Wenn du das Kapitel zu DNS-Eintragstypen gelesen hast, weißt du, dass jeder Eintrag in deiner DNS-Zone eine bestimmte Aufgabe hat. A-Records zeigen auf IP-Adressen. MX-Records steuern die E-Mail-Zustellung. Ein TXT-Record tut keines von beidem. Er enthält eine Zeile Klartext, die anderen Systemen etwas über deine Domain mitteilt. Dieser Text kann lauten "Dieser E-Mail-Anbieter darf in meinem Namen senden" oder "Ja, mir gehört diese Domain" oder "Hier ist der Schlüssel, um meine Nachrichten zu prüfen".
Stell es dir wie einen Zettel an deiner Haustür vor. Er ändert nicht, wie dein Haus funktioniert. Aber wer davorsteht und ihn liest, erfährt etwas Wichtiges darüber, wer dort wohnt und was erlaubt ist.
Wie sieht ein TXT-Record aus?
Ein TXT-Record besteht wie andere DNS-Einträge aus vier Teilen. Das macht jeder davon.
- Hostname (Name) ist die Domain oder Subdomain, für die der Eintrag gilt. Für deine Hauptdomain ist das meist "@" oder bleibt leer. Für eine Subdomain wie mail.deinedomain.com wäre der Hostname "mail"
- Typ sagt dem DNS-System, dass es ein TXT-Record ist
- Wert ist der Textinhalt selbst. Das kann ein Verifizierungscode, eine E-Mail-Richtlinie, ein öffentlicher Schlüssel oder eine andere Zeichenfolge mit bis zu 255 Zeichen pro Segment sein
- TTL (Time to Live) steuert, wie lange DNS-Server diesen Eintrag zwischenspeichern, bevor sie nach Aktualisierungen fragen. Der Standard liegt meist bei 3600 Sekunden, also einer Stunde
So sieht ein einfacher TXT-Record in einem DNS-Einstellungsbereich aus.
- Hostname auf @ gesetzt
- Typ auf TXT gesetzt
- Wert auf "v=spf1 include:_spf.example.com ~all" gesetzt
- TTL auf 3600 gesetzt
Dieses Beispiel ist ein SPF-Record, einer der häufigsten TXT-Record-Typen. Die Abschnitte unten erklären, was SPF bedeutet und wie andere E-Mail-Sicherheitseinträge funktionieren.
Wie wird ein TXT-Record zur Domain-Verifizierung genutzt?
Das ist die einfachste Verwendung eines TXT-Records. Ein Dienst braucht einen Beweis, dass dir eine Domain gehört. Du erbringst ihn, indem du einen Eintrag hinzufügst, den nur der Domaininhaber hinzufügen könnte.
So läuft der Vorgang ab.
- Du meldest dich bei einem Dienst an und nennst ihm deinen Domainnamen
- Der Dienst gibt dir einen eindeutigen Verifizierungscode
- Du öffnest deine DNS-Einstellungen und fügst einen TXT-Record mit diesem Code als Wert hinzu
- Der Dienst prüft dein DNS auf den TXT-Record
- Findet er den Code, ist die Verifizierung abgeschlossen
Warum funktioniert das? Weil nur jemand mit Zugriff auf deine DNS-Einstellungen dort Einträge hinzufügen kann. Der Verifizierungscode allein hat keine Bedeutung. Er beweist nur, dass du die Schlüssel zur DNS-Zone hast.
Was ist ein SPF-Record?
Wofür SPF steht
SPF steht für Sender Policy Framework. Es ist ein TXT-Record, der auflistet, welche Mailserver E-Mails mit deinem Domainnamen versenden dürfen. Erhält jemand eine E-Mail von dir, prüft sein Mailserver deinen SPF-Record, ob der sendende Server auf der Liste der erlaubten steht.
Was ein SPF-Record bewirkt
Ohne SPF-Record kann jeder eine E-Mail senden, die aussieht, als käme sie von deiner Domain. Das nennt man E-Mail-Spoofing. Es ist einer der ältesten Tricks im Phishing-Repertoire und funktioniert, weil der empfangende Server nicht prüfen kann, ob der Absender der ist, der er vorgibt zu sein.
Ein SPF-Record behebt das. Es ist, als gäbst du der Post eine Liste von Kurieren, die in deinem Namen Pakete verschicken dürfen. Taucht ein Paket von einem Kurier auf, der nicht auf der Liste steht, weiß die Post, dass etwas nicht stimmt.
Hier ein Beispiel.
v=spf1 include:_spf.mailprovider.com ~all
Das sagt drei Dinge.
