Ist meine E-Mail-Domain geschützt?

Aktualisiert am 29. Oktober 2026

Ohne SPF, DKIM und DMARC kann jeder E-Mails verschicken, die scheinbar von Ihrer Domain stammen. Geben Sie eine Domain oder Adresse ein: Das Werkzeug liest die öffentliche Konfiguration und sagt Ihnen genau, was zu korrigieren ist.

Was das Werkzeug prüft

Wenn eine E-Mail eintrifft, fragt der Mailserver des Empfängers das DNS der Absender-Domain ab, um festzustellen, ob sie echt ist. Das Werkzeug liest genau dieselben öffentlichen Einträge:

Eintrag	Wo er liegt	Seine Aufgabe
MX	`beispiel.de`	Nennt die Server, die die Mails der Domain empfangen
SPF	TXT von `beispiel.de`	Listet die Server auf, die im Namen der Domain senden dürfen
DKIM	TXT von `selektor._domainkey.beispiel.de`	Veröffentlicht den Schlüssel, der die Signatur der Nachrichten prüft
DMARC	TXT von `_dmarc.beispiel.de`	Legt fest, was mit einer durchgefallenen Nachricht geschieht und wohin die Berichte gehen
MTA-STS	TXT von `_mta-sts.beispiel.de`	Erzwingt die Verschlüsselung eingehender Nachrichten (optional)
BIMI	TXT von `default._bimi.beispiel.de`	Zeigt das Markenlogo in einigen Postfächern an (optional)

So lesen Sie das Ergebnis

Die Note von 0 bis 100 fasst den Schutz zusammen. SPF und vor allem DMARC wiegen am schwersten, denn sie verhindern das Fälschen. MTA-STS und BIMI sind Bonuspunkte. DKIM zählt nur, wenn ein Schlüssel gefunden wird oder Sie einen Selektor angeben.

SPF mit „-all“ oder „~all“: korrekt. „-all“ verlangt, nicht aufgeführte Server abzuweisen, „~all“, sie als verdächtig zu markieren. Mit aktivem DMARC schützen beide gut.
SPF mit „?all“, „+all“ oder ohne abschließende Regel: Der SPF existiert, schützt aber nicht. „+all“ ist sogar gefährlich, weil es allen das Senden erlaubt.
Mehrere SPF-Einträge: ein häufiger Fehler, nachdem ein neuer Dienst hinzugekommen ist. Sie müssen zu einem einzigen zusammengeführt werden.
DMARC „p=none“: Beobachtungsmodus. Sie erhalten Berichte, aber gefälschte E-Mails kommen durch. Das ist eine Etappe, kein Ziel.
DMARC „quarantine“ oder „reject“: Fälschungen landen im Spam oder werden abgewiesen. Das ist das Ziel.
Berichte „rua“: Ohne sie können Sie nicht wissen, wer im Namen Ihrer Domain sendet.

Warum DKIM einen Selektor braucht

Jeder Anbieter veröffentlicht seinen DKIM-Schlüssel unter einem selbst gewählten Namen, dem Selektor: google bei Google Workspace, selector1 und selector2 bei Microsoft 365, andere Namen anderswo. Im DNS lassen sich diese Namen nicht auflisten. Das Werkzeug probiert die gängigsten aus; findet es nichts, beweist das nicht, dass DKIM fehlt.

Um Ihren Selektor herauszufinden, öffnen Sie eine E-Mail, die von Ihrer Domain gesendet wurde, lassen Sie sich die Header anzeigen und suchen Sie die Zeile DKIM-Signature: Der Wert nach s= ist der Selektor, der nach d= die signierende Domain. Die E-Mail-Header-Analyse von Boxo hilft Ihnen beim Lesen.

Warum das wichtig ist

Das E-Mail-Protokoll erlaubt, eine beliebige Adresse ins Feld „Von“ zu schreiben. Ohne Authentifizierung kann ein Betrüger gefälschte Rechnungen oder falsche Passwort-Nachrichten verschicken, die scheinbar von Ihrem Unternehmen stammen. Ihre Kunden werden zu Opfern, und Ihr Ruf leidet mit.

Die Zustellbarkeit ist die andere Seite. Seit 2024 verlangen Gmail und Yahoo von Massenversendern, ihre Nachrichten mit SPF, DKIM und DMARC zu authentifizieren. Selbst bei einer kleinen Domain führt ein fehlender oder fehlerhafter SPF oft dazu, dass legitime Nachrichten im Spam landen.

Was tun, in dieser Reihenfolge

Listen Sie alles auf, was E-Mails verschickt für Ihre Domain: Mailsystem, Website, Newsletter-Tool, Rechnungssoftware, CRM.
Veröffentlichen Sie einen einzigen SPF, der alle erlaubt, mit ~all am Ende. Die vom Werkzeug vorgeschlagenen Einträge sind ein Ausgangspunkt, den Sie anpassen.
Aktivieren Sie DKIM bei jedem dieser Dienste: Sie erhalten dort den Eintrag, den Sie hinzufügen müssen.
**Veröffentlichen Sie DMARC mit p=none** und einer rua-Adresse, und lesen Sie einige Wochen lang die Berichte.
**Wechseln Sie zu p=quarantine, dann zu p=reject**, sobald alle Ihre legitimen Sendungen durchkommen.

Eine Domain, die nie E-Mails verschickt, etwa ein Name, der nur zum Schutz einer Marke registriert wurde, sollte ebenfalls abgesichert werden: v=spf1 -all und v=DMARC1; p=reject;. Sonst bleibt sie ein ideales Ziel für Fälschungen, gerade weil niemand sie überwacht.

DNS-Änderungen werden nach einigen Minuten bis einigen Stunden sichtbar. Starten Sie die Analyse danach erneut, um das Ergebnis zu prüfen.

Wegwerf-Adresse erhalten

Häufige Fragen

Verschickt das Werkzeug eine E-Mail oder kontaktiert es den Server der Domain?

Nein. Es liest nur öffentliche DNS-Einträge, dieselben, die jeder Mailserver beim Empfang einer E-Mail abfragt. Es wird keine Nachricht verschickt.

Soll ich im SPF „-all“ oder „~all“ wählen?

Beides passt, sobald DMARC aktiv ist. „~all“ ist während der Einrichtung toleranter, falls ein Versanddienst vergessen wurde. Sobald alle Ihre Absender aufgeführt sind, ist „-all“ strenger.

Warum findet das Werkzeug meinen DKIM-Schlüssel nicht?

Er ist unter einem von Ihrem Anbieter gewählten Selektor veröffentlicht, den das DNS nicht auflisten kann. Geben Sie ihn im vorgesehenen Feld an: Er steht nach „s=“ im Header DKIM-Signature einer E-Mail, die von Ihrer Domain gesendet wurde.

Kann DMARC mit „reject“ meine eigenen E-Mails blockieren?

Ja, wenn einer Ihrer Versanddienste nicht per SPF autorisiert oder per DKIM signiert ist. Deshalb sollten Sie mit „p=none“ beginnen und die Berichte lesen, bevor Sie die Richtlinie verschärfen.