IT-Lexikon
MXCybersecurity

MX-Record (Mail Exchanger)

DNS-Eintrag, der die für eine Domain zuständigen Mailserver und deren Priorität festlegt — die technische Voraussetzung dafür, dass eine Domain E-Mails empfangen kann.

Der MX-Record (Mail Exchanger) ist ein DNS-Ressourceneintrag, der festlegt, welche Mailserver für den Empfang von E-Mails einer Domain zuständig sind. Er ist damit das entscheidende Bindeglied zwischen einer Domain und ihrer E-Mail-Infrastruktur: Ohne gültigen MX-Record weiß ein sendender Mailserver nicht, wohin er eine Nachricht für beispiel.de überhaupt zustellen soll. Der MX-Record gehört neben A-, TXT- und NS-Einträgen zu den grundlegenden Record-Typen des DNS und ist in RFC 5321 (SMTP) formal definiert.

Aufbau und Priorität

Ein MX-Record besteht aus zwei Bestandteilen: dem Hostnamen des Mailservers und einem numerischen Prioritätswert (auch Preference genannt). Eine Domain kann mehrere MX-Records besitzen — der Prioritätswert steuert dann die Reihenfolge, in der die Server angesprochen werden. Dabei gilt: Je niedriger der Wert, desto höher die Priorität. Ein sendender Server kontaktiert zuerst den MX-Eintrag mit der kleinsten Zahl und weicht nur bei Nichterreichbarkeit auf die nächsthöhere aus.

Priorität Mailserver Rolle
10 mail1.beispiel.de Primärer Server, wird zuerst kontaktiert
20 mail2.beispiel.de Fallback bei Ausfall des primären Servers
30 backup.provider.net Zweiter Fallback, oft beim Provider

Haben mehrere Einträge denselben Prioritätswert, verteilt der sendende Server die Last zufällig auf sie — eine einfache Form des Load Balancing. Diese Redundanz sorgt dafür, dass E-Mails auch dann angenommen werden, wenn ein einzelner Server ausfällt, statt sofort als unzustellbar zurückzulaufen.

Was passiert ohne MX-Record?

Fehlt der MX-Record vollständig, greift ein historischer Fallback-Mechanismus: Nach RFC 5321 versuchen sendende Server dann, die Domain über ihren A- beziehungsweise AAAA-Record direkt anzusprechen (impliziter MX). In der Praxis ist eine Domain ohne dedizierten MX-Record aber fast immer gar nicht für den E-Mail-Empfang eingerichtet — Adressen auf ihr sind dann mit hoher Wahrscheinlichkeit unzustellbar. Genau dieses Signal nutzt eine Zustellbarkeitsprüfung: Liefert die Domain keinen MX-Record, ist eine dort angesiedelte Adresse hochgradig verdächtig.

Ein Sonderfall ist der sogenannte Null MX (RFC 7505): Ein einzelner MX-Record mit Priorität 0 und einem Punkt (.) als Ziel signalisiert ausdrücklich, dass die Domain überhaupt keine E-Mails annimmt. Das ist die empfohlene Konfiguration für reine Web- oder Parking-Domains und verhindert, dass sendende Server unnötig Zustellversuche unternehmen.

Bedeutung für die Sicherheit

Der MX-Record allein trifft keine Aussage über die Echtheit oder Sicherheit einer E-Mail — er regelt nur den Zustellweg. Erst im Zusammenspiel mit der E-Mail-Authentifizierung entsteht ein belastbares Sicherheitsniveau: SPF legt fest, welche Server im Namen der Domain senden dürfen, DKIM signiert die Nachrichten, und DMARC gibt die Handlungsanweisung für den Fehlerfall vor. Alle drei Verfahren werden als TXT-Records im selben DNS hinterlegt wie der MX-Eintrag.

Weil die gesamte Mail-Zustellung auf DNS-Antworten beruht, ist die Integrität dieser Antworten sicherheitskritisch. Kann ein Angreifer DNS-Antworten manipulieren, könnte er den MX-Record umbiegen und E-Mails auf einen eigenen Server umleiten. DNSSEC schützt davor, indem es DNS-Antworten kryptografisch signiert und Manipulationen erkennbar macht. Für Domains, die geschäftskritische Kommunikation abwickeln, ist eine aktivierte DNSSEC-Konfiguration deshalb die logische Ergänzung zu einer sauberen MX-Struktur.

Typische Fehlerquellen im Mittelstand

In der Praxis führen fehlerhafte MX-Records regelmäßig zu stillen Zustellproblemen. Häufige Ursachen sind auf einen nicht mehr existierenden Hostnamen verweisende Einträge nach einem Providerwechsel, MX-Records, die auf eine IP-Adresse statt auf einen Hostnamen zeigen (was RFC 5321 nicht erlaubt), oder widersprüchliche Prioritäten nach einer Migration. Da fehlerhafte MX-Konfigurationen selten eine sofortige Fehlermeldung erzeugen, bleiben sie oft wochenlang unbemerkt — bis Kunden melden, dass ihre E-Mails nicht ankommen.

Praxistipp

Ob eine Domain überhaupt E-Mails empfangen kann, lässt sich in Sekunden prüfen. Der E-Mail-Validator fragt den MX-Record einer Adresse ab und zeigt an, ob empfangsbereite Mailserver hinterlegt sind — inklusive Hinweisen auf Wegwerf-Adressen und häufige Tippfehler in der Domain. Wer die MX-, TXT- und A-Records einer Domain im Detail einsehen möchte, nutzt ergänzend das DNS-Lookup. Und ob die eigene Domain per SPF, DKIM und DMARC gegen Absenderfälschung abgesichert ist, zeigt der E-Mail Security Check.

Weiterführende Artikel