- v=spf1 kennzeichnet dies als SPF-Record
- include:_spf.mailprovider.com bedeutet "die Server, die dieser Mailanbieter auflistet, dürfen E-Mails für meine Domain senden"
- ~all bedeutet "kommt eine E-Mail von einem anderen Server, behandle sie als verdächtig, lehne sie aber nicht sofort ab"
Würde "~all" zu "-all" geändert, wäre die Regel strenger. Sie würde empfangenden Servern sagen, alles abzulehnen, was nicht auf der Liste der erlaubten steht.
Was ist ein DKIM-Record?
Wofür DKIM steht
DKIM steht für DomainKeys Identified Mail. Während SPF prüft, wer die E-Mail gesendet hat, prüft DKIM, ob die E-Mail auf dem Weg zu deinem Posteingang manipuliert wurde.
Wie der öffentliche Schlüssel funktioniert
Stell dir DKIM wie ein Wachssiegel auf einem Brief vor. Sendet dein Mailserver eine E-Mail, versieht er sie mit einer verborgenen Signatur. Diese Signatur wird mit einem privaten Schlüssel erstellt, den nur dein Server kennt. Der passende öffentliche Schlüssel liegt in einem TXT-Record auf deiner Domain, für jeden sichtbar, der nachschaut.
Erhält der empfangende Server die E-Mail, liest er deinen öffentlichen Schlüssel aus dem DNS und gleicht ihn mit der Signatur ab. Stimmen sie überein, gilt die E-Mail als echt und unverändert. Stimmen sie nicht überein, wurde die E-Mail womöglich unterwegs verändert.
Du musst den Schlüssel selbst nicht verstehen. Dein E-Mail-Anbieter erzeugt ihn und sagt dir genau, was du in deine DNS-Einstellungen einfügen sollst. Der DKIM-TXT-Record liegt meist auf einer Subdomain, die etwa so aussieht: "selector._domainkey.deinedomain.com".
Was ist ein DMARC-Record?
Wie DMARC SPF und DKIM verbindet
SPF prüft, woher die E-Mail kam. DKIM prüft, dass sie nicht verändert wurde. Doch was passiert, wenn eine dieser Prüfungen fehlschlägt? Ohne DMARC entscheidet jeder empfangende Server selbst. Manche schicken die E-Mail in den Spam. Manche lassen sie durch. Manche lehnen sie ab. Du hast keinerlei Kontrolle.
DMARC steht für Domain-based Message Authentication, Reporting, and Conformance. Es ist ein TXT-Record, der dich zum Entscheider macht. Du legst die Regeln fest, was passiert, wenn eine E-Mail SPF oder DKIM nicht besteht.
Was die DMARC-Richtlinien bedeuten
Ein DMARC-Record wird als TXT-Record auf der Subdomain "_dmarc.deinedomain.com" angelegt. Hier ein einfaches Beispiel.
v=DMARC1; p=quarantine; rua=mailto:reports@deinedomain.com
Das sagt empfangenden Servern drei Dinge.
- v=DMARC1 kennzeichnet dies als DMARC-Record
- p=quarantine ist die Richtlinie. Sie sagt dem empfangenden Server, E-Mails, die die Authentifizierung nicht bestehen, in den Spam-Ordner statt in den Posteingang zu legen
- rua=mailto:reports@deinedomain.com sagt Servern, Authentifizierungsberichte an diese E-Mail-Adresse zu schicken, damit du siehst, wer E-Mails mit deiner Domain versendet
Das Richtlinienfeld (p=) hat drei Optionen.
- none bedeutet, keine Maßnahme zu ergreifen und nur Berichte zu senden. Das ist nützlich, wenn du DMARC gerade einrichtest und vor der Durchsetzung beobachten willst
- quarantine bedeutet, fehlschlagende E-Mails in den Spam zu legen
- reject bedeutet, fehlschlagende E-Mails komplett zu blockieren, sodass sie den Empfänger nie erreichen
Zusammen bilden SPF, DKIM und DMARC drei Schutzebenen für E-Mail. SPF ist die Gästeliste. DKIM ist das Wachssiegel. DMARC ist der Türsteher, der entscheidet, was passiert, wenn jemand die ersten beiden Prüfungen nicht besteht. Wenn du eigene E-Mail einrichtest mit deiner Domain, sind alle drei Einträge wichtig.
Was können TXT-Records sonst noch?
E-Mail-Sicherheit und Domain-Verifizierung sind die beiden größten Einsatzgebiete, aber TXT-Records tauchen auch an anderen Stellen auf.
