So funktioniert es
Domain (und optional DKIM-Selector) eingeben — der Checker holt SPF-, DKIM- und DMARC-Records per DNS-over-HTTPS, komplett im Browser. Jeder Record wird geparst und bewertet, Fehlkonfigurationen siehst du auf einen Blick. Die Schritt-für-Schritt-Einrichtung zeigt unser Guide SPF, DKIM & DMARC einrichten.
Was diese Records tun
SPF (Sender Policy Framework) listet IPs, die für deine Domain senden dürfen. Ein TXT-Record auf deiner Root-Domain, der mit v=spf1 beginnt.
DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine kryptographische Signatur hinzu und beweist, dass die Nachricht nicht manipuliert wurde. TXT-Record unter {selector}._domainkey.deinedomain.de.
DMARC sagt empfangenden Servern, was bei SPF/DKIM-Fehlschlag zu tun ist — Quarantäne, Ablehnen oder nur Monitoring. TXT-Record unter _dmarc.deinedomain.de.
Warum alle drei zählen
- Gmail & Yahoo verlangen DKIM + SPF + DMARC für Bulk-Sender (5.000+/Tag) seit Feb. 2024
- Ohne Auth landen Nachrichten eher im Spam
- DMARC besteht, wenn mindestens SPF oder DKIM erfolgreich ist und die geprüfte Domain mit der sichtbaren From-Domain ausgerichtet ist. Die veröffentlichte Richtlinie ist eine Vorgabe des Domaininhabers; über die Zustellung entscheidet der Empfänger.
- Alle drei zusammen geben dir Kontrolle über deine Sender-Reputation
Datenschutz
Dieses Tool nutzt Cloudflare DNS-over-HTTPS (cloudflare-dns.com) direkt aus deinem Browser. Die eingegebene Domain sieht nur Cloudflare — nichts berührt unsere Server.
Häufig gestellte Fragen
Brauche ich wirklich alle drei — SPF, DKIM und DMARC?
Für die Gmail/Yahoo-Bulk-Sender-Regeln seit 2024: ja — und seit Mai 2025 stellt auch Microsoft (outlook.com) vergleichbare Anforderungen (SPF, DKIM, DMARC) an Absender mit über 5.000 Mails/Tag. Auch für kleine Absender ist die Kombination entscheidend. SPF allein reicht nicht mehr — DKIM signiert deine Mails kryptografisch, und DMARC sagt dem Empfänger, wie er bei Fehlschlägen reagieren soll.
Was bedeutet DMARC p=none vs p=quarantine vs p=reject?
DMARC p=none äußert keine Behandlungsvorgabe; p=quarantine stuft nicht bestandene Nachrichten als verdächtig ein und p=reject fordert Zurückweisung. Eigene Filter des Empfängers gelten weiterhin. Mit t=y wird reject auf quarantine beziehungsweise quarantine auf none abgeschwächt. Vor einer Verschärfung sollten legitime Versandwege geprüft sein.
Warum schlägt DKIM fehl, obwohl ich es eingerichtet habe?
Häufige Ursachen: Der DNS-Record ist noch nicht vollständig propagiert, der Selector stimmt nicht mit dem deines Mailservers überein, oder der Key wurde beim DNS-Eintrag abgeschnitten (DKIM-Public-Keys sind lang und leicht falsch zu kopieren). Mit dig lässt sich der TXT-Record direkt prüfen.
