Legt ALL-INKL SPF, DKIM und DMARC automatisch an?

Für Domains, deren DNS bei ALL-INKL liegt, gibt es Standardeinträge: einen DMARC-Eintrag mit v=DMARC1; p=none; und einen DKIM-Eintrag, dessen Name mit kas beginnt und auf _domainkey endet. Den SPF-Beispieleintrag v=spf1 a mx include:spf.kasserver.com ~all legt ALL-INKL über „Zone zurücksetzen“ an. Prüfen Sie den tatsächlichen Stand in den DNS-Einstellungen Ihrer Domain.

Darf ich einen zweiten SPF-Eintrag für meinen Newsletter-Dienst anlegen?

Nein. Pro Domain ist genau ein SPF-Eintrag erlaubt. Ergänzen Sie den vorhandenen Eintrag um das include Ihres Dienstes, statt einen zweiten anzulegen. Zwei SPF-Einträge führen dazu, dass SPF insgesamt fehlschlägt.

Warum wirken meine Änderungen im KAS nicht?

Meist zeigen die Nameserver der Domain nicht auf ALL-INKL, etwa weil die Domain bei einem anderen Registrar liegt oder Cloudflare genutzt wird. Dann gelten nur die Einträge beim externen DNS-Anbieter. Andernfalls ist oft nur die Wartezeit nach der Änderung noch nicht vorbei.

Was passiert bei „Zone zurücksetzen“?

ALL-INKL setzt alle DNS-Einstellungen der Domain auf den Standard zurück und entfernt zusätzliche Einträge. Selbst angelegte DKIM-, Verifizierungs- oder CNAME-Einträge externer Dienste sind danach weg. Notieren Sie diese vorher.

Reicht der Standard-DMARC-Eintrag von ALL-INKL?

Er erfüllt die Mindestanforderung von Gmail und Yahoo, dass überhaupt ein DMARC-Eintrag existiert. Mit p=none schützt er Ihre Domain aber nicht vor Missbrauch, und ohne rua-Adresse erhalten Sie keine Berichte. Ergänzen Sie eine Berichtsadresse und verschärfen Sie die Richtlinie schrittweise.

ALL-INKL: SPF, DKIM und DMARC einrichten

Die drei Einträge arbeiten zusammen: SPF legt fest, welche Server mit Ihrer Domain versenden dürfen. DKIM versieht jede Mail mit einer Signatur, deren öffentlicher Schlüssel im DNS steht. DMARC sagt dem Empfänger, was mit Mails passieren soll, die weder über SPF noch über DKIM zu Ihrer Domain passen. Die Grundlagen erklären wir ausführlich in der allgemeinen Anleitung zu SPF, DKIM und DMARC.

Pflicht sind die Einträge längst nicht mehr nur für Großversender: Gmail und Yahoo verlangen seit Februar 2024 von Massenversendern (ab etwa 5.000 Mails pro Tag) SPF, DKIM und DMARC, Microsoft stellt seit Mai 2025 für Outlook.com und Hotmail ähnliche Anforderungen. Aber auch bei kleinem Volumen landen Mails ohne saubere Authentifizierung schneller im Spam.

Vorab: Wer verwaltet das DNS Ihrer Domain?

Die DNS-Einstellungen im KAS wirken nur, wenn die Nameserver Ihrer Domain auf ALL-INKL zeigen. Das ist der Normalfall, wenn Sie die Domain bei ALL-INKL registriert oder per Providerwechsel dorthin umgezogen haben. Es gibt aber zwei häufige Ausnahmen:

Domain bei einem anderen Registrar: Die Domain zeigt nur per A-Record oder CNAME auf Ihr ALL-INKL-Hosting. Dann tragen Sie SPF, DKIM und DMARC beim Registrar ein, nicht im KAS.
Cloudflare oder anderer DNS-Dienst: Haben Sie die Nameserver in der ALL-INKL MembersArea unter Domainverwaltung → Domainliste → Nameserver ändern umgestellt, gelten nur noch die Einträge dort. ALL-INKL weist in seiner Cloudflare-Anleitung ausdrücklich darauf hin, den Eintrag, der mit kas beginnt und auf _domainkey endet, mit Name und Inhalt zu Cloudflare zu übernehmen.