- Verifizierung bei Suchmaschinen. Suchmaschinen verlangen einen TXT-Record als Beweis, dass dir eine Domain gehört, bevor sie dir Zugriff auf Daten zur Suchleistung geben
- Sicherheitsrichtlinien. Manche Organisationen nutzen TXT-Records, um Sicherheitskontakte oder Präferenzen für Zertifizierungsstellen zu veröffentlichen
- Dienst-Authentifizierung. Analyse-Plattformen, Werbedienste und andere Tools verlangen oft einen TXT-Record, um deine Domain mit deinem Konto zu verknüpfen
- Eigene Metadaten. Jede textbasierte Information, die andere Server oder Dienste über deine Domain lesen müssen, kann in einem TXT-Record gespeichert werden
TXT-Records sind das Schweizer Taschenmesser des DNS. Wenn ein Dienst etwas über deine Domain verifizieren, authentifizieren oder mitteilen muss, nutzt er mit hoher Wahrscheinlichkeit dafür einen TXT-Record.
Wie fügst du einen TXT-Record hinzu?
Einen TXT-Record hinzuzufügen läuft wie bei jedem anderen DNS-Eintrag. Hast du schon einmal einen A-Record oder MX-Record angelegt, kommt dir das bekannt vor.
- Melde dich im DNS-Verwaltungsbereich an, in dem die Nameserver deiner Domain festgelegt sind. Das ist meist dein Domain-Registrar oder dein Hosting-Anbieter
- Suche den Bereich DNS-Einträge oder den DNS-Zonen-Editor
- Klicke auf die Option, einen neuen Eintrag hinzuzufügen
- Wähle TXT als Eintragstyp
- Gib den Hostnamen ein. Nutze "@" für die Root-Domain oder den Namen einer bestimmten Subdomain, wenn der Dienst das verlangt
- Füge den exakten Wert ein, den dir der Dienst vorgibt, den du einrichtest. Tippe ihn nicht von Hand ab
- Lege die TTL fest. Bist du unsicher, nimm den Standardwert, den dein Anbieter vorschlägt, oder setze sie auf 3600
- Speichere den Eintrag
Eines solltest du im Hinterkopf behalten. DNS-Änderungen können zwischen einigen Minuten und 48 Stunden brauchen, bis sie sich im Internet verbreitet haben. Das nennt man DNS-Propagierung. In dieser Zeit sehen manche Server noch die alten Einstellungen, andere schon die neuen. Mehr dazu liest du im Kapitel Wie DNS funktioniert.
Welche häufigen Fehler gibt es bei TXT-Records?
TXT-Records sind einfach hinzuzufügen, aber ein paar wiederkehrende Fehler bringen Menschen ins Straucheln.
- Den falschen Wert einfügen. TXT-Record-Werte sind oft lange Ketten zufälliger Zeichen. Fehlt ein Zeichen oder rutscht ein Leerzeichen hinein, funktioniert nichts mehr. Kopiere immer direkt aus dem Dienst, der dir den Wert gegeben hat
- Mehrere SPF-Records auf derselben Domain. Pro Domain darf es nur einen SPF-Record geben. Musst du mehrere Mailanbieter zulassen, fasse sie mit mehreren "include"-Anweisungen in einem einzigen SPF-Record zusammen. Zwei getrennte SPF-Records verursachen unvorhersehbares Verhalten und Zustellungsfehler
- Den Eintrag am falschen Hostnamen anlegen. Manche TXT-Records gehören an die Root-Domain (@), andere an eine bestimmte Subdomain wie "_dmarc" oder "selector._domainkey". Liegt der Eintrag am falschen Ort, findet ihn der Dienst, der danach sucht, nicht
- Das Speichern vergessen. Das klingt banal, aber in vielen DNS-Panels musst du nach dem Eintragen auf Speichern oder Bestätigen klicken. Schließt du die Seite vor dem Speichern, wird der Eintrag nicht angelegt
- Nicht auf die Propagierung warten. Nach dem Hinzufügen eines TXT-Records findet der Verifizierungsdienst ihn womöglich nicht sofort. Warte mindestens 15 bis 30 Minuten, bevor du die Prüfung wiederholst
Was passiert, wenn TXT-Records falsch sind oder fehlen?
Die Folgen hängen davon ab, welcher TXT-Record betroffen ist.
