Mailserver auf einem VPS: SPF, DKIM, DMARC
Postfix oder ein fertiges Paket wie Mailcow ist auf einem VPS in einer Stunde installiert. Schwieriger ist es, dafür zu sorgen, dass die E-Mails im Posteingang landen und nicht im Spam: Mailanbieter achten auf den Port, die Serveradresse, deren Reputation und drei DNS-Einträge. Hier erfahren Sie, was Sie vor dem Kauf beim Hoster prüfen sollten und wie Sie SPF, DKIM und DMARC einrichten.
Ein Mailserver erledigt zwei verschiedene Aufgaben: Er nimmt E-Mails für Ihre Domain an und versendet Ihre E-Mails an fremde Server. Der Empfang funktioniert fast immer sofort, sobald im DNS ein MX-Eintrag steht. Beim Versand ist es komplizierter: Die empfangende Seite entscheidet, ob sie Ihrem Server vertraut, und prüft dafür Netz, Adresse und Signaturen. Ist auch nur ein Glied nicht eingerichtet, werden E-Mails abgewiesen oder landen ohne jede Benachrichtigung im Spam.
Port 25 bei Hostern
Server übergeben sich E-Mails gegenseitig über Port 25. Die Ports 587 und 465 sind für Programme gedacht, die eine E-Mail an ihren eigenen Server einliefern; den MX-Server eines fremden Empfängers erreicht eine E-Mail nur über Port 25. Die wichtigste Voraussetzung für eigene Mail ist deshalb ein offener ausgehender Port 25.
Viele Hoster schließen ihn standardmäßig: Über neue Server wird oft versucht, Spam zu versenden, und Beschwerden sowie schlechte Reputation treffen die Adressen des Hosters. Laut accsly-Katalog vom 3. November 2026 ließen sich die Bedingungen für Port 25 bei 117 Hostern ermitteln: Bei 39 % ist er geschlossen, bei 37 % wird er auf Anfrage geöffnet, bei 24 % ist er von Anfang an offen. Große Cloud-Plattformen schließen ihn nicht selten dauerhaft, ohne Möglichkeit zur Öffnung.
Wird der Port auf Anfrage geöffnet, möchte der Hoster meist die Domain und den Zweck der Mail wissen und manchmal, dass der Server nicht erst seit einem Tag bezahlt ist. Schreiben Sie direkt: „Geschäftliche E-Mail der Domain, etwa N E-Mails pro Tag, keine Massenmailings.“ Auf einem bereits gekauften Server prüfen Sie den Port so: nc -vz -w 5 gmail-smtp-in.l.google.com 25 – kommt keine Verbindung zustande, ist der Port auf Seiten des Hosters geschlossen. Tarife von Hostern, bei denen der Port offen ist oder auf Anfrage geöffnet wird, finden Sie in der Zusammenstellung VPS für einen Mailserver.
PTR und Servername
Google verlangt von allen Absendern, dass die Serveradresse einen Reverse-DNS-Eintrag (PTR) hat und dieser mit dem Forward-Eintrag übereinstimmt. Das Schema: Der Server hat einen Namen, zum Beispiel mail.example.com; der A-Eintrag dieses Namens zeigt auf die Serveradresse, der PTR der Adresse zeigt zurück auf mail.example.com, und mit demselben Namen meldet sich der Server im HELO-Befehl. Den PTR setzt der Hoster – im Panel oder über den Support. Wenn Sie auch über IPv6 versenden, brauchen Sie einen PTR auch für die IPv6-Adresse. Ausführlich dazu der Artikel IPv4 und IPv6 auf dem Server. Auf einem NAT-VPS ohne eigene Adresse lässt sich kein eigener PTR einrichten, für Mail ist ein solcher Server ungeeignet.
Reputation der IP-Adresse
Die Adresse Ihres VPS kann vor Ihnen jedem gehört haben. Wurde von ihr Spam verschickt, steht sie womöglich in öffentlichen Listen bekannter Spamquellen (DNSBL), und ein Teil der Mailanbieter weist Ihre E-Mails vom ersten Tag an ab. Prüfen Sie die Adresse vor dem Start bei frei zugänglichen Diensten zur Reputationsprüfung; steht sie in solchen Listen, bitten Sie den Hoster um eine andere oder beantragen Sie die Austragung – die meisten Listen haben dafür ein Formular.
Eine neue saubere Adresse hat ein anderes Problem: Sie hat keine Historie, und große Anbieter begegnen ihr mit Vorsicht. Beginnen Sie mit einer kleinen Menge E-Mails an echte Empfänger und steigern Sie sie schrittweise. Google verlangt, dass der Anteil der von Empfängern als Spam markierten E-Mails unter 0,3 % bleibt – verfolgen lässt er sich im kostenlosen Google Postmaster Tools. Massenmailings verschicken Sie besser über einen separaten Dienst oder zumindest von einer separaten Adresse und Subdomain, damit deren Reputation die geschäftliche Mail nicht beeinflusst.
