Tools & Dienstleistungen · E-Mail-Sicherheit
E-Mail-Sicherheit.
Prüfen. Verstehen. Optimieren.
Sechs kostenlose Tools zur Analyse Ihrer E-Mail-Infrastruktur – von SPF und DKIM bis zu DNSSEC und S/MIME. Plus professionelle Einrichtung und Optimierung für Unternehmen, die Verlässlichkeit brauchen.
Kostenlose E-Mail-Sicherheitstools
Jedes Tool analysiert einen spezifischen Aspekt Ihrer E-Mail-Infrastruktur. Für die vollständige Übersicht nutzen Sie den E-Mail Security Score.
E-Mail Security Score
GesamtanalyseDer umfassende Check: Alle 10 Sicherheitsaspekte in einem Score zusammengefasst. Inklusive Handlungsempfehlungen.
SPF-Check
spf-tool.dePrüft Sender Policy Framework Records auf Syntax, Include-Kaskaden und häufige Fehler wie +all.
DKIM-Check
dkim-check.deAnalysiert DKIM-Records auf Schlüssellänge, Algorithmus und zeigt den öffentlichen Schlüssel an.
DMARC-Check
dmarc-check24.deBewertet DMARC-Policies (none/quarantine/reject), Alignment-Modi und überprüft Report-Ziele.
S/MIME-Check
smime-check.deAnalysiert S/MIME-Zertifikate in E-Mails: Gültigkeit, Vertrauenskette, Schlüsselstärke und Ablaufdatum.
Reputation Check
email-reputation.dePrüft Blacklist-Einträge, Reverse-DNS, MX-Validität und TLS-Konfiguration für optimale Deliverability.
Was wird geprüft?
Die wichtigsten Sicherheitsstandards für E-Mail-Verkehr – mit Punkteverteilung aus dem E-Mail Security Score.
SPF
Sender Policy Framework
Korrekte Syntax & gültige Includes
DKIM
DomainKeys Identified Mail
Mindestens 2048 Bit Key empfohlen
DMARC
Domain-based Message Authentication
reject = volle Punkte
Advanced
DNSSEC, MTA-STS
TLSA/DANE, TLS-RPT, S/MIME
Detail-Analysen
A Authentifizierung
- SPF-Record vorhanden & gültig
- DKIM mit ausreichender Key-Länge
- DMARC mit reject-Policy
T Transport & DNS
- DNSSEC aktiviert
- MTA-STS mit enforce
- TLSA/DANE Records
R Reputation
- Keine Blacklist-Einträge
- Reverse-DNS korrekt
- TLS 1.2+ unterstützt
SPF, DKIM und DMARC verstehen — die drei Mechanismen im Vergleich
| SPF | DKIM | DMARC | |
|---|---|---|---|
| Was es tut | Legt fest, welche Server für Ihre Domain Mails verschicken dürfen | Unterschreibt Mails kryptografisch — Empfänger können prüfen, ob sie unverändert sind | Sagt dem Empfänger, was mit Mails passieren soll, die SPF/DKIM nicht bestehen |
| Wo es lebt | DNS-Eintrag (TXT) | DNS-Eintrag (öffentlicher Schlüssel) | DNS-Eintrag (Richtlinie + Report-Adresse) |
| Schützt vor | Fälschung der Absenderadresse | Manipulation von Mail-Inhalten | Phishing mit Ihrem Domainnamen — schließt die Lücke, die SPF und DKIM offenlassen |
| Wer es braucht | Jede Domain, die Mails verschickt | Jede Domain, die Mails verschickt | Jede Organisation — Pflicht-Charakter seit den Google/Yahoo-Vorgaben 2024 für Massenversender, sinnvoll für alle |
Kurz gesagt: SPF ist die Türsteher-Liste (wer darf rein?), DKIM ist die Unterschrift unter dem Brief (stammt er wirklich so?), und DMARC ist die Anweisung an den Empfänger, was mit verdächtigen Mails passieren soll. Ein Mechanismus allein reicht nicht — erst zusammen schützen sie Ihre Domain zuverlässig vor Missbrauch. Genau das prüfen meine Tools kostenlos: ob alle drei für Ihre Domain korrekt gesetzt sind.
