Was ist ein MX-Eintrag? So werden E-Mails in Ihr Postfach geleitet

Ein einziger DNS-Eintrag entscheidet darüber, ob E-Mails an Ihre Domain überhaupt ankommen: der MX-Eintrag (kurz für Mail Exchange Record). Er teilt anderen Mailservern mit, wohin Ihre E-Mails zugestellt werden sollen. Ist er falsch gesetzt, werden Nachrichten zurückgewiesen, gehen verloren oder landen an einem Ort, den Sie nie vorgesehen haben.

Jede Domain, die E-Mails empfängt, braucht mindestens einen MX-Eintrag. Er beantwortet für jeden sendenden Server genau eine Frage: Wohin sollen E-Mails an diese Domain gehen?

Der MX-Eintrag funktioniert wie ein A-Eintrag, also der DNS-Eintrag, der Ihre Domain auf den Server Ihrer Website verweist, nur dass er stattdessen auf Ihren Mailserver zeigt. Deshalb können Website und E-Mail auf völlig unterschiedlichen Servern laufen.

Die Zustellung ist allerdings nur die halbe Miete. Empfänger beurteilen auch, ob sie dem Eingetroffenen vertrauen können, und diese Prüfung wird strenger. In Exclaimers Studie „Wie Menschen wirklich kommunizieren“ 2026 (OnePoll, 2.000 Erwachsene in Großbritannien und den USA) gaben 41 % der Befragten an, schon einmal an der Echtheit einer erhaltenen Nachricht gezweifelt zu haben.

Wie funktionieren MX-Einträge?

Wenn Sie eine E-Mail senden, weiß Ihr Mailserver zunächst nicht, wo sich das Postfach des Empfängers befindet. Er findet es heraus, indem er den MX-Eintrag der Empfängerdomain abfragt, und übergibt die Nachricht dann an den Server, den dieser Eintrag nennt.

Der Ablauf der E-Mail-Zustellung

Die gesamte Routing-Entscheidung fällt auf der Absenderseite, innerhalb von Sekunden und bei jeder einzelnen Nachricht:

1. Jemand sendet eine Nachricht an eine Adresse bei example.com. Der ausgehende Mailserver des Absenders, der MTA (Mail Transfer Agent), muss den Server finden, der E-Mails für example.com annimmt.

2. Der MTA fragt im DNS die MX-Einträge von example.com ab.

3. Das DNS liefert alle MX-Einträge der Domain zurück, jeweils mit ihrem Prioritätswert.

4. Der MTA wählt den Eintrag mit dem niedrigsten Prioritätswert und fragt anschließend den A- oder AAAA-Eintrag dieses Hostnamens ab, um die IP-Adresse zu ermitteln.

5. Er baut eine SMTP-Verbindung zu diesem Server auf und stellt die Nachricht zu.

   Antwortet dieser Server nicht, arbeitet sich der MTA zum nächsten Eintrag in der Liste vor.

Da diese Abfrage bei jedem Versand neu erfolgt, sind Ihre veröffentlichten MX-Einträge die einzige maßgebliche Quelle dafür, wohin Ihre E-Mails gehen.

So sieht ein MX-Eintrag aus

In roher DNS-Notation sieht ein einzelner MX-Eintrag so aus:

example.com.   3600   IN   MX   10   mail.example.com. 

Jedes Feld erfüllt eine bestimmte Aufgabe:

Der abschließende Punkt in mail.example.com. kennzeichnet einen vollqualifizierten Domainnamen (FQDN), also den vollständigen Pfad in der DNS-Hierarchie. Manche DNS-Verwaltungskonsolen ergänzen ihn automatisch, bei anderen müssen Sie ihn selbst eingeben. Format und Syntax von MX-Einträgen sind in RFC 1035 definiert.

Wie funktioniert die Priorität von MX-Einträgen?

Der Prioritätswert eines MX-Eintrags legt fest, in welcher Reihenfolge sendende Server Ihre Mailserver ansprechen. Der niedrigste Wert wird zuerst versucht.

So funktionieren Prioritätswerte

Jeder MX-Eintrag enthält eine Zahl zwischen 0 und 65.535. In den DNS-Standards heißt sie „Preference“ (Präferenzwert), in der Praxis meist „Priorität“. Sendende Server versuchen es zuerst beim niedrigsten Wert und arbeiten sich nach oben, wenn dieser Server nicht erreichbar ist.

