Werkzeug · Mail-Sicherheit
SPF, DKIM und DMARC prüfen.
Geben Sie Ihre Domain ein. Der Check fragt den SPF-Eintrag, den DMARC-Eintrag unter _dmarc und mit Selektor den DKIM-Schlüssel ab und zeigt, was fehlt oder falsch ist, etwa zu viele SPF-Lookups oder p=none ohne Berichtsadresse. Die Abfrage läuft aus Ihrem Browser über einen öffentlichen DNS-Dienst, wir speichern nichts.
SPF-Eintrag prüfen
SPF steht als TXT-Eintrag direkt auf Ihrer Domain und beginnt mit v=spf1. Er listet die Server, die für Ihre Domain senden dürfen. Pro Domain darf es nur einen SPF-Eintrag geben. Gibt es zwei, ist SPF ungültig.
Die häufigste Falle ist die Grenze von 10 DNS-Abfragen. Jedes include, a, mx, ptr, exists und redirect zählt mit, auch in eingebundenen Einträgen. Wer Newsletter, CRM und Microsoft 365 einbindet, ist schnell darüber. Dann gilt der ganze Eintrag als fehlerhaft.
Am Ende steht -all oder ~all. Ein +all erlaubt jedem Server der Welt, in Ihrem Namen zu senden.
DMARC-Eintrag prüfen
DMARC steht unter _dmarc vor Ihrer Domain. Der Eintrag sagt Empfängern, was mit Mails passieren soll, die weder SPF noch DKIM passend zur Absenderdomain bestehen. Die Richtlinie p= hat drei Stufen: none beobachtet nur, quarantine schiebt in den Spam, reject weist ab.
Ohne Berichtsadresse (rua) bekommen Sie keine Auswertungen und sehen nicht, wer in Ihrem Namen sendet. Bei p=none sind die Berichte der einzige Nutzen. Ein pct im Eintrag ist veraltet: Der neue Standard RFC 9989 kennt es nicht mehr. Gibt es zwei DMARC-Einträge, wenden Empfänger DMARC gar nicht an.
Wie Sie Schritt für Schritt auf p=reject kommen, zeigt unser Beitrag DMARC von p=none auf p=reject umstellen.
DKIM prüfen: warum der Selektor nötig ist
Mit DKIM signiert Ihr Maildienst ausgehende Mails. Den öffentlichen Schlüssel dazu veröffentlicht er unter einem Namen wie selector1._domainkey.firma.ch. Den Selektor vorne wählt der Absender frei, und DNS liefert keine Liste aller Einträge einer Domain. Ein Check kann deshalb nur gezielt nachfragen.
Unser Werkzeug probiert gängige Selektoren, etwa selector1 und selector2 von Microsoft 365 oder google. Findet es nichts, steht der richtige Selektor im Kopf einer gesendeten Mail: im Feld DKIM-Signature hinter s=. Tragen Sie ihn oben ein und prüfen Sie erneut.
SPF, DKIM und DMARC bei Microsoft 365
Für Domains in Microsoft 365 gehört include:spf.protection.outlook.com in den SPF-Eintrag. DKIM für die eigene Domain richten Sie mit zwei CNAME-Einträgen ein, selector1._domainkey und selector2._domainkey. Die Zielwerte zeigt das Defender-Portal. Wer DKIM per PowerShell anlegt, bekommt ohne Angabe 1024 Bit. 2048 Bit lassen sich wählen.
Häufige Fragen
Speichert Lappenbusch die geprüften Domains?
Nein. Die Abfragen gehen direkt aus Ihrem Browser an den öffentlichen DNS-Dienst von Cloudflare. Unser Server sieht weder die Domain noch das Ergebnis. Es gibt kein Konto und keine Cookies für den Check. Ein Ergebnis teilen können Sie trotzdem: Die Adresse im Browser enthält die geprüfte Domain.
Warum zeigt der Check meine Änderung noch nicht?
DNS-Einträge werden zwischengespeichert. Wie lange, legt der Wert TTL des Eintrags fest, oft eine Stunde, manchmal einen Tag. Bis dahin kann der DNS-Dienst noch die alte Fassung liefern. Prüfen Sie nach Ablauf dieser Zeit erneut.
Reicht ~all, oder braucht es -all?
Mit DMARC entscheidet am Ende die DMARC-Richtlinie, was mit nicht bestandenen Mails passiert. ~all ist darum verbreitet und in Ordnung. -all ist strenger: Manche Empfänger weisen eine Mail dann schon bei der SPF-Prüfung ab, bevor DMARC überhaupt greift. Das betrifft zum Beispiel weitergeleitete Mails.
Passend dazu: Mail-Gateway vor Exchange Online.
Quellen (abgerufen am 17.10.2026)
Wo steckt Ihr Projekt gerade fest?
Erzählen Sie uns in 30 Minuten, worum es geht. Sie bekommen eine ehrliche Einschätzung und einen konkreten nächsten Schritt, auch wenn dieser nicht bei uns liegt.