Posteingang – wohin die E-Mails an deine Domain gehen

Der MX-Eintrag bestimmt, wohin E-Mails an deine Domain zugestellt werden. Wir zeigen den Aufbau, die typischen Fehler und was für Domains ohne Postfächer gilt.

SPF, DKIM und DMARC drehen sich um das Versenden. Diese Seite dreht sich um die andere Richtung: Wohin geht Post, die jemand an euch schickt? Die Antwort steht im MX-Eintrag deiner Domain. Er ist die Hausnummer – ohne ihn steht der Briefträger vor einem Grundstück ohne Schild und dreht wieder um.

Fehlt der Eintrag, ist das kein schleichender Mangel wie ein schwacher SPF-Eintrag, sondern ein sofortiger Ausfall: Absender bekommen eine Fehlermeldung, und ihr merkt es erst, wenn jemand anruft und fragt, warum ihr nicht antwortet. Deshalb lohnt der Blick auf diese Einträge auch dann, wenn alles zu funktionieren scheint – gerade nach einem Anbieterwechsel.

Wie der Eintrag aussieht

Eine Domain hat meist mehrere MX-Einträge nebeneinander. Jeder nennt einen Servernamen und eine Zahl davor:

beispiel-gmbh.de.   MX   10 mx00.beispiel-anbieter.de.
beispiel-gmbh.de.   MX   20 mx01.beispiel-anbieter.de.

Zwei Einträge sind kein Luxus. Ist nur einer eingetragen und fällt der Server aus, bleibt die Post in den Warteschlangen der Absender liegen. Verloren geht meist nichts – die meisten Absender versuchen es über mehrere Tage –, aber eine dringende Anfrage kommt eben erst am nächsten Tag an.

Was in der Praxis schiefgeht

Die Sache mit dem PTR-Eintrag ist die, die Betreiber eines eigenen Servers am häufigsten übersehen. Ein PTR ist der umgekehrte Weg: Zu einer IP-Adresse gehört ein Name. Viele Empfänger prüfen beim Verbindungsaufbau, ob die Adresse, von der jemand sendet, sich zu einem Namen auflösen lässt und ob dieser Name wieder auf dieselbe Adresse zeigt. Stimmt das nicht, wird die Verbindung abgewiesen, bevor über Inhalte auch nur gesprochen wurde. Setzen kann den Eintrag nur, wem die Adresse gehört – also dein Rechenzentrum, nicht du. Bei Hetzner und vergleichbaren Anbietern ist es ein Feld in der Serververwaltung.

Domains, über die keine Post läuft

Fast jede Firma hat sie: die Domain mit dem alten Schreibfehler, die Domain aus dem Rebranding, die Domain der 2019 eingestellten Produktlinie. Sie zeigen auf die Hauptwebsite oder ins Leere, und niemand denkt an sie. Für Fälscher sind sie bequem: ein echter Firmenname ohne jede Absicherung.

Drei Einträge machen daraus eine geschlossene Tür:

beispiel-alt.de.          MX    0 .
beispiel-alt.de.          TXT   "v=spf1 -all"
_dmarc.beispiel-alt.de.   TXT   "v=DMARC1; p=reject; rua=mailto:dmarc@beispiel-gmbh.de"

Der erste ist der Null-MX: Vorrang 0 und ein einzelner Punkt als Name. Er sagt ausdrücklich „diese Domain empfängt keine Post". Absender bekommen sofort eine klare Fehlermeldung statt nach Tagen eine Zeitüberschreitung. Der zweite sagt: Von hier sendet niemand. Der dritte sagt: Wer es trotzdem versucht, wird abgewiesen.

