Mail-Server-Check
Prüft MX, SPF, DMARC und 61 DKIM-Selektoren auf einer Domain. Bewertet die Zustellbarkeit.
So funktioniert dieses Tool
Der Mail-Server-Check prüft alle vier wichtigen E-Mail-Sicherheitsstandards einer Domain auf einmal: MX-Records (welche Server empfangen Mail?), SPF (welche IPs dürfen senden?), DMARC (wie sollen Empfänger mit unauthentifizierter Mail umgehen?) und DKIM (wird die Signatur ausgespielt?). Da DKIM-Selektoren beliebig benannt sein können, probiert der Check 61 typische Selektor-Namen wie "default", "google", "mail", "selector1", "k1" und "mailgun" durch. Ergebnis: ein A-bis-F-Score samt konkreter Hardening-Hinweise.
Typische Anwendungsfälle
- Vor einer E-Mail-Migration (Microsoft 365, Google Workspace, neuer ESP) den Ausgangs-Stand dokumentieren
- Bei Spam-Problemen ("Unsere Mails landen im Spam") gezielt SPF und DMARC checken
- Nach Setup eines neuen Senders (Newsletter-Tool, CRM) prüfen ob alle drei Records sauber stehen
- Vor BIMI-Einführung kontrollieren ob DMARC-Policy auf p=quarantine oder p=reject steht
- Externe Dienstleister (Agentur, Druckdienstleister) auf Spoofing-Risiko prüfen
Häufige Fragen
Warum findet der Check meinen DKIM-Selektor nicht?
Wir probieren die 18 häufigsten Selektor-Namen. Wenn Ihr ESP einen exotischen Selektor nutzt (z.B. "20231215"), fehlt er in der Liste — schauen Sie im Header einer echten Mail nach (Header "DKIM-Signature: s=...").
SPF, DKIM, DMARC — was hat welchen Zweck?
SPF authorisiert per IP, welche Server senden dürfen. DKIM signiert kryptografisch, dass die Mail unverändert vom Absender kommt. DMARC verbindet beide und sagt dem Empfänger, was zu tun ist wenn die Prüfung fehlschlägt (none/quarantine/reject).
Welche DMARC-Policy ist die richtige?
p=none nur zur Beobachtungsphase (max. 4 Wochen). Danach p=quarantine pct=10 → 25 → 50 → 100, dann p=reject. Ohne mindestens p=quarantine verhindert DMARC kein Spoofing.
Brauche ich SPF und DKIM gleichzeitig?
Ja. Forward-Szenarien (Mailing-Listen, Auto-Forwards) brechen SPF — nur DKIM überlebt. Umgekehrt schützt SPF die Envelope-Adresse, die DKIM nicht abdeckt. Beide ergänzen sich.
Was bedeutet "SPF -all" vs "~all"?
-all = hardfail (Mails von nicht-autorisierten IPs werden abgelehnt). ~all = softfail (markiert, aber zugestellt). -all ist sicherer, sollte aber erst nach gründlicher Inventur aller sendenden Systeme gesetzt werden.
Werden BIMI-Records geprüft?
Ja — wir lesen `default._bimi.<domain>` aus, parsen Logo-URL und VMC-Cert-URL. BIMI setzt DMARC mit p=quarantine oder p=reject voraus, das prüfen wir parallel mit.
Verwandte Tools
Daueraufsicht statt Stichprobe?
XICTRAQ überwacht Uptime, SSL, Security-Header, DSGVO und Performance 24/7. Free-Plan, keine Kreditkarte.