SPF, DKIM & DMARC für SiteGround.
Anders als ein reiner Registrar versucht SiteGround, den Großteil davon für Sie zu erledigen: Wenn Ihre Domain die Nameserver von SiteGround und den E-Mail-Dienst von SiteGround nutzt, werden SPF, DKIM und DMARC allesamt automatisch erstellt, sobald die Website bereitgestellt wird. Die Aufgabe bei SiteGround besteht also weniger darin, „drei Einträge von Grund auf hinzuzufügen“, als vielmehr darin, „zu wissen, wo SiteGround sie bereits abgelegt hat, zu bestätigen, dass sie aktiv sind, und alle weiteren Dienste einzubinden, über die Sie versenden.“ Der Haken: SiteGround verteilt die Steuerung auf zwei Orte und zwei Oberflächen: SPF und DKIM befinden sich in einem eigenen Tool unter Email > Authentication innerhalb von Site Tools, während DMARC ausschließlich als reiner TXT-Eintrag existiert, den Sie im DNS Zone Editor bearbeiten. Diese Anleitung führt Sie durch beide Wege — mit den exakten Menüpfaden, den Standard-Eintragsformen, die SiteGround ausliefert, und der einen Voraussetzung, von der alles abhängt: dass SiteGround tatsächlich Ihr DNS verwaltet.
Warum SiteGround authentifizieren?
Authentifizierung ist heute die Eintrittskarte zum Posteingang, kein netter Zusatz mehr. Nach den Absenderanforderungen von Google und Yahoo braucht jeder Absender mindestens SPF oder DKIM, ausgerichtet auf die From-Domain, und Massenversender (mehr als 5.000 Nachrichten pro Tag an Gmail) müssen SPF, DKIM und eine DMARC-Richtlinie haben. Da SiteGround eine riesige Zahl von WordPress-Websites hostet, versenden seine Server viel transaktionale Post — Bestellbestätigungen, Passwort-Zurücksetzungen, Antworten aus Kontaktformularen — als Ihre Domain. Ohne diese Einträge lässt sich diese Post leicht fälschen und landet schnell im Spam, und sobald Ihre Domain sich einen Ruf für nicht authentifizierte Post erworben hat, zieht das alles herunter, was Sie versenden — auch Ihre persönlichen Antworten.
Die SPF-Realität bei SiteGround
SiteGround veröffentlicht automatisch einen SPF-Eintrag für Sie. Seine Standardform lautet `v=spf1 +a +mx include:_spf.mailspamprotection.com ~all`. Jeder Bestandteil ist von Bedeutung: `include:_spf.mailspamprotection.com` autorisiert das ausgehende Mail-Relay von SiteGround (mailspamprotection.com ist die Mail-Filterplattform von SiteGround, die auf eine Handvoll ip4-Bereiche ohne verschachtelte includes auflöst — ein einziger DNS-Lookup), während `+a +mx` die eigene IP und die MX-Einträge Ihres Hosting-Kontos autorisieren, damit auch Post, die der Server selbst erzeugt — WordPress-Benachrichtigungen, PHP mail(), Kontaktformulare — durchkommt. Behalten Sie das Lookup-Budget im Auge: Dieser Standardeintrag verbraucht bereits drei Ihrer zehn SPF-Lookups (je einen für `+a`, `+mx` und den include), bevor Sie irgendjemanden hinzufügen. Wenn SiteGround Ihre gesamte Post versendet, lassen Sie diesen Eintrag unangetastet. Sobald Sie einen weiteren Absender hinzufügen — Google Workspace, Microsoft 365, einen ESP wie SendGrid oder Brevo oder das eigene Email-Marketing-Produkt von SiteGround — muss dessen `include:` in genau diesen einen Eintrag eingebunden werden, niemals als zweiter SPF-TXT veröffentlicht. Und falls Sie Ihren MX zu Google oder Microsoft verlegt haben und gar nicht mehr über SiteGround versenden, autorisiert `+a +mx include:_spf.mailspamprotection.com` möglicherweise Server, die Sie nicht nutzen — das lohnt sich zu kürzen. Der include selbst ist der empfohlene Weg für über SiteGround versendete Post, behalten Sie ihn also, sofern Sie den Versand über SiteGround nicht wirklich eingestellt haben.
