SPF-, DKIM- und DMARC-Check
Drei DNS-Einträge sagen dem Rest der Welt, welche E-Mails wirklich von Ihrer Domain kommen. Dieser Check liest sie so, wie ein empfangender Server es tut, und übersetzt jeden Begriff, den er findet.
Die Absenderzeile einer E-Mail beweist nichts
E-Mail wurde wie ein Briefumschlag aus Papier entworfen. Der Absender schreibt die Rücksendeadresse selbst, und niemand prüft sie. Ein Server in jedem beliebigen Land kann eine Nachricht verschicken, deren From-Zeile Ihre Domain zeigt. Drei spätere Ergänzungen schließen diese Lücke, und alle drei liegen als TXT-Einträge in Ihrer DNS-Zone.
- SPF, direkt an der Domain
- Eine Liste der Server, die für die Domain senden dürfen. Der Empfänger vergleicht die IP-Adresse der Verbindung mit der Liste.
- DKIM, unter
selector._domainkey - Ein öffentlicher Schlüssel. Der versendende Dienst signiert jede Nachricht mit dem passenden privaten Schlüssel, sodass der Empfänger erkennt, dass niemand die Nachricht verändert hat und welche Domain für sie bürgt.
- DMARC, unter
_dmarc - Ihre Anweisung für E-Mails unter Ihrem Domainnamen, die keinen der beiden Tests bestehen: zustellen, in den Spam verschieben oder ablehnen. Außerdem nennt es ein Postfach für tägliche Berichte.
Seit Februar 2024 weisen Gmail und Yahoo Massen-E-Mails von Domains ohne diese Einträge ab, und Microsoft zog 2025 für Outlook.com nach.
Was der Check prüft
Er beginnt mit Ihren MX-Einträgen, um den Postfachanbieter zu erkennen (Google Workspace, Microsoft 365, Proton Mail, Fastmail und acht weitere). Daraus weiß er, welches SPF-Include und welche DKIM-Selektoren zu erwarten sind.
| Eintrag | Als Fehler markiert | Als Warnung markiert |
|---|---|---|
| SPF | Kein Eintrag bei einer Domain mit Mailservern; zwei Einträge; mehr als 10 DNS-Abfragen; ein Include ohne eigenes SPF oder mit Schleife; ein falsch geschriebener Begriff; +all; mehr als zwei Abfragen, die nichts liefern | 8 bis 10 Abfragen; ?all oder kein all; ptr; Begriffe nach all; Ihr Postfachanbieter fehlt in der Liste |
| DKIM | Ein veröffentlichter Schlüssel, der nicht nutzbar ist: RSA unter 1024 Bit, beschädigter p=-Wert, unbekannter Algorithmus | Kein Schlüssel unter einem der getesteten Namen; ein 1024-Bit-Schlüssel; das Testflag t=y |
| DMARC | Kein Eintrag; zwei Einträge; kein gültiges p=; eine fehlerhafte Berichtsadresse oder ein fehlerhafter Tag-Wert | p=none; pct unter 100; sp=none unter einer strengeren Richtlinie; Berichte an eine andere Domain, die dem Empfang nicht zugestimmt hat |
Abfragen werden durch alle verschachtelten Includes hindurch gezählt, und genau dort wird das Limit von 10 meist unbemerkt überschritten. Bei einer Subdomain steigt die DMARC-Suche zur übergeordneten Domain auf und wendet deren sp=-Wert an. Das Gesamturteil ist das schlechteste der drei Ergebnisse. Drei optionale Einträge (MTA-STS, TLS-RPT, BIMI) werden nur als veröffentlicht oder nicht gemeldet.
Eine Domain, deren gesamtes SPF v=spf1 -all lautet, gilt als Domain, die nichts sendet. Ein fehlender DKIM-Schlüssel ist dort normal, und das vorgeschlagene DMARC lautet p=reject.
So finden Sie Ihren DKIM-Selektor
DKIM-Schlüssel haben keine feste Adresse. Jeder versendende Dienst wählt eine Bezeichnung, den Selektor, und das DNS bietet keine Möglichkeit, sie aufzulisten. Der Check probiert etwa drei Dutzend übliche Namen aus, etwa google, selector1, k1 und s1. „Kein Schlüssel gefunden“ heißt also oft nur, dass Ihrer anders heißt.
