E-Mail-Sicherheit prüfen:
Sind SPF, DKIM und DMARC richtig gesetzt?
Spielen diese Einträge nicht richtig zusammen, können Fremde in Ihrem Namen mailen – und Ihre eigenen Nachrichten landen häufiger im Spam.
Kein Setup nötig – Ihre dienstliche E-Mail-Adresse reicht für die Überprüfung.
SPF-, DKIM- und DMARC-Check auf einen Blick
Note A bis F für Mail-Sicherheit
Ohne Setup
Ergebnis in 24 h
Falsch gesetzte DNS-Einträge sieht man Ihrer Domain nicht an
Oft stehen SPF, DKIM oder DMARC seit Jahren auf einer Einstellung, die niemand mehr geprüft hat.
Was prüft der E-Mail-Check von CheckFix?
Der E-Mail-Check liest die DNS-Einträge Ihrer Domain aus, die über Sicherheit und Zustellbarkeit entscheiden: SPF, DKIM und DMARC. Er sagt Ihnen, ob die Einträge vorhanden, gültig und streng genug gesetzt sind – und vergibt eine Note von A bis F.
Geprüft wird rein extern, nur anhand öffentlich sichtbarer Daten – ohne Agenten auf Ihren Servern.
Der E-Mail-Check ist Teil des kostenlosen Security-Checks von CheckFix.
✓ Kostenlos✓ SPF, DKIM & DMARC✓ Ohne Setup✓ Note A–F
Was der Check im Detail liest
Geprüft wird nur, was über Ihre Domain öffentlich erreichbar ist – genau die Sicht, die auch ein Angreifer hat.
SPF-Check
Darf dieser Server für Ihre Domain senden? Der Check liest Ihren SPF-Eintrag und meldet, wenn er fehlt, zu weich gesetzt ist oder mehrfach bzw. widersprüchlich vorhanden ist.
DKIM-Check
Sind Ihre Mails signiert? Geprüft wird, ob für Ihre Domain DKIM eingerichtet ist, damit Empfänger Ihre Mails als echt verifizieren können.
DMARC-Check
Greift eine Richtlinie? Der Check sieht nach, ob eine DMARC-Policy gesetzt ist (none, quarantine oder reject) und ob eine Adresse für Reports hinterlegt ist.
Transportverschlüsselung
STARTTLS: Zusätzlich sieht der Check, ob Ihr Mailserver eingehende Verbindungen verschlüsselt annimmt. Die Tiefenprüfung der TLS-Konfiguration macht Gossling.
Was falsch gesetzte Einträge anrichten
Spoofing & Phishing
Ohne saubere SPF/DKIM/DMARC-Kette kann jede fremde Person E-Mails im Namen Ihrer Domain verschicken, die beim Empfänger als echt durchgehen – Rechnungen, Zahlungsaufforderungen, Anweisungen im Namen der Geschäftsführung.
Zustellbarkeit
Fehlen die Einträge oder sind sie fehlerhaft, stufen Google, Microsoft und Co. Ihre echten Mails herab. Sie landen im Spam oder werden abgewiesen.
Compliance
Mail-Security ist ein gängiger Prüfpunkt in NIS2- und ISO-27001-Umfeldern. Der Check liefert den Nachweis, dass die Einträge stehen.
E-Mails gecheckt - hab ich noch wichtige Cybersecurity-Themen?
Der E-Mail-Check zeigt Ihnen, dass an Ihren Mail-Einstellungen etwas nicht stimmt, und bewertet es mit einer Note.
Er ist aber nur ein Teil des kostenlosen Security-Checks von CheckFix, der Ihre gesamte externe Angriffsfläche in einem Durchlauf prüft – Mail-Security (SPF, DKIM, DMARC), TLS/SSL, bekannte Schwachstellen (CVE-Abgleich), Security Header und Internet-Schnittstellen – mit Note A bis F pro Kategorie.
Werden dabei Sicherheitslücken gefunden, schalten Sie eine ToDo-Liste mit allen technischen Details frei. Damit schließt Ihr eigener, betrauter Techniker die Lücken gezielt – ohne fünfstellige Beraterkosten.
Und wie stellen Sie die Einträge richtig ein? Schritt für Schritt in unserem Leitfaden: DNS-Einträge für E-Mails richtig konfigurieren.
Häufig gestellte Fragen
Wie mache ich einen SPF-Check?
Domain eingeben, Check starten: CheckFix liest Ihren SPF-Eintrag aus dem DNS und meldet, ob er fehlt, zu weich gesetzt ist oder mehrfach vorkommt. Das Ergebnis fließt in die Note für Mail-Sicherheit – kostenlos.
Wie mache ich einen DKIM-Check?
Domain eingeben, Check starten: CheckFix prüft, ob für Ihre Domain DKIM eingerichtet ist, damit Empfänger Ihre Mails als echt erkennen können. Das Ergebnis fließt in die Note für Mail-Sicherheit – kostenlos.
Wie mache ich einen DMARC-Check?
CheckFix liest Ihren DMARC-Eintrag und zeigt, welche Richtlinie greift (none, quarantine, reject) und ob eine Report-Adresse hinterlegt ist. So sehen Sie, ob die Richtlinie wirklich schützt oder nur beobachtet.
Muss ich alle Domains prüfen oder nur die, mit denen ich wirklich E-Mails versende?
Alle Domains, nicht nur die, mit denen Sie aktiv mailen. Ein Angreifer braucht keinen Zugang zu Ihrer Domain, um sie als Absender einzutragen. Erst SPF und DMARC sagen den Empfängern, dass von dieser Domain keine echten Mails kommen. Deshalb gehören auch reine Webseiten- oder geparkte Domains abgesichert. Wie Sie die Einträge dafür setzen, steht im DNS-Leitfaden.
Was bedeutet es, wenn SPF, DKIM oder DMARC fehlen?
Dann kann Ihre Domain leichter für Spoofing missbraucht werden, und Ihre echten Mails werden häufiger als Spam eingestuft. Erst die drei zusammen schützen zuverlässig – wie Sie sie setzen, steht im DNS-Leitfaden.
Reicht SPF allein?
Nein. SPF legt fest, welche Server senden dürfen, prüft aber nicht den Absender, den Ihre Empfänger sehen, und nichts über die Echtheit des Inhalts. Dafür sorgt DKIM, und DMARC verbindet beides zu einer durchsetzbaren Richtlinie.
Brauche ich DMARC für NIS2?
NIS2 nennt kein einzelnes DNS-Verfahren, verlangt aber angemessene technische Maßnahmen und einen geregelten Umgang mit Risiken. Eine saubere SPF/DKIM/DMARC-Kette gehört zum Stand der Technik und ist im Audit ein belegbarer Prüfpunkt.