Der DMARC-Stufenplan — von p=none bis p=reject
Drei Stufen, drei Monate Geduld — dafür kein Verlust legitimer Mails.
DMARC hat drei Richtlinien-Stufen. Der Fehler, den ich am häufigsten sehe: Unternehmen setzen
sofort p=reject — und wundern sich, warum plötzlich Newsletter
und Rechnungen nicht mehr ankommen. Richtig ist der Stufenplan:
-
01
p=none (Beobachtungsmodus, 4–8 Wochen)
Der Eintrag wird gesetzt, es passiert aber noch nichts. Stattdessen bekommen Sie Report-Mails (rua=) und sehen: Welche Server verschicken alles in Ihrem Namen? Oft tauchen hier Newsletter-Tools, Buchhaltungssoftware oder der alte Webhoster auf, die sonst niemand auf dem Schirm hatte.
-
02
p=quarantine (Milderung)
Mails, die SPF/DKIM nicht bestehen, landen beim Empfänger im Spam-Ordner. Nach weiteren 2–4 Wochen Monitoring: Sind legitime Absender sauber erfasst?
-
03
p=reject (Harte Ablehnung)
Nicht authentifizierte Mails werden komplett abgelehnt. Das ist das Ziel — und es ist erst sicher, wenn die Stufen 1 und 2 sauber durchlaufen sind.
Die Zeit zwischen den Stufen ist kein Bug, sondern der Zweck: DMARC-Reports zeigen Ihnen, was Sie vorher nicht wussten. Übrigens gilt seit 2024: Wer Massenmails an Gmail- oder Yahoo-Adressen verschickt, braucht DMARC zwingend — Google lehnt sonst ab.
E-Mail-Authentifizierung bei Microsoft 365 einrichten
Der häufigste Sonderfall in Praxen und Kanzleien — in vier Schritten sauber gelöst.
Viele Praxen und Kanzleien laufen auf Microsoft 365 — und genau dort ist die korrekte Authentifizierung die häufigste Baustelle. Der Weg in Kurzform:
-
01
SPF prüfen/ergänzen im DNS
v=spf1 include:spf.protection.outlook.com … -all— Achtung: Nur EIN SPF-Eintrag pro Domain, mehrere SPF-Records sind ein klassischer Fehler. -
02
DKIM aktivieren
Im Microsoft 365 Defender-Portal (E-Mail-Authentifizierungseinstellungen): Microsoft erzeugt CNAME-Einträge, die Sie in Ihre DNS-Zone eintragen.
-
03
DMARC setzen
Mit dem Stufenplan aus dem vorherigen Abschnitt, nicht mit sofortigem reject.
-
04
Optional MTA-STS und TLS-RPT
Transportverschlüsselung erzwingen und Ausfälle monitoren.
Das klingt nach vier Zeilen — in der Praxis sitzen in der DNS-Zone oft Jahre alte Einträge, die sich gegenseitig behindern. Wenn Sie das nicht selbst debuggen wollen: Ich richte SPF, DKIM und DMARC für Ihre Domain ein — inklusive Report-Auswertung und Doku. E-Mail-Sicherheit prüfen lassen
E-Mails landen im Spam? Häufige Ursachen
Wenn Ihre Mails im Spam-Ordner landen, ist fast immer eines davon der Grund:
- SPF, DKIM oder DMARC fehlen oder sind falsch — der häufigste Fall; kostenlos prüfbar mit den Tools auf dieser Seite
- Mehrere SPF-Einträge in der DNS-Zone (es darf genau einen geben)
- IP-Reputation: Verschickt Ihr Server über eine IP, die früher Spam verschickt hat? (Test mit email-reputation.de)
- Fehlende Rückwärtsauflösung (PTR-Record) oder HELO-Fehlkonfiguration
- Neue Domain ohne Aufwärmphase: Frische Domains verschicken besser erst langsam steigende Mengen
- Trigger im Inhalt: Verschlüsselte Anhänge, bestimmte Spam-Wörter, fehlender Impressum-Link
Professionelle Dienstleistungen
Wenn Sie Unterstützung bei der Einrichtung brauchen – von der Analyse bis zur vollständigen Umsetzung.
