Netcup DKIM einrichten – DomainKey Schritt für Schritt

Wenn deine Mails von einer Netcup-Domain regelmäßig im Spam landen, fehlt in den allermeisten Fällen die DKIM-Signatur. Der Grund, warum das bei Netcup häufiger schiefgeht als anderswo: Der Schlüssel wird an einer Stelle erzeugt und muss an einer anderen eingetragen werden. Plesk generiert ihn, aber die DNS-Zone liegt im Customer Control Panel. Wer das nicht weiß, aktiviert DKIM in Plesk, freut sich — und wundert sich, dass sich nichts ändert.

Diese Anleitung geht den kompletten Weg durch: Schlüssel erzeugen, Public Key auslesen, DNS-Eintrag anlegen, mit SPF und DMARC ergänzen und am Ende prüfen, ob es wirklich funktioniert.

Kurz vorab: DKIM oder DomainKey?

Beides meint praktisch dasselbe. DomainKeys war der Vorgänger-Standard von Yahoo und ist seit Jahren abgelöst. Aktuell ist DKIM (DomainKeys Identified Mail). Der alte Name hält sich trotzdem hartnäckig — unter anderem, weil der DNS-Hostname des Schlüssels bis heute default._domainkey lautet. Wenn du also nach „netcup domainkey“ gesucht hast: Du bist hier richtig.

Was DKIM tut: Dein Mailserver signiert jede ausgehende Nachricht kryptografisch. Der Empfänger holt sich den passenden öffentlichen Schlüssel aus deiner DNS-Zone und prüft damit zwei Dinge — dass die Mail wirklich von deiner Domain stammt und dass sie unterwegs nicht verändert wurde.

Was du brauchst

• Ein Netcup-Paket, das Mails versendet (Webhosting, VPS oder Root-Server)
• Zugang zum Customer Control Panel (CCP) — dort liegt die DNS-Zone
• Zugang zu Plesk, falls du Webhosting nutzt
• Etwa 20 Minuten, plus Wartezeit für die DNS-Propagation

Schritt 1: DKIM in Plesk aktivieren

Melde dich in Plesk an (beim Webhosting erreichst du es über das CCP oder direkt über die Server-Adresse deines Pakets). Dann:

1. Zum Abonnement bzw. zur Domain wechseln, um die es geht
2. Im Menü Mail → E-Mail-Einstellungen öffnen
3. Die Option zur DKIM-Signierung ausgehender Nachrichten aktivieren
4. Speichern

Plesk erzeugt in diesem Moment ein Schlüsselpaar: Der private Schlüssel bleibt auf dem Server und signiert deine Mails, der öffentliche gehört ins DNS.

Hinweis: Plesk-Oberflächen unterscheiden sich je nach Version leicht in der Beschriftung. Such nach dem Stichwort „DKIM“ in den Mail-Einstellungen — es ist immer dort angesiedelt.

Schritt 2: Public Key auslesen

Plesk zeigt nach dem Aktivieren den fertigen DNS-Eintrag an, oft als Hinweis direkt unter der Option oder in der DNS-Einstellungsübersicht der Domain. Der Wert sieht ungefähr so aus:

v=DKIM1; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC7Vd8s...

Der Teil nach p= ist der eigentliche Schlüssel — ein langer Base64-Block, typischerweise 200 bis 400 Zeichen. Kopiere ihn vollständig und ohne Zeilenumbrüche. Genau hier entstehen die meisten Fehler: Wenn die Oberfläche den Schlüssel umbricht, darfst du diese Umbrüche nicht mit übernehmen.

Falls Plesk den Wert in Anführungszeichen oder mit Klammern anzeigt: Diese gehören nicht in den DNS-Eintrag, nur der Inhalt.

Schritt 3: TXT-Record im CCP anlegen

Jetzt in das Customer Control Panel wechseln. Dort:

1. Den Bereich Domains öffnen
2. Die betreffende Domain auswählen
3. In die DNS-Verwaltung wechseln (je nach Ansicht „DNS“ oder „DNS-Einstellungen“)
4. Einen neuen Eintrag hinzufügen mit diesen Werten:

Speichern nicht vergessen. Ab jetzt läuft die DNS-Propagation — üblicherweise sind die Einträge nach wenigen Minuten bis zwei Stunden sichtbar, in Einzelfällen dauert es bis zu 24 Stunden.

