Betriebsstatus
Kostenloser E-Mail Security Check
SPF, DKIM und DMARC Ihrer E-Mail-Domain prüfen
E-Mail-Domain prüfen
Prüfen Sie, welche Einstellungen Ihre Domain für den E-Mail-Versand und den Transportschutz veröffentlicht. Der Domaincheck untersucht SPF, auffindbare DKIM-Schlüssel, DMARC und ausgewählte erreichbare Mailserver-Signale. Er erklärt Auffälligkeiten und kennzeichnet offene Messungen.
Sie geben eine Domain ein. Der Check liest kein Postfach und keine echten Nachrichten, untersucht keine Anhänge und benötigt kein Postfachpasswort. Ein gutes Ergebnis garantiert keine Zustellung.
Domainkonfiguration und einzelne Nachricht beantworten verschiedene Fragen
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Ihre Frage | Benötigter Prüfweg | Aussagegrenze |
|---|---|---|
| Was veröffentlicht meine Domain? | Der hier verfügbare Domaincheck liest öffentliche DNS-Einträge und ausgewählte Mailserver-Signale. | Er zeigt keine tatsächlich versendete Nachricht und keinen Postfachinhalt. |
| Besteht eine konkrete Nachricht SPF, DKIM und DMARC? | Dafür müssen die Nachricht, ihre Versandidentitäten und die am Empfang ermittelten Prüfergebnisse untersucht werden. Dazu dient die freiwillige private Testmail-Ergänzung, eine kostenlose Beta mit begrenztem Prüfumfang: Sie wählen sie beim Start des Domainchecks aus und aktivieren sie anschließend bewusst im selben Browser. | Eine einzelne Testmail zeigt nur den beobachteten Nachrichten- und Empfangsweg, keine allgemeine Inbox- oder Zustellgarantie. Sie ändert weder den Domainbefund noch dessen Note. |
Zwei Fragen, unterschiedliche Belege
Die erste Frage lautet, was eine E-Mail-Domain veröffentlicht. Der öffentliche Domaincheck erhält die Domain und bei Bedarf tatsächliche DKIM-Selektoren. Er liest unter anderem SPF-Regeln, auffindbare öffentliche DKIM-Schlüssel und die DMARC-Policy sowie ausgewählte erreichbare Mailserver-Signale. Seine STARTTLS-Probe verbindet sich mit höchstens drei unterschiedlichen MX-Hosts der niedrigsten numerischen Präferenz und versendet keine E-Mail; weitere gleichrangige Hosts und MX-Hosts anderer Präferenzstufen bleiben ungemessen. DNS- und Transportbefunde sind mit ihrer Messabdeckung zu lesen; eine fehlgeschlagene Verbindung beweist nicht, dass verschlüsselter Transport grundsätzlich fehlt. Ein auffindbarer DKIM-Schlüssel bestätigt keine gültige Signatur einer konkreten Nachricht. Der Domaincheck liest weder Nachrichten noch Postfächer.
Die zweite Frage ist eine andere: Besteht eine bestimmte Nachricht SPF, DKIM und DMARC? Dafür müssen die konkrete Nachricht, ihre Versandidentitäten und die am Empfang beobachteten Ergebnisse betrachtet werden. Die freiwillige private Testmail-Ergänzung ist eine kostenlose Beta mit begrenztem Prüfumfang für eine eigene, neu versandte Testnachricht. Sie wählen sie beim Start des Domainchecks aus; aktivieren lässt sie sich danach nur im anfordernden Browser innerhalb von 24 Stunden, solange das gespeicherte Domainergebnis gültig ist. Ein geteilter Ergebnislink allein berechtigt nicht zum Start. Der private Bereich benötigt kein Konto: Vor dem ersten Versand sichern Sie einen Zugangscode und können freiwillig einen E-Mail-Rückweg bestätigen. Er zeigt Befunde zur beobachteten Nachricht, keine vollständige Rohmail, und sagt nichts über andere Nachrichten, weitere Versandwege oder die Absicherung eines Postfachs aus. Eine einzelne Testmail dokumentiert nur den beobachteten Nachrichten- und Empfangsweg. Sie ist weder eine allgemeine Zustell- oder Inboxgarantie noch ein Identitätsnachweis für eine Person, und sie ändert den öffentlichen Domainbefund und dessen Note nicht. Die angebotene Zusendung eines Domain-Ergebnislinks ist wiederum ein anderer Vorgang und keine Testmailprüfung. Die Domain-Ergebnisse und Reportdateien sind auf Deutsch und Englisch verfügbar.
