Anleitung zur Einrichtung von Cloudblast DKIM, DMARC und SPF

Cloudblast ist ein Anbieter von Cloud-VPS-Hosting, kein E-Mail-Dienst. Das Unternehmen stellt Ihnen einen Server, eine öffentliche IP-Adresse und Root-Zugriff zur Verfügung, bietet jedoch keine Option zur Verknüpfung Ihrer Absenderdomain. Wenn Sie diesen VPS nutzen, um Ihren eigenen Mailserver zu betreiben – sei es über Postfix, ein Control Panel wie CyberPanel oder OpenPanel oder eine andere SMTP-Anwendung –, liegt die Einrichtung von SPF, DKIM und DMARC vollständig in Ihrer Verantwortung. In dieser Anleitung erfahren Sie, was Sie konfigurieren müssen, wo Sie die Konfiguration vornehmen und wie Sie überprüfen können, ob alles tatsächlich funktioniert.

Warum sollte man eine bei Cloudblast gehostete Domain authentifizieren?

Cloudblast positioniert sich im Bereich der reinen Infrastruktur: VPS-Tarife mit AMD EPYC-Prozessoren, integrierter DDoS-Schutz und stundenweise Abrechnung – speziell für Entwickler, die ihren eigenen Stack betreiben möchten. All dies umfasst jedoch keinen verwalteten E-Mail-Versanddienst. Wenn Sie also einen E-Mail-Server auf Ihre Cloudblast-Instanz verweisen – sei es für ein SaaS-Produkt, einen Support-Posteingang oder Transaktions-E-Mails –, erfolgt die Authentifizierung Ihrer Domain durch eine manuelle, einmalige DNS-Konfiguration und nicht durch den Host.

Wenn Sie SPF, DKIM und DMARC in einer selbst gehosteten Umgebung korrekt einrichten, erzielen Sie dieselben Ergebnisse wie bei jeder ordnungsgemäß authentifizierten Domain:

• Verhindert Identitätsbetrug: Erschwert es anderen, gefälschte E-Mails oder Phishing-E-Mails zu versenden, die den Anschein erwecken, als stammten sie von Ihrer Domain.
• Verbessert die Zustellung in den Posteingang: Gibt Gmail, Outlook und anderen Anbietern einen Grund, E-Mails zu vertrauen, die von einer VPS-IP-Adresse ohne bisherige Versandhistorie gesendet werden.
• Schützt Ihre Absenderreputation: Da VPS-IP-Adressen neu vergeben oder zuvor von jemand anderem genutzt worden sein können, hilft Ihnen die Kombination aus Authentifizierung und Überwachung dabei, Reputationsprobleme frühzeitig zu erkennen.
• So sehen Sie, wer wirklich die E-Mails versendet: Die DMARC-Berichte zeigen alle Absender auf, die Ihre Domain zum Versenden von E-Mails nutzen. Das ist wichtig, wenn nicht nur Ihr Cloudblast-Server unter diesem Namen E-Mails versendet.

Schritte zur Konfiguration von SPF und DKIM für einen von Cloudblast gehosteten E-Mail-Server

Dafür gibt es keine Schaltfläche im Dashboard. Sie müssen direkt bei Ihrem DNS-Anbieter und in der E-Mail-Software, die auf dem VPS läuft, arbeiten.

Schritt 1: Richten Sie Ihre Domain auf den Server aus

Legen Sie einen Hostnamen für ausgehende E-Mails fest, zum Beispiel mail.yourdomain.com, und verwenden Sie diesen in Ihrer gesamten Konfiguration einheitlich.

1. Fügen Sie einen A-Eintrag hinzu, der mail.yourdomain.com auf die IPv4-Adresse verweist, die Cloudblast Ihrer Instanz zugewiesen hat. Fügen Sie außerdem einen AAAA-Eintrag hinzu, wenn Sie über IPv6 versenden.

