DNS-Check und E-Mail-Sicherheitscheck
DNS ist das Adressbuch, das Ihren Domainnamen in eine IP-Adresse übersetzt, doch damit ist es längst nicht getan. Dieselben Einträge entscheiden auch darüber, wer in Ihrem Namen E-Mails versenden darf, welche Zertifizierungsstelle Zertifikate für Sie ausstellen darf und ob Ihre DNS-Antworten abgefangen und verändert werden können. Dieses Werkzeug löst die A-, AAAA-, MX-, NS-, TXT-, CAA- und SOA-Einträge Ihrer Domain auf und bewertet Ihre Einrichtung von SPF, DMARC und DNSSEC nicht als bloße Vorhanden-oder-nicht-Prüfung, sondern danach, wie viel Schutz sie tatsächlich liefert.
Einträge auflisten genügt nicht; es zählt, was sie sagen
Die meisten DNS-Abfragewerkzeuge listen Ihre Einträge auf und hören dort auf. Doch das bloße Vorhandensein eines SPF-Eintrags bedeutet für sich genommen nichts: Überschreitet er die Grenze von zehn Abfragen, behandeln empfangende Server ihn als ungültig und verhalten sich, als gäbe es ihn nicht. Genauso können Sie einen DMARC-Eintrag haben und den Empfängern dennoch sagen, sie sollen \"nichts tun\", wenn Ihre Richtlinie p=none lautet; gefälschte E-Mails werden trotzdem zugestellt. Dieses Werkzeug listet die Einträge nicht nur auf, es sagt Ihnen, welchem Schutzniveau jeder einzelne wirklich entspricht.
SPF und die Grenze von zehn Abfragen
Ein SPF-Eintrag gibt an, welche Server berechtigt sind, in Ihrem Namen E-Mails zu versenden. Jeder darin enthaltene Ausdruck include, a, mx, ptr, exists und redirect löst beim empfangenden Server eine zusätzliche DNS-Abfrage aus, und RFC 7208 begrenzt die Summe auf zehn. Wird sie überschritten, ist das Ergebnis ein \"permerror\": Die SPF-Auswertung scheitert, und Ihr Eintrag gilt stillschweigend nicht mehr. Das ist ein häufiger und schwer zu bemerkender Fehler bei Unternehmen, die immer weitere Marketingwerkzeuge, CRM- und Rechnungssysteme hinzufügen. Auch das Zeichen am Ende des Eintrags zählt: -all verlangt, Post von nicht aufgeführten Servern abzuweisen, ~all verlangt, sie zu kennzeichnen und durchzulassen. ~all ist die verbreitete Empfehlung, weil es Raum für die Auswertung von DKIM und DMARC lässt, statt schon auf SMTP-Ebene abzuweisen. +all macht SPF vollkommen bedeutungslos.
DMARC: einen Eintrag zu haben heißt nicht, geschützt zu sein
SPF und DKIM belegen, dass eine E-Mail von einem berechtigten Server kam und unterwegs nicht verändert wurde. Keines von beiden verlangt jedoch, dass die für die Nutzerin sichtbare Absenderadresse zu der geprüften Domain passt. DMARC ist der Mechanismus, der diese Übereinstimmung herstellt und dem Empfänger sagt, was bei fehlgeschlagener Prüfung zu tun ist. Die Richtlinie hat drei Stufen: p=none beobachtet nur und bietet überhaupt keinen Schutz, p=quarantine schickt nicht authentifizierte Post in den Spam-Ordner, und p=reject lässt sie abweisen. Der übliche Fehler ist, den Eintrag einzurichten und ihn bei p=none zu belassen; Berichte werden gesammelt, doch gefälschte Post im Namen Ihrer Domain erreicht weiterhin ihr Ziel. Auch eine Berichtsadresse mit rua= festzulegen ist entscheidend: Ohne Berichte sehen Sie nicht, welche berechtigten Systeme in Ihrem Namen senden, und können die Richtlinie nicht gefahrlos verschärfen.
DNSSEC und die Zertifikatsregel, die sich 2026 ändert
DNSSEC signiert DNS-Antworten kryptografisch und blockiert damit Angriffe, die Abfragen abfangen und gefälschte Adressen zurückgeben. Lange galt es als freiwillige Verbesserung, doch sein Platz im Zertifikatswesen hat sich geändert: Nach einer ab März 2026 geltenden Regel sind Zertifizierungsstellen verpflichtet, bei der Domainvalidierung und bei CAA-Abfragen eine DNSSEC-Prüfung durchzuführen. Damit wird DNSSEC nicht zur Pflicht; ist Ihre Zone jedoch signiert, gewinnt auch die Zertifikatsausstellung eine kryptografische Absicherung. Wenn Ihr Registrar es unterstützt, bringt das Einschalten von DNSSEC sowohl bei der Auflösung als auch bei den Zertifikaten einen greifbaren Gewinn.
