeckung
spfa.mailendo.com ist korrekt, kein Tippfehler. Moosends Versandplattform läuft auf der Domain mailendo.com, sodass der include wirklich include:spfa.mailendo.com lautet — 'korrigieren' Sie ihn nicht zu einem moosend.com-Host.
- Abdeckung
SPF kann bestehen, ohne sich auszurichten. Moosend besitzt die Return-Path-/Bounce-Domain, sodass der include einen rohen SPF-Pass erzeugen kann, der sich für DMARC nicht an Ihrer From-Domain ausrichtet. DKIM (ms._domainkey) ist es, was den ausgerichteten Pass trägt — überspringen Sie es niemals.
- Bricht die Authentifizierung
Behalten Sie genau EINEN SPF-TXT-Eintrag. Falls Sie bereits über Google Workspace, Microsoft 365, einen anderen ESP usw. versenden, binden Sie include:spfa.mailendo.com in diese eine v=spf1-Zeile ein — zwei SPF-Einträge sind ein PermError.
- DNS-Einrichtung
Beide Moosend-Einträge sind TXT, nicht CNAME. Es gibt keinen CNAME zum Delegieren und keine automatische Schlüsselrotation — Moosends DKIM ist ein statischer Schlüssel, den Sie einfügen, sodass Sie, falls Sie ihn je rotieren, den neuen Wert selbst erneut kopieren.
- Abdeckung
Das Bearbeiten des DNS nach der Verifizierung kann die Absender einer Domain de-verifizieren. Gehen Sie nach jeder DNS-Änderung zurück zur Senders-Seite und klicken Sie erneut auf Verify DNS records; Moosend prüft verifizierte Absender außerdem periodisch erneut.
- Abdeckung
Fügen Sie die Absenderadresse zuerst hinzu und wählen Sie sie aus. Moosend authentifiziert pro Absender/Domain auf der Senders-Seite — es gibt keinen kontoweiten Schalter, sodass die From-Adresse, von der Sie tatsächlich versenden, dort existieren muss, bevor der DNS-Einrichtungsbildschirm erscheint.
- Abdeckung
Subdomain-Absender brauchen eigene Einträge. Wenn Ihre From-Adresse eine Subdomain verwendet, ist der DKIM-Host ms._domainkey.subdomain, und diese Subdomain braucht ein eigenes SPF — der SPF-Eintrag Ihrer Root-Domain deckt sie nicht ab.
Erstellen Sie Ihren SPF-Eintrag
Moosend ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listMoosend SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.