Werkzeug AT-W5REV. 2026-A
Landen Ihre E-Mails im Spam? SPF, DKIM und DMARC prüfen
Wenn Mails im Spam landen, fehlen meistens Einträge im DNS Ihrer Domain: SPF, DKIM oder DMARC. Der E-Mail-Check fragt sie ab und sagt in Klartext, was fehlt, was das für Ihre Mails bedeutet und wie Sie es bei Ihrem Anbieter beheben. Sie geben nur die Domain ein, etwa ihre-firma.de.
- kostenlos
- ohne Anmeldung
- Domain wird nicht gespeichert
01 / DNS-PRÜFUNG
Domain eingeben, Ergebnis lesen
DNS-Prüfung · SPF, DKIM, DMARC
Der Check liest öffentliche DNS-Einträge und bewertet sie. Ob eine einzelne Mail ankommt, hängt zusätzlich an Inhalt, Versandmenge und Ruf des sendenden Servers, und das sieht von außen niemand.
02 / HINTERGRUND
Warum landen E-Mails im Spam?
Ein Empfänger-Server weiß zunächst nur, was im Absender steht. Und den kann jeder hineinschreiben. Bevor er eine Mail in den Posteingang legt, schlägt er deshalb im DNS Ihrer Domain nach: Darf der Server, der gerade liefert, für Sie senden? Passt die digitale Unterschrift zum Schlüssel, den Sie veröffentlicht haben? Und was soll passieren, wenn beides nicht stimmt?
Fehlen die Antworten, muss er raten. Gmail und Yahoo raten seit Februar 2024 deutlich strenger, Outlook.com seit Mai 2025. Die Folge sieht man nicht. Die Mail steht in Ihrem Gesendet-Ordner, beim Kunden kommt sie nie an, und niemand ruft an, um Ihnen das zu sagen.
Dazu kommen Fehler, die von außen wie ein vollständiger Eintrag aussehen: zwei SPF-Einträge nebeneinander, ein SPF mit elf statt höchstens zehn Abfragen, ein DMARC, der seit Jahren auf Beobachten steht. Genau diese Fälle prüft der Check mit. Den Hintergrund in Ruhe erklärt der Ratgeber Warum landen meine E-Mails im Spam?.
03 / DIE DREI EINTRÄGE
Was tun SPF, DKIM und DMARC?
SPF
TXT auf der Domain
Eine Liste der Server, die für Ihre Domain senden dürfen, etwa v=spf1 include:_spf.google.com ~all. Pro Domain genau ein Eintrag, darin höchstens zehn Verweise, die eine DNS-Abfrage auslösen.
RFC 7208
DKIM
selektor._domainkey
Ihr Mailserver unterschreibt jede Mail, den passenden öffentlichen Schlüssel finden Empfänger in Ihrem DNS. Stimmt die Unterschrift, ist die Mail unterwegs nicht verändert worden. Gmail verlangt mindestens 1024 Bit, empfohlen sind 2048.
RFC 6376
DMARC
_dmarc
Sagt Empfängern, was mit Mails geschehen soll, die SPF und DKIM nicht passend zu Ihrer Absender-Domain bestehen: nur berichten (none), Spam-Ordner (quarantine) oder abweisen (reject). Dazu kommen tägliche Berichte, wer in Ihrem Namen sendet.
RFC 9989 (bis 2026: RFC 7489)
An einer Stelle bleiben viele hängen: DMARC verlangt, dass die Domain, die SPF oder DKIM bestanden hat, zur Absender-Domain passt. Ein Newsletter-Werkzeug, das über seine eigene Domain verschickt, besteht SPF und fällt bei DMARC trotzdem durch, weil im Absender Ihre Firmenadresse steht. Die Lösung ist fast immer ein DKIM-Schlüssel des Dienstes unter Ihrer Domain. Die meisten Newsletter-Anbieter führen dafür durch eine eigene Einrichtungsseite.