CAA: Sie bestimmen, wer Ihre Zertifikate ausstellen darf
Ein CAA-Eintrag begrenzt, welche Zertifizierungsstelle Zertifikate für Ihre Domain ausstellen darf. Ohne Eintrag gilt standardmäßig, dass jede Stelle es darf. Damit bleibt das Risiko offen, dass ein Angreifer, der die Domainvalidierung umgehen kann, ein in Ihrem Namen völlig gültig wirkendes Zertifikat erhält. Die Ausstellung mit einem einzigen DNS-Eintrag auf die von Ihnen genutzte Stelle zu beschränken kostet fast nichts und wirkt unmittelbar.
Warum wird die Ausfallsicherheit der Nameserver gemessen?
Ob Ihre Domain überhaupt auflöst, hängt an ihren Nameservern. Ist nur einer definiert und wird dieser Server unerreichbar, löst Ihre Domain nicht mehr auf, und Besucher erreichen die Website nicht, obwohl diese selbst völlig gesund ist. Deshalb verlangt RFC 2182 mindestens zwei; sie über verschiedene Netze und möglichst verschiedene Regionen zu verteilen senkt das Risiko weiter. Dieses Werkzeug meldet, wie viele Nameserver Sie haben und ob sie alle unter derselben Domain liegen.
Ihre Fragen
Häufig gestellte Fragen
Worin unterscheiden sich SPF, DKIM und DMARC?
SPF gibt an, welche Server in Ihrem Namen senden dürfen. DKIM versiegelt die E-Mail mit einer kryptografischen Signatur und belegt, dass sie unterwegs nicht verändert wurde. DMARC bringt die Ergebnisse dieser beiden mit der für die Nutzerin sichtbaren Absenderadresse in Einklang und sagt dem Empfänger, was bei fehlgeschlagener Prüfung zu tun ist. Alle drei wirken zusammen; nur SPF einzurichten schützt Ihre Domain nicht vor Fälschungen.
Ich habe einen DMARC-Eintrag, trotzdem kommt gefälschte Post durch. Warum?
Höchstwahrscheinlich lautet Ihre Richtlinie p=none. Diese Einstellung verlangt von empfangenden Servern nur, Berichte zu senden, und sonst nichts; nicht authentifizierte Post wird weiterhin zugestellt. Schutz beginnt bei p=quarantine und ist bei p=reject vollständig. Gehen Sie den Übergang schrittweise und mit Blick auf Ihre Berichte, sonst blockieren Sie womöglich Ihre eigene berechtigte Post.
Warum sollte mich die Zahl der Abfragen meines SPF-Eintrags kümmern?
RFC 7208 begrenzt die Zahl der DNS-Abfragen während der SPF-Auswertung auf zehn. Jeder Ausdruck include, a, mx, ptr, exists und redirect zählt mit. Ist die Grenze überschritten, lautet das Ergebnis \"permerror\", und SPF wird behandelt, als wäre es nie definiert worden, ein schwer zu bemerkender Fehler, weil Sie nie eine Fehlermeldung sehen.
Verlangsamt das Einschalten von DNSSEC meine Website?
In der Praxis ist keine spürbare Verlangsamung zu erwarten. Die Prüfung findet auf der Resolver-Seite statt und vergrößert die Antwort etwas. Zu achten ist nicht auf die Geschwindigkeit, sondern auf die Sorgfalt in der Konfiguration: ein misslungener Schlüsselwechsel kann dazu führen, dass die Domain überhaupt nicht mehr auflöst. Verwaltet Ihr Registrar DNSSEC für Sie, ist dieses Risiko weitgehend gebannt.
Erneuert ein CAA-Eintrag mein Zertifikat automatisch?
Nein. CAA begrenzt nur, welche Zertifizierungsstelle Zertifikate AUSSTELLEN DARF; Erneuerungen führt es nicht durch. Ist ein Eintrag vorhanden, muss eine nicht aufgeführte Stelle die Ausstellung verweigern; die Erneuerung selbst läuft weiterhin über Ihren Zertifikatsprozess (etwa ACME/Let's Encrypt).
Ich habe keinen MX-Eintrag. Brauche ich trotzdem SPF und DMARC?
Ja. MX-Einträge betreffen den EMPFANG von E-Mail; SPF und DMARC betreffen die in Ihrem Namen VERSENDETE Post. Auch eine Domain, die nie Post empfängt, kann als Absenderadresse missbraucht werden. Für solche Domains empfehlen sich ein leerer SPF-Eintrag (v=spf1 -all) und DMARC mit p=reject.
Misst dieses Werkzeug die DNS-Verbreitung (Propagation)?
Nein. Diese Prüfung bewertet den aktuellen Stand Ihrer Einträge und Ihre Sicherheitskonfiguration; sie misst nicht, wie weit eine Änderung sich über Resolver in aller Welt verbreitet hat. Die Verbreitung hängt von der TTL-Dauer ab und dauert je nach Eintrag Minuten bis 48 Stunden.