Schritt für Schritt
- 1
Bestätigen Sie, dass SiteGround tatsächlich Ihr DNS verwaltet
Jeder automatisch erstellte Eintrag und jeder Schalter im Authentication-Tool erreicht Ihr Live-DNS nur, wenn die Domain die Nameserver von SiteGround oder das von SiteGround verwaltete DNS nutzt. Zeigen Ihre Nameserver auf Cloudflare, Ihren Registrar oder einen anderen Host, dann liegt die autoritative Zone dort und nichts in Site Tools wird wirksam — Sie müssten SPF, DKIM und DMARC stattdessen im Editor dieses Anbieters neu anlegen. Prüfen Sie die Nameserver vor allem anderen; das ist der mit Abstand häufigste Grund, warum SiteGround-Einträge „nicht funktionieren“.
- 2
Öffnen Sie das Email-Authentication-Tool
Dies ist das speziell für SPF und DKIM entwickelte Panel von SiteGround, dargestellt als zwei Tabs. Wenn Ihre Domain das DNS und die Postfächer von SiteGround nutzt, sind beide standardmäßig bereits eingeschaltet, sodass dieses Tool hauptsächlich der Statusprüfung und Anpassung dient. Beachten Sie, was hier NICHT ist: DMARC. Es gibt keinen DMARC-Schalter im Authentication-Tool — dieser Eintrag wird separat im DNS Zone Editor bearbeitet.
- 3
Prüfen Sie den Standard-SPF-Eintrag
SiteGround liefert `v=spf1 +a +mx include:_spf.mailspamprotection.com ~all` aus. Der SPF-Tab lässt Sie zusätzliche A-Einträge und MX-Server zum Autorisieren hinzufügen, bestimmte IP-Adressen blockieren, die include-Liste verwalten und den abschließenden „all“-Qualifier anpassen. Lassen Sie den Eintrag unverändert, wenn SiteGround Ihre gesamte Post versendet. Das `~all` ist ein Softfail (annehmen, aber markieren) — der sichere Standard, bis jeder legitime Absender aufgeführt ist.
- 4
Binden Sie alle weiteren Versanddienste in diesen einen SPF-Eintrag ein
Wenn Sie zusätzlich über Google Workspace (`include:_spf.google.com`), Microsoft 365, einen ESP oder SiteGround Email Marketing versenden, muss jeder include in diesen einen Eintrag eingebunden werden — eine Domain darf nur einen SPF-TXT veröffentlichen, und ein zweiter macht SPF vollständig kaputt. Fügen Sie includes über die include-Liste des Authentication-Tools hinzu oder bearbeiten Sie den SPF-TXT direkt im DNS Zone Editor. Lassen Sie den SPF-Eintragsgenerator eine gültige Zeichenkette zusammensetzen, damit die includes und der Qualifier korrekt geordnet sind, und behalten Sie das Zehn-Lookup-Limit im Blick, während Sie Absender hinzufügen.
- 5
Bestätigen Sie, dass DKIM aktiv ist
SiteGround erzeugt automatisch ein DKIM-Schlüsselpaar und veröffentlicht den öffentlichen Schlüssel unter dem Selektor `default` (Host `default._domainkey`), mit einem Wert der Form `v=DKIM1; k=rsa; p=…`. Der DKIM-Tab zeigt ACTIVE oder INACTIVE an. Ist er inaktiv, klicken Sie auf ACTIVATE, und SiteGround schreibt den Eintrag für Sie in die Zone — Sie erzeugen oder fügen niemals einen Schlüssel ein. Um den Schlüssel zu rotieren, Deactivate und dann Activate. Denken Sie daran: Dieser Schlüssel signiert nur Post, die SiteGround selbst versendet.
- 6
Suchen und bearbeiten Sie den automatisch erstellten DMARC-Eintrag
Als die Website erstellt wurde, fügte SiteGround einen einfachen DMARC-Eintrag bei `_dmarc` hinzu, beginnend mit `v=DMARC1; p=none;`. Öffnen Sie den DNS Zone Editor, suchen Sie den TXT-Eintrag, dessen Wert mit `v=DMARC1` beginnt, klicken Sie auf das Stiftsymbol und bearbeiten Sie den Wert, um Ihre eigene Reporting-Adresse hinzuzufügen — z. B. `v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com` — und bestätigen Sie dann. Belassen Sie die Richtlinie bei `p=none`, damit Sie Berichte sammeln, ohne die Zustellung zu beeinträchtigen. Bauen Sie den Wert mit dem DMARC-Eintragsgenerator, wenn Sie die Tags korrekt formatiert haben möchten.
- 7
Fügen Sie das DKIM externer Anbieter unter deren eigenen Selektoren hinzu
Der `default`-Selektor von SiteGround deckt nur über SiteGround versendete Post ab. Google Workspace, ein ESP oder Email Marketing geben Ihnen jeweils einen anderen Selektor — `google._domainkey`, `s1._domainkey` oder ein von ihnen gehostetes CNAME-Ziel. Veröffentlichen Sie diese genau wie angegeben als zusätzliche Einträge im DNS Zone Editor. Mehrere DKIM-Selektoren nebeneinander sind normal und korrekt, weil jeder unter seinem eigenen Host liegt.