04 / ANFORDERUNGEN
Was verlangen Gmail, Yahoo und Outlook.com?
Die drei großen Postfachanbieter haben ihre Regeln für Absender verschärft. Für Geschäftspost in Deutschland ist das spürbar, weil viele Kunden private Adressen bei diesen Diensten nutzen. Die Tabelle fasst zusammen, was die Anbieter selbst veröffentlicht haben.
| Anbieter | Seit | Für wen | Verlangt | Sonst |
|---|---|---|---|---|
| Gmail, alle Absender | 1. Februar 2024 | jeden, der an private Gmail-Konten schreibt | SPF oder DKIM, gültiger Reverse-DNS, TLS, Spam-Rate unter 0,3 % | Spam-Ordner oder Abweisung |
| Gmail, Massenversender | 1. Februar 2024, ab November 2025 verschärft | ab rund 5.000 Mails in 24 Stunden an Gmail-Konten; die Einstufung bleibt dauerhaft | SPF und DKIM (mindestens 1024 Bit), DMARC mit mindestens p=none, Absender-Domain passt zu SPF oder DKIM, Abmelden mit einem Klick | seit November 2025 auch vorübergehende und dauerhafte Abweisungen |
| Yahoo Mail, Massenversender | Februar 2024 | Yahoo nennt keine feste Mengenschwelle | SPF und DKIM, DMARC mit mindestens p=none (muss bestehen), Abmelden mit einem Klick, Abmeldung binnen zwei Tagen, Spam-Rate unter 0,3 % | Spam-Ordner oder Abweisung |
| Outlook.com, Hotmail, Live | 5. Mai 2025 | Domains mit mehr als 5.000 Mails pro Tag an diese Adressen | SPF und DKIM bestanden, DMARC mit mindestens p=none, ausgerichtet an SPF oder DKIM | zunächst Junk-Ordner, angekündigt ist die Abweisung mit „550 5.7.515" |
Die Schwelle von 5.000 Mails am Tag klingt nach Großversender. Ein Newsletter an 6.000 Gmail-Adressen überschreitet sie mit einem einzigen Versand, und Google behandelt einen Absender danach dauerhaft als Massenversender. Wer also überhaupt Rundschreiben verschickt, richtet am besten gleich alle drei Einträge ein. Für den übrigen Versand verlangen Gmail und Yahoo SPF oder DKIM und eine Spam-Rate unter 0,3 Prozent.
Quellen: Google: Richtlinien für E-Mail-Absender · Yahoo Sender Hub: Best Practices · Microsoft: Neue Anforderungen von Outlook.com an Massenversender
05 / TYPISCHE FEHLER
Welche Fehler findet der Check am häufigsten?
- Zwei SPF-Einträge. Bei jedem neuen Dienst wurde einfach ein weiterer angelegt. Das Ergebnis ist nicht doppelt so gut, sondern ungültig: Empfänger werten dann keinen der beiden aus. Alles gehört in einen Eintrag, und der Check schlägt die zusammengeführte Fassung gleich vor. In einer Messung über 12 Millionen Domains waren 2,9 % der SPF-Einträge fehlerhaft oder wirkungslos Czybik 2023.
- Mehr als zehn Abfragen. Jedes include zählt, und die Verweise in den eingebundenen Einträgen zählen mit. Wer Postfach, Newsletter, Rechnungsprogramm und Helpdesk einbindet, landet schnell bei elf. Der Check folgt jedem Verweis und nennt die Summe.
- Zu weit gefasst. „+all" erlaubt jedem Server der Welt, in Ihrem Namen zu senden, „?all" sagt gar nichts aus. Richtig ist „~all" oder „-all". Ähnlich wirkt ein ip4-Bereich, der ein ganzes Rechenzentrum freigibt: 34,7 % der Domains erlauben über 100.000 Adressen Czybik 2023. Der Check meldet beides.
