Wo Ihre E-Mails ankommen
Der MX-Eintrag zeigt auf den Server, der die E-Mails für Ihre Domain empfängt.
Was in Ihrem DNS steht
Mail · Check
Ist Ihre geschäftliche E-Mail richtig eingerichtet?
Geben Sie Ihren Domainnamen ein. Wir prüfen sofort MX, SPF, DKIM, DMARC, DNSSEC und MTA-STS und sagen Ihnen für jeden Punkt, was in Ordnung ist und was besser geht.
Der Mail-Check braucht JavaScript. Unten steht, was wir prüfen; in einem kurzen Gespräch sehen wir es uns gemeinsam an.
Ergebnis für
{n} von {totaal} in Ordnung
Ihr Browser hat die Daten beim DNS-Dienst von Cloudflare abgefragt. Wir sehen Ihren Domainnamen erst, wenn Sie ihn uns selbst senden.
Wer in Ihrem Namen senden darf
SPF nennt die Server, die im Namen Ihrer Domain E-Mails versenden dürfen.
Was in Ihrem DNS steht
Digitale Signatur
DKIM versieht jede E-Mail mit einer digitalen Signatur, damit der Empfänger sieht, dass sie wirklich von Ihnen stammt und unterwegs nicht verändert wurde.
Was in Ihrem DNS steht
Was mit gefälschten E-Mails passiert
DMARC sagt Empfängern, was sie mit E-Mails tun sollen, die SPF und DKIM nicht bestehen, und schickt Ihnen Berichte darüber.
Was in Ihrem DNS steht
Signiertes DNS
DNSSEC signiert Ihr DNS, damit niemand unterwegs eine gefälschte Antwort unterschieben kann.
Was in Ihrem DNS steht
Verschlüsselt zustellen
MTA-STS erzwingt, dass E-Mails an Sie verschlüsselt zugestellt werden.
Was in Ihrem DNS steht
- MX
- SPF
- DKIM
- DMARC
- DNSSEC
- MTA-STS
- Ihre E-Mails kommen bei Microsoft 365 an.
- Ihre E-Mails kommen bei Google Workspace an.
- Ihre E-Mails kommen bei {naam} an.
- Es gibt keinen MX-Eintrag: Diese Domain kann keine E-Mails empfangen. Versenden Sie damit auch keine E-Mails, setzen Sie SPF auf -all und DMARC auf reject, damit niemand sie missbrauchen kann.
- Diese Domain zeigt mit einem Null-MX an, dass sie keine E-Mails empfängt. Das ist sauber gelöst; setzen Sie dann auch SPF auf -all und DMARC auf reject.
- Es gibt keinen SPF-Eintrag. Empfänger können dann nicht prüfen, wer in Ihrem Namen senden darf, und Ihre E-Mails landen eher im Spam.
- Es gibt {n} SPF-Einträge. Erlaubt ist nur einer; bei mehreren schlägt SPF bei jedem Empfänger fehl. Führen Sie sie zu einem Eintrag zusammen.
- Der Eintrag endet auf -all: E-Mails von anderen Servern werden abgelehnt. So soll es sein.
- Der Eintrag endet auf ~all: E-Mails von anderen Servern werden als verdächtig markiert, nicht abgelehnt. Mit DMARC auf quarantine oder reject ist das in Ordnung; -all ist strenger.
- Der Eintrag endet auf ?all: SPF sagt dann nichts über andere Server aus. Verwenden Sie ~all oder -all.
- Der Eintrag endet auf +all oder auf ein bloßes all: Dann darf jeder in Ihrem Namen senden. Das macht SPF wertlos; setzen Sie ihn auf -all.
- Der Eintrag endet nicht auf all. Schließen Sie ihn mit ~all oder -all ab.
- Der Eintrag löst {n} DNS-Lookups aus; die Grenze liegt bei 10. Darüber schlägt SPF bei Empfängern fehl. Entfernen Sie Includes, die Sie nicht mehr nutzen, oder lassen Sie den Eintrag vereinfachen.
