MX-Record (Mail Exchanger)
DNS-Eintrag, der die für eine Domain zuständigen Mailserver und deren Priorität festlegt — die technische Voraussetzung dafür, dass eine Domain E-Mails empfangen kann.
Der MX-Record (Mail Exchanger) ist ein DNS-Ressourceneintrag, der festlegt, welche Mailserver für den Empfang von E-Mails einer Domain zuständig sind. Er ist damit das entscheidende Bindeglied zwischen einer Domain und ihrer E-Mail-Infrastruktur: Ohne gültigen MX-Record weiß ein sendender Mailserver nicht, wohin er eine Nachricht für beispiel.de überhaupt zustellen soll. Der MX-Record gehört neben A-, TXT- und NS-Einträgen zu den grundlegenden Record-Typen des DNS und ist in RFC 5321 (SMTP) formal definiert.
Aufbau und Priorität
Ein MX-Record besteht aus zwei Bestandteilen: dem Hostnamen des Mailservers und einem numerischen Prioritätswert (auch Preference genannt). Eine Domain kann mehrere MX-Records besitzen — der Prioritätswert steuert dann die Reihenfolge, in der die Server angesprochen werden. Dabei gilt: Je niedriger der Wert, desto höher die Priorität. Ein sendender Server kontaktiert zuerst den MX-Eintrag mit der kleinsten Zahl und weicht nur bei Nichterreichbarkeit auf die nächsthöhere aus.
| Priorität | Mailserver | Rolle |
|---|---|---|
| 10 | mail1.beispiel.de |
Primärer Server, wird zuerst kontaktiert |
| 20 | mail2.beispiel.de |
Fallback bei Ausfall des primären Servers |
| 30 | backup.provider.net |
Zweiter Fallback, oft beim Provider |
Haben mehrere Einträge denselben Prioritätswert, verteilt der sendende Server die Last zufällig auf sie — eine einfache Form des Load Balancing. Diese Redundanz sorgt dafür, dass E-Mails auch dann angenommen werden, wenn ein einzelner Server ausfällt, statt sofort als unzustellbar zurückzulaufen.
Was passiert ohne MX-Record?
Fehlt der MX-Record vollständig, greift ein historischer Fallback-Mechanismus: Nach RFC 5321 versuchen sendende Server dann, die Domain über ihren A- beziehungsweise AAAA-Record direkt anzusprechen (impliziter MX). In der Praxis ist eine Domain ohne dedizierten MX-Record aber fast immer gar nicht für den E-Mail-Empfang eingerichtet — Adressen auf ihr sind dann mit hoher Wahrscheinlichkeit unzustellbar. Genau dieses Signal nutzt eine Zustellbarkeitsprüfung: Liefert die Domain keinen MX-Record, ist eine dort angesiedelte Adresse hochgradig verdächtig.
Ein Sonderfall ist der sogenannte Null MX (RFC 7505): Ein einzelner MX-Record mit Priorität 0 und einem Punkt (.) als Ziel signalisiert ausdrücklich, dass die Domain überhaupt keine E-Mails annimmt. Das ist die empfohlene Konfiguration für reine Web- oder Parking-Domains und verhindert, dass sendende Server unnötig Zustellversuche unternehmen.
Bedeutung für die Sicherheit
Der MX-Record allein trifft keine Aussage über die Echtheit oder Sicherheit einer E-Mail — er regelt nur den Zustellweg. Erst im Zusammenspiel mit der E-Mail-Authentifizierung entsteht ein belastbares Sicherheitsniveau: SPF legt fest, welche Server im Namen der Domain senden dürfen, DKIM signiert die Nachrichten, und DMARC gibt die Handlungsanweisung für den Fehlerfall vor. Alle drei Verfahren werden als TXT-Records im selben DNS hinterlegt wie der MX-Eintrag.
Weil die gesamte Mail-Zustellung auf DNS-Antworten beruht, ist die Integrität dieser Antworten sicherheitskritisch. Kann ein Angreifer DNS-Antworten manipulieren, könnte er den MX-Record umbiegen und E-Mails auf einen eigenen Server umleiten. DNSSEC schützt davor, indem es DNS-Antworten kryptografisch signiert und Manipulationen erkennbar macht. Für Domains, die geschäftskritische Kommunikation abwickeln, ist eine aktivierte DNSSEC-Konfiguration deshalb die logische Ergänzung zu einer sauberen MX-Struktur.
Typische Fehlerquellen im Mittelstand
In der Praxis führen fehlerhafte MX-Records regelmäßig zu stillen Zustellproblemen. Häufige Ursachen sind auf einen nicht mehr existierenden Hostnamen verweisende Einträge nach einem Providerwechsel, MX-Records, die auf eine IP-Adresse statt auf einen Hostnamen zeigen (was RFC 5321 nicht erlaubt), oder widersprüchliche Prioritäten nach einer Migration. Da fehlerhafte MX-Konfigurationen selten eine sofortige Fehlermeldung erzeugen, bleiben sie oft wochenlang unbemerkt — bis Kunden melden, dass ihre E-Mails nicht ankommen.
Praxistipp
Ob eine Domain überhaupt E-Mails empfangen kann, lässt sich in Sekunden prüfen. Der E-Mail-Validator fragt den MX-Record einer Adresse ab und zeigt an, ob empfangsbereite Mailserver hinterlegt sind — inklusive Hinweisen auf Wegwerf-Adressen und häufige Tippfehler in der Domain. Wer die MX-, TXT- und A-Records einer Domain im Detail einsehen möchte, nutzt ergänzend das DNS-Lookup. Und ob die eigene Domain per SPF, DKIM und DMARC gegen Absenderfälschung abgesichert ist, zeigt der E-Mail Security Check.