Kostenloses Werkzeug Stand:

Können Fremde in Ihrem Namen E-Mails verschicken?

Geben Sie Ihre Domain ein. Wir fragen die öffentlichen DNS-Einträge ab und sagen Ihnen in einem Satz, ob Ihr Absendername gegen Missbrauch geschützt ist — und was zu tun ist, wenn nicht.

Prüfpunkte je Domain
10 Prüfpunkte je Domain
DKIM-Selektoren im Test
20 DKIM-Selektoren im Test
gespeicherte Domains
0 gespeicherte Domains
Anmeldung und Kosten
ohne Anmeldung und Kosten

Domain prüfen

Firmendomain eingeben — die aus Ihrer E-Mail-Adresse hinter dem @-Zeichen.

Zum Beispiel beispiel.de. Eine vollständige Adresse (https://www.beispiel.de/kontakt) oder eine E-Mail-Adresse dürfen Sie auch einsetzen — wir kürzen sie selbst auf die Domain.

Wir speichern nicht, was Sie prüfen. Ihre Domain wird nicht protokolliert, nicht gespeichert und nicht weitergegeben. Die Prüfung läuft auf Servern in Europa und besteht aus öffentlichen DNS-Abfragen — es geht nichts an Ihre Systeme.

Was SPF, DKIM und DMARC miteinander zu tun haben

Eine E-Mail trägt ihren Absender nur als Text. Jeder kann dort hineinschreiben, was er möchte — technisch ist das so einfach wie ein falscher Absender auf einem Briefumschlag. Die drei Einträge schließen diese Lücke gemeinsam, und zwar in dieser Rollenverteilung.

SPF ist die Gästeliste: Sie steht im DNS und zählt auf, welche Server in Ihrem Namen versenden dürfen. DKIM ist die Unterschrift: Ihr Mailserver signiert jede Nachricht, der Empfänger rechnet nach, ob unterwegs etwas verändert wurde. DMARC ist die Hausordnung: Sie sagt dem Empfänger, was er tun soll, wenn weder Gästeliste noch Unterschrift stimmen — und an welche Adresse er darüber berichten soll.

Der häufigste Fehler ist, bei den ersten beiden stehen zu bleiben. SPF und DKIM allein sind Angaben ohne Folgen: Sie sagen, was gilt, aber niemandem, was er mit einer Fälschung machen soll. Erst DMARC macht daraus eine Abwehr. Umgekehrt gilt: Wer DMARC scharf stellt, bevor alle eigenen Versanddienste erfasst sind, blockiert seine eigenen Rechnungen und Newsletter. Deshalb der Weg über p=none mit Berichtsadresse — vier bis sechs Wochen lang mitlesen, dann verschärfen.

So sieht ein DMARC-Eintrag im Beobachtungsmodus aus

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de; fo=1; adkim=r; aspf=r

Als TXT-Eintrag unter dem Namen _dmarc Ihrer Domain. rua ist die Adresse, an die die Berichte gehen; sie muss ein echtes, gelesenes Postfach sein.

Wie die Ampel im Ergebnis zu lesen ist

In Ordnung
Der Punkt ist eingerichtet und wirkt.
Prüfen
Vorhanden, aber halbherzig — die Wirkung bleibt hinter dem Möglichen zurück.
Kritisch
Hier steht die Tür offen. Diese Punkte zuerst.
Nicht vorhanden
Nicht eingerichtet — je nach Punkt Pflicht oder Kür.
Hinweis
Nebenbefund oder nicht ermittelbar — kein Mangel.

Nicht nur eine Sicherheitsfrage, auch eine Zustellungsfrage. Google verlangt seit dem 1. Februar 2024 von Absendern mit mehr als 5.000 Nachrichten am Tag an Gmail-Konten SPF, DKIM und DMARC; wer das nicht erfüllt, dessen Nachrichten werden abgewiesen oder landen im Spam-Ordner (Google: Richtlinien für E-Mail-Absender).

Wenn die Einträge sitzen — und trotzdem etwas fehlt

Dieser Test schaut von außen auf Ihr DNS. Er sieht nicht, wer bei Ihnen tatsächlich versendet, ob in Postfächern fremde Weiterleitungsregeln liegen oder ob ein früherer Mitarbeiter noch Zugang hat. Genau dort setzen die Fälle an, die uns erreichen: Der Absender war echt, das Postfach war übernommen. Wie wir so etwas aufarbeiten, steht unter unseren Leistungen.

