DNS-Grundlagen: Welche Einträge beim E-Mail-Umzug eine Rolle spielen
Ein E-Mail-Umzug betrifft nicht nur den MX-Eintrag. Diese Einträge im DNS Ihrer Domain hängen zusammen und müssen gemeinsam betrachtet werden:
- MX (Mail Exchanger): Sagt fremden Mailservern, an welchen Server Mails für Ihre Domain zugestellt werden. Mehrere MX-Einträge mit unterschiedlicher Priorität sind möglich; der mit der niedrigsten Zahl wird zuerst versucht.
- SPF (TXT-Eintrag): Legt fest, welche Server im Namen Ihrer Domain senden dürfen. Nach dem Umzug muss der neue Anbieter hier aufgeführt sein, sonst landen Ihre ausgehenden Mails im Spam oder werden abgewiesen.
- DKIM: Signiert ausgehende Mails kryptografisch. Der neue Anbieter stellt eigene DKIM-Schlüssel bereit, die als DNS-Einträge hinterlegt werden müssen.
- DMARC (TXT-Eintrag unter _dmarc): Definiert, was Empfänger mit Mails tun, die SPF- oder DKIM-Prüfung nicht bestehen. Eine strenge DMARC-Richtlinie bestraft eine vergessene SPF-Anpassung sofort.
- Autodiscover (CNAME) und SRV-Einträge: Helfen Mail-Clients, die Serverkonfiguration automatisch zu finden. Bei Microsoft 365 ist Autodiscover wichtig für Outlook; bei Google Workspace spielen andere Einträge eine Rolle. Alte Einträge, die noch auf den vorigen Anbieter zeigen, verwirren Clients nach dem Umzug.
- TTL (Time to Live): Gibt an, wie lange DNS-Resolver einen Eintrag zwischenspeichern. Sie entscheidet darüber, wie schnell eine Änderung weltweit greift.
Schritt 1: TTL rechtzeitig senken
Viele Domains haben für den MX-Eintrag eine TTL von mehreren Stunden oder einem Tag. Wird der Eintrag mit dieser TTL geändert, liefern manche Mailserver noch bis zu einem Tag lang an den alten Anbieter. Deshalb: Setzen Sie die TTL des MX-Eintrags (und der zugehörigen Einträge) einige Tage vor der Umstellung auf einen kurzen Wert, zum Beispiel wenige Minuten. Die alte TTL muss erst einmal ablaufen, bevor die kurze gilt; eine Änderung am Vortag reicht in der Regel, bei langen TTLs planen Sie zwei bis drei Tage ein. Nach der erfolgreichen Umstellung können Sie die TTL wieder anheben.
Schritt 2: Die richtige Reihenfolge
Der häufigste Fehler ist, den MX-Eintrag zu früh umzustellen: Dann kommen Mails in Postfächern an, die noch leer sind oder gar nicht existieren. Die Reihenfolge, die sich in unseren Projekten bewährt hat:
- Ziel vorbereiten: Alle Nutzer im neuen System anlegen und lizenzieren, Gruppen und Funktionsadressen einrichten, die Domain im Ziel hinzufügen und verifizieren. Ohne lizenziertes Postfach wird eine Mail nach der Umstellung abgewiesen.
- Vorab-Migration: Den Bestand im Hintergrund übertragen, während alle im alten System weiterarbeiten. Je nach Datenmenge dauert das Stunden bis Tage; die Umstellung darf erst danach erfolgen.
- Testmigration prüfen: Ein paar echte Postfächer vorab ansehen, Ordnerstruktur und Termine kontrollieren.
- TTL senken (siehe oben), spätestens am Tag vor dem Stichtag.
- MX-Eintrag umstellen: Den alten MX entfernen und den neuen eintragen; SPF, DKIM und DMARC im selben Zug anpassen; alte Autodiscover-Einträge entfernen oder umbiegen.
- Delta-Sync: Nach Ablauf der TTL alles nachziehen, was zwischen Vorab-Migration und Umstellung noch im alten System eingegangen ist. Ein zweiter Delta-Lauf einige Stunden später fängt Nachzügler ab.
- Validierung: Jedes Objekt gegen die Quelle abgleichen, Abschlussbericht erstellen.
Diese Reihenfolge ist genau die, nach der wir arbeiten; die Phasen sind auf der Seite Ablauf einer Migration beschrieben. Die DNS-Änderung selbst führen Sie oder Ihr DNS-Provider durch, wir sagen Ihnen vorab, welche Werte wann gesetzt werden, und begleiten den Stichtag.
Doppelte Zustellung und Mailverlust vermeiden
Zwei Szenarien führen immer wieder zu Chaos:
- Alter und neuer MX gleichzeitig aktiv: Wer den neuen MX ergänzt, ohne den alten zu entfernen, erhält Mails je nach Laune des sendenden Servers mal hier, mal dort. Der alte Eintrag muss weg, nicht nur niedriger priorisiert werden.
