ON. WebMeter

SPF, DKIM und DMARC prüfen

Drei DNS-Einträge haben großen Einfluss darauf, ob Ihre E-Mails im Posteingang ankommen, und ermöglichen es empfangenden Servern, E-Mails zu erkennen und abzulehnen, die jemand anderes in Ihrem Namen versendet.

Aktualisiert

Was SPF, DKIM und DMARC sind

  • SPF ist ein TXT-Eintrag im DNS mit der Liste der Server, die für Ihre Domain E-Mails versenden dürfen. Eine Domain darf nur einen haben, und seine Auswertung darf insgesamt höchstens 10 DNS-Abfragen auslösen; die aus verschachtelten include-Einträgen zählen mit.
  • DKIM ist eine digitale Signatur jeder Nachricht. Der öffentliche Schlüssel liegt im DNS unter dem Namen selektor._domainkey.
  • DMARC (der Eintrag _dmarc) verknüpft beides mit der Adresse im Feld Von und sagt dem Empfänger, was mit einer Nachricht geschehen soll, die die Prüfung nicht besteht: nichts (p=none), in den Spam (p=quarantine) oder abweisen (p=reject). Die Adresse rua erhält Sammelberichte.

Warum das für kleine Unternehmen wichtig ist

Ohne DMARC kann jeder eine E-Mail senden, die scheinbar von Ihnen stammt: eine gefälschte Rechnung mit geänderter Kontonummer oder einen Link auf eine betrügerische Seite. Große Anbieter haben ihre Regeln zudem verschärft. Seit Februar 2024 verlangen Gmail und Yahoo von allen Absendern SPF oder DKIM und von Massenversendern (bei Gmail über 5.000 Nachrichten am Tag) SPF, DKIM und DMARC, übereinstimmende Domains und eine einfache Abmeldung. Microsoft hat für Outlook.com und Hotmail ab Mai 2025 ähnliche Regeln eingeführt und weist nicht konforme Massenmails ab. Auch ein kleines Unternehmen, das Rechnungen oder einen Newsletter verschickt, riskiert ohne korrekte Einträge, dass seine E-Mails im Spam landen.

Häufige Fehler bei SPF, DKIM und DMARC

  • Zwei SPF-Einträge (zum Beispiel nach einem Anbieterwechsel) — dann gilt keiner von beiden.
  • SPF endet mit +all oder ?all und verbietet damit nichts, oder es überschreitet über verschachtelte include das Limit von 10 Abfragen.
  • DMARC bleibt jahrelang auf p=none, und niemand liest die Berichte; es schützt nur auf dem Papier.
  • Ein Newsletter-Tool, ein Onlineshop oder ein Buchhaltungsprogramm versendet E-Mails in Ihrem Namen, steht aber nicht im SPF und signiert nicht mit DKIM.
  • Eine Domain, die gar keine E-Mails nutzt, hat keinen Schutz. Abhilfe schaffen Null-MX (MX 0 .), SPF v=spf1 -all und DMARC p=reject.

Was WebMeter prüft und was nicht

WebMeter liest die öffentlichen DNS-Einträge der Organisations-Domain: SPF (fehlt, doppelt, schwaches all, mehr als 10 DNS-Abfragen einschließlich verschachtelter include-Einträge, Verweis auf eine Domain ohne SPF), DMARC (fehlt, p=none, teilweises pct, Berichtsadresse), übliche DKIM-Selektoren, MX-Einträge sowie MTA-STS, DANE und BIMI.

Es sendet keine E-Mails und sieht Ihre tatsächlich versendeten E-Mails nicht. DKIM mit eigenem Selektor findet es womöglich nicht und markiert es deshalb nicht als fehlend, sondern als nicht bestätigt. Den Mailserver testet es nicht direkt.

Prüfen Sie Ihre Website kostenlos

Geben Sie Ihre Domain ein und sehen Sie den Stand von SPF, DKIM und DMARC, zusammen mit den übrigen Bereichen Ihrer Website.

Website prüfen

Sie wissen mit dem Ergebnis nichts anzufangen? Wir bieten eine unverbindliche Beratung an, schreiben Sie einfach an kontakt@webmeter.eu.

FAQ zu SPF, DKIM und DMARC

Reicht SPF allein aus?

Nein. SPF schützt nur die Absenderadresse im Umschlag der Nachricht, die Empfänger nicht sehen. Die Adresse im Feld Von schützt erst DMARC, und dafür muss SPF oder DKIM mit übereinstimmender Domain bestehen. Gmail, Yahoo und Microsoft verlangen deshalb von Massenversendern alle drei.

Warum meldet WebMeter „DKIM nicht bestätigt“, obwohl ich DKIM habe?

Der DKIM-Schlüssel liegt im DNS unter einem Selektor, den der E-Mail-Anbieter festlegt, und eine Liste aller Selektoren lässt sich aus dem DNS nicht abfragen. WebMeter probiert übliche Selektoren und solche, die zu Ihrem Anbieter passen. Findet es Ihren nicht, ist DKIM damit nicht widerlegt, sondern nur nicht überprüft.

Was ist ein Null-MX?

Ein MX-Eintrag mit Priorität 0 und einem Punkt statt eines Servers (RFC 7505). Er zeigt an, dass die Domain keine E-Mails annimmt. Er eignet sich für Domains ohne E-Mail-Nutzung, zusammen mit SPF v=spf1 -all und DMARC p=reject.