Wofür MX-Records stehen
Der MX-Record (Mail Exchanger) legt fest, welcher Server E-Mails für eine Domain entgegennimmt. Jeder Eintrag hat eine Priorität — der niedrigste Wert wird zuerst angesprochen, höhere Werte dienen als Ausweichziele. Ohne MX-Record fällt ein sendender Server auf den A-Record der Domain zurück, was selten das ist, was gewollt war.
MX-Records betreffen ausschließlich den Empfang. Für den Versand sind sie irrelevant — ein verbreiteter Irrtum. Wer nur sendet und nicht empfängt, braucht dennoch einen MX, weil sonst Bounces und Antworten nirgends ankommen und manche Filter das Fehlen negativ bewerten.
Was AnalyzeMy.Email prüft
- Alle MX-Records der Absenderdomain mit ihren Prioritäten
- A- und AAAA-Records jedes MX-Hosts — löst der Hostname überhaupt auf?
- Reverse DNS zu jeder ermittelten IP
- FCrDNS — der PTR-Name wird zurück aufgelöst und geprüft, ob die Ausgangs-IP darin enthalten ist
Typische Fehlerbilder
- MX zeigt auf einen CNAME: Nach RFC unzulässig. Manche Server folgen dem trotzdem, andere lehnen ab — ein Fehler, der sich als sporadisches Zustellproblem äußert.
- MX-Host ohne A-Record: Der Eintrag existiert, löst aber nicht auf. Zustellung unmöglich.
- Nur ein MX: Kein Backup. Fällt der Server aus, sammeln sendende Server die Mails zwar in ihren Warteschlangen und wiederholen die Zustellung über Tage — aber Verzögerungen sind unvermeidlich.
- Backup-MX schlechter gesichert: Der zweite MX wird bei Konfigurationsänderungen gern vergessen und hat dann kein STARTTLS, kein gültiges Zertifikat oder keinen TLSA-Record. Angreifer zielen genau darauf.
- Verwaiste Einträge: MX-Records auf Server, die seit einem Providerwechsel nicht mehr existieren.
Empfehlungen
- Mindestens zwei MX-Hosts mit unterschiedlichen Prioritäten, idealerweise in getrennter Infrastruktur.
- MX immer auf einen A-/AAAA-Namen zeigen lassen, nie auf einen CNAME.
- Alle MX-Hosts gleich behandeln — STARTTLS, Zertifikat, DANE und Spam-Abwehr gehören auf jeden davon.
- IPv6 mitdenken: Wer AAAA-Records veröffentlicht, muss auf diesen Adressen auch sauberes Reverse DNS haben — sonst lehnen einige große Provider ab.