Was sind MX-Records? E-Mail-Routing erklärt

Wenn jemand eine Nachricht an you@example.com sendet, muss sein Mailserver zuerst eine Frage beantworten: Welcher Rechner nimmt Mails für example.com an? Der MX-Record ist die Antwort.

MX steht für Mail Exchange. Ohne einen solchen Record werden Mails an Ihre Domain abgewiesen — selbst wenn die Website einwandfrei funktioniert. Website-Records und Mail-Records sind völlig unabhängig voneinander.

Wie ein MX-Record aussieht

example.com.    3600    IN    MX    1     aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt1.aspmx.l.google.com.
example.com.    3600    IN    MX    5     alt2.aspmx.l.google.com.
example.com.    3600    IN    MX    10    alt3.aspmx.l.google.com.

Die Zahl vor dem Hostnamen ist die Priorität (manchmal Präferenz genannt). Alles andere ist ein Standard-Record.

Wie die Priorität tatsächlich funktioniert

Ein sendender Server sortiert Ihre MX-Records nach Priorität und probiert sie der Reihe nach durch. Verweigert der Host mit der niedrigsten Priorität die Verbindung oder läuft in einen Timeout, geht er zum nächsten über. Das ist echte Redundanz: Mails fließen weiter, während ein Server ausgefallen ist.

Records mit gleicher Priorität — die beiden 5-Einträge oben — werden lastverteilt. Der Absender wählt zufällig zwischen ihnen und verteilt das Volumen auf beide.

Die Regeln, die MX-Ziele befolgen müssen

• Das Ziel muss ein Hostname sein, keine IP-Adresse. MX 10 93.184.216.34 ist ungültig; verwenden Sie MX 10 mail.example.com. mit einem A-Record auf diesem Namen.
• Das Ziel darf kein CNAME sein. Die Spezifikation verlangt, dass MX-Ziele direkt zu Adress-Records auflösen. Manche Mailserver verweigern sonst die Zustellung. Siehe CNAME vs. A.
• Das Ziel braucht einen eigenen A- oder AAAA-Record. Ein MX, der auf einen nicht auflösenden Namen zeigt, ist dasselbe wie gar kein MX.

Null-MX: erklären, dass eine Domain keine Mails empfängt

Wird eine Domain nie E-Mails empfangen, sagen Sie das ausdrücklich mit einem einzigen MX-Record, der auf die Root-Zone zeigt:

example.com.    3600    IN    MX    0    .

Ein einzelner . als Ziel bedeutet: Diese Domain nimmt keine Mails an. Absender lehnen sofort mit einem dauerhaften Fehler ab, statt tagelang zu wiederholen, und die Domain wird zu einem weniger attraktiven Ziel für Spoofing. Es lohnt sich bei jeder Domain, die Sie besitzen und die nicht für E-Mail genutzt wird.

Was passiert, wenn es keinen MX-Record gibt

Der historische Rückfall besteht darin, dass Absender den A-Record der Domain versuchen und dort die Zustellung probieren. Sich darauf zu verlassen ist eine schlechte Idee: Das Verhalten variiert zwischen Mailservern, und zeigt Ihr A-Record auf einen Webserver oder ein CDN ohne Mail-Daemon, werden Nachrichten abgewiesen.

MX-Records sind nicht die ganze Geschichte

MX entscheidet, wohin Mails zugestellt werden. Drei weitere Records entscheiden, ob ihnen vertraut wird — und ohne sie landen Ihre legitimen Mails in Spam-Ordnern:

• SPF — ein TXT-Record, der auflistet, welche Server als Ihre Domain senden dürfen.
• DKIM — ein TXT-Record, der den Schlüssel veröffentlicht, mit dem Ihre ausgehenden Mails signiert werden.
• DMARC — ein TXT-Record, der Empfängern sagt, was zu tun ist, wenn SPF oder DKIM fehlschlägt.

Alle drei werden unter SPF, DKIM und DMARC erklärt behandelt. Ein vierter Faktor, Reverse DNS, ist für Server wichtig, die Mails direkt versenden.

Die Fehler, die Mails verlieren, und wie Sie sie erkennen

Eine MX-Fehlkonfiguration kündigt sich selten an. Mails hören nicht auf — sie werden weniger, kommen verspätet an, oder ein Absender beschwert sich, während alle anderen keine Probleme haben. Das sind die Muster, die man kennen sollte.

Records zeigen auf einen Anbieter, den Sie nicht mehr nutzen

Die mit Abstand häufigste Ursache rätselhaft fehlender Mails. Eine Migration lässt die MX-Records des alten Anbieters neben den neuen stehen, sodass Absender nach Priorität zwischen ihnen verteilen und ein Teil der Nachrichten in einem Postfach landet, das niemand liest. Symptom: Mails einiger Absender kommen an, die anderer verschwinden, ohne Bounce.

Das MX-Ziel hat keinen Adress-Record

Ein MX, der auf mail.example.com zeigt, obwohl dieser Name nicht auflöst, ist funktional identisch mit gar keinem MX. Absender weisen entweder sofort ab oder reihen ein und wiederholen tagelang, bevor sie aufgeben. Prüfen Sie immer, dass das Ziel auflöst, nicht nur, dass der MX-Record existiert.

Eine Firewall blockiert Port 25

Perfektes DNS, unerreichbarer Server. Eingehendes SMTP kommt auf Port 25 an, und Cloud-Anbieter blockieren ihn bei neuen Instanzen häufig standardmäßig. Die MX-Abfrage gelingt, die Verbindung kommt nie zustande, und Absender reihen stillschweigend ein.

Ihre MX-Records prüfen

dig +short example.com MX

Das Lookup-Tool liefert MX-Records bereits nach Priorität sortiert, wobei ein Null-MX ausdrücklich statt als verwirrender leerer Wert angezeigt wird — so lässt sich auf einen Blick bestätigen, dass Ihr Primärserver der erwartete ist.