Ein DNS-Schlüssel zeigt, dass ein öffentlicher Schlüssel unter einem bestimmten Namen erreichbar ist. Ob Ihr Versanddienst die Nachricht mit dem passenden privaten Schlüssel signiert und die Signatur gültig ist, lässt sich daraus allein nicht ableiten. Ebenso ist eine veröffentlichte DMARC-Policy noch kein bestandenes DMARC-Ergebnis für eine Nachricht.
Was der Domaincheck untersucht
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Bereich | Beobachtung und Grenze |
|---|---|
| SPF | Veröffentlichte Versandregeln und ausgewählte Konfigurationsmerkmale, einschließlich der begrenzt ausgewerteten DNS-Abfragen. Kein SPF-Nachweis für jede tatsächliche Versand-IP. |
| DKIM | Auffindbare öffentliche Schlüssel über bekannte und zusätzlich angegebene Selektoren. Die Suche ist begrenzt und prüft keine Nachrichtensignatur. |
| DMARC | Die veröffentlichte Domainrichtlinie und ihre Konfiguration. Nachrichtenbezogenes SPF-/DKIM-Alignment wird im Domaincheck nicht validiert. |
| MX und SMTP-TLS | Ausgewählte Mailserver- und Transportmerkmale. Die STARTTLS-Probe verbindet sich vom Prüfstandort mit höchstens drei unterschiedlichen MX-Hosts der niedrigsten numerischen Präferenz; sie versendet dabei keine E-Mail. MX-Hosts anderer Präferenzstufen bleiben ungemessen. |
| MTA-STS und TLS-RPT | Veröffentlichte Angaben zur Transportpolicy und zum Reporting. Kein Nachweis ihrer Übernahme durch jeden Sender und keine Auswertung tatsächlich eingegangener TLS-Berichte. |
| DNSSEC, DANE und weitere Domainmerkmale | Die im jeweiligen Profil vorgesehenen DNS-Signale. Ein DANE-/TLSA-Signal allein ist hier kein nachgewiesener Abgleich mit dem tatsächlich verwendeten Mailserver-Zertifikat. |
Der Umfang hängt von Domainnutzung, Erreichbarkeit und Messbarkeit ab. Wenn keine auswertbare Antwort vorliegt, bleibt die Messung offen. Eine fehlgeschlagene Verbindung beweist nicht, dass Ihr Mailserver grundsätzlich keine verschlüsselten Verbindungen unterstützt.
Die Verfahren hinter den Befunden
SPF und DKIM authentifizieren unterschiedliche Versandidentitäten; DMARC verbindet passende Ergebnisse mit der sichtbaren From-Domain. Transportverfahren haben eine andere Aufgabe. Die folgende Einordnung erklärt die Verfahren, nicht zusätzliche Messungen dieses Domainchecks.
Bei schmaler Ansicht können Sie die Tabelle seitlich scrollen.