- Das Newsletter-Werkzeug fehlt. Rundschreiben, Shop oder Buchhaltung kamen zwei Jahre nach der Mail-Einrichtung dazu. Ausgerechnet dieser Versand landet dann im Spam, während die normale Post durchkommt.
- DMARC ohne Berichte oder seit Jahren auf none. Ohne rua-Adresse sieht niemand, wer in Ihrem Namen sendet. Und auf none bleibt die Domain für Fälscher offen. Gehen die Berichte an einen fremden Dienst, muss dieser im DNS zugestimmt haben; auch das prüft der Check Ashiq 2023.
- DKIM angelegt, aber nicht eingeschaltet. Typisch für Microsoft 365: Die CNAME-Einträge stehen im DNS, im Defender-Portal ist DKIM aber noch aus. Der Check erkennt das am Verweis, der ins Leere zeigt. Ob eine einzelne Mail wirklich bestanden hat, zeigt ihr Kopf; den liest die E-Mail-Header-Analyse.
06 / FORSCHUNG
Was die Forschung dazu sagt
SPF, DKIM und DMARC sind gut untersucht. Die Messungen der letzten Jahre zeigen vor allem, wie groß der Abstand zwischen „Eintrag vorhanden" und „Eintrag wirkt" ist. Sieben Befunde, die in die Bewertung des Checks eingeflossen sind:
- SPF ist verbreitet, alle drei zusammen sind selten. In einer Messung über 12 Millionen Domains hatten 56,5 % einen SPF-Eintrag Czybik 2023. DMARC hat sich in fünf Jahren verzehnfacht, lag aber nur bei rund 11 %; alle drei Verfahren nutzten etwa 3 % Tatang 2021.
- Empfänger prüfen tatsächlich. Bis zu 85 % der untersuchten Mailserver werten SPF aus, über die Hälfte alle drei Verfahren Deccio 2021. Ein kaputter Eintrag bleibt also nicht folgenlos.
- DKIM scheitert oft an der Pflege. Von den Domains mit DKIM waren 2,9 % fehlerhaft eingerichtet, auch bei bekannten Anbietern gab es Probleme mit der Schlüsselverwaltung Wang 2022. Schwache Schlüssel tauchten ebenfalls auf Tatang 2021. Der Check schätzt deshalb die Schlüssellänge.
- Subdomains sind ein eigenes Einfallstor. Eine Messung über 236 Millionen Domains fand viele fehlerhafte SPF- und DMARC-Einträge und gefälschte Mails über Subdomains Maroofi 2021. Darum warnt der Check bei sp=none.
- Die Angst vor blockierter Post bremst DMARC. Befragte Administratoren nannten sie als Hauptgrund, DMARC nicht einzuführen Hu 2018. Der Stufenweg über none und quarantine nimmt genau dieses Risiko heraus.
- Ohne Anweisung entscheiden Empfänger uneinheitlich. Von 35 großen Postfachanbietern ließen viele gefälschte Mails trotz vorhandener Prüfverfahren durch Hu, Wang 2018. DMARC ist die Anweisung, die das ändert.
- Richtige Einträge sind keine Garantie. Mehrere Arbeiten zeigen Wege, die Prüfung beim Empfänger trotz korrekter Einträge zu umgehen, etwa über Weiterleitungen oder unterschiedlich gelesene Kopfzeilen Chen 2020Shen 2021 Liu 2023. Die Anbieter haben vieles davon geschlossen. Für Sie heißt das: DKIM zusätzlich zu SPF, denn bei einer Weiterleitung bleibt nur die Unterschrift übrig.
07 / EINRICHTUNG
Wie richte ich SPF, DKIM und DMARC ein?
- Alle Absender aufschreiben. Postfach-Anbieter, Newsletter, Rechnungs- und Warenwirtschaftsprogramm, Shop, Kontaktformular der Website, auch der Kopierer mit Scan-to-Mail. Alles, was mit Ihrer Domain im Absender verschickt.