Ob die Nameserver auf ALL-INKL zeigen, verrät eine einfache NS-Abfrage (etwa mit nslookup -type=NS ihre-domain.de) oder unser Domain-Check, der die tatsächlich veröffentlichten Einträge anzeigt.

Einrichtung Schritt für Schritt

DNS-Einstellungen im KAS öffnen

Melden Sie sich im KAS (technische Verwaltung, kas.all-inkl.com) an. Wählen Sie links Tools → DNS-Einstellungen und klicken Sie bei Ihrer Domain auf Bearbeiten. Sie sehen dann die Tabelle aller DNS-Einträge der Domain.

Erscheint stattdessen die Meldung „Diese DNS-Einstellungen sind in Ihrem Tarif leider nicht möglich“, bietet ALL-INKL die Schaltfläche „Zone zurücksetzen“ an. Damit wird der Standard-SPF angelegt – aber auch alles entfernt, was Sie selbst hinzugefügt haben.

Warum: Die offiziellen Anleitungen von ALL-INKL zu SPF, DKIM und DMARC beginnen alle an dieser Stelle. Alle drei Einträge pflegen Sie in derselben Tabelle.

Vorhandene Standardeinträge prüfen

Bevor Sie etwas anlegen, sehen Sie nach, was schon da ist. Typisch für eine Domain mit DNS bei ALL-INKL:

Typ	Name	Data	Zweck
TXT	(leer)	`v=spf1 a mx include:spf.kasserver.com ~all`	SPF für ALL-INKL-Mailserver
TXT	`kas…_domainkey`	`v=DKIM1; p=…`	DKIM für ALL-INKL-Mailserver
TXT	`_dmarc`	`v=DMARC1; p=none;`	DMARC-Standard

Den SPF-Wert nennt ALL-INKL als Beispiel in der SPF-Anleitung, den DMARC-Wert als Standard in der DMARC-Anleitung. Der genaue Name des DKIM-Eintrags unterscheidet sich je nach Konto; er beginnt mit kas und endet auf _domainkey.

Fehlt der DKIM-Eintrag? Ältere Erfahrungsberichte beschreiben eine Option „DKIM Signierung“ in den Domain-Einstellungen; die aktuelle offizielle Übersicht der Domain-Einstellungen nennt sie nicht. Sehen Sie keinen kas…_domainkey-Eintrag, fragen Sie den ALL-INKL-Support, ob DKIM für Ihre Domain aktiv ist – ein DNS-Eintrag allein reicht nicht, der Mailserver muss auch signieren.

SPF um externe Versender ergänzen

Versenden Sie nur über Ihr ALL-INKL-Postfach, ist der Standard-SPF ausreichend. Kommt ein Newsletter-Tool, ein Shop-System oder ein CRM hinzu, das mit Ihrer Absenderadresse verschickt und einen SPF-Eintrag verlangt, ergänzen Sie den vorhandenen Eintrag: Klicken Sie beim SPF-Eintrag auf Bearbeiten und fügen Sie das include des Dienstes vor ~all ein.

Stand	Data
Vorher	`v=spf1 a mx include:spf.kasserver.com ~all`
Nachher	`v=spf1 a mx include:spf.kasserver.com include:spf.ihr-dienst.example ~all`

spf.ihr-dienst.example ist ein Platzhalter – den richtigen Wert finden Sie in der Hilfe Ihres Versanddienstes. Laut ALL-INKL bleibt beim SPF das Feld Name leer, als Typ wählen Sie TXT (SPF), die Priorität bleibt auf 0.

Warum nur ein Eintrag: Pro Domain ist genau ein SPF-Eintrag erlaubt, und er darf höchstens 10 DNS-Abfragen auslösen. Jedes include, a und mx zählt mit. Viele Newsletter-Dienste wie Brevo kommen ohne SPF-Eintrag auf Ihrer Domain aus, weil sie mit einer eigenen Rücklaufadresse versenden und DMARC über DKIM bestehen – siehe unsere Brevo-Anleitung.