So richtest du es ein

So prüfst und änderst du die Einträge bei IONOS:

1. Im IONOS-Konto zu Domains & SSL gehen, bei der Domain DNS öffnen.
2. Auf die Zeilen vom Typ MX sehen. Notiere Namen und Vorrangzahlen, bevor du etwas änderst.
3. Wechselst du den Anbieter: die neuen MX-Einträge anlegen, bevor du die alten löschst. In der Übergangszeit ist Doppelung besser als eine Lücke.
4. Alte Einträge erst entfernen, wenn im neuen Postfach Nachrichten ankommen.
5. Empfängt die Domain gar keine Post: alle MX-Einträge löschen und einen einzigen anlegen – Vorrang 0, Ziel . (ein Punkt). Akzeptiert die Oberfläche das nicht, hilft der Support weiter.
6. Zum Schluss v=spf1 -all und p=reject setzen, wenn es eine Domain ohne Versand ist.
7. Domain im Mail-Check prüfen.

Die Befunde im Einzelnen

Kein Mailserver eingetragen

Gemessen: Die Domain hat keinen MX-Eintrag.

Ohne ihn kann diese Domain keine E-Mails empfangen. Post an sie wird abgewiesen oder läuft in eine Zeitüberschreitung. Wenn hier Postfächer liegen sollten, ist das ein sofortiger Ausfall.

Was zu tun ist: Zwei Fälle unterscheiden. Sollen hier Postfächer sein, die MX-Einträge des Postfach-Anbieters setzen – meist zwei mit unterschiedlichem Vorrang. Soll die Domain bewusst keine Post empfangen, einen Null-MX setzen (0 .) und dazu v=spf1 -all sowie p=reject.

Nur ein Mailserver

Gemessen: Es gibt genau einen MX-Eintrag.

Fällt dieser Server aus, bleibt Post liegen, bis er zurück ist. Die meisten Absender versuchen es über mehrere Tage, verloren geht meist nichts – aber die Nachricht kommt eben später. Bei großen Anbietern steckt hinter dem einen Namen oft ohnehin ein Verbund vieler Server; dann ist der Befund eher ein Hinweis als ein Mangel.

Was zu tun ist: Nachsehen, ob dein Anbieter einen zweiten Namen anbietet, und ihn mit höherer Vorrangzahl ergänzen. Bietet er keinen, ist nichts zu tun – dann trägt er die Ausfallsicherheit intern.

MX zeigt auf eine IP-Adresse

Gemessen: Im MX-Eintrag steht eine IP-Adresse statt eines Namens.

Der Standard verlangt einen Namen. Strenge Absender lehnen das ab, andere kommen damit zurecht – das Ergebnis hängt davon ab, wer euch schreibt. Fehler dieser Art fallen deshalb erst auf, wenn ein wichtiger Absender sich nicht mehr meldet.

Was zu tun ist: Einen Hostnamen anlegen, der auf diese Adresse zeigt – etwa mail.deine-domain.de mit einem A-Eintrag auf die Adresse –, und diesen Namen in den MX-Eintrag setzen.

MX zeigt auf einen Verweis

Gemessen: Der Name im MX-Eintrag ist selbst ein Verweis (CNAME) auf einen anderen Namen.

Das ist ausdrücklich nicht erlaubt. Ein Teil der absendenden Server verweigert die Zustellung, ein anderer folgt dem Verweis trotzdem. Wieder ein Fehler, der sich nur bei manchen Absendern zeigt.

Was zu tun ist: Den Zielnamen direkt in den MX-Eintrag schreiben. Wenn der Verweis dazu dient, einen Anbieterwechsel zu vereinfachen: Das ist nachvollziehbar, aber an dieser Stelle nicht zulässig.

Mailserver nicht auflösbar

Gemessen: Der eingetragene Name hat weder eine IPv4- noch eine IPv6-Adresse.

An diesen Server kann niemand zustellen. Meist ein Tippfehler im Namen oder ein Server, der abgeschaltet wurde, während der Eintrag stehen blieb.

Was zu tun ist: Schreibweise prüfen, Buchstabe für Buchstabe. Ist der Name richtig und trotzdem ohne Adresse, fehlt beim Anbieter der zugehörige A- oder AAAA-Eintrag – das ist ein Fall für dessen Support.

Mailserver ohne Rückwärtsauflösung

Gemessen: Zu der Adresse des Mailservers gibt es keinen PTR-Eintrag.

