Kann jemand in eurem Namen Mails verschicken?
Der Check liest eure öffentlichen DNS-Einträge und sagt in zehn Sekunden, ob SPF, DKIM und DMARC zusammen wirklich schützen — oder nur so aussehen. Ohne Anmeldung, mit dem fertigen Eintrag zum Kopieren.
Worum es geht
Drei Einträge, die nur zusammen wirken
Die meisten Domains haben zwei davon und glauben, sie seien geschützt.
| Eintrag | Was er festlegt | Was ohne ihn passiert |
|---|---|---|
| SPF | Welche Server für eure Domain senden dürfen. | Jeder Server darf in eurem Namen senden. |
| DKIM | Eine kryptografische Unterschrift auf jeder Mail. | Der Empfänger kann Änderungen unterwegs nicht erkennen. |
| DMARC | Was der Empfänger tun soll, wenn eine Mail durchfällt — und wohin die Berichte gehen. | SPF und DKIM bleiben folgenlos: Die Mail wird trotzdem zugestellt. |
Warum p=none nichts schützt
Bei p=none beobachtet der Empfänger nur — gefälschte Mails stellt er trotzdem zu. Das ist als Startpunkt richtig: Man sammelt einige Wochen Berichte und sieht, welche Systeme überhaupt in eurem Namen senden. Als Dauerzustand ist es eine Attrappe. Der Weg führt über p=quarantine zu p=reject — und zwar erst, wenn die Berichte zeigen, dass alle eigenen Systeme sauber durchkommen.
Die Grenze von zehn Lookups bei SPF
Ein SPF-Eintrag darf beim Auswerten höchstens zehn DNS-Abfragen auslösen. Wer darüber liegt, dessen SPF gilt als fehlerhaft — und wird von manchen Empfängern komplett ignoriert. Jedes include: zählt, und zwar samt allem, was dahinter wieder eingebunden ist. Wer Microsoft 365, ein Newslettersystem, ein CRM und einen Shop einbindet, ist schneller darüber, als er denkt. Der Check zählt rekursiv mit und zeigt den Stand an.
MTA-STS und TLS-RPT — der Teil, den fast niemand einrichtet
MTA-STS erzwingt, dass eingehende Mail verschlüsselt übertragen wird; TLS-RPT sorgt dafür, dass ihr es erfahrt, wenn das scheitert. Beide sind seit Jahren Standard und bei den meisten Domains, die wir prüfen, nicht vorhanden. Sie schützen nicht gegen Fälschung, sondern gegen Mitlesen — und sie sind an einem Nachmittag eingerichtet.
Die Falle mit der Subdomain
Ein DMARC-Eintrag auf mail.firma.de schützt firma.de nicht. Das ist uns selbst passiert: Ein Bericht zeigte 20 von 20 bestandenen Prüfungen — für eine Subdomain. Unter der Hauptdomain, unter der die Kunden uns kennen, gab es gar keinen Eintrag. Der Check prüft deshalb beides getrennt.
Reihenfolge
Wie man umstellt, ohne Mail zu verlieren
SPF vervollständigen
Alle Systeme aufnehmen, die in eurem Namen senden — Mailserver, Newsletter, Shop, Ticketsystem, Buchhaltung. Danach die Zahl der Lookups prüfen.
DKIM aktivieren
Bei jedem sendenden System einzeln. Microsoft 365 und Google Workspace bringen es mit, Newslettersysteme meist auch — es muss nur eingeschaltet und der Schlüssel im DNS hinterlegt werden.
DMARC mit
p=noneund Berichtsadresse anlegenAb hier laufen Berichte ein. Zwei bis vier Wochen sammeln, bevor irgendetwas verschärft wird.
Berichte auswerten
Sie zeigen, wer in eurem Namen sendet — auch die Systeme, die niemand mehr auf dem Schirm hatte. Jedes davon muss in SPF oder DKIM stehen, bevor es weitergeht.
Auf
p=quarantine, dann aufp=rejectErst wenn die Berichte über mehrere Wochen sauber sind. Wer diesen Schritt vorzieht, verliert echte Mail — und merkt es an den Rechnungen, die nicht ankommen.
Häufige Fragen zu DMARC
Ist der DMARC-Check wirklich kostenlos?
Ja, ohne Anmeldung und ohne E-Mail-Adresse. Wir fragen nur die Domain ab. Der Check kostet uns ein paar DNS-Abfragen — dafür eine Adresse zu verlangen, wäre kein fairer Tausch.
Speichert ihr meine Domain?
Nein. Die Prüfung läuft im Arbeitsspeicher und wird nicht protokolliert. Was nicht gespeichert wird, kann auch nicht abfließen.
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF legt fest, welche Server für deine Domain senden dürfen. DKIM unterschreibt jede Mail kryptografisch, damit der Empfänger Änderungen erkennt. DMARC verbindet beides und sagt dem Empfänger, was er tun soll, wenn eine Mail durchfällt — und schickt dir Berichte darüber. Ohne DMARC bleiben SPF und DKIM folgenlos.
Mein DMARC steht auf p=none. Reicht das?
Nein. Bei p=none wird nur beobachtet: Gefälschte Mails werden trotzdem zugestellt. p=none ist die richtige Einstellung für die ersten Wochen, um Berichte zu sammeln — als Dauerzustand schützt es nicht.
Warum findet ihr keinen DKIM-Eintrag, obwohl wir DKIM nutzen?
DKIM liegt unter einem Selektornamen, den man nicht erraten kann. Wir prüfen zwölf verbreitete Selektoren von Microsoft 365, Google Workspace, IONOS und anderen. Findet der Check keinen, heißt das nicht, dass kein DKIM existiert — nur, dass es unter einem eigenen Namen liegt.
Kann ich mir beim Umstellen die eigene Mail zerschießen?
Ja, wenn man p=reject setzt, bevor alle sendenden Systeme in SPF und DKIM stehen. Genau deshalb ist die Reihenfolge wichtig: erst p=none mit Berichten, dann die Berichte auswerten, dann p=quarantine, dann p=reject. Wer das abkürzt, verliert Rechnungen und Newsletter.
Was kostet es, wenn ihr das einrichtet?
Für eine Domain mit überschaubarer Systemlandschaft liegt der Aufwand im niedrigen dreistelligen Bereich, inklusive Berichtsauswertung über die ersten Wochen. Nach einem kurzen Blick auf eure aktuellen Einträge nennen wir eine verbindliche Zahl.
Lieber machen lassen als selbst basteln?
Wir betreuen Mailserver seit über 25 Jahren und stellen DMARC schrittweise scharf — mit Berichtsauswertung, bis p=reject sicher steht. Kein Mailverlust unterwegs.
Zum Weiterlesen: SPF, DKIM und DMARC — was die drei wirklich tun · E-Mail-Spoofing: wie Fremde in eurem Namen schreiben