Ob E-Mails aus deiner Firma ankommen, entscheidet sich an ein paar Zeilen im DNS deiner Domain. Sie sind unsichtbar, sie stehen dort seit Jahren, und meistens hat sie zuletzt jemand angefasst, der heute nicht mehr da ist. Dieser Test liest sie von außen aus – so, wie es Gmail, Outlook, GMX und Web.de bei jeder eintreffenden Nachricht tun – und sagt dir in einfachen Worten, was er findet und was zu tun ist.
Gib deine Domain oder eine E-Mail-Adresse ein. Es wird keine Nachricht verschickt und nichts an deine Domain zugestellt.
…
Drei Einträge, drei Aufgaben
SPF sagt, wer darf
Der SPF-Eintrag ist eine Gästeliste: Er nennt die Server, die in deinem Namen E-Mails verschicken dürfen. Steht ein Server nicht darauf, weiß der Empfänger, dass hier jemand in deinem Namen auftritt, der nicht dazugehört. Zur SPF-Seite
DKIM beweist, wer war
DKIM ist ein Siegel auf dem Umschlag. Dein Mailserver signiert jede Nachricht, der Empfänger rechnet mit einem öffentlichen Schlüssel aus deinem DNS nach. Das Siegel übersteht auch eine Weiterleitung. Zur DKIM-Seite
DMARC sagt, was passieren soll
SPF und DKIM stellen fest, dass etwas nicht stimmt. Erst DMARC sagt, was daraus folgen soll – und schickt dir täglich Berichte darüber, wer in deinem Namen versendet. Zur DMARC-Seite
Die drei greifen ineinander. SPF allein bricht bei jeder Weiterleitung. DKIM allein hat keine Konsequenz. DMARC allein hat nichts, worauf es sich stützen könnte. Erst zusammen ergeben sie einen Schutz, den Empfänger auch anwenden.
Die Fälle, die immer wieder falsch verstanden werden
DMARC steht seit Jahren auf p=none
Der häufigste Befund überhaupt. p=none heißt: Melde es mir, aber tu nichts. Als Startpunkt ist das genau richtig – man will ja erst sehen, wer alles in seinem Namen versendet, bevor man abweist. Als Dauerzustand ist es eine Absichtserklärung ohne Wirkung. Wer deinen Namen benutzt, kommt weiterhin durch, und dein Eintrag sagt den Empfängern ausdrücklich, dass sie nichts unternehmen sollen. Der Weg heraus führt über die Berichte: erst lesen, dann die eigenen Versandwege absichern, dann auf quarantine und reject.
Der SPF-Eintrag, der still ausgefallen ist
Ein SPF-Eintrag darf höchstens zehn DNS-Abfragen auslösen, verschachtelte Einträge eingerechnet. Vier eingebundene Dienste sind schnell sieben Abfragen, und mit dem Newsletter-Anbieter von 2019, den niemand herausgenommen hat, sind es elf. Darüber gilt der Eintrag als fehlerhaft und wird ignoriert – nicht vorsichtig ausgewertet, sondern übergangen. Von außen sieht er dabei tadellos aus, und eure Post kommt weiter an. Auffallen wird es erst, wenn ihr DMARC verschärft oder ein großer Empfänger nachzieht.
Das Logo, das nicht erscheint
BIMI bringt euer Logo in die Absenderzeile im Postfach. Es scheitert fast nie am BIMI-Eintrag selbst, sondern an zwei Voraussetzungen davor: DMARC muss im Durchgriff wirken, also auf quarantine oder reject stehen, und das Logo muss ein SVG im Profil Tiny 1.2 Portable/Secure sein – quadratisch, mit Titel, ohne Skripte. Dazu kommt bei Gmail und Apple Mail ein Markenzertifikat, das eine eingetragene Marke voraussetzt. Ein BIMI-Eintrag ohne diese drei Dinge ist eine Zeile im DNS, die nichts bewirkt.
Berichte, die nie ankommen
Sollen die DMARC-Berichte an eine andere Domain gehen – an einen Auswertungsdienst oder an eure Agentur –, muss diese Domain das ausdrücklich erlauben. Fehlt der Freigabe-Eintrag dort, verwerfen die berichtenden Empfänger die Berichte stillschweigend. Euer Eintrag sieht richtig aus, es kommt nur nie etwas an. Und weil niemand Berichte vermisst, die er nie hatte, fällt es oft jahrelang nicht auf.
Die Domain ohne Postfächer
Die Domain mit dem alten Schreibfehler, die Domain aus dem Rebranding, die Domain der eingestellten Produktlinie: Sie zeigen auf die Hauptwebsite, empfangen keine Post, und niemand denkt an sie. Für Fälscher sind sie bequem – ein echter Firmenname ohne jede Absicherung. Drei kurze Einträge schließen die Tür: ein Null-MX (0 .), v=spf1 -all und DMARC auf p=reject. Einmal gesetzt, jahrelang nicht angefasst.