- Wenn dein SPF-Record fehlt oder falsch ist, landen deine E-Mails häufiger im Spam. Empfangende Server können nicht bestätigen, dass dein Mailserver berechtigt ist, und gehen auf Nummer sicher
- Wenn dein DKIM-Record fehlt, haben deine E-Mails keine prüfbare Signatur. Manche Empfänger akzeptieren sie trotzdem, aber Spam-Filter werden misstrauischer
- Wenn dein DMARC-Record fehlt, hast du keine Kontrolle darüber, was mit E-Mails passiert, die SPF- oder DKIM-Prüfungen nicht bestehen. Jeder empfangende Server entscheidet selbst
- Wenn ein Verifizierungs-TXT-Record entfernt wird, kann der Dienst, der ihn verlangt hat, deinen Zugriff widerrufen oder eine Warnung anzeigen, dass die Domain-Inhaberschaft nicht mehr bestätigt ist
Keines dieser Probleme legt deine Website lahm. TXT-Records beeinflussen nicht, wie deine Website lädt oder wie Besucher sie erreichen. Fehlende oder fehlerhafte TXT-Records können aber die Zustellbarkeit deiner E-Mails und die Nutzung von Diensten, die an deine Domain gebunden sind, beeinträchtigen.
Wie WEMASY mit TXT-Records umgeht
Wenn du eine eigene Domain mit deiner WEMASY-Website verbindest, führt dich WEMASY durch die DNS-Einträge, die du hinzufügen musst. Verifizierst du deine Domain für Such-Tools, sagt dir WEMASY genau, welche TXT-Records du anlegen sollst, einschließlich Hostname und einzufügendem Wert. TXT-Records für E-Mail bekommst du von deinem eigenen E-Mail-Anbieter, denn das E-Mail-Hosting von WEMASY kommt bald.
WEMASY übernimmt SSL und Hosting auf seiner Seite, deshalb dienen die TXT-Records, die du hinzufügst, der Verifizierung und der E-Mail-Sicherheit und nicht dem Routing. Sind deine Einträge gesetzt und hat sich das DNS verbreitet, verbindet sich alles automatisch. Was in jedem Tarif enthalten ist, siehst du auf der Seite WEMASY Preise.
Wie geht es weiter?
Jetzt, da du weißt, wie TXT-Records für Verifizierung und E-Mail-Sicherheit funktionieren, behandelt das nächste Kapitel NS-Records. NS-Records steuern, welche Nameserver für die gesamte DNS-Zone deiner Domain zuständig sind, und bilden die Grundlage dafür, wie all deine anderen Einträge gefunden werden. Einen Überblick über alle Eintragstypen und wann du welchen nutzt, findest du im Kapitel zu DNS-Eintragstypen.
Häufig gestellte Fragen
Kann eine Domain mehrere TXT-Records haben?
Ja. Eine Domain kann gleichzeitig viele TXT-Records haben. Du hast vielleicht einen für SPF, einen für die Domain-Verifizierung und einen für DKIM auf einer Subdomain. Die einzige Ausnahme ist SPF. Pro Domain solltest du nur einen SPF-Record haben. Musst du mehrere Mailanbieter zulassen, fasse sie in einem einzigen SPF-Record zusammen. Mit dem Website-Builder von WEMASY kannst du das direkt auf deiner Website einrichten.
Beeinflusst ein TXT-Record, wie schnell deine Website lädt?
Nein. TXT-Records spielen beim Routing von Website-Traffic keine Rolle. Sie werden nur von Diensten gelesen, die gezielt danach suchen, etwa Mailserver, die SPF prüfen, oder Verifizierungs-Tools, die die Inhaberschaft prüfen. Die Geschwindigkeit deiner Website hängt von deinem A-Record, deinem Server und deinem Hosting-Setup ab, nicht von deinen TXT-Records.
Wie lange dauert es, bis ein TXT-Record wirkt?
Das hängt von der DNS-Propagierung und der TTL früherer Einträge ab. In den meisten Fällen ist ein neuer TXT-Record innerhalb von 15 bis 30 Minuten sichtbar. Die vollständige Verbreitung über alle DNS-Server weltweit kann bis zu 48 Stunden dauern, was bei neuen Einträgen, die vorher nicht existierten, aber selten vorkommt.
Wie lang darf der Wert eines TXT-Records sein?
Ein einzelner TXT-Record-String kann bis zu 255 Zeichen lang sein. Muss der Wert länger sein, wird er innerhalb desselben Eintrags in mehrere Strings aufgeteilt. Dein DNS-Anbieter übernimmt diese Aufteilung meist automatisch. Dienste, die lange TXT-Werte erzeugen, wie DKIM-Schlüssel, berücksichtigen diese Grenze, wenn sie den Eintrag für dich anlegen.
Brauchst du TXT-Records, wenn du keine E-Mails von deiner Domain sendest?
Es ist trotzdem sinnvoll. Auch wenn du keine E-Mails sendest, verhindert ein SPF-Record, der besagt, dass kein Server berechtigt ist (v=spf1 -all), dass Spammer deine Domain fälschen. Ohne E-Mail-Authentifizierungseinträge kann jeder E-Mails senden, die scheinbar von deiner Domain stammen, was deinem Ruf schaden kann.