Enter a domain to check

Checks SPF, DMARC, BIMI, MTA-STS, and TLS-RPT records simultaneously.

Protokolle im Detail

E-Mail-Authentifizierungsprotokolle verstehen

SPF (Sender Policy Framework)

SPF legt fest, welche Mailserver berechtigt sind, E-Mails für Ihre Domain zu versenden. Es funktioniert über einen veröffentlichten DNS-TXT-Eintrag, der zugelassene IP-Adressen und Hostnamen auflistet. Empfangende Server prüfen diesen Eintrag, um sicherzustellen, dass eingehende Mail von einer autorisierten Quelle stammt.

DMARC (Domain-based Message Authentication)

DMARC verbindet SPF und DKIM miteinander und teilt empfangenden Mailservern mit, was zu tun ist, wenn keine der beiden Authentifizierungsmethoden besteht - die Nachricht ablehnen, in Quarantäne stellen oder zulassen. Es ermöglicht zudem Aggregat- und Forensikberichte, sodass Domain-Inhaber die Authentifizierungsergebnisse überwachen können.

BIMI (Brand Indicators for Message Identification)

BIMI ermöglicht es Organisationen, ihr Markenlogo neben authentifizierten E-Mails in unterstützenden E-Mail-Clients anzuzeigen. Es erfordert eine gültige DMARC-Richtlinie (quarantine oder reject) und optional ein Verified Mark Certificate (VMC) für die Logo-Anzeige in Gmail und Apple Mail.

MTA-STS (Mail Transfer Agent Strict Transport Security)

MTA-STS teilt sendenden Mailservern mit, dass Ihre Domain TLS-Verschlüsselung für die E-Mail-Zustellung verlangt. Es verhindert Downgrade-Angriffe und Man-in-the-Middle-Abfangen, indem es einen DNS-Eintrag und eine Richtliniendatei veröffentlicht, die verschlüsselte Verbindungen vorschreiben.

TLS-RPT (TLS Reporting)

TLS-RPT ermöglicht es empfangenden Mailservern, TLS-Verbindungsfehler an Sie zurückzumelden. In Kombination mit MTA-STS bietet es Einblick in Zustellprobleme, die durch Zertifikatsfehler, abgelaufene Zertifikate oder falsch konfigurierte Verschlüsselung verursacht werden.

Vollständiger Schutz

Warum alle 5 Protokolle wichtig sind

Anti-Spoofing

SPF + DMARC verhindern, dass unbefugte Absender Ihre Domain vortäuschen.

Verschlüsselung

MTA-STS + TLS-RPT stellen sicher, dass E-Mails während der Übertragung verschlüsselt sind, und melden Fehler.

Markenvertrauen

BIMI zeigt Ihr Logo im Posteingang an und erhöht das Vertrauen der Empfänger sowie die Öffnungsraten.

Das Audit durchführen

So führen Sie ein vollständiges E-Mail-Authentifizierungs-Audit durch

E-Mail-Authentifizierung ist keine einzelne Einstellung - es sind fünf DNS-Einträge, die als Stack zusammenwirken. Dieser Checker ruft sie alle auf einmal ab, damit Sie das Gesamtbild sehen, statt einen Eintrag nach dem anderen zu verfolgen. So lesen Sie dieses Audit und beheben es in der richtigen Reihenfolge.

Was ein vollständiges Audit abdeckt

Eine vollständige Prüfung betrachtet SPF (welche Server senden dürfen), DKIM (eine Signatur, die belegt, dass Nachrichten nicht verändert wurden), DMARC (die Richtlinie, die SPF und DKIM an Ihre From-Domain bindet), MTA-STS (erzwungene TLS-Verschlüsselung während der Übertragung) und TLS-RPT (Berichterstattung über Verschlüsselungsfehler). Eine Domain kann eines bestehen und beim Rest scheitern, deshalb ist die gemeinsame Prüfung die einzige Möglichkeit, sicher zu wissen, dass Sie tatsächlich geschützt sind.

Ihre Ergebnisse lesen: gesund vs. defekt

SPF - vorhanden, gültig und unter zehn DNS-Lookups; prüfen Sie die SPF-Syntax, um sicherzugehen. Ein PermError hier bricht DMARC stillschweigend.
DMARC - vorhanden unter _dmarc, mit einer stärkeren Richtlinie als p=none und einer Berichtsadresse.
DKIM - mindestens ein aktiver Selektor, der einen starken (2048-Bit-)Schlüssel veröffentlicht.
MTA-STS / TLS-RPT - eine veröffentlichte Richtlinie, die TLS erzwingt, plus eine Adresse zum Empfang von Fehlerberichten.

Die Reihenfolge zum Beheben

Arbeiten Sie von unten nach oben, denn jede Schicht hängt von der darunterliegenden ab. Beginnen Sie mit SPF - es ist das Fundament, und DMARC kann ohne ein bestandenes, ausgerichtetes SPF- oder DKIM-Ergebnis nicht durchsetzen. Bestätigen Sie als Nächstes die DKIM-Signierung. Erhöhen Sie dann Ihre DMARC-Richtlinie von none in Richtung reject. Erst danach fügen Sie mit MTA-STS und TLS-RPT die Transportsicherheit hinzu und schließlich BIMI, um Ihr Logo anzuzeigen - was ein durchgesetztes DMARC erfordert, um überhaupt zu funktionieren.

Wo Domains am häufigsten scheitern

SPF über dem 10-Lookup-Limit - der mit Abstand häufigste Fehler und derjenige, den AutoSPF automatisch behebt, indem es Ihre Includes abflacht.
DMARC bei p=none steckengeblieben - veröffentlicht, aber nie durchgesetzt, sodass es keinen Schutz bietet.
Kein MTA-STS - Mail wird weiterhin zugestellt, aber ohne Schutz vor Downgrade-Angriffen.
BIMI ohne VMC - das Logo wird in Gmail oder Apple Mail ohne ein Verified Mark Certificate nicht angezeigt.

Führen Sie dieses Audit jedes Mal erneut durch, wenn Sie einen Sendedienst hinzufügen oder Anbieter wechseln - regelmäßige SPF-Eintragsprüfungen erkennen Abweichungen frühzeitig - und beheben Sie jede Schicht mit dem oben verlinkten dedizierten Tool. SPF richtig hinzubekommen ist die Voraussetzung für alles andere - AutoSPF hält es gültig und unter dem Lookup-Limit, damit der Rest Ihres Stacks eine solide Basis hat.

Brauchen Sie Hilfe bei der Behebung Ihrer E-Mail-Authentifizierung?

AutoSPF flacht SPF-Einträge automatisch ab und hält Ihre E-Mail-Authentifizierung ausgerichtet. Die Einrichtung dauert 60 Sekunden.

Kostenlose Testversion starten→Pläne & Preise ansehen

Domain-Authentifizierungs- Checker