Angenommen, eine Domain veröffentlicht drei MX-Einträge:

example.com.   3600   IN   MX   10   mail1.example.com. 

example.com.   3600   IN   MX   20   mail2.example.com. 

example.com.   3600   IN   MX   30   mail3.example.com. 

E-Mails gehen zuerst an mail1, weil 10 der niedrigste Wert ist. Ist mail1 nicht erreichbar, versuchen sendende Server es bei mail2 und danach bei mail3. Die Werte selbst sind beliebig, entscheidend ist nur ihre Reihenfolge. Deshalb vergeben Admins sie meist in Zehnerschritten: So bleibt Platz, um später einen weiteren Server einzufügen, ohne neu nummerieren zu müssen.

Die Regel widerspricht der Intuition. Ein niedrigerer Wert bedeutet eine höhere Priorität, ein Eintrag mit 10 wird also einem Eintrag mit 20 vorgezogen. Eine verkehrt herum gesetzte Priorität gehört zu den häufigsten MX-Fehlkonfigurationen, ein zweiter Blick lohnt sich also.

Das Format von MX-Einträgen ist in RFC 1035 definiert, das Auswahlverhalten einschließlich der Fallback-Reihenfolge beschreibt RFC 5321.

Mehrere MX-Einträge und Backup-Mailserver

Mit mehr als einem MX-Eintrag erhält eine Domain Redundanz. Fällt Ihr primärer Server aus, weichen sendende Server auf den nächsten in der Prioritätsreihenfolge aus, und E-Mails werden weiterhin angenommen, statt zurückgewiesen zu werden.

Die Priorität steuert auch, wie eingehende Last verteilt wird. Haben zwei oder mehr MX-Einträge denselben Prioritätswert, behandeln sendende Server sie gleichwertig und verteilen Nachrichten ungefähr gleichmäßig auf sie.

Ein Backup-Server schützt Sie nur, wenn er tatsächlich so konfiguriert ist, dass er E-Mails für Ihre Domain annimmt, zwischenspeichert und weiterleitet, sobald Ihr primärer Server wieder verfügbar ist. Ein MX-Eintrag, der auf einen Server zeigt, der nie dafür eingerichtet wurde, erweckt nur den Anschein von Redundanz, ohne echten Schutz zu bieten. 

Worauf ein MX-Eintrag verweisen darf – und worauf nicht

Ein MX-Eintrag muss auf einen Hostnamen verweisen, der einen eigenen A- oder AAAA-Eintrag hat. Er darf weder direkt eine IP-Adresse enthalten noch auf einen CNAME verweisen. Vor allem die CNAME-Regel ist in den DNS-Standards festgeschrieben, und wer sie missachtet, riskiert eine unberechenbare Zustellung.

Das Ziel eines MX-Eintrags muss ein Hostname sein (ein Domainname wie mail.example.com), und dieser Name braucht einen eigenen A-Eintrag (für eine IPv4-Adresse) oder AAAA-Eintrag (für IPv6). Ein sendender Server liest zuerst den Hostnamen aus dem MX-Eintrag und löst ihn dann in eine IP-Adresse auf, bevor er sich verbindet. Zwei Arten von Zielen sind ausdrücklich verboten.

Keine direkten IP-Adressen

Eine IP-Adresse lässt sich nicht einfach direkt in den Eintrag schreiben. Ein Wert wie MX 10 192.0.2.1 ist ungültig, weil das Feld einen Hostnamen erwartet und keine Adresse, und eine IP-Adresse ist kein Hostname. Der Fehler passiert leicht und ist ein häufiger Grund, warum ein neuer Eintrag stillschweigend nicht funktioniert. 

Keine CNAME-Ziele

Die CNAME-Beschränkung sorgt am häufigsten für Probleme. Ein MX-Eintrag darf nicht auf einen CNAME verweisen, also auf einen DNS-Alias, der einen Hostnamen auf einen anderen umleitet. Das Verbot ist in den Standards verankert: RFC 2181 (Abschnitt 10.3) legt fest, dass das Ziel eines MX-Eintrags kein Alias sein darf, und RFC 5321 (Abschnitt 5.1) setzt entsprechend voraus, dass das Ziel direkt in einen Adresseintrag aufgelöst wird.