- Der Eintrag löst {n} von höchstens 10 DNS-Lookups aus.
- Das Include {naam} hat selbst keinen SPF-Eintrag. Dadurch schlägt Ihr SPF fehl; entfernen Sie das Include oder korrigieren Sie es.
- Der Eintrag verwendet ptr. Das ist veraltet und langsam; ersetzen Sie es durch ein Include oder eine IP-Adresse.
- Ihre E-Mails laufen über Microsoft 365, aber include:spf.protection.outlook.com fehlt. E-Mails aus Microsoft 365 bestehen SPF dann nicht.
- Ihre E-Mails laufen über Google Workspace, aber include:_spf.google.com fehlt. E-Mails von Google bestehen SPF dann nicht.
- Versenden Sie mit dieser Domain keine E-Mails? Dann legen Sie einen SPF-Eintrag mit nur v=spf1 -all an, damit niemand sie missbrauchen kann.
- DKIM-Schlüssel gefunden unter: {naam}.
- Unter den gängigen Namen wurde kein DKIM-Schlüssel gefunden. Ihr Anbieter verwendet vielleicht einen anderen Namen (Selektor); geben Sie ihn oben ein, um ihn zu prüfen.
- Ihre E-Mails laufen über Microsoft 365, aber unter selector1 oder selector2 liegt kein DKIM-Schlüssel. Aktivieren Sie DKIM im Microsoft-Defender-Portal und fügen Sie die beiden CNAME-Einträge hinzu.
- Der Schlüssel unter {naam} ist leer (p=). Er wurde widerrufen und signiert nichts mehr.
- Der Schlüssel unter {naam} hat 1024 Bit. Das funktioniert noch, aber 2048 Bit sind der aktuelle Standard.
- Es gibt keinen DMARC-Eintrag. Empfänger wissen dann nicht, was sie mit gefälschten E-Mails in Ihrem Namen tun sollen, und große E-Mail-Anbieter verlangen ihn von allen, die viele E-Mails versenden.
- Es gibt {n} DMARC-Einträge. Erlaubt ist nur einer; sonst ignorieren Empfänger alle.
- Dem DMARC-Eintrag fehlt eine gültige Richtlinie (p=none, quarantine oder reject). Ohne p= zählt er nicht.
- DMARC steht auf p=none: Es misst nur und hält gefälschte E-Mails nicht auf. Prüfen Sie in den Berichten, ob alle Ihre eigenen E-Mails durchkommen, und setzen Sie es dann auf quarantine und später auf reject.
- DMARC steht auf p=quarantine: Gefälschte E-Mails in Ihrem Namen landen im Spam.
- DMARC steht auf p=reject: Gefälschte E-Mails in Ihrem Namen werden abgelehnt. Das ist die strengste Einstellung.
- Die Richtlinie gilt nur für {n} Prozent der E-Mails (pct). Setzen Sie den Wert auf 100, sobald Ihre eigenen E-Mails durchkommen.
- Es ist keine Berichtsadresse (rua) angegeben. Dann sehen Sie nicht, wer in Ihrem Namen sendet; fügen Sie eine Adresse hinzu.
- Für Subdomains steht die Richtlinie auf none (sp=none). Dort kommen gefälschte E-Mails dann noch durch.
- Diese Subdomain hat keinen eigenen DMARC-Eintrag; es gilt die Richtlinie der Hauptdomain.
- Das DNS dieser Domain ist mit DNSSEC signiert.
- Das DNS dieser Domain ist nicht signiert. Nicht vorgeschrieben, aber ein guter zusätzlicher Schutz.
- MTA-STS ist aktiv: Mailserver müssen verschlüsselt zustellen.
- MTA-STS ist nicht aktiv. Nicht vorgeschrieben; es verhindert, dass E-Mails an Sie unverschlüsselt zugestellt werden.