- Einen SPF-Eintrag bauen. Je Dienst ein include, am Ende ~all. Danach den Check laufen lassen: höchstens zehn Abfragen.
- DKIM bei jedem Dienst einschalten. Der Dienst erzeugt den Schlüssel und nennt den DNS-Eintrag. Wenn er die Wahl lässt, 2048 Bit nehmen.
- DMARC auf none setzen, mit Berichtsadresse. Zum Beispiel
v=DMARC1; p=none; rua=mailto:[email protected]. Die Adresse muss es geben. - Jeden Versandweg einzeln testen. Eine Mail an ein Gmail-Konto, dort „Original anzeigen": SPF, DKIM und DMARC sollen PASS zeigen. Für den Newsletter genauso wie für das Postfach.
- Berichte lesen, dann quarantine. Nach zwei bis vier Wochen zeigen die Berichte, ob eigene Mails durchfallen. Wenn nicht, p=quarantine setzen.
- Zuletzt reject. Nach weiteren zwei bis vier Wochen ohne eigene Mails im Spam auf p=reject stellen. Kommt später ein neuer Dienst dazu, gehört er vor dem ersten Versand in SPF und DKIM.
Die Einträge pflegen Sie dort, wo Ihre Domain verwaltet wird, meist beim Hoster. Das Ergebnis oben zeigt für den erkannten Anbieter, wo das Menü liegt. Wer das nicht selbst machen will: Wir übernehmen es als Einzelauftrag über den IT-Support oder laufend im Rahmen der IT-Betreuung, und was das kostet, steht auf dem Preisblatt. Läuft das Kontaktformular Ihrer Website bei uns (Webdesign), gehört sein Versand in denselben SPF-Eintrag.
08 / GRENZEN
Was der Check nicht sieht
- DKIM-Schlüssel unter unbekanntem Namen. Gesucht wird unter 35 gängigen Selektoren. Nicht gefunden heißt nicht, dass keiner existiert.
- Ob eine echte Mail besteht. Ob die Absender-Domain zu SPF oder DKIM passt und ob die Unterschrift stimmt, zeigt nur eine versendete Mail. Dafür ist die Gmail-Probe da.
- Ruf und Sperrlisten. Ob der Server Ihres Anbieters auf einer Sperrliste steht oder wie hoch Ihre Spam-Rate ist, prüft der Check nicht.
- Die MTA-STS-Richtlinie. Geprüft wird der DNS-Eintrag, nicht die Richtliniendatei auf dem Webserver.
09 / FÜR KI-ASSISTENTEN
Dieses Werkzeug aus einem KI-Assistenten nutzen
Assistenten wie Claude oder ChatGPT, die das Model Context Protocol (MCP) sprechen, können die Rechnung dieser Seite direkt aufrufen, statt sie nachzubauen. Der Server ist öffentlich, braucht keine Anmeldung und speichert nichts. Die Antwort enthält immer den Link auf diese Seite, den Stand der Daten und die Grenzen des Ergebnisses.
- Endpunkt
- https://aureum-tech.com/mcp
- Werkzeug
- werkzeug_email_check
- Transport
- Streamable HTTP, nur lesend
| Name | Pflicht | Bedeutung |
|---|---|---|
| domain | ja | Domain oder E-Mail-Adresse, z. B. ihre-firma.de oder [email protected]. Geprüft wird der Teil nach dem @. |
Fragen, bei denen ein Assistent es aufrufen sollte
- „Warum landen die Mails von meinefirma.de beim Kunden im Spam?"
- „Ist bei [email protected] SPF, DKIM und DMARC richtig eingerichtet?"
- „Erfüllt unsere Domain die Anforderungen von Gmail und Outlook.com für Newsletter?"
- „Was muss ich bei IONOS eintragen, damit DMARC passt?"
Wie die Anbindung funktioniert und was MCP im eigenen Betrieb leisten kann, steht auf der Seite zu MCP-Integrationen.
