MX-Record: Erklärung des DNS-Eintrags

Der MX-Record (Mail Exchange Record) ist ein DNS-Eintrag, der angibt, welcher Mailserver für den Empfang von E-Mails einer Domain zuständig ist. Er sorgt dafür, dass eingehende E-Mails korrekt an den richtigen Server weitergeleitet werden.

MX-Record erklärt – mit Beispiel

DNS-Records befinden sich in Zonendateien – das sind einfache Textdateien, die alle Einträge zu einer Zone bündeln, für die der entsprechende Server verantwortlich ist. Stellt ein Client eine Anfrage, erhält der antwortende Server seine Informationen aus eben dieser Datei. Die unterschiedlichen Typen von Einträgen haben verschiedene Funktionen. Die Abkürzung MX steht für Mail Exchange und gibt somit schon einen Hinweis darauf, was mit dem Eintrag erreicht wird: Über den MX-Record erhält ein Client via DNS die Information, unter welcher Domain ein Mailserver zu erreichen ist.

Zu einer Domäne gehören in der Regel verschiedene Server. Neben dem Webserver, der die Website bereitstellt, gibt es beispielsweise oft auch FTP-Server und eben auch einen oder gar mehrere Mailserver. Alle sind über verschiedene Subdomains zu erreichen. Wie diese Subdomain lautet, lässt sich über den MX-Record erfragen. Dies erledigt der Mailserver, von dem aus die E-Mail versendet wird, in der Regel automatisch.

Felder und Syntax der Einträge

DNS-Records bestehen grundsätzlich aus mehreren Informationen, untergebracht in verschiedenen Feldern. Neben der Information, wie der Mailserver einer bestimmten Domäne heißt, können so weitere Details übertragen werden:

• <name>: Das erste Feld enthält den Namen der Domain
• <ttl>: Time to live gibt an, wie lange die Informationen garantiert ihre Gültigkeit behalten
• <class>: Das Klassenfeld spezifiziert die Netzwerkart
• <type>: Der DNS-Record-Type ist in diesem Fall MX
• <priority>: Je kleiner der Wert ist, umso höher ist auch die Priorität des Mailservers
• <rdata>: Resource Data definiert den Namen des Mailservers

Domainnamen werden in allen Record-Typen immer in der Form der Fully Qualified Domain Names (FQDN) angegeben. Das bedeutet, dass grundsätzlich der Inhalt jedes Feldes mit einem Punkt abgeschlossen wird. Tatsächlich bilden FQDN den kompletten Pfad ab, von der kleinsten Einheit ganz links zur größten ganz rechts – dem Rootserver. Die höchste Ebene ist allerdings unbenannt, weshalb nach dem ihr vorangegangenen Punkt nichts mehr steht.

Die Time to live gibt an, wie lange der Anfragende die Information in seinem Cache halten und nutzen kann. Das soll garantieren, dass keine veralteten Einträge verwendet werden. Ist die Zeit abgelaufen, muss der Client den Record erneut vom Nameserver anfragen. Die Angabe der TTL erfolgt in Sekunden. Häufig taucht dieses Feld nicht im eigentlichen Eintrag auf. Stattdessen wird die Zeit am Anfang der Zonendatei für die komplette Zone definiert.

Das Klassenfeld ist optional, da inzwischen ohnehin nur noch das Internet infrage kommt. Bei Einführung der Resource-Records waren allerdings auch noch die beiden Klassen Hesiod (HS) und Chaos (CH) möglich. Beide Netzwerke sind aber heute nicht mehr in Betrieb. Deshalb bleibt das Feld entweder leer oder enthält ausnahmslos das Kürzel IN.

Das Feld bezüglich der Priorität ist eine Besonderheit für MX-Records. Viele Administratoren – insbesondere die größerer Projekte – lassen mehrere Mailserver parallel laufen. Damit lassen sich Ausfälle und Belastungsspitzen ausgleichen und die E-Mail-Kommunikation droht nicht, plötzlich auszufallen. Dabei soll aber die Verteilung nicht unbedingt gleichmäßig erfolgen. Aus diesem Grund vergibt man Prioritäten. Der Server mit dem geringsten Wert hat die höchste Priorität und wird demnach als Erstes angesteuert. Ist er nicht verfügbar, wird der Server mit dem nächsthöheren Wert ausgewählt.

Das Data-Feld schließlich enthält den Namen des Mailservers. Auch dieser wird in Form des FQDN angegeben. Im Eintrag folgen alle Felder innerhalb einer Zeile aufeinander. Man beendet den Eintrag nicht durch ein bestimmtes Zeichen – ein Zeilenumbruch genügt.

MX-Record-Beispiel

Als Beispiel nutzen wir den fiktiven Mailserver von example.com. Eine passende E-Mail-Adresse dazu wäre beispielsweise user@example.com. Der Webserver des Absendenden würde seine DNS-Anfrage also zur Domain example.com senden. Die entsprechenden Einträge in der Zonendatei des Nameservers sähen dann folgendermaßen aus:

$TTL 1200
example.com.	IN	A		93.184.216.34
example.com.	IN	MX	10	mail1.example.com.
example.com.	IN	MX	10	mail2.example.com.
example.com.	IN	MX	50	mail3.example.com.

