E-Mail-Sicherheits-Check: Ist diese Domain gegen Phishing gewappnet?

Geben Sie eine Domain ein – das Tool prüft alle sieben Bausteine der E-Mail-Authentifizierung auf einmal.

Kurzantwort

Phishing-Mails mit gefälschtem Absender sind nur möglich, weil viele Domains ihre E-Mail-Authentifizierung vernachlässigen. Dieser Komplett-Check prüft für eine Domain alle sieben Bausteine auf einmal: MX-Einträge, SPF, DKIM-Signatur, DMARC-Richtlinie sowie die Erweiterungen BIMI, MTA-STS und TLS-RPT. Sie erhalten pro Baustein eine klare Bewertung – bestanden, verbesserbar oder fehlend – inklusive konkreter Hinweise, was zu tun ist.

Hinweis: Die Prüfung liest ausschließlich öffentliche DNS-Einträge (DNS over HTTPS via Cloudflare/Google) – es werden keine E-Mails versendet und keine Server kontaktiert. Die geprüfte Domain ist für den jeweiligen DNS-Resolver sichtbar. Siehe Datenschutzerklärung.

Etwas stimmt nicht? Fehler melden

So funktioniert’s

E-Mails sind Fälschungen Tür und Tor offen – jeder kann als Absender fast alles behaupten. Deshalb gibt es E-Mail-Authentifizierung: eine Kette von DNS-Einträgen, mit der der empfangende Server prüft, ob eine Mail wirklich von dem behaupteten Absender stammt. Dieses Tool prüft alle sieben Bausteine auf einmal:

PrüfungWas sie bedeutet
MX-EinträgeWelche Server E-Mails für die Domain entgegennehmen – ohne MX keine E-Mail-Zustellung.
SPFLegt fest, welche Server im Namen der Domain senden dürfen. Fehlt SPF, kann jeder die Domain als Absender fälschen.
DMARCDie Richtlinie: Was soll mit Mails passieren, die SPF/DKIM nicht bestehen? p=none (nur beobachten), quarantine (Spam-Ordner) oder reject (ablehnen).
DKIMKryptografische Signatur im Mail-Header – beweist, dass die Mail unverändert vom behaupteten Server kommt. Das Tool probiert gängige Selektoren.
BIMIZeigt das Markenlogo der Domain in unterstützten Postfächern – setzt strenges DMARC (p=quarantine/reject) voraus.
MTA-STSErzwingt verschlüsselte Übertragung zwischen Mailservern (TLS) – schützt vor Mitlesern auf dem Transportweg.
TLS-RPTMel deadresse für Fehlerberichte, wenn die TLS-Verschlüsselung scheitert – hilft Betreibern, Probleme zu erkennen.

Alle Abfragen laufen als DNS-over-HTTPS direkt aus Ihrem Browser – es werden keine E-Mails versendet und keine Server kontaktiert, nur öffentliche DNS-Einträge gelesen.

Beispiel

Die Prüfung von beispiel.de (Beispieldaten) könnte so aussehen:

PrüfungErgebnis
MX✓ vorhanden (mail.beispiel.de)
SPF✓ vorhanden, endet mit -all (strikt)
DMARC⚠ vorhanden, aber p=none (nur Beobachtung)
DKIM✓ Selektor google gefunden

Fazit des Beispiels: Die Domain ist grundsätzlich gut aufgestellt, verschenkt aber Schutz – mit p=quarantine oder p=reject in der DMARC-Richtlinie würden gefälschte Mails konsequent aussortiert statt nur beobachtet.

Quellen: RFC 7208 (SPF), RFC 7489 (DMARC), RFC 6376 (DKIM), BIMI Group, RFC 8461 (MTA-STS), RFC 8460 (TLS-RPT). Stand: Oktober 2026. Alle Angaben ohne Gewähr.

Häufige Fragen

Was bringt mir dieser Check als normaler Nutzer?

Sie erkennen, ob eine Domain ihre E-Mails ernsthaft absichert: Fehlen SPF und DMARC komplett, sind Phishing-Mails im Namen dieser Domain leicht zu fälschen – ein Warnsignal, besonders bei Banken oder Behörden. Als Domain-Inhaber sehen Sie, wo Sie nachbessern müssen.

Was bedeutet p=none bei DMARC?

Die Richtlinie „none“ heißt: Der empfangende Server soll nichts unternehmen, sondern nur berichten. Das ist die Einstiegsstufe zum Testen – echter Schutz entsteht erst mit p=quarantine (in den Spam-Ordner) oder p=reject (ablehnen).

Warum findet das Tool keinen DKIM-Eintrag, obwohl ich DKIM nutze?

Weil DKIM-Einträge unter einem Selektor-Namen stehen (z. B. google._domainkey), den nur der Betreiber kennt. Das Tool probiert die gängigsten Selektoren – nutzt Ihr Anbieter einen eigenen Namen, geben Sie ihn im Feld „DKIM-Selektor“ manuell ein.

Ist BIMI wichtig?

BIMI ist Kür: Es zeigt Ihr Logo in Postfächern an und setzt strenges DMARC voraus. Für die Sicherheit selbst sind SPF, DKIM und DMARC entscheidend – BIMI ist der sichtbare Bonus obendrauf.

Werden bei der Prüfung E-Mails versendet?

Nein – das Tool liest ausschließlich öffentliche DNS-Einträge. Es werden keine E-Mails verschickt, keine Server kontaktiert und keine Anmeldedaten benötigt.

Weitere Privacy-Tools