E-Mail-Authentifizierung der Domain

Wie diese Prüfung funktioniert

Diese Prüfung rührt deine Website nicht an: Sie fragt das DNS deiner Domain ab. Und sie klettert die Domainkette hoch (scannst du app.deinedomain.de, schaut sie auch auf deinedomain.de), weil E-Mail auf der registrierbaren Domain konfiguriert wird. Sie sucht fünf Dinge. SPF: einen TXT-Eintrag, der mit v=spf1 beginnt; fehlt er auf allen Ebenen, mittlerer Schweregrad; endet er auf +all, hoch; gibt es mehr als einen, mittel. DMARC: ein TXT unter _dmarc. mit v=DMARC1; fehlend, mittel; vorhanden mit p=none, niedrig. BIMI: nur wenn du DMARC schon hast, und sein Fehlen ist informativ. Gibt es SPF oder DMARC (ein Zeichen, dass die Domain Mail nutzt), prüft sie außerdem die MX-Einträge (fehlend, niedrig) und DKIM, wobei sie vierzehn gängige Selektoren probiert (google, default, selector1, selector2, k1, s1, dkim, mail, mandrill, zoho…); antwortet keiner, niedrig, mit dem Hinweis, dass du einen anderen Selektor nutzen könntest. Schließlich MTA-STS unter _mta-sts.; fehlend, niedrig. Schlägt eine DNS-Abfrage fehl, wird der Befund nicht erfunden.

Warum das wichtig ist

Ohne SPF oder DMARC kann jeder E-Mails verschicken, die angeblich von support@deinedomain.de kommen, und die empfangenden Server haben keine Möglichkeit zu erkennen, dass sie gefälscht sind. Das ist die Grundlage von Phishing mit deiner Marke: gegen deine Kunden, deine Lieferanten oder dein eigenes Team. Außerdem verlangen Gmail und Yahoo seit 2024 SPF, DKIM und DMARC von jedem, der in Mengen versendet; ohne sie landen deine legitimen Mails im Spam oder werden abgelehnt. DKIM signiert jede Nachricht, damit sie unterwegs nicht verändert werden kann. MTA-STS verhindert, dass ein Angreifer im Netz die Zustellung deiner Mail unverschlüsselt erzwingt. Und BIMI zeigt, wenn alles andere steht, dein Logo neben deinen Mails in Gmail und Apple Mail.

So behebst du es

SPF

v=spf1 include:_spf.google.com ~all

Ein einziger TXT-Eintrag auf der Domain, mit einem include: pro Dienst, der in deinem Namen Mail verschickt (Google Workspace, Microsoft 365 mit spf.protection.outlook.com, dein Transaktionsanbieter). Ende mit ~all oder -all, nie +all. Hast du zwei Einträge, führe sie zu einem zusammen. Höchstens zehn DNS-Abfragen insgesamt; darüber hört SPF auf zu validieren.

DKIM

Aktiviert wird es beim Mailanbieter (Google Workspace, Microsoft 365, Resend, SendGrid…), der dir einen TXT- oder CNAME-Eintrag zum Veröffentlichen unter selektor._domainkey.deinedomain.de gibt. Welchen Selektor du nutzt, erfährst du, indem du eine von deiner Domain gesendete Mail öffnest, die Header anschaust und DKIM-Signature: ... s=selektor suchst.

DMARC

v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de

Unter _dmarc.deinedomain.de. Beginne mit p=none, um Berichte zu erhalten, ohne etwas zu blockieren, beobachte zwei bis drei Wochen, welche Dienste in deinem Namen senden, nimm sie in SPF und DKIM auf, und geh dann auf p=quarantine und später auf p=reject.

MTA-STS und BIMI

MTA-STS besteht aus zwei Teilen: einem TXT unter _mta-sts.deinedomain.de mit v=STSv1; id=2026100901 und einer Datei unter https://mta-sts.deinedomain.de/.well-known/mta-sts.txt mit mode: enforce, deinen MX-Servern und einem max_age. BIMI verlangt DMARC auf quarantine oder reject, ein quadratisches SVG-Logo und ein TXT unter default._bimi; Gmail verlangt zusätzlich ein Verified Mark Certificate (VMC), das kostenpflichtig ist.

Prüf, ob es behoben ist

dig +short TXT deinedomain.de | grep spf1
dig +short TXT _dmarc.deinedomain.de
dig +short MX deinedomain.de
dig +short TXT google._domainkey.deinedomain.de
dig +short TXT _mta-sts.deinedomain.de

Ersetze google durch deinen Selektor. Unter Windows macht nslookup -type=TXT _dmarc.deinedomain.de dasselbe. DNS-Änderungen brauchen Minuten bis einige Stunden, bis sie sichtbar sind.

Häufige Fragen

Meine Domain verschickt keine Mail. Brauche ich das alles?

SPF und DMARC brauchst du trotzdem, aber in der Variante „niemand sendet": v=spf1 -all und v=DMARC1; p=reject. So kann sich niemand als du ausgeben. MX, DKIM und der Rest werden nicht von dir verlangt, weil sie nur geprüft werden, wenn die Domain Mail nutzt.

Ich habe DKIM, aber es heißt „kein DKIM auf den gängigen Selektoren".

Du nutzt einen Selektor, der nicht auf der Liste steht. Der Befund sagt das, und genau deshalb hat er niedrigen Schweregrad. Prüf es mit dem Befehl oben und deinem echten Selektor und markiere ihn als akzeptiert.

Ist DMARC auf p=none nutzlos?

Es ist nützlich, um zu sehen, wer in deinem Namen sendet, was der unverzichtbare erste Schritt ist. Aber es blockiert nichts: Eine gefälschte Mail kommt bei DMARC auf p=none trotzdem an. Schutz beginnt bei quarantine. Den Rest der Domaingesundheit (CAA, DNSSEC, Ablauf) prüft Domaingesundheit.