Beides hängt an denselben drei Einträgen im DNS, und beides merkt man erst, wenn es zu spät ist: Rechnungen, die im Spam landen. Oder eine gefälschte Mail mit deinem Absender, von der du nie erfährst. Dieser Test liest die Einträge deiner Domain aus und sagt dir in Klartext, was sie bewirken.
Gleich geht es los
Fast jede Erklärung wirft SPF, DKIM und DMARC in einen Topf. Dabei tun sie völlig verschiedene Dinge, und nur das letzte hat überhaupt eine Wirkung auf den Empfänger.
Eine Liste der Server, die für deine Domain versenden dürfen: dein Postfach-Anbieter, der Newsletter-Dienst, der Shop, das Kontaktformular. Sie hat eine harte Grenze von zehn DNS-Abfragen – jeder eingebundene Dienst bringt eigene mit. Wird sie überschritten, verwerfen Empfänger den ganzen Eintrag. Man sieht ihm das nicht an; das macht diesen Fehler so unangenehm.
Eine Signatur, mit der der versendende Server bestätigt: Diese Nachricht kommt von mir, und unterwegs hat niemand etwas daran geändert. Anders als SPF übersteht DKIM auch Weiterleitungen – deshalb ist es bei Verteilern und weitergeleiteten Rechnungen oft das Einzige, was noch trägt.
Der einzige der drei Einträge, der dem Empfänger eine Anweisung gibt: durchlassen, aussortieren oder abweisen. Ohne DMARC bleibt jede Fälschung folgenlos, weil niemand weiß, wie er reagieren soll – und du erfährst nichts davon. Mit DMARC bekommst du zusätzlich Sammelberichte darüber, wer in deinem Namen verschickt.
Der mit Abstand häufigste Befund. p=none heißt: beobachten, nichts tun. Gefälschte Absender werden gemeldet, aber weder aussortiert noch abgewiesen. Als erster Schritt ist das genau richtig – man sammelt einige Wochen Berichte, bis darin nur noch die eigenen Versandwege auftauchen. Als Dauerzustand schützt es vor nichts. Sehr viele Domains stehen seit Jahren dort, weil den zweiten Schritt niemand gemacht hat.
Jeder include bringt die Abfragen seiner eigenen Kette mit. Postfach-Anbieter, Newsletter-Werkzeug, CRM, Terminbuchung, Rechnungsprogramm – und irgendwann sind es elf statt zehn. Ab da ist das Ergebnis ein Fehler, und Empfänger behandeln die Domain, als hätte sie gar keinen SPF-Eintrag. Der Test zählt die Kette komplett durch und zeigt dir, welche Einbindungen wie viel kosten.
BIMI wird gern als „Logo im Postfach“ verkauft und dann eingerichtet, ohne dass sich etwas tut. Der Grund ist fast immer einer von dreien: DMARC steht noch nicht im Durchgriff, das SVG entspricht nicht dem geforderten Profil – ein gewöhnlicher Export aus dem Grafikprogramm tut es nicht –, oder es fehlt das geprüfte Markenzertifikat, ohne das Gmail und Apple Mail nichts anzeigen. Der Test prüft alle drei Punkte einzeln und holt Logo und Zertifikat wirklich ab.
Wer seine DMARC-Berichte an einen Auswertungsdienst schicken lässt, braucht auf dessen Domain eine ausdrückliche Freigabe. Fehlt sie, verwerfen die versendenden Empfänger die Berichte stillschweigend. Der Eintrag sieht richtig aus, es kommt nur nie etwas an – und das Ausbleiben von Berichten fällt niemandem auf. Der Test prüft diese Freigabe mit.
Alte Domains, Kampagnendomains, Schreibweisen, die man sich zur Sicherheit gesichert hat: Sie tragen nur eine Weiterleitung und niemand denkt an sie. Für Fälscher sind sie die bequemsten Ziele, weil sie meist gar keine Einträge haben. Zwei Zeilen genügen – ein Null-MX-Eintrag und DMARC auf p=reject –, und die Domain ist als Absender wertlos.
Ehrlichkeit gehört dazu, sonst ist ein Werkzeug wertlos.
Was er dafür kann: belegen. Zu jedem Befund gehört der gemessene Wert, der ihn ausgelöst hat – nachprüfbar, nicht behauptet. Und zu jedem gehört ein Satz dazu, was konkret zu tun ist.
Zu jedem Befund gehört eine Seite, die erklärt, worum es geht, warum es zählt und was konkret zu tun ist – inklusive der Klickwege bei IONOS, Microsoft 365, Google Workspace und den verbreiteten Versanddiensten. Aus dem Ergebnis führt jeder Befund direkt an die passende Stelle.
Wer in deinem Namen versenden darf – und warum der Eintrag ab zehn DNS-Abfragen still ausfällt, ohne dass man es sieht.
Die Unterschrift, die auch Weiterleitungen übersteht. Warum kein Prüfer sie zuverlässig findet und wie du sie einschaltest.
Die einzige Anweisung, die Empfänger wirklich befolgen. In drei Stufen von der Beobachtung zur Abweisung – ohne eigene Post zu verlieren.
Das Logo im Postfach: was wirklich verlangt wird, was ein Markenzertifikat kostet und wann es sich nicht lohnt.
MX-Einträge, Rückwärtsauflösung und die Frage, wie man Domains absichert, die gar keine Post empfangen.
Wie man dort landet, warum die Ursache wichtiger ist als die Austragung, und welche Listen nichts aussagen.
MTA-STS, TLS-RPT und DNSSEC – und die Falle, mit der eine erzwungene Richtlinie die eigene Post aufhält.
Wenn du ohnehin regelmäßig versendest: Unter Newsletter & E-Mail-Marketing steht, wie Versand, Anmeldung und Nachweispflichten sauber zusammenspielen. Und mit dem Cookie-Banner-Check prüfst du dieselbe Domain von der anderen Seite: was deine Website tut, bevor jemand zugestimmt hat.
SPF entwirren, DKIM einschalten, DMARC schrittweise scharf stellen und die Berichte auswerten, bis nichts Fremdes mehr auftaucht – überschaubare Arbeit mit einem Ergebnis, das man messen kann. Schick mir die Domain, dann sage ich dir, was zu tun ist.
Befund besprechen → Termin vereinbaren → oder Kontaktdaten ansehen