2. Legen Sie in Ihrem Cloudblast-Kontrollpanel den PTR-Eintrag (Reverse-DNS) für diese IP-Adresse auf denselben Hostnamen fest, sodass eine Abfrage der IP-Adresse zu mail.yourdomain.com führt.

3. Verwenden Sie denselben Hostnamen in der SMTP-Anfrage (EHLO/HELO) Ihres Mail-Servers, damit er mit den im DNS veröffentlichten Angaben übereinstimmt.

All dies wird zwar nicht direkt durch SPF, DKIM oder DMARC überprüft, doch ein nicht übereinstimmender oder fehlender PTR-Eintrag ist ein häufiger Grund dafür, dass E-Mails von einem selbst gehosteten Server abgelehnt oder gefiltert werden, noch bevor die Authentifizierung überhaupt zum Tragen kommt.

Schritt 2: Konfigurieren Sie Ihren Cloudblast-SPF-Eintrag

Ihr SPF-Eintrag muss die spezifische IP-Adresse autorisieren, von der aus Ihr Cloudblast-Server E-Mails versendet, da es keinen von Cloudblast bereitgestellten Mechanismus gibt, auf den Sie zurückgreifen können.

1. Führen Sie alle IP-Adressen (IPv4 und IPv6) auf, von denen aus E-Mails im Namen dieser Domain versendet werden. Wenn Sie nur einen VPS betreiben, ist das in der Regel nur eine Adresse.

2. Überprüfen Sie, ob für Ihre Domain bereits ein SPF-Eintrag vorhanden ist. Falls ja, fügen Sie Ihre Cloudblast-IP-Adresse hinzu. Eine Domain kann nur einen SPF-Eintrag haben; veröffentlichen Sie daher niemals einen zweiten TXT-Eintrag neben einem bereits vorhandenen.

3. Legen Sie in Ihrem E-Mail-Programm den Absender des Umschlags (Return-Path) auf eine Domain fest, die Sie kontrollieren, beispielsweise yourdomain.com oder eine Subdomain wie bounce.yourdomain.com. Dadurch wird sichergestellt, dass SPF für DMARC-Zwecke mit der sichtbaren „Von“-Adresse übereinstimmt.

4. Sobald Sie die vollständige Liste der Absender überprüft haben, schließen Sie den Datensatz mit -all. Verwenden Sie in der Zwischenzeit ~all, wenn Sie noch überprüfen, ob Sie alles erfasst haben.

Beispiel für einen SPF-Eintrag:

yourdomain.com. TXT „v=spf1 ip4:198.51.100.10 -all“

Falls auch andere Tools E-Mails unter Ihrer Domain versenden, wie beispielsweise ein CRM-System oder eine Marketingplattform, sollten Sie deren Mechanismen im selben Eintrag erfassen. SPF erlaubt bis zu 10 DNS-Abfragen für Mechanismen wie „include“, doch ein direkter IPv4- oder IPv6-Eintrag – wie er typischerweise für einen einzelnen VPS verwendet wird – wird nicht auf dieses Limit angerechnet.

Wenn Sie mehrere Absenderquellen verwalten und sich dem Limit nähern, lohnt es sich, einen Blick auf unsere Hosted-SPF-Lös ung zu werfen. Mit dem SPF-Checker von PowerDMARC können Sie Ihren aktuellen Eintrag überprüfen.

Schritt 3: Konfigurieren Sie Ihren Cloudblast-DKIM-Eintrag

DKIM muss in Ihrer E-Mail-Software generiert werden, da es keinen von Cloudblast ausgestellten Schlüssel gibt, den Sie kopieren könnten.

1. Erstellen Sie ein Schlüsselpaar mit dem Signatur-Tool Ihres E-Mail-Servers (OpenDKIM wird häufig mit Postfix verwendet, und die meisten Control Panels verfügen über einen integrierten DKIM-Manager). Derzeit wird ein 2048-Bit-RSA-Schlüssel empfohlen, sofern Ihr DNS-Anbieter die daraus resultierende Eintragslänge unterstützt.