DNS-Records optimieren
SPF, DKIM, DMARC professionell einrichten und auf Ihre Infrastruktur abstimmen. Inkl. SPF-Optimierung, DKIM-Key-Generierung und DMARC-Policy-Entwicklung.
Angebot anfragen →Sicherheit erhöhen
DNSSEC, DANE, MTA-STS für maximale Sicherheit und Vertrauenswürdigkeit. Inkl. DNSSEC-Aktivierung, DANE/TLSA-Einrichtung und MTA-STS-Konfiguration.
Angebot anfragen →Komplettpaket
Alle Checks inkl. Monitoring und kontinuierlicher Betreuung über 12 Monate. Alle DNS-Records, alle Security-Features, laufende Überwachung.
Angebot anfragen →Sichere E-Mail-Anbieter
Wer lieber fertig betreute Postfächer möchte, anstatt alles selbst einzurichten: Werbe- und trackingfreie E-Mail-Postfächer auf eigener Infrastruktur in Deutschland – für Privatanwender und Unternehmen. Die Anbieter-Übersicht mit Fynaro und mail-secure.li finden Sie unter sichere E-Mail-Anbieter.
Häufige Fragen zur E-Mail-Sicherheit
Brauche ich als kleines Unternehmen wirklich SPF, DKIM und DMARC? +
Ja. Die Einrichtung dauert einmalig wenige Stunden, die laufende Pflege ist nahezu null — und der Schaden, den Phishing-Mails in Ihrem Namen anrichten, ist für ein kleines Unternehmen existenziell. Dazu kommt: Seit den Gmail-/Yahoo-Vorgaben 2024 werden Massenmails ohne DMARC zunehmend abgelehnt.
Was ist der Unterschied zwischen SPF, DKIM und DMARC? +
SPF definiert, welche Server für Ihre Domain Mails senden dürfen. DKIM unterschreibt Mails kryptografisch, damit Manipulationen auffallen. DMARC ergänzt beides um eine Richtlinie: Was soll der Empfänger mit Mails machen, die die Prüfung nicht bestehen? Alle drei zusammen schützen wirksam — jedes einzelne hat Lücken.
Was bedeuten p=none, p=quarantine und p=reject? +
Das sind die drei DMARC-Richtlinien: none = nur beobachten und Reports senden, quarantine = verdächtige Mails in den Spam-Ordner, reject = verdächtige Mails komplett ablehnen. Empfehlung: In Stufen hochfahren (none → quarantine → reject), damit legitime Versandwege nicht versehentlich blockiert werden.
Reicht SPF allein? +
Nein. SPF prüft nur den sendenden Server, nicht den sichtbaren Absender — und bricht bei Weiterleitungen. DKIM überlebt Weiterleitung, prüft aber nicht die Absenderadresse. Erst DMARC verknüpft beides und macht die Prüfung wasserdicht.
Reicht Transportverschlüsselung (TLS)? +
Nein — TLS schützt nur die Verbindung zwischen Servern, nicht die Identität des Absenders. Eine Mail kann TLS-verschlüsselt und trotzdem gefälscht sein. Für Absenderschutz brauchen Sie SPF/DKIM/DMARC, für Inhaltsschutz S/MIME oder PGP.
Ist E-Mail-Verschlüsselung DSGVO-Pflicht? +
Es gibt kein Gesetz, das Verschlüsselung in jedem Fall zwingend vorschreibt — aber Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Bei sensiblen Inhalten (Patientendaten, Mandantendaten) gilt Ende-zu-Ende-Verschlüsselung faktisch als Stand der Technik. Unser Schwerpunkt: S/MIME.
Wie lange dauert die Einrichtung, wenn ich sie machen lasse? +
In der Regel 1–2 Werktage inklusive DNS-Einträge, Testversänden und Doku. Der DMARC-Stufenplan läuft danach im Beobachtungsmodus weiter — ich werte die Reports aus und schalte hoch, wenn alles sauber ist.
E-Mail-Situation prüfen lassen
Beschreiben Sie kurz Ihre aktuelle Umgebung: Welche Domains nutzen Sie, wo liegen die Postfächer, wie wird heute versendet? Ich gebe eine Einschätzung, welche Schritte für bessere Zustellung, weniger Spam und mehr Sicherheit sinnvoll sind.