Wenn ein sendender Server Ihr MX-Ziel auflöst, erwartet er, sofort auf einen Adresseintrag zu stoßen. Ein CNAME erzwingt eine zusätzliche Umleitungsebene, die der Standard nicht vorsieht, und Mailserver gehen damit unterschiedlich um: Die Zustellung funktioniert bei einem Absender und scheitert bei einem anderen. Verweisen Sie Ihren MX-Eintrag auf einen Hostnamen mit einem echten A- oder AAAA-Eintrag, und das Problem verschwindet.

Hier eine Übersicht gültiger und ungültiger MX-Ziele:

Gültig:

example.com.      3600  IN  MX  10  mail.example.com.
mail.example.com. 3600  IN  A       192.0.2.10

Ungültig:

; IP address in the target field — not allowed
example.com.  3600  IN  MX  10  192.0.2.10

; MX pointing at a CNAME — not allowed
example.com.       3600  IN  MX     10  alias.example.com.
alias.example.com. 3600  IN  CNAME      mail.example.com.

So richten Sie MX-Einträge ein

Um einen MX-Eintrag einzurichten, legen Sie ihn in der Verwaltungsoberfläche Ihres DNS-Hosts an, verweisen ihn auf den Server Ihres E-Mail-Anbieters und warten, bis sich die Änderung verbreitet hat. Die genauen Werte erhalten Sie von Ihrem Anbieter.

Allgemeine Schritte

Der Ablauf ist bei jedem DNS-Host gleich, auch wenn sich die Feldbezeichnungen je nach Registrar unterscheiden:

1. Melden Sie sich beim DNS-Host an, der Ihre Domain verwaltet. Das ist in der Regel Ihr Registrar oder der Anbieter, auf den Ihre Nameserver verweisen.

2. Öffnen Sie den Bereich für DNS-Einträge und suchen Sie die MX-Einträge.

3. Entfernen Sie alte MX-Einträge eines früheren E-Mail-Anbieters. Übrig gebliebene Einträge sind der häufigste Grund, warum E-Mails an die falsche Stelle geleitet werden.

4. Legen Sie einen neuen MX-Eintrag mit den Werten Ihres Anbieters an. In fast allen Fällen ist der Host Ihre Root-Domain (eingetragen als @ oder leer gelassen) und der Typ MX; Priorität und Ziel-Hostname gibt der Anbieter vor.

   Speichern Sie den Eintrag und rechnen Sie mit 15 Minuten bis 72 Stunden, bis er sich verbreitet hat.

Wenn Sie vorausplanen: Senken Sie die TTL des Eintrags am Vortag auf 3600 (eine Stunde), dann greifen die neuen Werte schneller.

Microsoft 365 

Microsoft 365 vergibt für jede Domain einen eigenen MX-Wert. Kopieren Sie ihn deshalb aus dem Admin Center, statt ein allgemeines Beispiel zu verwenden. Öffnen Sie dazu Einstellungen > Domänen, wählen Sie Ihre Domain aus und wechseln Sie zur Registerkarte DNS-Einträge. Der klassische Wert folgt dem Muster ihre-domain-de.mail.protection.outlook.com mit Priorität 0, sodass Exchange Online die primäre Route bleibt.

Seit Juli 2026 vergibt Microsoft für neu hinzugefügte Domains stattdessen einen MX-Wert im Format mx.microsoft, um DNSSEC zu unterstützen. Tragen Sie den für Ihre Domain angezeigten Wert ein und bestätigen Sie ihn im Admin Center, sobald die Änderung propagiert ist.

Google Workspace 

Google Workspace hat die Einrichtung 2023 auf einen einzigen Eintrag vereinfacht: Host @, Typ MX, Priorität 1, Wert smtp.google.com. Domains, die vor 2023 eingerichtet wurden, nutzen unter Umständen noch die ältere Konfiguration mit fünf Einträgen, die mit ASPMX beginnt. Google unterstützt sie weiterhin, eine funktionierende Konfiguration müssen Sie also nicht ändern. Bei einer neuen Domain verwenden Sie den einzelnen Eintrag und entfernen vorher alle Einträge des bisherigen Anbieters.