Beim Empfangen stört das nicht. Beim Versand von derselben Adresse aber sehr: Viele Empfänger weisen Verbindungen ohne Rückwärtsauflösung ab, bevor die Nachricht überhaupt übertragen wird. Betroffen sind fast immer eigene Server, nicht Postfächer bei großen Anbietern.

Was zu tun ist: Beim Betreiber der Adresse – also deinem Rechenzentrum – einen PTR-Eintrag setzen lassen, der auf den Namen des Mailservers zeigt. Bei Hetzner und ähnlichen Anbietern ist das ein Feld in der Serververwaltung. Wichtig: Name und Adresse müssen in beide Richtungen zusammenpassen.

Domain ohne Postfächer bleibt als Absender missbrauchbar

Gemessen: Die Domain hat einen Null-MX, empfängt also bewusst keine Post – aber ihr SPF-Eintrag ist nicht streng oder fehlt ganz.

Ohne strengen SPF kann trotzdem jeder in ihrem Namen versenden. Und weil niemand auf diese Domain achtet, fällt es lange nicht auf.

Was zu tun ist: SPF auf v=spf1 -all setzen. Kein include:, kein ~all – von einer Domain ohne Versand darf nichts kommen, und das darf auch hart gesagt werden.

Domain ohne Postfächer ohne DMARC-Abweisung

Gemessen: Die Domain empfängt bewusst keine Post, aber DMARC steht nicht auf p=reject.

Für eine Domain, die nichts versendet, gehört die schärfste Anweisung gesetzt. Es gibt keinen eigenen Versandweg, der dadurch brechen könnte – der übliche Grund für Vorsicht entfällt hier vollständig.

Was zu tun ist: v=DMARC1; p=reject; rua=mailto:dmarc@deine-hauptdomain.de setzen. Die Berichte darfst du an die Hauptdomain schicken; dann siehst du sofort, wenn jemand die alte Domain benutzt.

Keine Mailserver, aber auch keine klare Ansage

Gemessen: Die Domain hat keinen MX-Eintrag und auch keinen Null-MX.

Sie sagt damit nicht, dass sie keine Post empfängt – sie sagt gar nichts. Absender greifen dann auf die Adresse zurück, die für die Website eingetragen ist, und versuchen dort zuzustellen. Im besten Fall scheitert das nach Tagen. Im schlechteren nimmt ein Webserver mit mitlaufendem Mailprogramm die Nachricht an, und sie verschwindet spurlos.

Was zu tun ist: Null-MX setzen (0 .) und DMARC auf p=reject. Zusammen mit v=spf1 -all ist die Domain damit sauber stillgelegt – erkennbar für jeden Absender, ohne dass jemand darauf achten muss.

Häufige Fragen

Wir haben den Anbieter gewechselt und bekommen keine Post mehr. Woran liegt es?

Fast immer daran, dass die alten MX-Einträge noch stehen oder die neuen noch nicht sichtbar sind. Prüf die Domain und sieh nach, welche Namen tatsächlich eingetragen sind. Gültigkeitsdauern von bis zu 24 Stunden sind normal – bis dahin erreichen manche Absender noch den alten Server.

Was bedeutet die Zahl vor dem Servernamen?

Die Reihenfolge, in der Absender es versuchen. Kleiner heißt zuerst. Die Werte selbst sind egal – 10 und 20 sind üblich, 5 und 50 täten es genauso.

Prüft der Mail-Check auch, ob unser Mailserver verschlüsselt annimmt?

Nein. Ausgehende SMTP-Verbindungen sind von unserem Prüfserver aus gesperrt, deshalb können wir weder STARTTLS noch das Zertifikat eures Mailservers messen. Der Befund sagt dann „nicht messbar" statt stillschweigend „in Ordnung". Was sich von außen prüfen lässt, steht unter Transportverschlüsselung.

Brauchen wir für jede Domain eigene Einträge?

Ja. Jede Domain wird von Empfängern einzeln nachgeschlagen; eine Weiterleitung im Browser ändert daran nichts. Für Domains ohne Postfächer sind es drei kurze Einträge, die einmal gesetzt und dann jahrelang nicht angefasst werden.