Was dieser Test nicht kann
Wir sagen lieber, wo unsere Grenzen liegen, als eine Lücke stillschweigend als „in Ordnung" zu verbuchen:
- DKIM lässt sich nicht erraten. Im DNS steht nirgends, welchen Selektor eine Domain benutzt – man kann nur bekannte Namen durchprobieren. „Nicht gefunden" heißt deshalb nicht „nicht vorhanden". Wenn du den Selektor kennst, trag ihn ins Feld im Formular ein; oder füg die Kopfzeilen einer echten E-Mail ein, dann lesen wir ihn eindeutig aus.
- STARTTLS und Mailserver-Zertifikate messen wir nicht. Ausgehendes SMTP ist vom Prüfserver aus gesperrt. Der Befund sagt dann „nicht messbar" statt stillschweigend „in Ordnung".
- Spamhaus fragen wir nicht ab. Die Liste beantwortet Anfragen aus Rechenzentren nur mit einem Zugangsschlüssel. Sechs andere Sperrlisten fragen wir ab.
- Gemessen wird ein Moment, und nur von außen. Was gestern galt, kann heute anders sein. Und wir sehen, was im DNS und über HTTPS öffentlich steht – nicht, was in euren Systemen eingestellt ist.
Jedes Thema einzeln erklärt
Zu jedem Befund gibt es eine Seite, die erklärt, was gemessen wurde, warum es zählt und was konkret zu tun ist – mit dem Klickweg bei IONOS, STRATO, Host Europe, All-Inkl, mailbox.org, Microsoft 365 und Google Workspace und mit geprüften Bausteinen statt Hörensagen.
SPF
Der SPF-Eintrag ist die Gästeliste deiner Domain. Er nennt die Server, die in deinem Namen versenden dürfen – und alle anderen nicht.
Weiterlesen →DKIM
DKIM ist das Siegel auf dem Umschlag: Es beweist, dass eine Nachricht wirklich von dir stammt und unterwegs nicht verändert wurde.
Weiterlesen →DMARC
DMARC ist die Hausordnung deiner Domain: Es sagt Empfängern, was mit gefälschter Post geschehen soll – und schickt dir Berichte darüber.
Weiterlesen →BIMI
BIMI zeigt euer Logo neben dem Absender – aber nur, wenn DMARC im Durchgriff steht und das Logo genau das geforderte Format hat.
Weiterlesen →Posteingang
Der MX-Eintrag ist die Hausnummer deiner Domain. Er sagt jedem Absender, an welchen Server die Post für euch geht.
Weiterlesen →Sperrlisten
Sperrlisten sind das Notizbuch der Empfänger. Steht die Adresse eures Mailservers darin, kommt eure Post nicht an.
Weiterlesen →Transport
MTA-STS macht aus „verschlüsselt, wenn es klappt" ein „verschlüsselt, sonst gar nicht". TLS-RPT meldet dir, wenn es nicht klappt.
Weiterlesen →Häufige Fragen
Was macht der Test genau?
Er stellt 50 bis 140 DNS-Abfragen an deine Domain und liest aus, was dort öffentlich steht: SPF, DKIM, DMARC, BIMI, MX- und PTR-Einträge, MTA-STS und TLS-RPT. Dazu fragt er sechs Sperrlisten nach den Adressen deiner Mailserver. Das dauert ein bis drei Sekunden.
Wird dabei eine E-Mail verschickt?
Nein. Es wird nichts an deine Domain zugestellt und nichts an dich versendet. Der Test liest nur nach, was ohnehin öffentlich abrufbar ist – genau wie jeder empfangende Mailserver es tut.
Was passiert mit dem Befund?
Gespeichert wird nur der Befund selbst, und er verfällt nach 24 Stunden. Drei Prüfungen pro Tag sind kostenlos. Fügst du Kopfzeilen einer E-Mail ein, werden sie für diese eine Prüfung ausgewertet und nicht gespeichert.
Ich habe einen Befund, verstehe ihn aber nicht. Was nun?
Jeder Befund hat einen Verweis „Ausführlich erklärt". Der führt punktgenau auf den Abschnitt der Themenseite, der dazu gehört – dort steht, was gemessen wurde, warum es zählt und was zu tun ist.
Brauche ich dafür jemanden aus der IT?
Für das Lesen nicht. Für die Änderungen meistens auch nicht: Die allermeisten sind ein TXT-Eintrag im DNS-Bereich deines Anbieters, angelegt in fünf Minuten. Wo es komplizierter wird – PTR-Einträge, MTA-STS, BIMI –, sagen wir das auf der jeweiligen Seite dazu.