netlupaSPF, DKIM und DMARC prüfen
Gib deine Domain ein, um die drei Einträge zu prüfen, die entscheiden, ob deine E-Mails im Posteingang oder im Spam landen.
So prüfst du die Authentifizierung deiner E-Mails
Gib die Domain ein, von der du E-Mails sendest (den Teil nach dem @).
Kennst du deinen DKIM-Selektor, gib ihn ein; sonst lass das Feld leer, und wir probieren die der gängigsten Anbieter.
Prüfe die drei Abschnitte: Jeder Hinweis erklärt, was falsch ist und wie du es im DNS deiner Domain behebst.
SPF, DKIM und DMARC in zwei Minuten
E-Mail prüft von sich aus nicht, wer sie sendet: Jeder kann als Absender eintragen, was er will. Um Spoofing (Phishing) und Spam zu verhindern, fragen Mailserver drei TXT-Einträge der Domain ab:
- SPF: die Liste der Server, die E-Mails der Domain senden dürfen.
- DKIM: eine kryptografische Signatur in jeder Nachricht, die mit einem im DNS veröffentlichten öffentlichen Schlüssel geprüft wird.
- DMARC: die Richtlinie, die beide verbindet. Sie legt fest, was mit einer E-Mail passiert, die weder SPF noch DKIM passend zum Absender besteht (durchlassen, in den Spam schieben oder ablehnen), und wohin die Berichte gehen.
Ohne alle drei landen deine E-Mails viel eher im Spam-Ordner, und jeder kann gefälschte E-Mails in deinem Namen versenden.
Warum sie jetzt Pflicht sind
Seit 2024 verlangen Gmail und Yahoo SPF, DKIM und DMARC von allen, die mehr als 5.000 E-Mails pro Tag an ihre Nutzer senden, und Microsoft wendet seit 2025 dieselben Regeln bei Outlook.com an. Für kleine Absender sind sie nicht im strengen Sinn Pflicht, aber ohne sie sinkt der Ruf der Domain und die Filter werden viel strenger.
Außerdem ist DMARC mit der Richtlinie „quarantine“ oder „reject“ Voraussetzung, um dein Logo neben deinen E-Mails anzuzeigen (BIMI), und wird zunehmend bei Sicherheitsaudits und Cyberversicherungen verlangt.
Die häufigsten Fehler
- Zwei SPF-Einträge: Beim Hinzufügen eines neuen Anbieters wird ein zweiter Eintrag angelegt, statt den bestehenden um ein include zu ergänzen. Mit zweien schlägt SPF komplett fehl.
- Mehr als 10 DNS-Abfragen: Jedes include, a, mx oder exists zählt, auch die innerhalb von include. Mit vielen Anbietern wird die Grenze unbemerkt überschritten.
- „+all“ am Ende: Es autorisiert jeden und hebelt SPF aus.
- DMARC dauerhaft auf „p=none“: Das ist der Beobachtungsmodus, nützlich am Anfang, aber er schützt nicht.
- DKIM beim Anbieter nicht aktiviert: Viele (Google Workspace, Microsoft 365) verlangen, es von Hand einzuschalten und den Schlüssel zu veröffentlichen.
- DKIM-Schlüssel mit 1024 Bits: Sie funktionieren noch, sollten aber auf 2048 rotiert werden.
So kommst du zu DMARC „reject“, ohne E-Mails zu verlieren
Die sichere Reihenfolge ist:
- Veröffentliche SPF mit allen deinen Versanddiensten (Postfach, Website, CRM, Newsletter-Tool) und „~all“ am Ende.
- Aktiviere DKIM bei jedem Dienst, der in deinem Namen sendet.
- Veröffentliche DMARC mit „p=none“ und einer rua-Adresse, um Berichte zu erhalten.
- Prüfe ein paar Wochen lang die Berichte und ergänze SPF oder DKIM um die legitimen Dienste, die scheitern.
- Wechsle zu „p=quarantine“ (du kannst mit pct=25 beginnen und steigern) und, wenn alles sauber ist, zu „p=reject“.
Komm nach jeder Änderung zu diesem Tool zurück, um zu prüfen, ob die Einträge noch gültig sind.
Jeder Eintrag im Detail
Häufige Fragen
Was ist mein DKIM-Selektor?
Öffne eine E-Mail, die du gesendet hast, sieh dir den Quelltext oder die Originalheader an und suche DKIM-Signature: Der Wert von „s=“ ist der Selektor, der von „d=“ die Domain. Google Workspace nutzt meist „google“, Microsoft 365 „selector1“ und „selector2“.
Ist „~all“ oder „-all“ besser?
Mit DMARC ist der praktische Unterschied klein, weil die DMARC-Richtlinie entscheidet. „-all“ ist strenger; „~all“ ist nachsichtiger bei Weiterleitungen und vergessenen Diensten. Ohne DMARC schützt „-all“ mehr.
Ich habe das DNS geändert und das Tool sieht es nicht. Warum?
DNS-Einträge werden so lange zwischengespeichert, wie ihre TTL angibt (oft eine Stunde). Warte diese Zeit ab und prüfe erneut. Prüfe auch, ob der Eintrag am richtigen Namen hängt (zum Beispiel _dmarc.deinedomain.de für DMARC).
Brauche ich SPF und DMARC für eine Domain, die keine E-Mails sendet?
Ja, das ist sehr empfehlenswert: Veröffentliche „v=spf1 -all“ und „v=DMARC1; p=reject;“, damit niemand diese Domain für gefälschte E-Mails nutzen kann.
Speichert ihr die Domains, die ich prüfe?
Nein. Wir fragen das öffentliche DNS im Moment der Prüfung mit unserem eigenen Resolver ab und speichern weder die Domain noch das Ergebnis.