mark_email_read E-Mail-DNS-Prüfung (SPF, DKIM, DMARC) star

Wie E-Mail-Authentifizierung funktioniert

Drei DNS-Einträge wirken zusammen, um zu verhindern, dass jemand gefälschte E-Mails versendet, die scheinbar von Ihrer Domain stammen. SPF (Sender Policy Framework) veröffentlicht eine Liste von Servern, die ausdrücklich zum Versand von E-Mails für die Domain berechtigt sind — ein empfangender Server prüft die verbindende IP-Adresse gegen diese Liste. DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden Nachricht eine kryptografische Signatur hinzu; der empfangende Server ruft Ihren öffentlichen Schlüssel aus dem DNS ab und prüft, ob die Signatur unterwegs nicht verändert wurde — etwas, das SPF allein nicht erkennen kann. DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet beide: Es sagt empfangenden Servern, was bei einem SPF- oder DKIM-Fehlschlag zu tun ist — nichts tun, in den Spam verschieben oder komplett ablehnen — und fordert Sammelberichte an, damit Sie sehen können, wer tatsächlich E-Mails im Namen Ihrer Domain versendet, Nachahmer eingeschlossen.

Konkretes Beispiel: Ohne diese drei Einträge kann ein Angreifer eine E-Mail versenden, die scheinbar von [email protected] stammt, und die meisten Mailserver liefern sie ohne jede Warnung direkt in den Posteingang des Empfängers. Geben Sie Ihre Domain oben in die Prüfung ein, und sie fragt MX, SPF, DKIM (durch automatisches Ausprobieren gängiger Selektoren) und DMARC per DNS-over-HTTPS ab und markiert dann genau, was fehlt: gar kein SPF-Eintrag, eine DMARC-Richtlinie, die bei p=none feststeckt (nur Überwachung, null echter Schutz), zwei widersprüchliche SPF-Einträge (ein Standardverstoß, der die Validierung komplett bricht) oder ein fehlender all-Mechanismus am Ende der SPF-Zeichenkette.

Was Sie wissen sollten

Alle drei Einträge richtig einzurichten ist für niemanden optional, dem Markenreputation oder Zustellbarkeit wichtig ist — eine Domain mit Lücken bei SPF, DKIM oder DMARC lässt sich leichter fälschen und ihre eigene legitime Post landet eher im Spam, weil große Anbieter wie Gmail, Yahoo und Outlook zunehmend vollständige Authentifizierung verlangen, bevor sie einem Absender vertrauen. Die Einführung ist sicher, wenn sie der Reihe nach erfolgt: zuerst SPF veröffentlichen, dann DKIM-Signierung über Ihren Mail-Anbieter hinzufügen, dann DMARC beginnend bei p=none ergänzen, damit Sie die Sammelberichte beobachten können, ohne echte Post zu riskieren — erst zu Quarantäne oder Ablehnung wechseln, wenn jede legitime Versandquelle, etwa Marketing-Tools, ein CRM oder ein Ticketsystem, bestätigt und ausgerichtet ist.

• Eine einzelne Domain kann nur einen SPF-TXT-Eintrag haben — nutzen Sie mehrere Dienste (Google Workspace, eine Marketingplattform, ein CRM), führen Sie alle deren Include-Mechanismen in einer einzigen Zeichenkette zusammen, statt separate Einträge zu veröffentlichen.
• DKIM-Selektoren sind anbieterspezifisch: Google Workspace veröffentlicht oft unter „google", Microsoft 365 unter „selector1" oder „selector2" — findet die automatische Prüfung nichts, suchen Sie den genauen Selektornamen Ihres Anbieters heraus und geben ihn manuell ein.
• Dieses Tool prüft ausschließlich die DNS-Konfiguration; es kontrolliert weder Blacklist-Status noch Nachrichteninhalte — das sind separate Ebenen der E-Mail-Zustellbarkeit, die auf einem korrekt konfigurierten DNS-Fundament aufbauen.