← Alle Artikel

SPF, DKIM und DMARC bei Hetzner einrichten: konsoleH und Hetzner Console

Webhosting oder Managed Server bei Hetzner: DKIM mit einem Klick in der konsoleH-Mailsicherheit, der automatische Standard-SPF, der DMARC-Eintrag von Hand — und wo die DNS-Einträge liegen, je nachdem ob konsoleH oder die Hetzner Console die Zone verwaltet.

6 Min. Lesezeit · Stand 7. September 2026

Bei Hetzner-Webhosting und Managed Servern erledigen Sie DKIM und SPF in der konsoleH unter Mailsicherheit: „DKIM aktivieren“ erzeugt das Schlüsselpaar, und wenn die konsoleH-Nameserver die Domain verwalten, setzt Hetzner den DNS-Eintrag und einen Standard-SPF automatisch. Nur DMARC legen Sie selbst als TXT-Eintrag _dmarc an — in der DNS-Verwaltung der konsoleH oder, wenn die Zone dort liegt, in der Hetzner Console unter DNS.

Zwei Oberflächen, das ist die Stolperfalle: Die konsoleH gehört zum Webhosting (Postfächer, Mailsicherheit, DNS-Verwaltung der Hosting-Domains); die Hetzner Console verwaltet Cloud-Server und DNS-Zonen von Domains, die nicht über die konsoleH-Nameserver laufen. Prüfen Sie zuerst, welche Nameserver Ihre Domain hat — dann wissen Sie, wo die Einträge hingehören.

Schritt 1: DKIM in der konsoleH aktivieren

• In der konsoleH das Hosting-Paket öffnen und zur Mailsicherheit wechseln (Hetzner-Docs: „Über die Einstellungen zur Mailsicherheit kannst du verhindern, dass deine Domain für gefälschte Absenderadressen verwendet wird“).
• „DKIM aktivieren“ klicken — Hetzner erzeugt laut Docs automatisch ein Schlüsselpaar und speichert es auf dem Mailserver.
• Nutzt die Domain die konsoleH-Nameserver, wird der öffentliche Schlüssel automatisch ins DNS gesetzt.
• Bei externen Nameservern: den in der konsoleH angezeigten TXT-Eintrag von Hand beim DNS-Anbieter anlegen (Name und Wert exakt übernehmen).

Schritt 2: SPF

Bei Verwendung der konsoleH-Nameserver setzt Hetzner laut Docs automatisch einen Standard-SPF-Eintrag für die eigenen Mailserver. Sehen Sie ihn sich in der DNS-Verwaltung an (TXT-Eintrag, beginnt mit v=spf1) und übernehmen Sie ihn als Basis. Hetzner warnt ausdrücklich: Wer über externe Dienste versendet, die nicht im Eintrag stehen, bekommt Zustellprobleme — dann die Dienste ergänzen, im selben Eintrag:

Bei externen Nameservern gibt es keinen Automatismus: Dort legen Sie den SPF-Eintrag selbst an, mit den Servern, die in Ihrem Namen senden (Anleitung).

Schritt 3: DMARC

DMARC wird laut Hetzner-Docs als TXT-Eintrag unter _dmarc konfiguriert; Hetzner nennt v=DMARC1; p=none als Beispiel und legt ihn nicht automatisch an. Ergänzen Sie eine Berichtsadresse, damit Sie sehen, wer in Ihrem Namen sendet:

Schritt 4: Wo der Eintrag hingehört

• konsoleH-Nameserver: in der konsoleH auf den Hosting-Namen klicken → DNS-Verwaltung → DNS-Einträge; dort den TXT-Eintrag anlegen. Hetzner nennt bis zu 24 Stunden, bis Änderungen weltweit wirksam sind.
• Hetzner Console (Zone dort): links im Menü „DNS“ → Zone auswählen → Record hinzufügen, unter „Typ“ TXT wählen, Felder ausfüllen, „Hinzufügen“.
• Fremde Nameserver (z. B. Cloudflare): dieselben Werte dort eintragen — siehe Mail-Einträge bei Cloudflare.

Schritt 5: Prüfen

Nach dem Setzen die Domain von außen prüfen — SPF-Syntax, DKIM-Selektor, DMARC — und eine Testmail an ein Gmail-Postfach schicken: „Original anzeigen“ muss spf=pass, dkim=pass, dmarc=pass zeigen. Das ist auch der Weg, den erzeugten Selektor zu bestätigen.