Finden Sie heraus, welche Mailserver E-Mails für eine Domain annehmen – und ob ein SPF-Eintrag das Fälschen von Absenderadressen erschwert.
Kurzantwort
Der MX-Lookup zeigt, welche Mailserver E-Mails für eine Domain annehmen – sortiert nach Priorität. Der SPF-Check prüft den TXT-Eintrag, der festlegt, welche Server im Namen der Domain versenden dürfen. So erkennen Sie fehlende oder schwache Einträge und schließen die Lücke, über die Phishing-Mails mit gefälschtem Absender sonst leicht ins Postfach gelangen.
Nur die Domain, ohne „www.“ oder „https://“. Umlaut-Domains bitte in Punycode-Schreibweise (xn--…) eingeben. Die Abfrage erfolgt verschlüsselt über DNS-over-HTTPS.
Die Meldung wird in Ihre Zwischenablage kopiert – senden Sie sie dem Betreiber (Kontaktadresse im Impressum).
So funktioniert’s
Wenn jemand eine E-Mail an name@beispiel.de schickt, fragt der sendende Mailserver zuerst das Domain Name System (DNS): MX-Records verraten, welche Server E-Mails für diese Domain annehmen dürfen. Jeder MX-Record enthält eine Priorität (je kleiner die Zahl, desto bevorzugter) und den Hostnamen des Mailservers.
SPF (Sender Policy Framework) beantwortet die Gegenfrage: Welche Server dürfen E-Mails im Namen dieser Domain versenden? Der SPF-Eintrag steht als TXT-Record im DNS und beginnt immer mit v=spf1. Empfangende Mailserver prüfen ihn, bevor sie eine Nachricht annehmen – und erkennen so gefälschte Absender.
Dieses Tool fragt beide Record-Typen über DNS-over-HTTPS (DoH) bei öffentlichen DNS-Diensten ab – verschlüsselt, damit niemand im Netz mitlesen kann, welche Domain Sie prüfen. Die Auswertung der SPF-Mechanismen passiert danach vollständig lokal in Ihrem Browser.
Übrigens: Ihr Browser fragt hier nur öffentliche DNS-Daten ab. Die geprüfte Domain wird nicht gespeichert – lediglich anonym gezählt, ob ein SPF-Eintrag gefunden wurde.
Beispiel
Die Prüfung der (fiktiven) Domain beispiel.de könnte so aussehen:
Das bedeutet: E-Mails an diese Domain gehen zuerst an mail.beispiel.de (Priorität 10), bei Ausfall an mail2.beispiel.de (Priorität 20). Der SPF-Eintrag erlaubt zusätzlich den externen Versanddienst _spf.maildienst.de (etwa für Newsletter) – und markiert alles andere als Softfail (~all): Es sollte eigentlich nicht senden, wird aber meist trotzdem angenommen.
Quellen: DNS-Abfragen via Cloudflare DNS-over-HTTPS (cloudflare-dns.com) und Google Public DNS (dns.google); SPF-Spezifikation RFC 7208. Stand: Oktober 2026. Alle Angaben ohne Gewähr.
Häufige Fragen
Was ist der Unterschied zwischen MX- und SPF-Records?
MX-Records regeln den eingehenden Mailverkehr: An welche Server werden E-Mails an diese Domain zugestellt? SPF regelt den ausgehenden Verkehr: Welche Server dürfen E-Mails mit dieser Domain als Absender verschicken? Beides zusammen ergibt das vollständige Bild der Mail-Infrastruktur einer Domain.
Was passiert, wenn eine Domain keinen SPF-Eintrag hat?
Dann kann praktisch jeder Mailserver weltweit E-Mails mit dieser Domain als Absender verschicken – die klassische Grundlage für Phishing („Ihre Rechnung von Ihrer Bank“). Empfänger haben keine Möglichkeit zu prüfen, ob der Absender echt ist. Jede Domain, die E-Mails versendet, sollte deshalb einen SPF-Eintrag pflegen.
Was ist der Unterschied zwischen ~all und -all?
~all (Softfail) sagt: „Dieser Absender sollte eigentlich nicht senden“ – die E-Mail wird aber meist trotzdem zugestellt, oft als Spam markiert. -all (Fail) sagt: „Diesen Absender ablehnen“ – eine harte Anweisung an den Empfangsserver. -all schützt besser, erfordert aber, dass wirklich alle legitimen Versender im SPF-Eintrag stehen, sonst gehen echte E-Mails verloren.
Es wurden keine MX-Records gefunden – ist das ein Fehler?
Nicht unbedingt. Manche Domains empfangen bewusst keine E-Mails (z. B. reine Absender-Domains für Newsletter). Falls gar kein MX-Record existiert, greift laut E-Mail-Standard ersatzweise der A-Record der Domain – der Versand versucht es dann direkt beim Webserver.
Ersetzt SPF die Verfahren DKIM und DMARC?
Nein. SPF prüft nur den technischen Absender (Envelope-From), den der Empfänger in seinem Postfach gar nicht sieht. DKIM signiert die Nachricht kryptografisch, DMARC legt fest, was bei fehlgeschlagener Prüfung passieren soll, und schützt die sichtbare Absenderadresse. Erst alle drei zusammen bieten soliden Schutz vor E-Mail-Fälschung.