10 / HÄUFIGE FRAGEN
Häufige Fragen zu SPF, DKIM und DMARC
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF ist eine Liste der Server, die für Ihre Domain senden dürfen. DKIM ist eine digitale Unterschrift auf jeder Mail, geprüft gegen einen Schlüssel in Ihrem DNS. DMARC legt fest, was mit Mails passiert, die beides nicht passend zur Absender-Domain bestehen: nur berichten (none), in den Spam-Ordner (quarantine) oder abweisen (reject). Erst alle drei zusammen machen eine Fälschung erkennbar.
Reicht DMARC mit p=none?
Für die Anforderungen von Gmail, Yahoo und Outlook.com an Massenversender ja, denn dort genügt p=none. Geschützt ist Ihre Domain damit aber nicht: Gefälschte Mails werden zugestellt, Sie bekommen nur Berichte darüber. p=none ist der Anfang. Wenn die Berichte zeigen, dass alle eigenen Versandwege bestehen, folgt quarantine und danach reject.
Soll der SPF-Eintrag auf ~all oder -all enden?
Beides ist in Ordnung. Mit -all sollen Empfänger fremde Server abweisen, mit ~all markieren sie sie als verdächtig. Google nennt in seiner Anleitung ~all, Microsoft für Microsoft 365 -all. Steht DMARC auf quarantine oder reject, entscheidet ohnehin DMARC. Falsch sind +all, das jedem das Senden erlaubt, und ?all, das nichts aussagt.
Wie viele Einträge darf ein SPF-Eintrag haben?
Pro Domain gibt es genau einen SPF-Eintrag. Darin dürfen höchstens 10 Begriffe stehen, die eine DNS-Abfrage auslösen: include, a, mx, ptr, exists und redirect, die Verweise in den eingebundenen Einträgen mitgezählt (RFC 7208). ip4 und ip6 zählen nicht. Bei der elften Abfrage gilt der ganze Eintrag als Fehler, ohne dass Sie eine Meldung bekommen.
Warum findet der Check meinen DKIM-Schlüssel nicht?
Ein DKIM-Schlüssel liegt unter einem Namen, dem Selektor, und der steht nur im Kopf einer versendeten Mail. Der Check probiert 35 gängige Selektoren, unter anderem die von Google, Microsoft 365, IONOS, STRATO und mailbox.org. Manche Anbieter vergeben den Namen je Kunde. Sicher klärt es eine Testmail an ein Gmail-Konto: „Original anzeigen" zeigt DKIM mit PASS oder FAIL.
Gelten die Regeln von Gmail auch für kleine Betriebe?
Ein Teil ja. Seit Februar 2024 verlangt Gmail von jedem Absender mindestens SPF oder DKIM, einen gültigen Reverse-DNS und eine Spam-Rate unter 0,3 Prozent. Die strengeren Regeln mit DMARC gelten ab rund 5.000 Mails am Tag an Gmail-Konten. Ein einziger Newsletter an genug Gmail-Adressen reicht dafür, und die Einstufung bleibt danach dauerhaft.
Wie lange dauert es, bis eine DNS-Änderung wirkt?
Meist Minuten bis wenige Stunden. Jeder Eintrag trägt eine Gültigkeitsdauer (TTL), oft eine Stunde; so lange dürfen andere Server die alte Fassung weiterverwenden. Dieser Check merkt sich ein Ergebnis zusätzlich fünf Minuten. Prüfen Sie nach einer Änderung also nicht sofort, sondern nach einer Stunde, und machen Sie danach die Gmail-Probe.
Was passiert mit der Domain, die ich eingebe?
Sie geht an unseren Server, der die öffentlichen DNS-Einträge abfragt und das Ergebnis zurückschickt. Gespeichert wird die Domain nicht, auch nicht im Protokoll. Für fünf Minuten liegt das Ergebnis im Arbeitsspeicher, damit eine zweite Abfrage schneller geht. Gegen Missbrauch zählt der Server Abfragen je Besucher als anonymen Prüfwert, der beim Neustart verfällt.