2. Wählen Sie einen Selektor-Namen aus, der Teil des DNS-Eintrags wird. Ein leicht zu identifizierender Name eignet sich gut, zum Beispiel „dkim2026“.

3. Veröffentlichen Sie die öffentliche Hälfte des Schlüssels als TXT-Eintrag, ohne Zeilenumbrüche oder überflüssige Anführungszeichen, die beim Kopieren aus einem Terminal übrig geblieben sind.

Beispiel für einen DKIM-Eintrag:

dkim2026._domainkey.yourdomain.com. TXT „v=DKIM1; k=rsa; p=[Ihr öffentlicher Schlüssel]“

4. Konfigurieren Sie Ihr E-Mail-Programm so, dass jede ausgehende Nachricht mit „d=yourdomain.com“ und „s=dkim2026“ signiert wird, wobei die Angaben genau mit den von Ihnen veröffentlichten übereinstimmen müssen.

Beschränken Sie die Verwendung des privaten Schlüssels auf den Prozess, der Ihre E-Mails signiert, und wechseln Sie den Selektor, sobald Sie den Verdacht haben, dass er offengelegt wurde. Ein Eintrag, der im DNS korrekt aufgelöst wird, bestätigt lediglich, dass der öffentliche Schlüssel veröffentlicht ist; er bestätigt jedoch nicht, dass Ihr Server tatsächlich mit dem passenden privaten Schlüssel signiert, weshalb ein Test mit einer echten Nachricht nach wie vor wichtig ist.

Sie können den Eintrag selbst mit dem DKIM-Checker von PowerDMARC überprüfen.

Schritte zur Aktivierung eines DMARC-Eintrags für Ihre Cloudblast-Domain

Cloudblast hat überhaupt nichts mit DMARC zu tun; der DMARC-Eintrag wird unabhängig auf Domain-Ebene veröffentlicht und gilt für jede Quelle, die E-Mails unter dieser Domain versendet – nicht nur für Ihren VPS. Erstellen Sie einen solchen Eintrag mit dem kostenlosen DMARC-Eintragsgenerator von PowerDMARC, anstatt die Syntax von Hand zu schreiben.

1. Richten Sie ein E-Mail-Postfach für den Empfang von Zusammenfassungsberichten ein, falls Sie noch keines haben, z. B. [email protected].

2. Beginnen Sie mit der Einstellung „p=none“. Die drei Optionen haben folgende Auswirkungen:

• p=none (Monitor): E-Mails werden wie gewohnt zugestellt, während Sie Berichte darüber erfassen, wer unter Ihrer Domain E-Mails versendet.
• p=Quarantäne (Stufe): Nicht authentifizierte E-Mails werden in den Spam-Ordner weitergeleitet.
• p=reject (Durchsetzen): Nicht authentifizierte E-Mails werden sofort blockiert.

3. Geben Sie Ihre Meldeadresse in das Feld „rua“ ein.

4. Veröffentlichen Sie den generierten Wert als einzelnen TXT-Eintrag unter _dmarc.yourdomain.com. Falls dort bereits ein DMARC-Eintrag aus einer früheren Konfiguration vorhanden ist, ersetzen Sie diesen, anstatt einen zweiten hinzuzufügen.

Beispiel für einen Datensatz im Überwachungsmodus:

_dmarc.yourdomain.com. TXT „v=DMARC1; p=none; rua=mailto:[email protected]“

Da sowohl Ihr Absender-Umschlag als auch der DKIM-d=-Wert gemäß den Schritten 2 und 3 auf Ihre eigene Domain verweisen, ist ein selbst gehosteter Cloudblast-Server in der Regel gut aufgestellt, um DMARC mit beiden Methoden zu bestehen. Wechseln Sie jedoch nicht sofort zu „p=reject“, bevor Sie dies anhand realer Daten überprüft haben. Falls Ihre Domain aufgrund einer früheren Konfiguration bereits auf „p=quarantine“ oder „p=reject“ eingestellt ist, behalten Sie diese Richtlinie bei, während Sie die Authentifizierung speziell für den Cloudblast-Server korrigieren.