Wenn Sie schon dabei sind: Hugo Check prüft Ihre Website auf dieselbe Art auf Datenschutzmängel — Cookies, eingebundene Dienste, Datenabflüsse. Wer als Zulieferer Nachweise über die eigene Informationssicherheit erbringen muss, findet in Hugo Shield die Lieferketten-Seite derselben Frage. Die übrigen kostenlosen Werkzeuge stehen im Werkzeugkasten, Hintergründe und Anleitungen in unserem Blog.

Sie möchten das nicht selbst machen? Wir übernehmen die Einrichtung und die laufende Auswertung der DMARC-Berichte als Teil unserer Betreuung — Angebot in 60 Sekunden.

Häufige Fragen zum E-Mail-Sicherheitscheck

Nein. Wir fragen ausschließlich öffentliche DNS-Einträge ab — dieselben Daten, die jeder Mailserver der Welt abruft, bevor er eine Nachricht von Ihnen annimmt. Es wird nichts an Ihre Server gesendet, nichts eingeloggt und nichts durchprobiert. Die einzige Ausnahme ist der Abruf Ihrer MTA-STS-Datei, und den machen wir nur, wenn Ihr DNS diese Datei ausdrücklich ankündigt.

Nein. Die geprüfte Domain wird nirgends protokolliert, nicht gespeichert und nicht an Dritte weitergegeben. Sie steht in der Antwort an Ihren Browser und ist danach weg. Wir vergleichen auch keine Prüfungen untereinander und bauen keine Liste auf.

Weil DKIM-Selektoren frei wählbar sind. Wir probieren die zwanzig gängigen durch — von selector1 und selector2 (Microsoft 365) über google (Google Workspace) bis zu k1, brevo oder pm. Wer einen eigenen Namen vergibt, taucht in dieser Liste nicht auf. Ob DKIM aktiv ist, sehen Sie sicher im Verwaltungsbereich Ihres Mail-Anbieters oder im Kopfbereich einer echten Nachricht: Dort steht die Zeile „DKIM-Signature" mit dem Feld „s=" für den Selektor.

Als Übergang ja, als Dauerzustand nein. „p=none" weist die Empfänger an, gefälschte Nachrichten trotzdem zuzustellen. Der Nutzen liegt allein in den Berichten, die Sie über die rua-Adresse bekommen: Daraus sehen Sie, wer in Ihrem Namen versendet. Fehlt zusätzlich die rua-Adresse, tut der Eintrag gar nichts. Nach vier bis sechs Wochen Berichtsauswertung gehört die Regel auf p=quarantine und danach auf p=reject.

Ja, wenn Sie sie ungeprüft übernehmen. SPF mit „-all" weist alles ab, was nicht aufgeführt ist — auch Ihren Newsletter-Dienst, Ihr Shop-System oder die Buchhaltungssoftware, wenn deren Angaben fehlen. Deshalb ist die Reihenfolge wichtig: erst DMARC mit p=none und Berichten einrichten, aus den Berichten alle eigenen Versender sammeln, dann SPF vervollständigen und zuletzt die Regeln verschärfen.

Ein neuer oder geänderter DNS-Eintrag ist in der Regel nach wenigen Minuten bis wenigen Stunden überall sichtbar — abhängig von der Gültigkeitsdauer (TTL), die Ihr alter Eintrag hatte. Prüfen Sie hier einfach erneut. Bis alle Empfänger Ihre neue DMARC-Regel anwenden, vergeht in der Praxis maximal ein Tag.

Für alle, die nennenswerte Mengen versenden, ist es Pflichtprogramm: Google verlangt seit dem 1. Februar 2024 von Absendern mit mehr als 5.000 Nachrichten am Tag an Gmail-Konten SPF, DKIM und DMARC. Wer die Anforderungen nicht erfüllt, dessen Post wird abgewiesen oder als Spam einsortiert. Unabhängig davon schützt die Kombination vor Rechnungsbetrug im eigenen Namen — dem häufigsten Grund, aus dem Unternehmen bei uns anrufen.

Nein. Er zeigt den Zustand Ihrer öffentlichen DNS-Einträge zu diesem Zeitpunkt. Er sieht nicht, welche Dienste bei Ihnen tatsächlich versenden, ob Postfächer mit Zwei-Faktor-Anmeldung geschützt sind oder ob Weiterleitungsregeln eingerichtet wurden, die ein Angreifer angelegt hat. Genau diese Punkte gehören in eine ordentliche Bestandsaufnahme.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, alle ohne Kosten.

Alle Werkzeuge

Werkzeuge zeigen Lücken. Schließen muss sie jemand.

Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.

Angebot in 60 Sekunden 15 Minuten sprechen