Schritt 4: SPF und DMARC ergänzen

DKIM allein reicht heute nicht mehr. Gmail und Microsoft 365 erwarten das komplette Trio. Beide folgenden Einträge legst du genauso im CCP an:

SPF-Record

Diese Variante erlaubt den Versand über die in MX und A hinterlegten Server. Versendest du zusätzlich über einen externen Dienst — etwa einen Newsletter-Anbieter —, muss dessen include: mit rein. Wichtig: Pro Domain darf es nur einen SPF-Record geben. Zwei SPF-Einträge machen die Prüfung ungültig.

DMARC-Record

Starte bewusst mit p=none. In diesem Modus wird nichts abgewiesen, du bekommst aber Reports an die angegebene Adresse und siehst, ob alles sauber signiert wird. Erst wenn das über ein paar Wochen stabil läuft, kannst du auf p=quarantine und später p=reject verschärfen. Wer sofort mit reject startet, sperrt im Zweifel eigene legitime Mails aus.

Schritt 5: Prüfen, ob es funktioniert

Warte die Propagation ab und schick dann eine Testmail an ein Gmail- oder Outlook-Postfach.

In Gmail: Mail öffnen → Drei-Punkte-Menü → Original anzeigen. Oben stehen SPF, DKIM und DMARC mit ihrem Ergebnis. Alle drei sollten PASS zeigen.

Alternativ per Kommandozeile prüfen, ob der Record überhaupt ausgeliefert wird:

dig +short TXT default._domainkey.deinedomain.de

Kommt hier der Schlüssel zurück, ist der DNS-Teil erledigt. Bleibt die Ausgabe leer, ist entweder die Propagation noch nicht durch oder der Host wurde falsch gesetzt (siehe Hinweis in Schritt 3).

Wenn es nicht klappt: die drei häufigsten Ursachen

1. Zeilenumbruch im Schlüssel. Der Base64-Block nach p= muss zusammenhängend sein. Beim Kopieren aus einer schmalen Oberfläche schleichen sich gerne Umbrüche oder Leerzeichen ein.
2. Falscher Host. Nur default._domainkey, nicht die volle Domain anhängen.
3. Zwei SPF-Records. Häufig existiert schon ein alter SPF-Eintrag. Kommt ein zweiter dazu, schlägt die Prüfung fehl — die Einträge müssen zu einem zusammengefasst werden.

Ein vierter, selteneren Fall: Manche Setups nutzen einen anderen Selector als default. Welcher es ist, steht immer in der DNS-Vorlage, die Plesk anzeigt — richte dich im Zweifel danach statt nach dieser Anleitung.

Auf VPS und Root-Server

Ohne Plesk erzeugst du den Schlüssel selbst. Mailserver-Pakete wie Mailcow, Mailu oder iRedMail bringen DKIM mit und zeigen den fertigen DNS-Eintrag in ihrer Oberfläche an. Auf einem manuell aufgesetzten Postfix nutzt du OpenDKIM.

Der DNS-Teil bleibt identisch: Public Key als TXT-Record unter default._domainkey ins CCP, dazu SPF und DMARC. Wenn du gerade erst mit einem eigenen Server anfängst, hilft dir unser Guide zur VPS-Grundeinrichtung beim Rest.

Fazit

Der eigentliche Stolperstein bei Netcup ist nicht DKIM selbst, sondern die Trennung zwischen Plesk und CCP. Sobald klar ist, dass der Schlüssel aus Plesk manuell in die DNS-Zone im CCP wandern muss, ist die Sache in zwanzig Minuten erledigt.

Nimm SPF und DMARC direkt mit — einzeln bringt jedes der drei Verfahren wenig, zusammen sind sie das, was Gmail und Outlook heute erwarten.