| Verfahren | Zusammenhang und typische nächste Frage |
|---|---|
| SPF – Sender Policy Framework | Der Empfänger prüft die sendende IP gegen Regeln für die SMTP-Absenderdomain beziehungsweise HELO-Identität. Die sichtbare From-Adresse ist nicht automatisch diese Identität. Prüfen Sie vergessene Versanddienste und DNS-Lookups; Weiterleitungen können SPF scheitern lassen, wenn die weiterleitende IP nicht autorisiert ist. |
| DKIM – DomainKeys Identified Mail | Eine Signatur umfasst ausgewählte Header und den Nachrichtenkörper. Signierdomain und Selektor führen zum öffentlichen Schlüssel. Signierte Inhaltsänderungen, ein falscher Selektor oder eine nicht abgestimmte Schlüsselrotation können die Prüfung beeinträchtigen. Der Domaincheck verifiziert diese Nachrichtensignatur nicht. |
| DMARC – Domain-Based Message Authentication, Reporting, and Conformance | Eine Nachricht besteht DMARC, wenn mindestens eine erfolgreiche SPF- oder DKIM-Prüfung passend zur sichtbaren From-Domain ausgerichtet ist. Die Policy kann none, quarantine oder reject verlangen; Empfänger wenden weitere eigene Regeln an. Vor einer Verschärfung tatsächliche Sender, Alignment und verfügbare Berichte prüfen. Fehlende Berichte sind keine vollständige Sicht auf den Versand. |
| BIMI – Brand Indicators for Message Identification | Verweist auf ein Markenlogo für unterstützende Dienste. Logoformat, DMARC und dienstabhängige Zertifikats-/Anzeigebedingungen müssen passen. Ein DNS-Eintrag garantiert keine Logoanzeige oder Verifizierungsmarkierung. BIMI-Hinweise sind in diesem Check optional und ungewichtet. |
| MTA-STS – Mail Transfer Agent Strict Transport Security | DNS unter _mta-sts signalisiert den Policy-Stand; die HTTPS-Datei /.well-known/mta-sts.txt nennt Modus und MX-Namen. Unterstützende Sender setzen passende Anforderungen an den Empfangstransport um. Falsche MX-Muster oder eine unerreichbare Policy sind konkrete Prüffragen. enforce erst mit passenden Voraussetzungen aktivieren; nicht unterstützende Sender werden dadurch nicht zu einer Durchsetzung gezwungen. Keine Ende-zu-Ende-Verschlüsselung. |
| TLS-RPT – TLS Reporting | DNS unter _smtp._tls nennt Berichtsziele. Unterstützende Sender können aggregierte JSON-Berichte über Transportergebnisse liefern. Prüfen Sie Ziel und tatsächlich erhaltene Abdeckung; Anzahl und Umfang der Berichte hängen von beteiligten Sendern ab. Wolf prüft die Veröffentlichung, sammelt oder analysiert diese Berichte aber nicht. |
Die Bewertung gehört zum jeweiligen Domainprofil
A+ ist die höchste Bewertung. Für sendende Domains verwendet der E-Mail-Check die Noten A+, A, A-, B+, B, C, D und F sowie eigene Gewichtungen und Begrenzungen. Diese Note ist kein Prozentsatz der Zustellbarkeit und nicht unmittelbar mit der Web- oder API-Note vergleichbar.
Für A+ im Profil sendender Domains müssen auch die im Modell verlangten DNSSEC-Nachweise für MX und TXT vorliegen. Fehlt dieser Nachweis, wird A+ nicht vergeben; ein unbekannter DNSSEC-Zustand ist aber kein gemessener Konfigurationsmangel. Weitere Bedingungen des Bewertungsmodells können die Note begrenzen.
Domains ohne vorgesehenen E-Mail-Versand erhalten eine eigene Auswertung mit eigenem Umfang. Sie betrachtet unter anderem SPF -all, DMARC und Null MX. Die öffentlichen Angaben sind kein Beweis, dass tatsächlich niemals eine Nachricht unter dieser Domain versendet wird. DNSSEC wird in diesem Profil nicht erhoben. Wenn das Ergebnis gespeichert werden konnte, stehen auch hierfür PDF, DOCX und CSV bereit.
Lesen Sie die Messabdeckung unabhängig von der Note. Bei unzureichender Messbasis oder ungeklärten Basisprüfungen kann die Gesamtnote im Report entfallen. Nicht erhobene Punkte sind keine bestandenen Prüfungen. Auch A+ schließt Phishing, spätere Fehlkonfigurationen oder Zustellprobleme nicht aus.
Nach einem Wechsel oder einer Änderung gezielt nachsehen
- Prüfen Sie eine Domain, zu deren Untersuchung Sie berechtigt sind. Tragen Sie bekannte DKIM-Selektoren bei Bedarf ein.
- Ordnen Sie SPF-, DKIM- und DMARC-Befunde Ihren tatsächlichen Versanddiensten zu. Lesen Sie DNS- und Transportbefunde jeweils mit ihrer Messgrenze.