So prüfen Sie Ihre MX-Einträge

Sobald der Eintrag propagiert ist, können Sie ihn direkt über die Kommandozeile abfragen:

• macOS oder Linux: dig MX example.com 

• Windows: nslookup -type=mx example.com 

Beide Befehle geben die aktuell veröffentlichten MX-Einträge der Domain mit ihren Prioritäten zurück.

Beispielausgabe:

example.com.  3600  IN  MX  10  mail.example.com.
example.com.  3600  IN  MX  20  backup.example.com.

In dieser Ausgabe sind 10 und 20 die Präferenzwerte. E-Mails gehen zuerst an mail.example.com. Tauchen Hostnamen auf, die Sie nicht konfiguriert haben, ist das das häufigste Anzeichen für veraltete Einträge eines früheren Anbieters.

Wenn Sie lieber ohne Terminal arbeiten, zeigt ein Tool wie MXToolbox dieselben Informationen im Browser an. Prüfen Sie, ob die veröffentlichten Einträge mit Ihren Eingaben übereinstimmen und keine alten Einträge mehr vorhanden sind.

Wie hängen MX-Einträge mit SPF, DKIM und DMARC zusammen?

MX-Einträge legen fest, wohin Ihre eingehenden E-Mails zugestellt werden. Die E-Mail-Authentifizierung entscheidet, ob E-Mails, die angeblich von Ihnen stammen, vertrauenswürdig sind. Es handelt sich um getrennte Systeme, und eine Domain braucht beide in korrekter Konfiguration.

Ein MX-Eintrag regelt das eingehende Routing, sagt aber nichts darüber aus, ob eine Nachricht, die angeblich von Ihrer Domain kommt, echt ist. Das übernehmen drei DNS-Einträge, die ergänzend zum MX-Eintrag arbeiten und alle als TXT-Einträge veröffentlicht werden:

• SPF (Sender Policy Framework) listet die Server auf, die im Namen Ihrer Domain E-Mails senden dürfen. So erkennen Empfänger Nachrichten, die von anderswo verschickt wurden.

• DKIM (DomainKeys Identified Mail) versieht Ihre ausgehenden E-Mails mit einer kryptografischen Signatur. Damit können Empfänger prüfen, dass die Nachricht unterwegs nicht verändert wurde und tatsächlich von Ihrer Domain stammt.

• DMARC (Domain-based Message Authentication, Reporting and Conformance) legt in einer Richtlinie fest, wie Empfänger mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen, und liefert Berichte über Nachrichten, bei denen die Authentifizierung fehlschlägt.

Im Trendreport geschäftliche E-Mails 2025 von Exclaimer, einer Befragung von 4.009 IT-Führungskräften, hatte weniger als ein Drittel der Unternehmen DMARC, DKIM oder SPF implementiert. Dringlicher wurde das Thema 2024, als Google und Yahoo begannen, von Massenversendern eine Authentifizierung ihrer E-Mails zu verlangen.

Authentifizierung ist auch deshalb wichtig, weil Empfänger selbst beurteilen, ob eine Nachricht seriös ist. In derselben Studie „Wie Menschen wirklich kommunizieren“ nannten 35 % der Befragten in den USA eine professionelle E-Mail-Adresse mit Unternehmensdomain als eines der wichtigsten Vertrauenssignale; insgesamt 23 % nannten eine professionelle, gebrandete E-Mail-Signatur. Eine korrekt geroutete E-Mail muss auch glaubwürdig wirken, wenn sie ankommt. 

Was passiert, wenn MX-Einträge falsch konfiguriert sind?

Bei fehlerhaften MX-Einträgen ist das Ergebnis fast immer dasselbe: E-Mails kommen nicht mehr an oder landen an einem Ort, den Sie nicht vorgesehen haben. Fast jeder Fall lässt sich auf einen von wenigen konkreten Fehlern zurückführen.

Die meisten MX-Probleme gehen auf eine der folgenden Konfigurationen zurück:

• Kein MX-Eintrag: Laut RFC 5321 dürfen SMTP-Clients auf den A- oder AAAA-Eintrag der Domain ausweichen, wenn kein MX-Eintrag vorhanden ist. Dieser Fallback funktioniert nicht in allen Implementierungen zuverlässig und ist keine gängige Praxis. Jede Domain, die zuverlässig E-Mails empfangen soll, sollte MX-Einträge veröffentlichen. Die häufigsten Ursachen sind eine Domain, die für eine Website eingerichtet wurde, ohne dass E-Mail je konfiguriert wurde, oder ein versehentlich gelöschter Eintrag.