Wie man hier sehen kann, gilt die Haltbarkeit der Informationen für die komplette Zone. In die einzelnen Einträge braucht das Feld daher nicht mehr integriert zu sein. In diesem Beispiel haben wir zunächst einen A-Record, der die Domain mit einer IP-Adresse verknüpft. Dann folgen drei MX-Records. Man erkennt, dass sich diese nur in den Subdomains unterscheiden.

Die ersten beiden Mailserver haben in diesem Beispiel die gleichen Prioritätsstufen (10). Also werden die Aufgaben gleichmäßig auf beide verteilt. Mailserver 3 wird erst dann angesprochen, wenn die anderen beiden die Last – zum Beispiel aufgrund eines Ausfalls – nicht mehr bewältigen können.

Sicherheitsaspekte beim Einrichten von MX-Einträgen

Beim Erstellen von MX-Records sollten Sie Wert auf Sicherheit und Fehlervermeidung legen. So dürfen MX-Records niemals direkt auf IP-Adressen verweisen, sondern immer auf vollqualifizierte Domainnamen, die ihrerseits über A- oder AAAA-Records aufgelöst werden. Außerdem ist es nicht erlaubt, einen CNAME-Eintrag als Ziel eines MX-Records zu verwenden, da diese Praxis gegen DNS-Standards verstößt und daher zu Zustellungsproblemen führen kann. Die Ziel-Mailserver müssen korrekt über DNS auflösbar und erreichbar sein, andernfalls kommt es zu Fehlermeldungen oder dem Verlust von E-Mails.

Um Spam und Spoofing zu verhindern, sollten ergänzend SPF-, DKIM- und DMARC-Einträge gesetzt werden, die die Echtheit der Absender-Domain absichern. Hierbei handelt es sich um E-Mail-Sicherheitsmechanismen:

• SPF sorgt dafür, dass nur autorisierte Server E-Mails im Namen einer Domain versenden dürfen.
• DKIM stellt sicher, dass die E-Mails digital signiert und vor Manipulation geschützt sind.
• DMARC gibt den Empfängerinnen und Empfängern Regeln vor, wie mit nicht authentifizierten Mails umgegangen werden soll.

MX-Records einrichten

Wenn Sie Ihre geschäftliche E-Mail-Kommunikation über Google Workspace oder Microsoft 365 abwickeln möchten, ist das Einrichten eines korrekten MX-Eintrags in der DNS-Zone Ihrer Domain Pflicht. Nur so wird sichergestellt, dass eingehende E-Mails zuverlässig an die Mailserver des jeweiligen Anbieters zugestellt werden.

Einrichtung eines MX-Eintrags bei Google Workspace

Wenn Sie E-Mails über das Collaboration-Tool Google Workspace empfangen möchten, müssen Sie den offiziellen Google-Mailserver als MX-Record in der DNS-Zone Ihrer Domain eintragen. Dies geht mit folgenden Schritten ganz einfach:

1. Entfernen Sie alle bestehenden MX-Einträge.

2. Fügen Sie folgenden MX-Eintrag für den Mailserver von Google hinzu:

@	IN	MX	1	smtp.google.com.

3. Loggen Sie sich in der Google Admin-Konsole mit Ihrem Admin-Account ein und navigieren Sie über die Account-Einstellungen zu Ihren Domains. Aktivieren Sie bei der Domain, deren MX-Eintrag Sie aktualisieren möchten, Gmail. Es kann bis zu 72 Stunden dauern, bis der MX-Eintrag wirksam wird.

Einrichtung eines MX-Eintrags bei Microsoft 365

Auch mit Microsoft 365 können Sie ganz einfach einen MX-Record einrichten, der dafür sorgt, dass die Mails an Personen, die die Domain verwenden, an Microsoft 365 gesendet werden. Die Anleitung ähnelt der bereits beschriebenen:

1. Entfernen Sie alle bestehenden MX-Einträge.

2. Loggen Sie sich im Microsoft 365 Admin-Center ein. Klicken Sie nacheinander auf „Alle anzeigen“ -> „Einstellungen“ -> „Domänen“. Hier finden Sie den zu verwendenden MX-Record.

3. Kopieren Sie den MX-Eintrag, legen Sie ihn bei Ihrem Hosting-Anbieter an und speichern Sie die Änderungen.

MX-Record checken: So geht’s!

Um einen MX-Record-Lookup durchzuführen, kann man auf verschiedene Webdienste zurückgreifen. Sehr komfortabel und einfach zu bedienen ist Public DNS von Google. Auf der Startseite gibt man jene Domain ein, deren MX-Records man checken möchte. Auf der folgenden Seite muss dann der Record-Type von A auf MX geändert werden. Die beiden Optionen EDNS Client Subnet und DNSSEC braucht man nicht ändern. Erstere soll die Bereitstellung von DNS-Informationen beschleunigen, letztere garantiert, dass die Informationen nicht durch einen kriminellen Dritten manipuliert wurden.

Close

In der Beispielsuche erkennt man unter „Answer“ den Mailserver. Der FQDN, unter dem dieser zu erreichen ist, findet man unter dem Punkt „Data“. Dort ist auch die Priorität angegeben: Der Eintrag in diesem Ausschnitt hat eine Priorität von 10. Unter „Typ“ befindet sich die Zahl 15. Dies entspricht einem MX-Record. Die Internet Assigned Numbers Authority (IANA) hat nämlich jedem DNS-Record-Typ einen Wert zugeordnet und die Eintragsarten auf diese Weise durchnummeriert.