- Geben Sie konkrete Fragen an Ihre IT oder Ihren Anbieter weiter. Ein zusätzlicher Versanddienst kann andere Einstellungen benötigen als Ihr normales Postfach.
- Starten Sie nach einer Änderung bei Bedarf einen neuen Domaincheck. Halten Sie Nachrichtenprüfungen und deren Zeitpunkte getrennt fest.
Der Check ändert keine DNS-Einträge und konfiguriert keinen Mailserver. Für die weitere Arbeit stehen Erklärungen zu SPF, DKIM, DMARC, SMTP-TLS und MTA-STS bereit. Die Anleitung zur DKIM-Einrichtung ergänzt diese Grundlagen.
Den Domainstand für die weitere Arbeit speichern
Die auf der Ergebnisseite angebotenen Reportdateien dokumentieren den gespeicherten Domaincheck. PDF dient zum Lesen und Ablegen, DOCX für eigene Ergänzungen und CSV für die Arbeit mit der Befundtabelle. DOCX ist bearbeitbar; halten Sie Ergänzungen als Ihre eigenen erkennbar.
Die angebotenen Dateien sind in der kostenlosen Beta ohne E-Mail-Adresse erhältlich. Ein Download startet keinen neuen Scan. Speichern Sie benötigte Dateien lokal, denn ein Wiederdownload ist nur möglich, solange das Ergebnis verfügbar ist. Zwei bewusst gestartete Messungen können Sie manuell vergleichen; ein automatischer Differenzreport ist damit nicht verbunden.
Die freiwillige Zusendung eines Ergebnislinks ist ein anderer Vorgang als das Einsenden einer Testmail. Sie schaltet keine weiteren Inhalte frei und prüft keine Nachricht. Die Reportseite erklärt Inhalt, Formate und Nutzung als Arbeitsunterlage.
Häufige Fragen
Prüft der Check verdächtige E-Mails oder Anhänge?
Nein. Der Domaincheck ist kein Viren-, Anhang- oder Postfachscan. Übermitteln Sie ihm keine Nachrichteninhalte oder Zugangsdaten.
Warum findet der Check meinen DKIM-Schlüssel nicht?
Der tatsächliche Selektor kann außerhalb der begrenzten Suche liegen. Auch ein fehlender DNS-Eintrag oder eine eingeschränkte Abfrage kann die Ursache sein. Ermitteln Sie den Selektor Ihres Versanddienstes und geben Sie ihn bei Bedarf in den erweiterten Optionen an. Ein vorhandener _domainkey-Namensraum allein belegt weder einen öffentlichen Schlüssel noch eine gültige Nachrichtensignatur.
Kann ein gutes Ergebnis meine Zustellbarkeit bestätigen?
Nein. Inhalt, Reputation, Versandpraxis und Empfängerregeln beeinflussen die Zustellung zusätzlich. Der Domaincheck weist weder einen Posteingang noch Spamfreiheit oder die Identität einer Person nach.
Ist der Wolf-Report ein DMARC-Aggregatbericht?
Nein. DMARC-Aggregatberichte stammen von empfangenden Systemen und beschreiben beobachtete Nachrichten. Der Wolf-Report dokumentiert einen Domaincheck zu einem Messzeitpunkt. Wolf-Agents sammelt oder analysiert damit nicht Ihre DMARC-Aggregatberichte.
Kann ich den Report als Auditnachweis weitergeben?
Sie können ihn als technische Arbeitsunterlage für den ausgewiesenen Umfang nutzen. Er ist kein anerkannter Audit-, Compliance- oder Versicherungsnachweis und enthält keine persönliche fachliche Prüfung Ihrer Domain. Prüfen Sie Empfehlungen im Kontext Ihrer Umgebung; automatische Einstufungen können fehlerhaft sein.
Fachliche Grundlagen
SPF: RFC 7208 · DKIM: RFC 6376 · DMARC: RFC 9989 · Hinweise zur KI-Nutzung
Die Standards beschreiben die Verfahren. Sie erweitern den hier tatsächlich angebotenen Prüfumfang nicht.