- Senden Sie eine Nachricht von Ihrer Domain an ein Postfach, das Sie öffnen können.
- Lassen Sie sich den Quelltext anzeigen: „Original anzeigen“ in Gmail, „Nachrichtenquelle anzeigen“ in Outlook, „Darstellung > E-Mail > Alle Header“ in Apple Mail.
- Suchen Sie die Zeile, die mit
DKIM-Signature:beginnt, und lesen Sie zwei Tags.d=ist die signierende Domain unds=der Selektor.
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=mta2024; …
Hier würden Sie mta2024 in das Feld für den Selektor eintragen. Zeigt d= den Namen Ihrer Newsletter-Plattform statt Ihrer Domain, ist die Nachricht signiert, aber nicht von Ihnen, und diese Signatur zählt für DMARC nicht. Unser E-Mail-Header-Decoder liest diese Zeilen für Sie.
In sicherer Reihenfolge reparieren
Erstellen Sie eine Liste von allem, was als Ihre Domain sendet: Postfächer, Newsletter-Plattform, Onlineshop, Helpdesk, das Kontaktformular der Website. Nehmen Sie jedes davon in einen einzigen SPF-Eintrag auf. Schalten Sie dann DKIM in jedem Dienst ein, der es anbietet, denn DKIM übersteht Weiterleitungen und SPF nicht.
Veröffentlichen Sie DMARC mit p=none und einer rua=-Adresse und lesen Sie die Berichte einige Wochen lang mit dem DMARC-Berichtsleser. Sobald jede legitime Quelle besteht, wechseln Sie zu quarantine, dann zu reject. Der Eintragsgenerator schreibt beide Einträge.
Dieser Check liest das DNS und sieht keine einzige Ihrer Nachrichten. Er kann nicht bestätigen, dass ein Dienst wirklich mit dem gefundenen Schlüssel signiert oder dass die signierende Domain zu Ihrer From-Adresse passt. Dafür brauchen Sie die Header einer zugestellten Nachricht.
Häufige Fragen
Warum landen meine E-Mails im Spam, obwohl SPF, DKIM und DMARC alle bestehen?
Authentifizierung beweist, wer die Nachricht gesendet hat. Sie sagt nichts darüber, ob die Leute sie haben wollen. Filter berücksichtigen auch Beschwerdequoten, den Ruf der sendenden IP-Adresse und Domain, die Links in der Nachricht und wie Empfänger auf frühere E-Mails reagiert haben. Beginnen Sie mit einer Blocklisten-Abfrage.
Darf eine Domain zwei SPF-Einträge haben?
Nein. Zwei TXT-Einträge, die mit v=spf1 beginnen, erzeugen einen permanenten Fehler, und Empfänger verhalten sich, als hätten Sie keinen. Fassen Sie sie zu einem v=spf1 mit allen include:- und ip4:-Begriffen und einem einzigen all am Ende zusammen.
Was bedeutet „SPF PermError: too many DNS lookups“?
Das Auswerten Ihres Eintrags hat mehr als 10 DNS-Abfragen gebraucht. Jedes include, a, mx, exists und redirect kostet eine, und auch die Includes innerhalb eines Includes zählen mit. Entfernen Sie Dienste, die Sie nicht mehr nutzen, oder ersetzen Sie a und mx durch feste ip4:-Adressen, die nichts kosten.
Soll SPF mit ~all oder -all enden?
Mit DMARC funktioniert beides, denn DMARC entscheidet, was mit einer durchgefallenen Nachricht passiert. ~all ist die sicherere Wahl, solange Sie noch Absender entdecken. Verwenden Sie nie +all, das jeden Server im Internet autorisiert.
Reicht p=none für Gmail und Yahoo?
Ja, ihre Regeln für Massenversender akzeptieren p=none. Sie bekommen damit aber nur Berichte, und gefälschte E-Mails werden weiterhin zugestellt. Der Schutz beginnt bei quarantine.
Brauche ich DMARC für eine Domain, die nie E-Mails sendet?
Dort ist es am einfachsten und am nützlichsten, denn eine geparkte Domain ist eine bequeme Tarnung für Phishing. Veröffentlichen Sie v=spf1 -all an der Domain und v=DMARC1; p=reject; unter _dmarc.