Überprüfen Sie Ihre Einrichtung

Überprüfen Sie die DNS-Einträge

Überprüfen Sie Ihre SPF-, DKIM-, DMARC-, A- und PTR-Einträge, um sicherzustellen, dass sie korrekt veröffentlicht wurden und keine Tippfehler enthalten. Mit dem Domain Analyzer von PowerDMARC können Sie SPF, DKIM und DMARC in einem Durchgang gemeinsam überprüfen.

Eine echte Test-E-Mail versenden

Ein Eintrag, der im DNS aufgelöst wird, beweist noch nicht, dass Ihr Server diesen auch tatsächlich nutzt. Senden Sie eine echte Nachricht über dieselbe Anwendung und mit denselben Anmeldedaten, die auch Ihr Produktions-E-Mail-System verwendet – und nicht über einen separaten Desktop-E-Mail-Client, der einen völlig anderen Weg nehmen würde.

Die Authentifizierungsergebnisse lesen

Öffnen Sie die Nachrichten-Header und überprüfen Sie, ob „spf=pass“, „dkim=pass“ und „dmarc=pass“ vorhanden sind. Vergewissern Sie sich, dass die „header.from“-Zeilen sowohl mit „smtp.mailfrom“ (SPF) als auch mit „header.d“ (DKIM) übereinstimmen. Wenn Sie die Roh-Header lieber nicht selbst auswerten möchten, übernimmt der E-Mail-Header-Analysator von PowerDMARC dies für Sie.

Sollte beim ersten Versuch etwas fehlschlagen, warten Sie 24 bis 48 Stunden, bis sich die DNS-Änderungen durchgesetzt haben, bevor Sie weitere Fehlerbehebungsmaßnahmen ergreifen; ein gerade veröffentlichter Eintrag ist nicht sofort überall sichtbar.

Häufig gestellte Fragen

Inwiefern unterscheidet sich diese Konfiguration von der Einrichtung von SPF, DKIM und DMARC auf einer E-Mail-Plattform?

Auf einer Plattform wie Kit oder Twikey generiert der Anbieter die SPF-Include- und DKIM-CNAME-Werte für Sie, und Sie müssen diese lediglich in das DNS kopieren. Bei Cloudblast gibt es keinen entsprechenden Bildschirm. Sie müssen das DKIM-Schlüsselpaar selbst generieren und die Absender-IP festlegen, da Cloudblast lediglich den Server hostet, die E-Mail-Anwendung darauf jedoch nicht ausführt.

Ich habe den Schritt mit dem Reverse-DNS (PTR) übersprungen und nur SPF, DKIM und DMARC eingerichtet. Funktioniert die Authentifizierung trotzdem?

SPF, DKIM und DMARC werden weiterhin wie gewohnt ausgewertet, da keines der drei Protokolle PTR-Einträge direkt überprüft. Allerdings lehnen einige E-Mail-Anbieter Verbindungen von einer IP-Adresse ab oder filtern diese stark, wenn deren Reverse-DNS nicht zu einem passenden Hostnamen auflöst. Daher kann E-Mail auch dann bereits in der Verbindungsphase markiert oder blockiert werden, wenn alle drei Einträge korrekt veröffentlicht wurden.

Ich betreibe mehrere Domains auf demselben Cloudblast-VPS. Können sie alle denselben DKIM-Selektor verwenden?

Selektoren sind im DNS domänengebunden (selector._domainkey.yourdomain.com), sodass derselbe Selektorname technisch gesehen ohne Konflikte für verschiedene Domänen wiederverwendet werden kann, solange jede Domäne ihren eigenen passenden öffentlichen Schlüssel veröffentlicht. Entscheidend ist, dass der Wert „d=“ in jeder signierten Nachricht mit der Domäne übereinstimmt, in deren DNS der Schlüssel dieses Selektors gespeichert ist.

In meinem SPF-Eintrag sind bereits andere Dienste (wie ein CRM- oder Support-Tool) aufgeführt. Würde das Hinzufügen meiner Cloudblast-IP-Adresse diese beeinträchtigen?