- TLS-Reporting ist aktiv: Sie erhalten einen Bericht, wenn die verschlüsselte Zustellung fehlschlägt.
In OrdnungAchtungProblemZur Info Das ist kein gültiger Domainname. Geben Sie etwas wie ihrefirma.de ein.Diese Domain existiert nicht. Prüfen Sie die Schreibweise.Das DNS dieser Domain meldet einen Fehler. Oft liegt das an einer defekten DNSSEC-Einstellung, und dann kommen auch keine E-Mails an.Die Prüfung hat nicht geklappt: Der DNS-Dienst war nicht erreichbar. Versuchen Sie es gleich noch einmal.Der Link ist in Ihrer Zwischenablage. Wer ihn öffnet, sieht den Check für diese Domain.Das Kopieren hat nicht geklappt. Der Link zu diesem Check steht in der Adressleiste.
Was wir prüfen
Sechs Bausteine entscheiden, ob Ihre E-Mails ankommen und ob niemand sonst in Ihrem Namen E-Mails versenden kann.
Wo Ihre E-Mails ankommen
Der MX-Eintrag zeigt auf den Server, der die E-Mails für Ihre Domain empfängt.
Wer in Ihrem Namen senden darf
SPF nennt die Server, die im Namen Ihrer Domain E-Mails versenden dürfen.
Digitale Signatur
DKIM versieht jede E-Mail mit einer digitalen Signatur, damit der Empfänger sieht, dass sie wirklich von Ihnen stammt und unterwegs nicht verändert wurde.
Was mit gefälschten E-Mails passiert
DMARC sagt Empfängern, was sie mit E-Mails tun sollen, die SPF und DKIM nicht bestehen, und schickt Ihnen Berichte darüber.
Signiertes DNS
DNSSEC signiert Ihr DNS, damit niemand unterwegs eine gefälschte Antwort unterschieben kann.
Verschlüsselt zustellen
MTA-STS erzwingt, dass E-Mails an Sie verschlüsselt zugestellt werden.
Weiterlesen
Fragen zum Mail-Check
Brauche ich SPF, DKIM und DMARC alle drei?
SPF legt fest, welche Server im Namen Ihrer Domain E-Mails senden dürfen. DKIM versieht jede E-Mail mit einer digitalen Signatur. DMARC sagt Empfängern, was sie tun sollen, wenn eine E-Mail diese beiden Prüfungen nicht besteht, und schickt Ihnen Berichte. Sie brauchen alle drei.
Warum findet der Check mein DKIM nicht?
Ein DKIM-Schlüssel liegt unter einem Namen (Selektor), der sich nicht auflisten lässt. Der Check probiert die gängigen Namen aus, etwa die von Microsoft 365 und Google. Verwendet Ihr Anbieter einen anderen Namen, geben Sie ihn unter Einen anderen DKIM-Selektor prüfen ein. Sie finden ihn im Header einer gesendeten E-Mail, hinter s= in der DKIM-Signatur.
Mein DMARC steht auf none. Ist das schlimm?
Es ist ein guter Anfang, hält aber noch nichts auf: none misst nur. Sehen Sie sich die Berichte an, sorgen Sie dafür, dass alle Ihre eigenen E-Mails SPF und DKIM bestehen, und setzen Sie DMARC dann auf quarantine und danach auf reject.
Sieht SEBA Connect, welche Domain ich prüfe?
Nein. Ihr Browser fragt die Daten direkt beim DNS-Dienst von Cloudflare ab. Wir sehen Ihren Domainnamen erst, wenn Sie uns das Ergebnis selbst über Von uns beheben lassen senden.
Können Sie das beheben?
Ja. Wir richten SPF, DKIM und DMARC für Ihre Domain korrekt ein und bringen DMARC Schritt für Schritt von none auf reject, anhand der Berichte. Schicken Sie das Ergebnis mit, dann wissen wir sofort, wo wir anfangen.