11 / STUDIEN UND QUELLEN
Worauf sich das Werkzeug stützt
Die Richtwerte und Hinweise oben beruhen auf diesen 12 wissenschaftlichen Arbeiten. Jede ist über ihren DOI bzw. die Seite des Verlags geprüft (zuletzt am 13. November 2026): Es gibt sie, sie ist nicht zurückgezogen, und ihr Befund trägt für die Frage heute noch.
Czybik, S.; Horlboge, M.; Rieck, K. (2023): Lazy Gatekeepers: A Large-Scale Study on SPF Configuration in the Wild. Proceedings of the 2023 ACM Internet Measurement Conference (IMC), S. 344–355
Befund Von 12 Millionen untersuchten Domains hatten 56,5 % einen SPF-Eintrag. 2,9 % davon waren fehlerhaft oder wirkungslos, und 34,7 % der Domains erlaubten mehr als 100.000 IP-Adressen das Senden, was Fälschungen erleichtert.
Im Werkzeug Das Werkzeug meldet ungültige Begriffe zuerst und warnt, wenn ein SPF-Eintrag selbst mehr als 100.000 IPv4-Adressen erlaubt.
doi.org/10.1145/3618257.3624827 · Konferenzbeitrag
Tatang, D.; Zettl, F.; Holz, T. (2021): The Evolution of DNS-based Email Authentication: Measuring Adoption and Finding Flaws. 24th International Symposium on Research in Attacks, Intrusions and Defenses (RAID), S. 354–369
Befund SPF ist das verbreitetste Verfahren. DMARC hat sich in fünf Jahren verzehnfacht, lag aber nur bei rund 11 %, DKIM bei mindestens 13 %. Nur etwa 3 % der Domains nutzten alle drei, und selbst große Domains hatten ungültige SPF-Einträge oder schwache DKIM-Schlüssel.
Im Werkzeug Darum prüft der Check alle drei Einträge zusammen und schätzt die Länge jedes gefundenen DKIM-Schlüssels.
doi.org/10.1145/3471621.3471842 · Konferenzbeitrag
Wang, C.; Shen, K.; Guo, M. u. a. (2022): A Large-scale and Longitudinal Measurement Study of DKIM Deployment. 31st USENIX Security Symposium, S. 1185–1201
Befund Von der Million meistbesuchter Domains hatten 28,1 % DKIM eingerichtet, 2,9 % davon fehlerhaft. Probleme bei der Schlüsselverwaltung fanden sich auch bei bekannten Anbietern.
Im Werkzeug Grundlage für die Suche unter gängigen Selektoren, die Erkennung zurückgezogener Schlüssel und den Hinweis auf 2048 Bit.
www.usenix.org/conference/usenixsecurity22/presentation/wang-chuhan · Konferenzbeitrag
Maroofi, S.; Korczyński, M.; Hölzel, A.; Duda, A. (2021): Adoption of Email Anti-Spoofing Schemes: A Large Scale Analysis. IEEE Transactions on Network and Service Management 18 (3), S. 3184–3196
Befund Eine Messung über 236 Millionen Domains zeigte: Ein großer Teil richtet SPF und DMARC nicht korrekt ein, sodass gefälschte Mails im Posteingang landen. Subdomains erwiesen sich als eigener Angriffsweg.
Im Werkzeug Der Check wertet sp= gesondert aus und warnt, wenn Subdomains mit sp=none ungeschützt bleiben.
doi.org/10.1109/TNSM.2021.3065422 · Fachzeitschrift
Deccio, C.; Yadav, T.; Bennett, N. u. a. (2021): Measuring email sender validation in the wild. Proceedings of the 17th International Conference on emerging Networking EXperiments and Technologies (CoNEXT), S. 230–242
Befund Auf der Empfängerseite prüften bis zu 85 % der untersuchten Mailserver SPF, und über die Hälfte wendete alle drei Verfahren an.
