Stand: Juli 2026

Zusammenfassung: Nach dieser Anleitung veröffentlicht deine Domain im CCP zwei DKIM-CNAME-Einträge, sodass Netcup deine Mails signieren und empfangende Server sie verifizieren können.

Diese Anleitung gilt für Netcup Webhosting. Auf vServern und Root-Servern signierst du mit deiner eigenen Mailserver-Software (z. B. Mailcow, OpenDKIM) und veröffentlichst deren Schlüssel selbst.

Voraussetzungen

Was ist DKIM?

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu — sie stellt sicher, dass die Mail nicht verändert wurde und vom rechtmäßigen Absender stammt. Der empfangende Server holt sich den öffentlichen Schlüssel aus dem DNS und prüft damit die Signatur.

Zur Einordnung: Während SPF den Server autorisiert, sichert DKIM die Nachricht. Erst zusammen mit DMARC ergibt das ein belastbares Fundament.

Die Ausgangslage bei Netcup

Wie beim SPF-Include arbeitet Netcup auch bei DKIM mit CNAME-Delegation: Du legst zwei CNAME-Einträge an, die auf Netcup-Zielhosts zeigen. Die eigentlichen Schlüssel liegen bei Netcup unter webhosting.systems — so kann Netcup sie rotieren, ohne dass du je wieder etwas anfassen musst.

Wichtig und leicht übersehen: Beide Einträge (key1 und key2) sind Pflicht. Netcup schreibt das ausdrücklich. Wer nur einen anlegt, bekommt keine vollständige DKIM-Absicherung.

Und derselbe Vorbehalt wie bei SPF gilt: Die Records funktionieren nur, wenn Standard-DNS genutzt wird und ausschließlich über die Netcup-Mailserver versendet wird — Versand über den Webserver (phpmail/sendmail) oder externe Server ist nicht abgedeckt.

Schritt-für-Schritt-Anleitung

1. Prüfen, ob DKIM aktiv ist

Am einfachsten wirfst du deine Domain in den kostenlosen MXAudit-Scanner — er erkennt die Netcup-Selektoren. Im Terminal:

dig CNAME key1._domainkey.beispiel.de +short

Kommt key1._domainkey.webhosting.systems zurück, ist der erste DKIM-CNAME gesetzt.

2. DNS-Einstellungen im CCP öffnen

Melde dich im CCP an, öffne Domains, klicke auf das Lupen-Symbol neben deiner Domain und wechsle zum Reiter DNS.

3. Beide DKIM-CNAME-Einträge anlegen

Lege nacheinander diese zwei Einträge an:

HostTypeDestination
key1._domainkeyCNAMEkey1._domainkey.webhosting.systems
key2._domainkeyCNAMEkey2._domainkey.webhosting.systems

Beide sind erforderlich — lege wirklich beide an, nicht nur den ersten.

4. Warten, bis die Änderung aktiv ist

DNS-Änderungen brauchen Zeit: Je nach TTL und Caching kann es einige Stunden dauern, bis alle Server die neuen Einträge sehen.

Ergebnis prüfen

Prüfe deine Konfiguration mit dem kostenlosen MXAudit-Scanner — er zeigt dir DKIM, SPF und DMARC auf einen Blick.

Häufige Fehler

Nur key1 angelegt. Netcup verlangt ausdrücklich beide Einträge (key1 und key2). Fehlt einer, ist die DKIM-Absicherung unvollständig.

TXT statt CNAME. Netcup arbeitet mit CNAME-Delegation auf webhosting.systems — trage keinen statischen TXT-Schlüssel ein, sonst verlierst du die automatische Schlüsselrotation.

Webserver-Versand. Genau wie bei SPF gilt: Mails, die per phpmail/sendmail direkt vom Webserver rausgehen, werden nicht signiert. Nutze SMTP über die Netcup-Mailserver.

Selektorname verändert. Host bleibt exakt key1._domainkey bzw. key2._domainkey — nicht umbenennen.