- 8
Überprüfen Sie, dass alles auflöst
Geben Sie dem DNS einige Minuten bis ein paar Stunden zur Propagierung und lassen Sie dann Ihre Domain — und den DKIM-Selektor `default` — durch einen externen Checker laufen. Bestätigen Sie genau einen SPF-Eintrag, DKIM unter `default._domainkey` und einen einzigen `_dmarc`-Eintrag. Die Tabelle Manage DNS Records des DNS Zone Editor ist Ihre maßgebliche Quelle dafür, was SiteGround tatsächlich veröffentlicht.
Einzutragende Einträge
SiteGround erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | v=spf1 +a +mx include:_spf.mailspamprotection.com ~allDer automatisch erstellte Standard-SPF-Eintrag von SiteGround. Binden Sie den include jedes weiteren Absenders in DIESEN einen Eintrag ein — veröffentlichen Sie niemals einen zweiten SPF-TXT. Der Wert ist exakt für über SiteGround versendete Post; +a, +mx und der include kosten je einen DNS-Lookup (insgesamt drei). |
| TXT | default._domainkey | v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC… (illustrative public key)Automatisch von SiteGround unter dem Selektor „default“ erzeugt. Sie fügen dies niemals selbst ein — es wird erstellt, sobald DKIM aktiv ist. Der angezeigte Schlüssel ist beispielhaft; Ihrer wird abweichen. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comSiteGround erstellt automatisch einen minimalen p=none-Eintrag; bearbeiten Sie ihn im DNS Zone Editor, um Ihre eigene rua-Reporting-Adresse hinzuzufügen. Beispielhafter Wert — behalten Sie p=none bei, bis die Berichte sauber sind. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von SiteGround von diesem Budget verbraucht.
SiteGround verbraucht 1 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
DKIM bei SiteGround ist vollständig automatisch und erfordert nicht, dass Sie einen Schlüssel einfügen. Wenn Ihre Domain die Nameserver und den E-Mail-Dienst von SiteGround nutzt, erzeugt SiteGround ein RSA-Schlüsselpaar, hält den privaten Schlüssel auf seinen Mailservern und veröffentlicht den öffentlichen Schlüssel unter dem festen Selektor `default` — der Eintrags-Host lautet also `default._domainkey` und der Wert hat die Form `v=DKIM1; k=rsa; p=<public key>`. Sie verwalten ihn vollständig über Site Tools > Email > Authentication > DKIM, wo der Status ACTIVE oder INACTIVE lautet; ein Klick auf ACTIVATE schreibt den Eintrag in Ihre Zone, und um den Schlüssel zu rotieren, deaktivieren Sie ihn (Deactivate) und aktivieren ihn dann erneut (Activate). Die wichtige Einschränkung: Dieser Schlüssel signiert nur Post, die SiteGround versendet. Jede Post, die Sie über Google Workspace, Microsoft 365 oder einen ESP versenden, wird mit dem eigenen Selektor dieses Anbieters signiert und benötigt einen separat veröffentlichten DKIM-Eintrag dieses Anbieters — der `default`-Selektor von SiteGround deckt sie nicht ab.
DMARC
DMARC ist die Richtlinienebene, die SPF und DKIM an die sichtbare From-Adresse bindet und das Reporting einschaltet. SiteGround erstellt einen einfachen DMARC-Eintrag für Sie bei `_dmarc`, sobald die Website bereitgestellt wird, beginnend mit `v=DMARC1; p=none;`. Anders als SPF und DKIM befindet er sich NICHT im Authentication-Tool — Sie bearbeiten ihn als reinen TXT-Eintrag im DNS Zone Editor (Site Tools > Domain > DNS Zone Editor oder Client Area > Services > Domains > Settings). Suchen Sie den TXT, der mit `v=DMARC1` beginnt, klicken Sie auf das Stiftsymbol und fügen Sie Ihre eigene Reporting-Adresse hinzu, damit die aggregierten Berichte in einem Postfach ankommen, das Sie lesen: `v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com`. Behalten Sie `p=none` bei, während Sie beobachten — es ändert nichts an der Zustellung, es schaltet lediglich die täglichen Berichte ein. Erst nachdem die Berichte bestätigt haben, dass jeder legitime Datenstrom SPF oder DKIM in Ausrichtung besteht, sollten Sie auf `p=quarantine` und anschließend `p=reject` hochstufen.
