SPF, DKIM und DMARC bei Strato einrichten: Schritt für Schritt
Domain bei Strato: der Klickweg zur DNS-Verwaltung, die vordefinierten SPF- und DMARC-Regeln, eigene TXT-Einträge mit Präfix und Wert — und wie DKIM bei Strato funktioniert.
Bei Strato liegen SPF, DKIM und DMARC im Kunden-Login unter Domains → Domainverwaltung → Zahnrad der Domain → Reiter „DNS“ → „TXT- und CNAME-Records verwalten“. Strato bietet dort vordefinierte SPF- und DMARC-Regeln an; wer eigene Werte braucht (etwa für Microsoft 365, Google Workspace oder einen Newsletter-Dienst), wählt „Keine STRATO SPF-Regel“ bzw. „Keine STRATO-DMARC-Regel“ und trägt einen eigenen TXT-Eintrag ein. DKIM signiert Strato für Post über den eigenen Mailserver automatisch.
Das gilt für Domains, deren Nameserver bei Strato liegen (der Normalfall). Wer die Domain bei Strato hat, das DNS aber z. B. bei Cloudflare verwaltet, setzt dieselben Werte dort.
Schritt 1: Die DNS-Verwaltung öffnen
- Im Strato Kunden-Login auf Domains → Domainverwaltung.
- Bei der gewünschten Domain auf das Zahnrad-Symbol klicken.
- Den Reiter „DNS“ öffnen und auf „TXT- und CNAME-Records verwalten“ klicken.
- Jede Änderung mit „Einstellung übernehmen“ speichern.
Schritt 2: SPF
Strato bietet vordefinierte SPF-Regeln für den eigenen Mailserver an (in der Spam-FAQ als „Standard STRATO Mailserver“ bezeichnet, mit Fail- und Softfail-Variante). Versenden Sie ausschließlich über Strato-Postfächer, genügt diese Auswahl. Sobald ein zweiter Dienst mit Ihrer Domain sendet, brauchen Sie einen eigenen Eintrag: „Keine STRATO SPF-Regel“ aktivieren, Präfix leer lassen, Typ TXT, und als Wert alle Versender in EINEM Eintrag nennen:
ihre-domain.dev=spf1 include:_spf.strato.com -allWie der Wert für mehrere Dienste aussieht und warum es nur einen SPF-Eintrag geben darf, steht in SPF-Eintrag erstellen und Mehrere Versanddienste in einem SPF.
Schritt 3: DKIM
Für Post, die über die Strato-Mailserver (smtp.strato.de) geht, signiert Strato laut eigener FAQ alle ausgehenden Mails automatisch mit DKIM — es ist nichts einzutragen und nichts zu aktivieren. Der öffentliche Schlüssel liegt unter dem Selektor strato-dkim-0002 (per DNS geprüft: strato-dkim-0002._domainkey.strato.de). Nutzen Sie einen externen Versanddienst (Newsletter, Shop, Microsoft 365, Google Workspace), signiert dieser selbst — dann legen Sie dessen DKIM-Einträge (meist CNAME) im selben Formular an: Präfix z. B. selector1._domainkey, Typ CNAME, Wert wie vom Dienst vorgegeben.
Schritt 4: DMARC
Laut Strato ist DMARC für Domains mit Strato-DNS bereits aktiviert: Im DNS-Reiter ist die „STRATO-DMARC-Regel“ vorausgewählt. Welche Richtlinie sie genau setzt, nennt die FAQ nicht — prüfen Sie den tatsächlichen Wert von außen (unten). Für eine eigene Regel — etwa mit Berichtsadresse, wie es der Stufenplan vorsieht — wählen Sie „Keine STRATO-DMARC-Regel“ und tragen ein:
_dmarc.ihre-domain.dev=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.deWas jeder Parameter bedeutet, steht in DMARC-Eintrag erklärt.
Schritt 5: Warten und von außen prüfen
Strato nennt bis zu 24 Stunden, bis DNS-Änderungen vollständig aktiv sind; meist geht es schneller. Danach die ganze Kette einmal von außen prüfen — SPF-Syntax, DKIM-Auffindbarkeit, DMARC-Richtlinie — statt sich auf die Anzeige im Formular zu verlassen. Ergänzend eine Testmail an ein Gmail-Postfach senden und dort „Original anzeigen“ öffnen: spf=pass, dkim=pass, dmarc=pass.
Häufige Fragen
Wo finde ich bei Strato die DNS-Einstellungen?
Im Kunden-Login unter Domains → Domainverwaltung, dann beim Zahnrad der Domain den Reiter „DNS“ öffnen. TXT- und CNAME-Einträge liegen hinter „TXT- und CNAME-Records verwalten“, MX-Einträge daneben unter „MX-Record“.
Welchen SPF-Eintrag brauche ich für Strato-Postfächer?
Entweder die vordefinierte Strato-SPF-Regel im DNS-Reiter oder als eigener Eintrag v=spf1 include:_spf.strato.com -all. Sobald ein weiterer Dienst mit Ihrer Domain versendet, muss er in DENSELBEN Eintrag — ein zweiter SPF-Eintrag daneben macht die Prüfung ungültig.
Muss ich DKIM bei Strato selbst einrichten?
Für Post über die Strato-Mailserver nicht — Strato signiert automatisch. Eigene DKIM-Einträge brauchen Sie nur für externe Versanddienste (Newsletter, Shop, Microsoft 365, Google Workspace); deren CNAME- oder TXT-Werte tragen Sie im selben Formular ein.
Wie lege ich bei Strato einen DMARC-Eintrag an?
Im DNS-Reiter „Keine STRATO-DMARC-Regel“ wählen, dann Präfix _dmarc, Typ TXT und als Wert z. B. v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de eintragen und mit „Einstellung übernehmen“ speichern. Bis zu 24 Stunden warten, dann von außen prüfen.
Kann ich die Domain bei Strato lassen und nur das DNS woandershin geben?
Ja — dafür stellen Sie die Nameserver der Domain auf den neuen DNS-Anbieter um (z. B. Cloudflare). Die Domain bleibt bei Strato registriert, die Einträge verwalten Sie dann dort. Vor dem Umzug die bestehende Zone vollständig abschreiben und die DKIM-CNAMEs für Strato-Postfächer nicht vergessen.
Welche Nameserver hat meine Strato-Domain, und warum ist das wichtig?
Die Nameserver stehen im Kunden-Login bei der Domain (Reiter DNS bzw. Nameserver-Einstellungen) — bei Strato-Domains normalerweise die Strato-eigenen. Nur dann greifen die Strato-Regeln für SPF, DKIM und DMARC aus dieser Anleitung; zeigen die Nameserver auf einen anderen Anbieter, tragen Sie die Werte dort ein.