DMARC- & SPF-Checker

So funktioniert der DMARC- & SPF-Check

Wie funktioniert die Prüfung?

Das Tool stellt drei DNS-Abfragen: den TXT-Eintrag unter _dmarc.deine-domain.de (DMARC-Richtlinie), den SPF-Eintrag im TXT-Record der Domain und die MX-Einträge. Anschließend bewertet es die Ergebnisse nach den Regeln der Standards (RFC 7489 für DMARC, RFC 7208 für SPF): Welche Richtlinie gilt — p=none, quarantine oder reject? Endet der SPF-Eintrag mit einem sinnvollen all-Mechanismus? Werden Berichte (rua) empfangen, und bleibt SPF unter dem Limit von zehn DNS-Lookups? Das Ergebnis bekommst du als Klartext-Bewertung statt kryptischer Record-Syntax.

Warum ohne Upload?

Die Abfrage läuft als DNS-over-HTTPS direkt von deinem Browser zu Cloudflare DNS (1.1.1.1, Fallback: Google DNS). yurtbay.dev sieht weder die geprüfte Domain noch das Ergebnis — es gibt keinen Server, der etwas mitschreiben könnte. Geprüft werden ausschließlich öffentliche DNS-Daten, also genau das, was jeder empfangende Mailserver bei der Zustellung ohnehin abfragt.

Wann lohnt sich professionelle Hilfe?

Ein fehlender Eintrag ist schnell ergänzt — anspruchsvoll wird der Weg zu einer durchsetzenden Richtlinie. Wenn deine Domain dauerhaft auf p=none steht, mehrere Systeme in deinem Namen senden (Microsoft 365, Newsletter-Tool, Ticketsystem, Onlineshop) oder DKIM noch fehlt, lohnt ein strukturiertes Vorgehen: alle Versender inventarisieren, rua-Berichte auswerten und die Richtlinie schrittweise auf quarantine und reject verschärfen — ohne dass legitime Mails verloren gehen. Dabei unterstütze ich im Rahmen von IT-Support & Betreuung. Hintergrund liefern die Artikel Ransomware-Schutz für kleine Unternehmen und E-Mail-Server selbst hosten oder Microsoft 365?

Häufige Fragen zu DMARC & SPF

Was bedeutet p=none in meinem DMARC-Eintrag?

p=none ist der reine Beobachtungsmodus: Empfänger prüfen deine Mails, weisen Fälschungen aber nicht ab. Als Startpunkt zum Sammeln von Berichten ist das richtig — dauerhaft schützt es nicht. Ziel ist p=quarantine oder p=reject.

Reicht SPF allein nicht aus?

Nein. SPF prüft nur, ob der einliefernde Server für die Domain senden darf — die im Mailprogramm sichtbare Absenderadresse kann trotzdem gefälscht sein. Erst DMARC verknüpft SPF (und DKIM) mit der sichtbaren Absenderadresse und sagt Empfängern, was mit Fälschungen passieren soll.

Warum ist DMARC gerade jetzt wichtig?

Große Empfänger wie Google und Yahoo verlangen seit 2024 von Massenversendern einen DMARC-Eintrag; ohne ihn landen Mails deutlich häufiger im Spam oder werden abgewiesen. Und für Angreifer sind Domains ohne DMARC das leichteste Ziel, um Phishing im Namen deiner Firma zu verschicken.

Prüft das Tool auch DKIM?

Nein. DKIM-Einträge liegen unter einem frei wählbaren Selektor (z. B. selector1._domainkey.deine-domain.de), der sich von außen nicht zuverlässig erraten lässt. Ob DKIM sauber signiert, siehst du in den DMARC-Berichten (rua) oder im Header einer empfangenen Mail.