Prüfen, ob es wirklich funktioniert hat
Warten Sie einige Minuten bis ein paar Stunden auf die Propagierung und bestätigen Sie dann alle drei von außerhalb SiteGrounds mit dem SPF-, DKIM- und DMARC-Checker — geben Sie Ihre Domain und den DKIM-Selektor `default` ein. Sie prüfen auf genau einen SPF-Eintrag (nicht zwei), einen DKIM-Schlüssel unter `default._domainkey` und einen einzigen `_dmarc`-TXT. Der eigene DNS Zone Editor von SiteGround (die Tabelle Manage DNS Records) ist die maßgebliche Quelle dafür, was die Zone tatsächlich veröffentlicht — gleichen Sie also dort ab, falls ein Lookup abweicht. Fehlt ein Eintrag, prüfen Sie in dieser Reihenfolge erneut: ob die Nameserver von SiteGround tatsächlich diejenigen sind, die die Domain bedienen, ob Sie den DMARC-Eintrag im DNS Zone Editor bearbeitet haben, statt ihn im Authentication-Tool zu suchen, und ob das DKIM eines externen Anbieters unter dessen eigenem Selektor veröffentlicht wurde.
Häufige Stolperfallen
- Abdeckung
Das ganze System hängt davon ab, dass SiteGround Ihr DNS verwaltet. Zeigen Ihre Nameserver auf Cloudflare, Ihren Registrar oder einen anderen Host, tun die automatisch erstellten Einträge und jeder Schalter im Authentication-Tool nichts — Sie müssen SPF, DKIM und DMARC im DNS-Editor dieses Anbieters neu anlegen. Bestätigen Sie die Nameserver, bevor Sie irgendetwas anderes untersuchen.
- DNS-Einrichtung
SPF und DKIM befinden sich unter Site Tools > Email > Authentication, DMARC aber nur im DNS Zone Editor. Man sucht einen DMARC-Schalter im Authentication-Tool, findet keinen und nimmt an, DMARC fehle — dabei ist er bereits als TXT-Eintrag vorhanden, beginnend mit v=DMARC1.
- Abdeckung
Das Standard-DKIM von SiteGround (Selektor „default“) signiert nur Post, die SiteGround versendet. Post von Google Workspace, Microsoft 365 oder einem ESP wird von SiteGround nicht signiert und braucht das eigene DKIM dieses Anbieters unter dessen eigenem Selektor, sonst schlägt DKIM fehl, obwohl SiteGround DKIM als ACTIVE anzeigt.
- Bricht die Authentifizierung
Veröffentlichen Sie niemals einen zweiten SPF-Eintrag. Wenn Sie einen weiteren Versanddienst hinzufügen, binden Sie dessen include in den bestehenden v=spf1 …mailspamprotection.com…-Eintrag ein — über die include-Liste des Authentication-Tools oder den DNS Zone Editor. Zwei SPF-TXT-Einträge lassen SPF für die gesamte Domain fehlschlagen.
- Abdeckung
Falls Sie Ihren MX zu Google oder Microsoft verlegt haben und nicht mehr über SiteGround versenden, autorisiert das standardmäßige +a +mx include:_spf.mailspamprotection.com Server, die Sie nicht nutzen — prüfen Sie, ob der SiteGround-include noch hingehört, bevor Sie die Richtlinie verschärfen.
- DNS-Einrichtung
Das Standard-SPF von SiteGround verbraucht bereits drei Ihrer zehn SPF-Lookups, bevor Sie irgendetwas hinzufügen — je einen für +a, +mx und include:_spf.mailspamprotection.com. Das Einbinden von Google Workspace (ungefähr zwei weitere) plus einem ESP kann sich dem Zehn-Lookup-Limit nähern, halten Sie den Eintrag also schlank und kürzen Sie +a/+mx, wenn der SiteGround-Server Ihre Post nicht mehr versendet.
- Abdeckung
SiteGround Email Marketing ist ein separates Produkt mit eigener Domain-Authentifizierung (eigenen Einträgen, darunter ein kontospezifischer spf.dnssmarthost.net-include) — verwechseln Sie das Authentifizieren dieses Dienstes nicht mit dem Postfach-SPF/DKIM, das das Authentication-Tool verwaltet.
- Abdeckung
Der ~all-Softfail ist der Standard von SiteGround; schalten Sie ihn nicht auf -all (Hardfail) um, bevor der Checker bestätigt, dass jeder legitime Absender im Eintrag steht, sonst weisen Sie Ihre eigene Post ab.
Erstellen Sie Ihren SPF-Eintrag
SiteGround ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listSiteGround SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.