Nein, solange Sie den bestehenden Eintrag bearbeiten, anstatt einen zweiten SPF-TXT-Eintrag beim selben Host zu veröffentlichen. Fügen Sie Ihre Cloudblast-IP als zusätzlichen IPv4-Mechanismus neben den bereits vorhandenen hinzu. Der Grund für einen SPF-Fehler ist, dass eine Domain zwei separate SPF-Einträge enthält – nicht, dass ein Eintrag mehrere Mechanismen umfasst.

Wie schnell nach der Veröffentlichung meines DMARC-Eintrags wird meine Cloudblast-IP-Adresse in den Gesamtberichten angezeigt?

Die meisten großen Empfänger versenden aggregierte (RUA-)Berichte in einem Batch-Zyklus von etwa 24 Stunden. Rechnen Sie daher mit mindestens einem Tag, bis Ihr erster Bericht eintrifft, und möglicherweise mit einer längeren Wartezeit, je nachdem, wie hoch das E-Mail-Aufkommen ist, das dieser Empfänger von Ihrer Domain erhält.

Muss ich die Authentifizierung nach der Ersteinrichtung weiterhin regelmäßig überprüfen, oder ist dies eine einmalige Aufgabe?

Man sollte dies als fortlaufenden Prozess betrachten. Eine VPS-Konfiguration kann sich unbemerkt verändern: Eine IP-Adresse wird während einer Migration neu zugewiesen, ein DKIM-Selektor wird rotiert oder jemand bearbeitet einen DNS-Eintrag manuell – und nichts davon führt zum Zeitpunkt des Versands zu einer Fehlermeldung. Durch die regelmäßige Überprüfung der DMARC-Gesamtberichte können Sie solche Abweichungen erkennen, bevor sie sich auf die Zustellbarkeit auswirken.

Abschließende Worte

Wenn Sie E-Mails auf einem Cloudblast-VPS selbst hosten, haben Sie die volle Kontrolle über Ihre Versandinfrastruktur – das bedeutet jedoch auch, dass die Konfiguration und Überwachung von SPF, DKIM und DMARC vollständig in Ihrer Verantwortung liegt. Wenn Sie eine zweite Meinung zu Ihren Richtlinien wünschen, einen Weg von der Überwachung bis zur Durchsetzung suchen oder fortlaufende Benachrichtigungen erhalten möchten, sobald sich etwas ändert, steht Ihnen das PowerDMARC-Team gerne zur Seite.

Nehmen Sie Kontakt mit uns auf oder vereinbaren Sie eine Demo mit PowerDMARC, um zu erfahren, wie die kontinuierliche Authentifizierungsüberwachung bei einer selbstverwalteten Konfiguration wie dieser funktioniert.

• Über
• Neueste Beiträge

Ayan Bhuiya

Schichtleiter, Experte für Infrastruktur und E-Mail-Sicherheit bei PowerDMARC

Ayan Bhuiya verfügt über mehr als 13 Jahre Erfahrung im Bereich Cybersicherheit und ist spezialisiert auf Infrastruktur, Geschäftskontinuität, Risikomanagement und E-Mail-Sicherheit. Derzeit ist er als Shift Lead bei PowerDMARC tätig. Er hat ein Postgraduierten-Diplom in Netzwerken und Sicherheit und verfügt über eine nachgewiesene Erfolgsbilanz bei der Leitung strategischer Sicherheitsinitiativen zur Abschwächung von Bedrohungen und zur Gewährleistung der Widerstandsfähigkeit von Unternehmen.

Neueste Beiträge von Ayan Bhuiya (alle anzeigen)

• Anleitung zur Einrichtung von Cloudblast DKIM, DMARC und SPF – 12. August 2026
• So richten Sie SPF, DKIM und DMARC bei Beehiiv ein [2026] – 7. Juli 2026
• Leitfaden zur Behebung von Microsoft-Fehlercodes und zur Fehlerbehebung – 22. Juni 2026