MX-Eintrag zeigt auf einen CNAME oder eine IP-Adresse: warum das ungültig ist

Was das bedeutet

Der MX-Eintrag sagt anderen Mailservern, wohin sie E-Mails für deine Domain zustellen sollen. Sein Wert besteht aus einer Priorität und einem Hostnamen, zum Beispiel 10 mail.yourdomain.com. Dieser Hostname braucht einen eigenen A- (IPv4) oder AAAA-Eintrag (IPv6).

Zwei Fehler sind häufig:

• MX zeigt auf eine IP-Adresse: yourdomain.com MX 10 203.0.113.25. Das ist nicht erlaubt: Laut RFC 5321 ist der MX-Wert ein Domainname, und eine Adresse ist dort ungültig.
• MX zeigt auf einen CNAME: Das MX-Ziel mail.yourdomain.com ist selbst ein CNAME auf einen anderen Namen. Laut RFC 2181 (Abschnitt 10.3) darf das MX-Ziel kein Alias sein.

Warum das passiert

• Ein DNS-Panel lässt dich eine IP ins MX-Feld tippen, oder jemand hielt das für einfacher.
• Manche Panels behandeln die IP als relativen Namen und veröffentlichen 203.0.113.25.yourdomain.com, das es nicht gibt.
• Der Mail-Host wurde als CNAME auf den Servernamen des Hosters gesetzt (zum Beispiel mail CNAME server12.host.example), um IPs nicht pflegen zu müssen.
• Die Dokumentation eines Anbieters wurde in den falschen Eintragstyp kopiert.

Was in der Praxis passiert

• IP im MX: Viele sendende Server finden keinen Hostnamen und scheitern. Manche weichen auf den A-Eintrag der Domain aus (den Webserver), der meist keine E-Mails annimmt. Die Ergebnisse sind unberechenbar: Manche Absender stellen zu, andere bekommen Bounces, oft mit Meldungen wie „Domain not found“, „No MX for domain“ oder „Host or domain name not found“.
• CNAME als MX-Ziel: Viele Server folgen dem Alias und stellen trotzdem zu, deshalb fällt der Fehler oft nicht auf. Aber er ist nicht standardkonform, manche strenge Server und Prüftools lehnen ihn ab, und er fügt einen zusätzlichen Lookup hinzu, der fehlschlagen kann.

Eine Domain ganz ohne MX ist ein anderes Problem, behandelt in Kein MX-Eintrag auf deiner Domain.

So prüfst du es

1. Öffne den Domain-Scanner und gib deine Domain ein. Er listet deine MX-Einträge und ihre Ziele auf.
2. Mit dig:

   dig MX yourdomain.com +short
   10 mail.yourdomain.com.
   
   dig CNAME mail.yourdomain.com +short
   (must be empty)
   
   dig A mail.yourdomain.com +short
   203.0.113.25

   Ist die MX-Antwort eine Zahl wie 203.0.113.25. oder liefert dig CNAME auf dem Ziel einen Namen, hast du eines der oben genannten Probleme.
3. Unter Windows: nslookup -type=MX yourdomain.com.
4. Teste den Server selbst: nc -v mail.yourdomain.com 25 sollte eine 220-Begrüßung zeigen.

So behebst du es

MX zeigt auf eine IP

1. Lege einen A-Eintrag (und AAAA, wenn du IPv6 nutzt) für einen Mail-Hostnamen an:

   Host: mail      Type: A      Value: 203.0.113.25

2. Ändere den MX so, dass er diesen Namen verwendet:

   Host: @         Type: MX     Priority: 10     Value: mail.yourdomain.com

   Manche Panels brauchen einen Punkt am Ende (mail.yourdomain.com.), andere hängen die Domain für dich an; prüfe nach dem Speichern, was dein Panel anzeigt.

MX-Ziel ist ein CNAME

Ersetze den CNAME auf dem Mail-Host durch A/AAAA-Einträge mit der IP des Servers, oder lass den MX direkt auf den echten Hostnamen deines Anbieters zeigen (den mit dem A-Eintrag):

Before:
yourdomain.com.        MX 10  mail.yourdomain.com.
mail.yourdomain.com.   CNAME  server12.host.example.

After (option 1):
mail.yourdomain.com.   A      203.0.113.25

After (option 2):
yourdomain.com.        MX 10  server12.host.example.

Nutzt du Google Workspace, Microsoft 365 oder einen anderen Anbieter, übernimm genau die MX-Werte von deren Einrichtungsseite. Stelle außerdem sicher, dass der Mail-Host nicht über ein CDN als Proxy läuft (siehe Cloudflare-Einträge mit Proxy legen E-Mails lahm) und dass sein Name keinen anderen kollidierenden CNAME hat (siehe CNAME im Konflikt mit MX- und TXT-Einträgen).

Dein eigener Server

Idealerweise stimmt der MX-Hostname mit dem Reverse DNS (PTR) des Servers und dem Namen im TLS-Zertifikat überein, zum Beispiel überall mail.yourdomain.com.

Prüfe, ob es behoben ist

Warte, bis die TTL des alten MX abgelaufen ist, führe dann dig MX erneut aus und prüfe das Ergebnis im Domain-Scanner. Schick von einem externen Postfach (Gmail, Outlook) eine E-Mail an eine Adresse deiner Domain und prüfe, ob sie ankommt. Sendet dein Server auch, mach von dort einen Delivmail-Test, um SPF, DKIM und Reverse DNS zu prüfen.