SPF- & DMARC-Check

Warum SPF, DKIM und DMARC wichtig sind

E-Mail wurde ohne Absenderprüfung entwickelt, daher kann jeder Ihre Domain in die „Von“-Zeile (From) schreiben. Drei DNS-basierte Standards beheben das. Seit Februar 2024 verlangen Google und Yahoo sie von Massenversendern, und fehlende Einträge sind heute ein häufiger Grund dafür, dass legitime E-Mails im Spam landen.

• SPF listet in einem TXT-Eintrag, der mit v=spf1 beginnt, die Server auf, die E-Mails für Ihre Domain versenden dürfen.
• DKIM versieht jede Nachricht mit einer kryptografischen Signatur; Empfänger prüfen sie mit einem öffentlichen Schlüssel, der unter selector._domainkey.yourdomain veröffentlicht ist.
• DMARC (unter _dmarc.yourdomain) teilt Empfängern mit, was zu tun ist, wenn SPF und DKIM nicht mit der From-Domain übereinstimmen (none, quarantine oder reject), und wohin Berichte gesendet werden sollen.

Was dieser Checker prüft

• SPF: Ein Eintrag ist vorhanden, es gibt nur einen, er endet auf ~all oder -all (nie +all), und die Gesamtzahl der DNS-Abfragen einschließlich verschachtelter include:-Mechanismen bleibt innerhalb der Grenze von 10 aus RFC 7208.
• DKIM: Schlüssel unter dem von Ihnen angegebenen Selektor oder unter einem Dutzend gängiger Selektoren, die von Google Workspace, Microsoft 365 und beliebten Versanddiensten verwendet werden.
• DMARC: Ein Eintrag ist vorhanden, hat eine gültige Richtlinie, gilt für 100 % der E-Mails und versendet Sammelberichte (Aggregate Reports), damit Sie sehen, wer in Ihrem Namen versendet.

Beispieleinträge

example.com.         TXT  "v=spf1 include:_spf.example.net ip4:192.0.2.0/24 -all"
_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=s"
s1._domainkey.example.com. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"

Empfohlene Einführung

1. Veröffentlichen Sie einen SPF-Eintrag, der jeden Dienst abdeckt, der für Sie versendet, und mit ~all endet.
2. Aktivieren Sie die DKIM-Signierung bei jedem Anbieter.
3. Veröffentlichen Sie DMARC mit p=none und einer rua-Adresse und werten Sie zwei bis vier Wochen lang die Berichte aus.
4. Wechseln Sie zu p=quarantine und dann zu p=reject, sobald alle legitimen E-Mails die Prüfung bestehen.

Ausführliche Anleitung: SPF, DKIM und DMARC erklärt.

Häufig gestellte Fragen

Sollte ich ~all oder -all verwenden?

Wenn DMARC eingerichtet ist, funktioniert beides; DMARC entscheidet über das Ergebnis. ~all ist der sicherere Ausgangspunkt; -all ist strenger, sobald Sie sicher sind, dass jeder Absender aufgeführt ist.

Was bedeutet „zu viele DNS-Abfragen“?

Jedes include, a, mx, exists und redirect kostet eine Abfrage, auch solche innerhalb eingebundener Einträge. Bei mehr als 10 schlägt SPF für alle fehl. Entfernen Sie ungenutzte Dienste oder ersetzen Sie Includes durch ip4/ip6-Bereiche.

Brauchen geparkte Domains diese Einträge?

Ja. Schützen Sie Domains, die nie E-Mails versenden, mit v=spf1 -all und v=DMARC1; p=reject.

Aktualisiert 2026-10-17