• Vertauschte Priorität: Bleibt der Eintrag eines alten Anbieters mit einem niedrigeren Prioritätswert als Ihr aktueller Eintrag bestehen, werden E-Mails unbemerkt an den falschen Server geleitet.

• CNAME als Ziel: Ein MX-Eintrag, der auf einen CNAME verweist, stellt uneinheitlich zu: Bei manchen Absendern funktioniert es, bei anderen nicht.

• Kein A- oder AAAA-Eintrag für das MX-Ziel: Hat der Hostname, auf den Ihr MX-Eintrag verweist, keinen passenden Adresseintrag, können sendende Server keine Verbindung aufbauen.

• Veraltete Einträge nach einer Migration: Einträge eines früheren E-Mail-Anbieters verteilen E-Mails auf das alte und das neue System, bis sie entfernt sind und die Änderung im DNS propagiert ist.

Der gemeinsame Nenner: Die meisten MX-Probleme gehen auf Einträge zurück, die nicht da sein sollten. Wenn etwas nicht funktioniert, prüfen Sie mit dig, nslookup oder MXToolbox, was veröffentlicht ist, und vergleichen Sie es mit dem, was aktiv sein sollte.

MX-Einträge und E-Mail-Signaturverwaltung

Dasselbe IT-Team, das festlegt, wohin E-Mails geleitet werden, bestimmt auch, wie jede Nachricht beim Empfänger aussieht. MX-Einträge übernehmen das Routing, E-Mail-Signaturen transportieren die Identität, und beides läuft über denselben Mailserver.

Sobald MX-Einträge und Authentifizierung stehen, kommen E-Mails dort an, wo sie hinsollen, und Empfänger können prüfen, dass sie wirklich von Ihnen stammen. Was Empfänger lesen, ist jedoch die Nachricht selbst, einschließlich der E-Mail-Signatur. Sie enthält Namen, Positionen, Kontaktdaten, Haftungsausschlüsse und Branding, und wie die Studie „Wie Menschen wirklich kommunizieren“ zeigt, gehören genau diese Details zu den Signalen, an denen Menschen die Seriosität einer Nachricht festmachen.

Das im großen Maßstab richtig umzusetzen, ist schwieriger, als es aussieht. Im Trendreport geschäftliche E-Mails 2025 von Exclaimer nannten 35 % der IT-Teams die Verwaltung von E-Mail-Signaturen als eine ihrer beiden zeitaufwendigsten Aufgaben. Manuell bedeutet das: Signaturen Postfach für Postfach bearbeiten, Vorlagenänderungen über Abteilungen hinweg verteilen und darauf vertrauen, dass niemand stillschweigend seine eigene Signatur umgeschrieben hat.

Es geht auch direkter, und zwar über dieselbe Ebene wie Ihre MX-Einträge. Da E-Mails über den Mailserver laufen, lassen sich Signaturen dort serverseitig anwenden statt auf jedem einzelnen Gerät.

Die Cloud-Lösung von Exclaimer funktioniert genau so:

• Signaturregeln wenden einheitliche Vorlagen zentral an, wobei die Mitarbeiterdaten per Verzeichnissynchronisation (Directory Sync) automatisch aus Microsoft Entra ID oder Google Workspace übernommen werden.

• Für die Bereitstellung in Microsoft 365 oder Google Workspace sind keine Änderungen an Ihren MX-Einträgen oder am Mail-Routing nötig.

• Über 80.000 Organisationen vertrauen auf Exclaimer, das die Verwaltung von E-Mail-Signaturen in die Hände des Teams legt, das bereits das DNS der Domain betreut.

So erhält die Identität einer E-Mail dieselbe Zuverlässigkeit auf Serverebene wie ihr Weg ins Postfach. Sehen Sie, wie Exclaimer E-Mail-Signaturen auf dieser Ebene verwaltet, ganz ohne Änderungen an Ihren MX-Einträgen.