- Weiterleitung plus MX-Umstellung: Eine serverseitige Weiterleitung vom alten zum neuen System ist als Übergang sinnvoll, solange der MX noch alt ist. Bleibt sie nach der Umstellung bestehen, entstehen Schleifen oder Duplikate. Nach dem Delta-Sync abschalten.
Mailverlust droht vor allem, wenn das alte System vor dem letzten Delta-Sync abgeschaltet oder die Lizenz entzogen wird. Die Quelle bleibt bis zum Abschlussbericht unangetastet und erreichbar. Wir lesen dort nur, verändert wird nichts; was dort nach der Umstellung noch eintrifft, holt der Delta-Sync.
Das passende Zeitfenster
Die Umstellung selbst dauert nur Minuten, die Ausbreitung im DNS bei kurzer TTL ebenfalls. Trotzdem sollte das Fenster ruhig sein: Freitagabend oder ein Wochenende haben sich bewährt, weil wenig Mailverkehr fließt, die Delta-Syncs ohne Zeitdruck laufen und die Nutzer am Montag mit vollständigen Postfächern starten. Vermeiden Sie Monatsenden, Kampagnen-Tage oder Fristen, an denen eine einzelne verspätete Mail teuer wäre. Benennen Sie für den Stichtag einen Ansprechpartner mit Zugriff auf das DNS; wir sind in dieser Zeit erreichbar.
Rollback: Den Rückweg offenhalten
Ein guter Plan hat einen Rückweg. Beim E-Mail-Umzug ist er einfach, wenn Sie drei Dinge beachten:
- Das alte System bleibt lizenziert und online, bis der Abschlussbericht vorliegt und alle Nutzer einige Tage im neuen System gearbeitet haben.
- Die alten DNS-Werte (MX, SPF, DKIM, Autodiscover) werden vor der Änderung notiert oder exportiert.
- Die TTL bleibt bis nach der Abnahme kurz, damit ein Zurückschalten ebenso schnell greift wie das Umschalten.
Tritt ein Problem auf, das sich nicht innerhalb des Fensters lösen lässt, wird der MX zurückgestellt. Mails, die in der Zwischenzeit im neuen System eingegangen sind, lassen sich anschließend in die andere Richtung nachziehen. In der Praxis ist das selten nötig, weil die Testmigration und die Vorab-Migration die meisten Überraschungen vorher ans Licht bringen.
Prüfung nach dem Umschalten
Nach der Änderung sollten Sie in dieser Reihenfolge testen:
- DNS abfragen: Mit einem Befehl wie nslookup oder dig von außerhalb Ihres Netzes prüfen, dass nur noch der neue MX zurückgegeben wird.
- Externe Testmails: Von einer fremden Adresse (privates Konto, Smartphone über Mobilfunk) an mehrere interne Adressen senden, inklusive einer Funktionsadresse und einer Gruppe. Ankunft im neuen System kontrollieren.
- Ausgehende Mails: Von intern an eine externe Adresse senden und im Kopfbereich der empfangenen Mail prüfen, ob SPF, DKIM und DMARC bestanden wurden (Zeile „Authentication-Results").
- Clients und Smartphones: Outlook, Apple Mail, Thunderbird und mobile Geräte auf das neue Konto umstellen und Senden sowie Empfangen testen.
- Kalender und Kontakte: Stichprobe pro Nutzer: Serientermine, Einladungen, Kontaktgruppen.
- Systeme, die Mails versenden: Scanner, Drucker, Webshop, Ticketsystem, CRM und Monitoring verschicken oft über SMTP-Relay des alten Anbieters. Sie werden gern vergessen und fallen erst Tage später auf.
Besonderheiten je nach Quelle
Bei einem Umzug von IMAP-Postfächern beim Hoster (IONOS, STRATO, Telekom, All-Inkl) liegt das DNS oft beim selben Anbieter wie das Postfach. Prüfen Sie, ob Sie die DNS-Einträge dort frei bearbeiten können oder ob die Domain vorher zu einem anderen Registrar umziehen muss; das kostet Vorlauf. Die Anbieter-Seiten unter Umzug von Hostern zu Microsoft 365 oder Google Workspace gehen auf die jeweiligen Eigenheiten ein, der Ratgeber Von IMAP oder Exchange in die Cloud auf die Datenseite. Beim eigenen Exchange-Server kommt hinzu, dass die Firewall-Freigaben und das Zertifikat des alten Servers nach der Umstellung nicht mehr gebraucht werden, der Server aber bis zur Validierung weiterläuft. Bei einer Tenant-zu-Tenant-Migration in Microsoft 365 ist die Domain-Freigabe im alten und die Aktivierung im neuen Tenant eng getaktet, weil eine Domain nur in einem Tenant aktiv sein kann; das beschreibt der Ratgeber Tenant-to-Tenant-Migration.
