Was ist SPF, DKIM und DMARC?

SPF, DKIM und DMARC sind drei DNS-Einträge, die zusammen sicherstellen, dass Ihre Mails als echt erkannt werden und niemand in Ihrem Namen mailen kann. SPF nennt die erlaubten Absender-Server, DKIM unterschreibt jede Mail digital, DMARC legt fest, was Empfänger mit Fälschungen tun.

Liest der Check meine E-Mails?

Nein, niemals. Geprüft werden ausschließlich öffentliche DNS-Einträge Ihrer Domain – dieselben Daten, die jeder Mail-Server bei jeder Zustellung abfragt. Auf Ihr Postfach hat der Check keinen Zugriff, und die Domain wird nicht gespeichert.

Warum landen meine Rechnungen im Spam?

Meist fehlt ein SPF- oder DMARC-Eintrag, oder der Versand läuft über ein Tool (Newsletter, Shop, Buchhaltung), das im SPF nicht eingetragen ist. Dann können Empfänger wie Gmail oder Outlook Ihre Mails als unsicher einstufen. Beides lässt sich meist mit zwei bis drei DNS-Einträgen beheben.

DKIM steht auf Gelb, obwohl mein Anbieter DKIM aktiviert hat – was bedeutet das?

Gelb heißt hier „nicht gefunden“, nicht „nicht vorhanden“. Der Check probiert einige verbreitete Selektor-Namen durch (darunter selector1 und selector2 von Microsoft 365 sowie google von Google Workspace). Nutzt Ihr Anbieter einen eigenen Namen, findet der Check den Eintrag nicht, obwohl er existiert. Tragen Sie den Selektor aus der DKIM-Einrichtung Ihres Anbieters im Formular ein, dann prüft der Check genau diesen. Gelb bei DKIM ist ein Hinweis zum Nachprüfen, kein Beweis für ein Problem.

Was heißt DMARC p=none?

Beobachtungsmodus: Empfänger blockieren nichts und schicken Ihnen nur dann Berichte über Fälschungen, wenn eine Berichtsadresse (rua=) eingetragen ist. Das ist ein üblicher Startpunkt für die ersten Wochen. Danach sollte die Regel auf quarantine (Spam-Ordner) oder reject (abweisen) gesetzt werden, sonst schützt DMARC Ihren Namen nicht.

Können Sie das für mich einrichten?

Ja. Dafür brauche ich nur kurzen Zugang zu Ihrem DNS-Anbieter (z. B. IONOS, Strato, Cloudflare) und die Liste Ihrer Versandwege. Die Einrichtung dauert meist unter einer Stunde, Ihr Postfach bleibt unberührt.

E-Mail-Check kostenlos: Landen Ihre Mails im Spam?

Geben Sie Ihre Domain ein. In wenigen Sekunden sehen Sie, ob Ihre Firmen-Mails technisch sauber verschickt werden, oder ob sie im Spam landen und Betrüger in Ihrem Namen mailen können. Kostenlos, ohne Anmeldung.

Geprüft werden nur öffentliche DNS-Einträge Ihrer Domain. Es werden keine E-Mails gelesen und keine Daten gespeichert. Nur wenn Sie „merken“ ankreuzen, bleibt die Domain in Ihrem eigenen Browser, nicht bei uns.

Geprüft werden Mail-Empfang (MX), Absender-Schutz (SPF), Fälschungs-Regel (DMARC) und digitale Signatur (DKIM). Diese vier Einträge sind die Grundlage dafür, dass Empfänger wie Gmail oder Outlook Ihren Mails vertrauen. Für eine vollständige Einrichtung rufen Sie mich einfach an, ich mache das für Sie.

Warum Firmen-Mails im Spam landen

Wenn Ihre Rechnungen oder Angebote beim Kunden nicht ankommen, liegt das selten am Zufall. Gmail, Outlook und andere Anbieter prüfen bei jeder eingehenden Mail, ob der Absender technisch abgesichert ist. Fehlen die passenden DNS-Einträge, kann die Mail im Spam-Ordner landen oder abgewiesen werden. Google verlangt seit dem 1. Februar 2024 von allen, die an Gmail-Adressen senden, SPF oder DKIM, und von Absendern mit mehr als 5.000 Mails am Tag an Gmail alle drei Verfahren: SPF, DKIM und DMARC (Google-Hilfe, Anforderungen an Absender). Yahoo verlangt seit Februar 2024 dasselbe Dreigespann von Massenversendern, nennt aber keine feste Mengengrenze (Yahoo, Best Practices für Absender). Microsoft gilt für Outlook.com, Hotmail und Live: Seit dem 5. Mai 2025 betrifft es Domains mit mehr als 5.000 Mails am Tag (Microsoft, Ankündigung). Ein kleiner Betrieb fällt meist unter diese Mengengrenzen nicht, sollte die Einträge aber trotzdem setzen.

Unser E-Mail-Check fragt dieselben öffentlichen DNS-Einträge ab, die auch ein empfangender Mail-Server abfragt. Er liest keine Mail, kennt kein Passwort und speichert die geprüfte Domain nicht.

Die vier Prüfpunkte im Einzelnen

Mail-Empfang (MX)

Der MX-Eintrag sagt der Welt, welcher Server Mails für Ihre Domain annimmt. Fehlt er, kann niemand an info@ihre-firma.de schreiben – die Mails kommen als unzustellbar zurück. Rot bedeutet hier fast immer: Der Umzug zu einem neuen Mail-Anbieter ist nicht abgeschlossen, oder die Domain wird gar nicht für Mail genutzt.

