> ## Documentation Index > Fetch the complete documentation index at: https://docs.reiner.ai/llms.txt > Use this file to discover all available pages before exploring further. # Reiner E-Mail-Agent einrichten > Admin-Anleitung: SPF, DKIM und DMARC einrichten, eure Domain prüfen und den Reiner E-Mail-Agent für eure Organisation freischalten. Mit dem Reiner E-Mail-Agent geben Mitglieder Aufgaben per E-Mail ab: Sie schicken eine E-Mail an **[agent@reiner.email](mailto:agent@reiner.email)**, Reiner erledigt die Aufgabe und antwortet ins Postfach, mit Link zum vollständigen Chat in Reiner. Wie das für Mitglieder aussieht, steht im Artikel [**Reiner E-Mail-Agent**](https://docs.reiner.ai/integrationen/e-mail-agent.md). Diese Anleitung richtet sich an Inhaber eurer Reiner-Organisation und an eure IT. ## Drei Voraussetzungen Weil der Agent auf E-Mails reagiert, muss jede E-Mail nachweislich vom jeweiligen Mitglied kommen. Bevor Reiner eine E-Mail verarbeitet, müssen drei Dinge erfüllt sein: 1. **Eure Absenderdomain veröffentlicht SPF, DKIM und DMARC**, damit sich jede E-Mail prüfen lässt *(eure IT bzw. wer eure Domain verwaltet)*. 2. **Eure Organisation hat den Reiner E-Mail-Agent freigeschaltet** und eure Absenderdomain geprüft *(Inhaber der Organisation)*. 3. **Das Mitglied hat den Agent für sich aktiviert** *(jedes Mitglied selbst)*. E-Mails, die sich nicht prüfen lassen oder von einer Domain kommen, die eure Organisation nicht hinzugefügt hat, verarbeitet Reiner nicht. ## Schritt 1: SPF, DKIM und DMARC einrichten (für eure IT) Bei vielen Unternehmen sind diese Einträge schon vorhanden. Ob etwas fehlt, zeigt Reiner, sobald ihr die Domain in Schritt 2 hinzufügt. > [!NOTE] > > **Für eure IT:** SPF, DKIM und DMARC gelten für euren gesamten E-Mail-Verkehr, nicht nur für den Reiner E-Mail-Agent. Die drei Einträge sind ein gängiger Standard. Sie schützen eure Domain vor gefälschten E-Mails und helfen, dass eure E-Mails zuverlässig ankommen. Weil sie jede ausgehende E-Mail betreffen, nimmt am besten eure IT bzw. wer eure E-Mail-Infrastruktur betreut die Änderungen vor, eine nach der anderen. Führt ihr DMARC neu ein, startet mit `p=none` und verschärft die Richtlinie erst, wenn die Berichte zeigen, dass alle eure Absender die Prüfung bestehen. Die Einträge legt ihr im DNS der Domain an, von der ihr sendet: in der DNS-Verwaltung eures Registrars oder DNS-Anbieters (z. B. Namecheap, GoDaddy, IONOS, Cloudflare, Route 53). Läuft eure E-Mail über Google Workspace oder Microsoft 365, decken die Werte unten die übliche Einrichtung ab. Sonst nutzt ihr die Werte, die euer E-Mail-Anbieter dokumentiert. ### SPF: wer für eure Domain senden darf Ein TXT-Eintrag auf der **Hauptdomain** (`@`), der mit `v=spf1` beginnt und die Dienste nennt, die im Namen eurer Domain senden dürfen. **Eine Domain darf genau einen SPF-Eintrag haben.** Gibt es schon einen, ergänzt ihr ihn, statt einen zweiten anzulegen. | Anbieter | Host | Typ | Wert | | - | - | - | - | | Google Workspace | `@` | TXT | `v=spf1 include:_spf.google.com ~all` | | Microsoft 365 | `@` | TXT | `v=spf1 include:spf.protection.outlook.com -all` | ### DKIM: digitale Signatur auf jeder E-Mail DKIM-Schlüssel erzeugt euer E-Mail-Anbieter. Veröffentlicht werden sie unter `._domainkey.