DSGVO-Hinweis zur Umstellung
Die DNS-Umstellung selbst bewegt keine Daten, die Migration davor und der Delta-Sync danach schon. Achten Sie darauf, über welche Infrastruktur Ihre Postfächer dabei laufen. Migravault überträgt ausschließlich über eigene Server in Deutschland und der EU, mit selbst entwickelter Software; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist auf Wunsch Teil des Auftrags. Das ist keine Rechtsberatung, aber ein Punkt, den Sie bei jedem Anbieter abfragen sollten.
Was kostet ein E-Mail-Umzug?
Die Cutover-Begleitung ist in der Projektpauschale enthalten: 200 € bei Cloud- und Hosting-Quellen, 300 € bei einem Exchange-Server im Haus. Dazu kommen 29 € je Postfach für E-Mails mit Ordnerstruktur, Delta-Sync und Validierung. 20 IMAP-Postfächer kosten damit 20 × 29 € = 580 € plus 200 €, also 780 € netto; Lizenzen der Zielplattform sind nicht enthalten. Ihre Konfiguration rechnen Sie im Preisrechner mit vorausgewählter IMAP-Quelle, die Preisfaktoren erklärt der Ratgeber Was kostet eine E-Mail-Migration?.
Selbst machen oder beauftragen?
Den MX-Eintrag zu ändern ist technisch kein Hexenwerk. Schwierig ist die Koordination: Vorab-Migration abschließen, Lizenzen prüfen, TTL rechtzeitig senken, SPF und DKIM im selben Zug setzen, Delta-Sync nach Ablauf der TTL, Validierung, Nachzügler. Wer das zum ersten Mal macht, übersieht erfahrungsgemäß einen dieser Punkte. In einer begleiteten Migration nach Microsoft 365 oder Google Workspace ist der Stichtag ein geplanter Termin mit Checkliste, nicht ein Wochenende voller Überraschungen; was dazugehört, steht auf den Seiten Microsoft-365-Migration und Google-Workspace-Migration. Die Entscheidungshilfe Selbst migrieren oder Dienstleister? hilft bei der Abwägung.
Häufige Fragen
Wie lange dauert es, bis ein geänderter MX-Eintrag greift?
Das bestimmt die TTL des Eintrags. Bei einer vorab auf wenige Minuten gesenkten TTL greift die Änderung weltweit innerhalb kurzer Zeit. Bei einer unveränderten TTL von mehreren Stunden oder einem Tag liefern manche Server so lange noch an den alten Anbieter. Deshalb die TTL einige Tage vor dem Stichtag senken.
Gehen beim Umstellen des MX-Eintrags Mails verloren?
Nicht, wenn die Reihenfolge stimmt: Erst alle Postfächer im Ziel anlegen und lizenzieren, dann die Vorab-Migration abschließen, dann umstellen, dann per Delta-Sync nachziehen, was zwischenzeitlich noch im alten System eingegangen ist. Das alte System bleibt bis zum Abschlussbericht erreichbar und wird nicht verändert.
Kann ich alten und neuen MX-Eintrag parallel laufen lassen?
Davon raten wir ab. Sendende Server dürfen jeden gelisteten MX nutzen, auch den mit niedrigerer Priorität. Dann kommen Mails unkontrolliert mal im alten, mal im neuen System an. Den alten Eintrag beim Umschalten entfernen und Nachzügler über den Delta-Sync einsammeln.
Müssen SPF, DKIM und DMARC beim Umzug geändert werden?
Ja. SPF muss den neuen Anbieter als erlaubten Absender nennen, DKIM braucht die Schlüssel-Einträge des neuen Anbieters, und eine strenge DMARC-Richtlinie bestraft fehlende Anpassungen sofort mit Abweisungen. Alle drei im selben Zug wie den MX-Eintrag ändern und mit einer ausgehenden Testmail prüfen.
Wann sollte ich das alte E-Mail-System abschalten?
Erst nach dem Abschlussbericht und einigen Tagen Betrieb im neuen System. Bis dahin braucht der Delta-Sync die Quelle, die Validierung gleicht gegen sie ab, und ein Rollback wäre ohne sie unmöglich. Danach Lizenzen reduzieren oder kündigen und die TTL wieder anheben.
Quellen & weiterführende Dokumentation
- Microsoft Learn: Externe Domänennamensystemdatensätze für Microsoft 365 — Vollständige Liste der DNS-Einträge (MX, Autodiscover, SPF) für Microsoft 365
- Microsoft Learn: Verbinden Ihrer Domäne durch Hinzufügen von DNS-Einträgen — Schrittfolge zum Eintragen der Microsoft-365-Records beim DNS-Anbieter
- Google Workspace-Hilfe: MX-Einträge für Google Workspace einrichten — MX-Eintrag und Priorität für Gmail in Google Workspace
- Google Workspace-Hilfe: SPF einrichten — SPF-Eintrag beim Wechsel des Mailservers anpassen
- Google Workspace-Hilfe: DKIM einrichten — DKIM-Signatur am neuen System vor der MX-Umstellung aktivieren