DKIM für externe Tools eintragen

Jeder Dienst, der in Ihrem Namen versendet, braucht einen eigenen DKIM-Eintrag mit eigenem Selektor. Der vorhandene kas…_domainkey-Eintrag bleibt dabei unangetastet. Klicken Sie auf „neuen DNS-Eintrag erstellen“ und übernehmen Sie die Werte des Dienstes:

Typ	Name	Data	Hinweis
TXT	`selektor._domainkey`	`v=DKIM1; p=MIIBIjAN…`	Schlüssel direkt im DNS
CNAME	`selektor._domainkey`	`Zielname des Dienstes`	Schlüssel beim Dienst

Im Feld Name tragen Sie nur den Teil vor Ihrer Domain ein, also zum Beispiel mail._domainkey und nicht mail._domainkey.ihre-domain.de. Laut ALL-INKL fasst das Data-Feld bis zu 512 Zeichen, was für Schlüssel bis 2048 Bit reicht.

Warum CNAME oft besser ist: Viele Dienste geben DKIM als CNAME vor. Dann kann der Dienst seinen Schlüssel wechseln, ohne dass Sie das DNS erneut anfassen müssen.

DMARC unter `_dmarc` anpassen

Der Standardeintrag v=DMARC1; p=none; ist bereits vorhanden. Legen Sie keinen zweiten an, sondern klicken Sie beim Eintrag mit dem Namen _dmarc auf Bearbeiten. Fehlt er, erstellen Sie einen neuen Eintrag vom Typ TXT mit dem Namen _dmarc.

Ein sinnvoller erster Ausbau ist eine Adresse für Sammelberichte:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de

Werten Sie die Berichte einige Wochen aus. Erscheinen darin nur noch Ihre eigenen, korrekt authentifizierten Versender, stellen Sie auf p=quarantine und später auf p=reject um.

Achtung bei fremden Berichtsadressen: Liegt die rua-Adresse auf einer anderen Domain, muss diese laut ALL-INKL einen Bestätigungseintrag veröffentlichen, etwa ihre-domain.de._report._dmarc mit dem Wert v=DMARC1. Externe DMARC-Auswertungsdienste erledigen das in der Regel selbst.

Speichern, warten, testen

Nach dem Speichern erscheint der Eintrag in der Tabelle. Bis andere Server die Änderung sehen, vergeht je nach Zwischenspeicherung (TTL) einige Zeit – oft Minuten, im ungünstigen Fall bis zu 48 Stunden. Prüfen Sie dann die veröffentlichten Einträge und schicken Sie eine Testmail an ein Gmail- oder Outlook-Postfach.

Prüfen Sie Ihre Domain mit unserem kostenlosen SPF-, DKIM- und DMARC-Check. Er zeigt, ob genau ein SPF-Eintrag existiert, wie viele DNS-Abfragen er auslöst und welche DMARC-Richtlinie gilt.

Ergebnis des SPF-, DKIM- und DMARC-Checks für inboxlotse.com: SPF, DMARC und DKIM in Ordnung — So sieht das Ergebnis des Checks aus – hier für unsere eigene Domain inboxlotse.com.