Im Werkzeug Darum gilt ein fehlender oder ungültiger SPF-Eintrag als rot: Die meisten Empfänger werten ihn tatsächlich aus.
doi.org/10.1145/3485983.3494868 · Konferenzbeitrag
Hu, H.; Peng, P.; Wang, G. (2018): Towards Understanding the Adoption of Anti-Spoofing Protocols in Email Systems. 2018 IEEE Cybersecurity Development (SecDev), S. 94–101
Befund DMARC war damals bei rund 5 % der Domains im Einsatz. Befragte Mail-Administratoren nannten als Hemmnis vor allem die Sorge, echte Mails zu blockieren, dazu schwache Anreize und Aufwand bei der Einführung.
Im Werkzeug Der Check schlägt deshalb den Stufenweg none, quarantine, reject vor und nicht sofort reject.
doi.org/10.1109/SecDev.2018.00020 · Konferenzbeitrag
Hu, H.; Wang, G. (2018): End-to-End Measurements of Email Spoofing Attacks. 27th USENIX Security Symposium, S. 1095–1112
Befund Von 35 großen Postfachanbietern hatten die meisten die Prüfverfahren, ließen gefälschte Mails aber teils trotzdem in den Posteingang. Nur 9 zeigten bei ungeprüften Mails einen sichtbaren Hinweis.
Im Werkzeug Begründet, warum ein fehlendes DMARC als rot gilt: Ohne Anweisung des Domaininhabers entscheiden Empfänger uneinheitlich.
www.usenix.org/conference/usenixsecurity18/presentation/hu · Konferenzbeitrag
Ashiq, M. I.; Li, W.; Fiebig, T.; Chung, T. (2023): You've Got Report: Measurement and Security Implications of DMARC Reporting. 32nd USENIX Security Symposium, S. 4123–4137
Befund DMARC-Berichte werden oft ohne Blick auf die Sicherheit eingerichtet. Fehlerhaft eingestellte Server ließen sich so missbrauchen, dass eine einzige Mail bis zum 1.460-Fachen an Berichten auslöste.
Im Werkzeug Der Check prüft, ob fremde Berichtsempfänger der Annahme zugestimmt haben, und rät zu einer eigenen, vorhandenen Adresse.
www.usenix.org/conference/usenixsecurity23/presentation/ashiq · Konferenzbeitrag
Durumeric, Z.; Adrian, D.; Mirian, A. u. a. (2015): Neither Snow Nor Rain Nor MITM…: An Empirical Analysis of Email Delivery Security. Proceedings of the 2015 Internet Measurement Conference (IMC), S. 27–39
Befund Die großen Anbieter verschlüsselten und authentisierten bereits, von über 700.000 übrigen Mailservern aber nur 35 % erfolgreich verschlüsselt, und nur 1,1 % der Domains hatten eine DMARC-Richtlinie. In sieben Ländern kamen über 20 % der Mails an Gmail wegen Angreifern im Netz unverschlüsselt an.
Im Werkzeug Grundlagenarbeit: Sie begründet, warum der Check MTA-STS und TLS-RPT mit abfragt, auch wenn beide nur gut zu haben sind.
doi.org/10.1145/2815675.2815695 · Konferenzbeitrag
Chen, J.; Paxson, V.; Jiang, J. (2020): Composition Kills: A Case Study of Email Sender Authentication. 29th USENIX Security Symposium, S. 2183–2199
Befund Weil Mailserver und Mailprogramme dieselbe Nachricht unterschiedlich lesen, fanden die Autoren 18 Arten, die Absenderprüfung zu umgehen. Alle 10 getesteten Anbieter und 19 Programme waren für einen Teil davon anfällig.