`. * **Google Workspace:** Admin-Konsole → *Apps → Google Workspace → Gmail → E-Mail authentifizieren* → Schlüssel erzeugen, den angezeigten TXT-Eintrag unter dem Host `google._domainkey` veröffentlichen und auf **Authentifizierung starten** klicken. * **Microsoft 365:** Im Defender-Portal die [DKIM-Einstellungen der E-Mail-Authentifizierung](https://security.microsoft.com/authentication?viewid=DKIM) öffnen → Signierung für eure Domain aktivieren und die zwei **CNAME**-Einträge veröffentlichen, die Microsoft anzeigt (`selector1._domainkey` und `selector2._domainkey`). ### DMARC: die Richtlinie, die alles zusammenführt Ein TXT-Eintrag unter dem Host `_dmarc`. Er sagt empfangenden Servern, was mit E-Mails passieren soll, die SPF oder DKIM nicht bestehen. | Host | Typ | Wert | | - | - | - | | `_dmarc` | TXT | `v=DMARC1; p=quarantine; rua=mailto:dmarc-reports@eurefirma.de` | Wollt ihr erst nur beobachten, startet ihr mit `p=none` und wechselt zu `p=quarantine` oder `p=reject`, sobald die Berichte sauber aussehen. An die `rua`-Adresse gehen zusammengefasste Berichte. Nutzt dafür ein Postfach, auf das ihr Zugriff habt. > [!WARNING] > > Der Reiner E-Mail-Agent verlangt, dass E-Mails die Authentifizierung **passend zu eurer Domain** bestehen (Alignment). Automatische Weiterleitungen und Umleitungen über ein anderes Postfach brechen das SPF-Alignment oft, solche E-Mails können abgelehnt werden. Mitglieder leiten deshalb direkt aus ihrem eigenen Postfach an [agent@reiner.email](mailto:agent@reiner.email) weiter. ## Schritt 2: E-Mail-Agent freischalten (Inhaber) **1. Einstellungen öffnen** Öffne in Reiner unten links das Profil-Menü → **Einstellungen**. **2. Integrationen aufrufen** Gehe im Bereich **Organisation** zu **Integrationen**. **3. E-Mail-Agent konfigurieren** Klicke bei **Reiner E-Mail-Agent** auf **Konfigurieren**. Es öffnet sich **Reiner E-Mail-Agent einrichten** mit zwei Schritten. **4. Domain prüfen** Unter **Deine E-Mail-Domain** steht schon die Domain deiner E-Mail-Adresse. Klicke auf **Domain prüfen**. Reiner verarbeitet nur E-Mails von Absendern der geprüften Domains. Sendet euer Team auch von anderen Domains, z. B. einer Tochterfirma, prüfst du jede über **Weitere Domain prüfen**. **5. Für Mitglieder freischalten** Ist eine Domain **Bereit**, schalte **Mitgliedern die Zustimmung erlauben** ein. Dadurch liest Reiner noch keine E-Mails: Jedes Mitglied aktiviert den Agent danach selbst. ![Dialog „Reiner E-Mail-Agent einrichten“ mit geprüfter Domain](https://mintcdn.com/reiner-ai/pOUTUzP8daA3bb0W/images/integrationen/e-mail-agent-einrichten.png?fit=max\&auto=format\&n=pOUTUzP8daA3bb0W\&q=85\&s=170a77b296f7d1ac023caddb255a57c0) Reiner prüft die DNS-Einträge der Domain und zeigt einen Chip je Verfahren: **SPF**, **DKIM** und **DMARC**. Sind alle drei grün, ist die Domain **Bereit**. Fehlt ein Eintrag, ist der Chip rot, und darunter steht **Das muss deine IT erledigen** mit dem, was fehlt. Fährst du mit der Maus über einen roten Chip, siehst du, was veröffentlicht werden muss. Wie eure IT die Einträge anlegt, steht in Schritt 1. Hat eure IT die DNS-Einträge geändert, klicke auf **Erneut prüfen**. Änderungen sind meist nach wenigen Minuten bis Stunden sichtbar, spätestens nach 48 Stunden. > [!NOTE] > > Die DKIM-Prüfung