Typische Fehler bei ALL-INKL

Zweiter SPF-Eintrag: Der Dienst sagt „SPF-Eintrag anlegen“, und es entsteht ein zweiter TXT-Eintrag mit v=spf1. Ergebnis: SPF schlägt komplett fehl, auch für das ALL-INKL-Postfach.
„Zone zurücksetzen“ als Reparatur: Die Funktion stellt den Standard wieder her und löscht dabei alle eigenen Einträge – DKIM-Schlüssel externer Dienste, Verifizierungscodes, CNAMEs. Notieren Sie diese vorher.
Einträge im falschen DNS: Zeigen die Nameserver zu Cloudflare oder einem anderen Anbieter, bleiben Änderungen im KAS ohne Wirkung. Umgekehrt fehlt nach einem Umzug zu Cloudflare oft der kas…_domainkey-Eintrag, und Mails aus dem ALL-INKL-Postfach verlieren ihre DKIM-Signatur.
Domain doppelt im Namen: _dmarc.ihre-domain.de im Namensfeld kann je nach Eingabemaske zu _dmarc.ihre-domain.de.ihre-domain.de werden. Tragen Sie wie in den ALL-INKL-Beispielen nur _dmarc beziehungsweise selektor._domainkey ein.
Zu frühes p=reject: Wer verschärft, bevor alle Versender (Kontaktformular, Rechnungsprogramm, Newsletter) DKIM mit Ihrer Domain signieren, sperrt eigene Mails aus.

Kommen Mails trotz korrekter Einträge nicht an, liegt es oft an Inhalt, Liste oder Reputation. Hilfe dazu finden Sie in Warum landen E-Mails im Spam? und Bounce-Rate senken.

Stimmen SPF, DKIM und DMARC Ihrer Domain? Der Check fragt die veröffentlichten Einträge ab und zeigt Fehler wie doppelte SPF-Einträge oder fehlendes DMARC sofort.

Domain jetzt prüfen

Wie es weitergeht

Mit sauberer Authentifizierung ist die technische Grundlage gelegt. Ob ein Newsletter im Posteingang landet, entscheiden danach vor allem Listenqualität, Beschwerderate (bei Gmail und Yahoo unter 0,3 %) und ein funktionierender One-Click-Abmeldelink. Für den Versand größerer Listen ist ein spezialisierter Dienst meist besser als das Hosting-Postfach – einen Überblick gibt unser Vergleich der E-Mail-Marketing-Software.

Weiterlesen: Leitfaden zur E-Mail-Zustellbarkeit — alle Faktoren im Zusammenhang.

Häufige Fragen

Legt ALL-INKL SPF, DKIM und DMARC automatisch an?: Für Domains, deren DNS bei ALL-INKL liegt, gibt es Standardeinträge: einen DMARC-Eintrag mit v=DMARC1; p=none; und einen DKIM-Eintrag, dessen Name mit kas beginnt und auf _domainkey endet. Den SPF-Beispieleintrag v=spf1 a mx include:spf.kasserver.com ~all legt ALL-INKL über „Zone zurücksetzen“ an. Prüfen Sie den tatsächlichen Stand in den DNS-Einstellungen Ihrer Domain.
Darf ich einen zweiten SPF-Eintrag für meinen Newsletter-Dienst anlegen?: Nein. Pro Domain ist genau ein SPF-Eintrag erlaubt. Ergänzen Sie den vorhandenen Eintrag um das include Ihres Dienstes, statt einen zweiten anzulegen. Zwei SPF-Einträge führen dazu, dass SPF insgesamt fehlschlägt.
Warum wirken meine Änderungen im KAS nicht?: Meist zeigen die Nameserver der Domain nicht auf ALL-INKL, etwa weil die Domain bei einem anderen Registrar liegt oder Cloudflare genutzt wird. Dann gelten nur die Einträge beim externen DNS-Anbieter. Andernfalls ist oft nur die Wartezeit nach der Änderung noch nicht vorbei.
Was passiert bei „Zone zurücksetzen“?: ALL-INKL setzt alle DNS-Einstellungen der Domain auf den Standard zurück und entfernt zusätzliche Einträge. Selbst angelegte DKIM-, Verifizierungs- oder CNAME-Einträge externer Dienste sind danach weg. Notieren Sie diese vorher.
Reicht der Standard-DMARC-Eintrag von ALL-INKL?: Er erfüllt die Mindestanforderung von Gmail und Yahoo, dass überhaupt ein DMARC-Eintrag existiert. Mit p=none schützt er Ihre Domain aber nicht vor Missbrauch, und ohne rua-Adresse erhalten Sie keine Berichte. Ergänzen Sie eine Berichtsadresse und verschärfen Sie die Richtlinie schrittweise.