Im Werkzeug Darum sagt der Check offen, dass korrekte DNS-Einträge die Voraussetzung sind, aber keine Garantie gegen Fälschungen.
www.usenix.org/conference/usenixsecurity20/presentation/chen-jianjun · Konferenzbeitrag
Shen, K.; Wang, C.; Guo, M. u. a. (2021): Weak Links in Authentication Chains: A Large-scale Analysis of Email Sender Spoofing Attacks. 30th USENIX Security Symposium, S. 3201–3217
Befund Alle 30 getesteten Mail-Dienste und 23 Mailprogramme ließen sich mit mindestens einer neuen Angriffsart täuschen. Mehrere Anbieter, darunter Gmail und Yahoo, haben daraufhin nachgebessert.
Im Werkzeug Stützt die Grenze des Werkzeugs: Es bewertet die DNS-Seite, nicht die Prüfung beim Empfänger.
www.usenix.org/conference/usenixsecurity21/presentation/shen-kaiwen · Konferenzbeitrag
Liu, E.; Akiwate, G.; Jonker, M. u. a. (2023): Forward Pass: On the Security Implications of Email Forwarding Mechanism and Policy. 2023 IEEE 8th European Symposium on Security and Privacy (EuroS&P), S. 373–391
Befund Automatische Weiterleitungen bei 16 großen Anbietern und 4 Listendiensten hebeln die Annahmen von SPF, DKIM und DMARC aus. In Kombination ließen sich so Mails im Namen zehntausender bekannter Domains fälschen.
Im Werkzeug Darum behandelt der Check DKIM nicht als Beiwerk zu SPF: Bei einer Weiterleitung fällt SPF weg, die Unterschrift bleibt, solange niemand die Mail verändert.
doi.org/10.1109/EuroSP57164.2023.00030 · Konferenzbeitrag
Normen, Behörden und Herstellerangaben
- RFC 7208: Sender Policy Framework (SPF) · IETF
- RFC 6376: DomainKeys Identified Mail (DKIM) · IETF
- RFC 9989: DMARC (ersetzt seit Mai 2026 RFC 7489) · IETF
- RFC 9990: DMARC-Sammelberichte · IETF
- RFC 8461: MTA-STS · IETF
- RFC 7505: Null-MX · IETF
- Google: Richtlinien für E-Mail-Absender · Google
- Google: Häufige Fragen zu den Absender-Richtlinien · Google
- Yahoo Sender Hub: Best Practices · Yahoo
- Microsoft: Neue Anforderungen von Outlook.com an Massenversender · Microsoft
12 / WEITERE WERKZEUGE
Noch eine Frage offen?
Wenn die Mail läuft, ist die nächste Frage oft, wie schnell der Betrieb nach einem Ausfall wieder arbeitet. Das klärt der IT-Notfall-Check in ein paar Minuten.
- AT-W2 · Privat & Betriebe
Windows-10-Check
Bekommt dieser PC noch Sicherheitsupdates, und was ist bis Oktober 2027 zu tun? - AT-W3 · Privat & Betriebe
WLAN-Planer
Wie viele Access Points oder Mesh-Punkte braucht Ihr Haus, Büro oder Ihre Halle? - AT-W4 · Betriebe
IT-Notfall-Check
Wie schnell wäre Ihr Betrieb nach einem Ausfall wieder arbeitsfähig? - AT-W6 · Betriebe
USV-Rechner
Welche USV hält Server, Router und Kasse bei einem Stromausfall lange genug am Laufen? - AT-W8 · Betriebe
XRechnung-Viewer
Eine XRechnung als XML-Datei bekommen? Hier wird sie lesbar, ohne dass die Datei Ihren Rechner verlässt. - AT-W9 · Privat & Betriebe
Passwort-Generator
Ein starkes Passwort oder eine merkbare Passphrase, erzeugt in Ihrem Browser.
Sie wollen die Einträge nicht selbst setzen? Wir prüfen Ihre Domain, tragen SPF, DKIM und DMARC beim Hoster ein und sehen uns die ersten DMARC-Berichte mit Ihnen an.
+49 3744 4399760[email protected]Mo–Fr 8–17 Uhr · Straße der Jugend 5, 08228 Rodewisch