sucht unter gängigen Selektor-Namen: `google`, `selector1`, `selector2`, `k1`, `k2`, `k3`, `default`, `mail`, `mg` und `dkim`. Nutzt euer E-Mail-Anbieter einen eigenen Selektor, kann der DKIM-Chip rot bleiben, obwohl eure E-Mails korrekt signiert sind. Reiner prüft die tatsächliche Signatur ohnehin bei jeder einzelnen E-Mail. Freischalten lässt sich der Agent aber nur mit einer Domain, die alle drei Prüfungen besteht. Melde dich in diesem Fall beim [Reiner-Support](https://docs.reiner.ai/faq/support.md). ## Schritt 3: Mitglieder aktivieren den Agent Jedes Mitglied aktiviert den E-Mail-Agent selbst: 1. Den Bereich **Integrationen** in der Reiner-Seitenleiste öffnen. 2. Auf der Kachel **Reiner E-Mail-Agent** auf **Aktivieren** klicken. 3. E-Mails an **[agent@reiner.email](mailto:agent@reiner.email)** schicken. Zwei Dinge sind dabei wichtig: * **Von der Adresse senden, mit der man sich bei Reiner anmeldet.** Reiner ordnet den geprüften Absender dem Reiner-Konto zu. E-Mails von anderen Adressen ignoriert Reiner. * **Die Aufgabe in die E-Mail schreiben**, z. B. *„Entwirf eine freundliche Antwort“* oder *„Fass den Anhang zusammen und liste die offenen Punkte auf“*. Anhänge und öffentliche Google-Drive-Links liest Reiner mit. Reiner antwortet ins Postfach. Wer auf diese E-Mail antwortet, setzt dieselbe Unterhaltung fort. ## Einrichtung prüfen 1. Öffne in Reiner unter **Integrationen** den **Reiner E-Mail-Agent** und klicke bei eurer Domain auf **Erneut prüfen**. Alle drei Chips sollten grün sein und die Domain **Bereit**. 2. Unabhängig davon bestätigen Werkzeuge wie `dig` oder `nslookup` oder Online-DMARC-Checker die Einträge, z. B. `dig TXT eurefirma.de`, `dig TXT _dmarc.eurefirma.de` und `dig TXT google._domainkey.eurefirma.de`. 3. Schick von deiner Reiner-Adresse eine Test-E-Mail an **[agent@reiner.email](mailto:agent@reiner.email)**. Die Antwort sollte innerhalb weniger Minuten kommen. ## Fehlerbehebung | Symptom | Wahrscheinliche Ursache | Lösung | | - | - | - | | Gar keine Antwort | Absenderdomain nicht geprüft, oder das Mitglied hat den Agent nicht aktiviert | Inhaber prüft die Domain im E-Mail-Agent, Mitglied aktiviert die Kachel unter **Integrationen** | | Keine Antwort, Einträge sehen gut aus | Gesendet von einer Adresse, die nicht die Reiner-Anmeldeadresse ist | Von der Adresse senden, mit der man sich bei Reiner anmeldet | | Keine Antwort nach einer Weiterleitung | Automatische Weiterleitung oder Umleitung über ein anderes Postfach hat das SPF/DKIM-Alignment gebrochen | Direkt aus dem eigenen Postfach an [agent@reiner.email](mailto:agent@reiner.email) weiterleiten | | Roter Chip **SPF** | Kein TXT-Eintrag mit `v=spf1` auf der Hauptdomain | SPF-Eintrag wie oben anlegen | | Roter Chip **DMARC** | Kein TXT-Eintrag unter `_dmarc.` | DMARC-Eintrag wie oben anlegen | | Roter Chip **DKIM**, aber E-Mails sind signiert | Euer Anbieter nutzt einen eigenen Selektor, den die Prüfung nicht kennt | E-Mails werden trotzdem einzeln geprüft. Zum Freischalten beim [Reiner-Support](https://docs.reiner.ai/faq/support.md) melden | | „Wir konnten die DNS-Einträge gerade nicht abrufen“ | Vorübergehendes DNS-Problem während der Prüfung | Auf **Erneut prüfen** klicken | This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.