Absender-Schutz (SPF)

SPF ist eine Liste der Server, die in Ihrem Namen senden dürfen: der Mail-Anbieter, das Newsletter-Tool, der Onlineshop, das Buchhaltungsprogramm. Der Check kennt vier Fehlerbilder. Kein Eintrag: Jeder Server der Welt darf Ihren Absender verwenden. Zwei Einträge: Das passiert, wenn ein zweiter Dienst seinen eigenen SPF ergänzt statt den vorhandenen zu erweitern – nach dem SPF-Standard (RFC 7208, Abschn. 4.5) ist das ein Fehler. Endung +all oder ?all: Der Eintrag existiert, erlaubt aber jedem das Senden oder prüft nichts. Mehr als 10 DNS-Abfragen: Jedes include, a, mx, ptr, exists und redirect zählt, auch in den eingebundenen Einträgen; über 10 ist der SPF ungültig (RFC 7208, Abschn. 4.6.4). Der Check löst die include-Einträge auf und zählt mit. Korrekt endet ein SPF auf -all oder ~all.

Fälschungs-Regel (DMARC)

DMARC legt fest, was ein Empfänger mit einer Mail tun soll, die SPF oder DKIM nicht besteht: nichts (p=none), in den Spam-Ordner (p=quarantine) oder abweisen (p=reject). Grün gibt es nur für quarantine oder reject. Gelb heißt: Der Eintrag existiert, blockiert aber nichts – Betrüger können Ihren Absender weiter nutzen. Ob Sie davon erfahren, hängt an der Berichtsadresse (rua=): Nur wenn sie eingetragen ist, schicken Empfänger Ihnen Berichte, und der Check weist darauf hin, wenn sie fehlt. Rot heißt: kein Eintrag, und damit fehlt genau das, was Google, Yahoo und Microsoft von Massenversendern verlangen.

Digitale Unterschrift (DKIM)

DKIM hängt an jede ausgehende Mail eine kryptografische Signatur, deren öffentlicher Schlüssel im DNS liegt. Der Empfänger kann so prüfen, ob die Mail unterwegs verändert wurde und wirklich von Ihrem Server stammt. Der Haken für einen externen Check: Der Schlüssel liegt unter einem frei wählbaren Namen (Selektor). Der Check probiert einige verbreitete Namen durch, darunter die von Microsoft 365 (selector1, selector2) und Google Workspace (google). Kennen Sie den Selektor Ihres Anbieters, tragen Sie ihn im Formular ein, dann prüft der Check genau diesen. Findet er nichts, gibt es Gelb statt Rot – „nicht gefunden“ heißt nicht „nicht vorhanden“, denn ein individuell benannter Selektor bleibt von außen unsichtbar, auch wenn DKIM funktioniert.

Was tun, wenn etwas rot oder gelb ist?

Alle vier Einträge sind reine DNS-Textzeilen. Sie brauchen dafür keinen neuen Anbieter und keinen Eingriff in Ihr Postfach, sondern nur Zugang zur DNS-Verwaltung Ihrer Domain (bei IONOS, Strato, Cloudflare, All-Inkl oder wo immer die Domain liegt).

Versandwege sammeln: Welche Dienste schicken Mails mit Ihrer Domain als Absender? Mail-Anbieter, Newsletter, Shop, Rechnungs-Software, Terminbuchung.
SPF setzen oder bereinigen: Ein einziger Eintrag, der alle Versandwege per include: nennt und auf ~all oder -all endet.
DKIM beim Anbieter aktivieren: Jeder Dienst liefert dafür einen oder zwei DNS-Einträge, die Sie eintragen. Ein Tool, das nicht signiert, fällt bei DMARC später durch.
DMARC einführen – erst beobachten, dann schärfen: Zuerst p=none mit einer Berichtsadresse, nach zwei bis vier Wochen ohne Auffälligkeiten auf p=quarantine, dann p=reject.

Wer nach einer Änderung sofort testet, sieht oft noch das alte Ergebnis: DNS-Einträge brauchen je nach Anbieter einige Minuten bis wenige Stunden, bis sie überall sichtbar sind.

Typische Ursachen aus der Praxis

Der häufigste Fall in kleinen Betrieben: Die Domain wurde vor Jahren beim Webhoster eingerichtet, seitdem kamen ein Newsletter-Tool und ein Shop dazu, und niemand hat den SPF angepasst. Die Mails aus dem Shop landen dann im Spam, während die normalen Mails ankommen – was die Fehlersuche unnötig verwirrend macht. Fall zwei: Beim Wechsel zu Microsoft 365 oder Google Workspace wurde der alte SPF stehen gelassen und ein neuer ergänzt – zwei Einträge, und der Schutz ist ungültig. Fall drei: DMARC steht seit der Einrichtung auf p=none, weil „erst mal beobachten“ nie in „jetzt scharf schalten“ überging.

Wie Betrüger fehlende Einträge konkret ausnutzen, zeigt unser Phishing-Quiz an echten Beispielen. Ob auch Ihre Website technisch sauber aufgestellt ist, prüft der Website-Check nach demselben Prinzip. Und wenn Sie wissen wollen, was ein Ausfall des Mail-Verkehrs kostet, rechnet es der Datenverlust-Rechner vor. Kommen dagegen bei Ihnen Anmeldungen mit Einmal-Adressen an, erkennt der Wegwerf-E-Mail-Check solche Adressen, bevor sie in Ihrer Kundenliste landen.

Die Domain wird zur Prüfung an unseren Server übermittelt, der nur öffentliche DNS-Einträge abfragt.

Landen Ihre E-Mails im Spam?

Hinweis