SPF: wer im Namen der Domain senden darf
SPF (RFC 7208) ist ein TXT-Eintrag im Stamm der Domain mit einer Liste der Server, die in ihrem Namen E-Mails versenden dürfen. Der empfangende Server gleicht damit die Absenderadresse aus dem Umschlag der E-Mail (MAIL FROM) und den Namen aus HELO ab.
example.com. TXT "v=spf1 mx ip4:203.0.113.10 -all"
mxundip4:– Ihre Server; läuft die Mail zusätzlich über einen externen Dienst, fügen Sie desseninclude:hinzu.-all– allen anderen ist der Versand untersagt (fail),~all– „wahrscheinlich nicht“ (softfail): praktisch für die Zeit der Einrichtung.- Eine Domain darf genau einen SPF-Eintrag haben. Mechanismen, die DNS-Abfragen erfordern (
include,a,mx,exists,redirect), dürfen einschließlich verschachtelter Einträge höchstens 10-mal vorkommen; wird das überschritten, liefert die Prüfung einen Fehler (permerror), und SPF funktioniert überhaupt nicht.
DKIM: Signatur der E-Mails
DKIM (RFC 6376) ist eine digitale Signatur über Header und Text der E-Mail. Der Server signiert jede E-Mail mit einem privaten Schlüssel, der öffentliche Schlüssel wird im DNS unter dem Namen selector._domainkey.example.com veröffentlicht. Der Empfänger prüft die Signatur und stellt so sicher, dass die E-Mail von der Domain aus der Signatur stammt und unterwegs nicht verändert wurde.
mail2026._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
Die Länge des RSA-Schlüssels beträgt mindestens 1024 Bit: Das verlangen RFC 8301 und Gmail, empfohlen werden 2048. Die Schlüssel erzeugen OpenDKIM, rspamd oder das Panel des Mail-Pakets – das trägt auch gleich den fertigen Eintrag ein. Der Selector dient dem Schlüsselwechsel: Sie veröffentlichen den neuen Schlüssel unter einem neuen Selector, stellen die Signatur um und löschen den alten Eintrag nach einigen Tagen, wenn die bereits versendeten E-Mails geprüft sind.
DMARC: Richtlinie und Berichte
DMARC (RFC 7489) verknüpft SPF und DKIM mit der Adresse im Feld „Von“, die der Empfänger sieht. Eine E-Mail besteht DMARC, wenn SPF oder DKIM erfolgreich war und die dort geprüfte Domain mit der Domain in „Von“ übereinstimmt (standardmäßig reicht die Übereinstimmung der Hauptdomain). Der Eintrag wird unter dem Namen _dmarc veröffentlicht:
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
p=none– nur beobachten,p=quarantine– E-Mails, die DMARC nicht bestehen, in den Spam,p=reject– sie abweisen.rua– Adresse für tägliche Sammelberichte: Aus ihnen geht hervor, wer von welchen Adressen aus E-Mails im Namen der Domain versendet.
Beginnen Sie mit p=none, lesen Sie 2–4 Wochen lang die Berichte, vergewissern Sie sich, dass alle Ihre legitimen Mailquellen die Prüfung bestehen, und wechseln Sie dann zu quarantine und anschließend zu reject.
Was Gmail und Outlook verlangen
Seit dem 1. Februar 2024 verlangt Gmail von allen Absendern SPF oder DKIM, einen korrekten PTR-Eintrag, Übertragung per TLS und eine Spam-Beschwerdequote unter 0,3 %. Wer mehr als 5 000 E-Mails pro Tag an Gmail-Adressen schickt, braucht SPF und DKIM zusammen, einen DMARC-Eintrag (p=none genügt), bei dem die Domain in „Von“ mit der SPF- oder DKIM-Domain übereinstimmt, und in Werbe-E-Mails eine Abmeldung mit einem Klick. Seit dem 5. Mai 2025 gelten bei Outlook.com ähnliche Regeln für Absender ab 5 000 E-Mails pro Tag: SPF und DKIM müssen bestehen, DMARC muss mindestens p=none sein und die Domain übereinstimmen; E-Mails ohne das landen in „Junk-E-Mail“ oder werden abgewiesen.
Für einen kleinen Server ist die Schlussfolgerung einfach: Richten Sie alle drei Einträge sofort ein, auch wenn Sie wenige E-Mails versenden. Das Ergebnis prüfen Sie, indem Sie eine E-Mail an Ihr eigenes Gmail-Postfach schicken und „Original anzeigen“ öffnen: Dort sehen Sie die Ergebnisse von SPF, DKIM und DMARC.
Wann sich eigene Mail nicht lohnt
Ein eigener Server lohnt sich, wenn Sie Kontrolle über Postfächer und Daten brauchen oder viele Adressen auf mehreren Domains haben. Muss die Website dagegen nur Benachrichtigungen verschicken und ist Port 25 geschlossen, ist der Versand über einen externen Maildienst per Port 587 einfacher: SPF, DKIM und DMARC richten Sie trotzdem für Ihre Domain ein. Einem Server mit vollwertiger Mail und Spamfilter genügen 2 GB Arbeitsspeicher; Speicherplatz brauchen Sie mit Reserve für Postfächer und Backups. Wann Website und Mail vom Hosting auf einen VPS umziehen sollten, steht im Artikel Wann sich der Umstieg von Shared Hosting auf einen VPS lohnt.