Kostenloses Tool · Ohne Registrierung

Kostenlose E-Mail-Domain-Prüfung: SPF-, DKIM-, DMARC- und MX-Test

Zuletzt aktualisiert am 3. Oktober 2026Von Avalon

Prüfen Sie in Sekunden die Einträge SPF (mit dem 10-Lookup-Limit), DMARC, DKIM, MX, MTA-STS, TLS-RPT und BIMI einer Domain.

Domains, eine pro Zeile

Jede Domain erhält dieselbe vollständige Prüfung wie oben. Die Domains werden direkt in Ihrem Browser jeweils zu mehreren gleichzeitig geprüft.

Die Abfragen gehen von Ihrem Browser an einen öffentlichen DNS-Resolver (Cloudflare oder Google, falls dieser nicht antwortet) und betreffen dieselben Einträge, die jeder Mailserver liest. Es wird nichts an uns gesendet oder gespeichert.

{domain} wird geprüft …Fertig in {secs} s mit {queries} DNS-Abfragen.Geben Sie eine Domain wie example.com oder eine E-Mail-Adresse ein.Das sieht nicht wie ein Domainname aus. Geben Sie etwa example.com ein.Geben Sie höchstens 5 DKIM-Selektoren ein.„{s}“ ist kein gültiger DKIM-Selektor.Die öffentlichen DNS-Resolver haben nicht geantwortet. Prüfen Sie Ihre Verbindung und versuchen Sie es erneut.Bewertung {score} von 100{queries} DNS-Abfragen · geprüft um {time}{n} bestanden{n} Warnungen{n} fehlgeschlagen{n} zur InformationNichts zu beheben. Alle bewerteten Prüfungen wurden bestanden.BestandenWarnungFehlerInfo{points} / {max} PunkteNicht bewertetMX (an die Ihre E-Mails zugestellt werden)SPF (wer in Ihrem Namen senden darf)DMARC (was Empfänger mit gefälschten E-Mails tun)DKIM (Schlüssel zum Signieren von Nachrichten)MTA-STS (verschlüsselte Zustellung an Sie)TLS-RPT (Berichte zur Zustellungssicherheit)BIMI (Markenlogo im Posteingang)EintragMailserver{priority} {host}{n} AdressenIPv6RichtlinieDNS-Abfragen{n}{plus} von 10Leere AbfragenInclude-BaumGefunden unter{where} (von der übergeordneten Domain geerbt)StärkeGilt fürSubdomain-RichtlinieAggregierte Berichte anAusrichtungDKIM {dkim}, SPF {spf}Geprüfte SelektorenGefundene Schlüssel{selector}: {type} {bits}{selector}: leerer Schlüssel (widerrufen)TestmodusRichtliniendateiLogoZertifikatKeineenthält SPF-Makros, nicht aufgelöstnicht verfolgt (Limit bereits überschritten)Schleifekein SPF-EintragDNS-FehlerWeiterleitungfail (-all)softfail (~all)neutral (?all)pass (+all)neutral (kein „all“, daher gilt standardmäßig ?all)MX-Einträge konnten nicht gelesen werden (DNS-Zeitüberschreitung oder Serverfehler).Prüfen Sie, ob die Nameserver der Domain zuverlässig antworten.Null-MX (RFC 7505): Diese Domain gibt an, dass sie keine E-Mails empfängt.Keine MX-Einträge – für E-Mails an diese Domain wird der A-Eintrag verwendet oder die E-Mail kommt zurück.Veröffentlichen Sie MX-Einträge für Ihren Mail-Anbieter oder einen Null-MX („0 .“), wenn die Domain keine E-Mails sendet und empfängt.MX verweist auf eine IP-Adresse, nicht auf einen HostnamenDNS-Abfrage fehlgeschlagenHost wird nicht aufgelöstMX-Host {host}: {error}.Nur ein MX-Host – kein Ersatz, falls er ausfällt (bei großen gehosteten Anbietern unproblematisch).Korrigieren oder entfernen Sie MX-Hosts, die nicht aufgelöst werden; Absender versuchen es erneut und die Zustellung verzögert sich.{domain}: unbekannter Modifikator „{key}“ (wird von Empfängern ignoriert).{domain}: unbekannter Mechanismus „{term}“ – Empfänger werten den gesamten Eintrag als Fehler (permerror).{domain}: ungültiger Wert „{arg}“ für {name}.{domain}: „ptr“ ist veraltet (RFC 7208) und langsam; entfernen Sie es.{kind} ohne Domain.SPF-Schleife: {target} wird in der Kette mehrfach eingebunden.SPF von {target} konnte nicht gelesen werden (DNS-Fehler nach erneutem Versuch) – falls das anhält, geben Empfänger temperror zurück.{kind} „{target}“ hat keinen SPF-Eintrag – Empfänger werten das als permerror.{target} veröffentlicht {n} SPF-Einträge (permerror).TXT-Einträge konnten nicht gelesen werden (DNS-Fehler).Kein SPF-Eintrag – jeder kann behaupten, E-Mails von dieser Domain zu senden.Veröffentlichen Sie „v=spf1 -all“, damit niemand E-Mails im Namen dieser Domain senden kann.Veröffentlichen Sie einen SPF-TXT-Eintrag mit Ihren Absendern, z. B. „v=spf1 include:_spf.google.com ~all“.{n} SPF-Einträge veröffentlicht – Empfänger werten das als permerror (SPF schlägt überall fehl).Fügen Sie alle SPF-Einträge zu einem einzigen TXT-Eintrag „v=spf1 ...“ zusammen.SPF benötigt {n}{plus} DNS-Abfragen; das Limit liegt bei 10 (permerror).Entfernen Sie ungenutzte Includes, ersetzen Sie „a“/„mx“ durch ip4/ip6-Bereiche oder lösen Sie verschachtelte Includes auf.SPF nutzt {n} von 10 DNS-Abfragen – ein weiterer Anbieter bringt es zum Scheitern.{n} leere Abfragen (Limit 2).„+all“ erlaubt jedem Server im Internet, im Namen dieser Domain zu senden.Ersetzen Sie „+all“ durch „-all“ oder „~all“.SPF endet neutral – es weist Empfänger nicht an, nicht aufgeführte Absender abzulehnen.Beenden Sie den Eintrag mit „~all“ (oder „-all“, sobald die DMARC-Berichte unauffällig sind).Der SPF-Eintrag ist {n} Zeichen lang – lange Einträge können bei UDP abgeschnitten werden.DMARC-Eintrag konnte nicht gelesen werden (DNS-Fehler).Kein DMARC-Eintrag – Empfänger erhalten keine Richtlinie für gefälschte E-Mails und Sie erhalten keine Berichte.Veröffentlichen Sie einen TXT-Eintrag unter _dmarc.{domain}: „v=DMARC1; p=none; rua=mailto:dmarc@{domain}“ und wechseln Sie zu p=quarantine und dann zu p=reject, sobald die Berichte unauffällig sind.{n} DMARC-Einträge – Empfänger ignorieren DMARC vollständig, wenn es mehr als einen gibt.Ungültiger pct-Wert „{v}“.Richtlinie p=„{p}“ fehlt oder ist ungültig – der Eintrag wird ignoriert.Die Richtlinie ist p=none – gefälschte E-Mails werden weiterhin zugestellt; dies ist eine Überwachungseinstellung.Wechseln Sie nach der Prüfung der DMARC-Berichte zu p=quarantine und dann zu p=reject.Die Richtlinie {p} gilt nur für {pct} % der fehlgeschlagenen E-Mails.Erhöhen Sie pct auf 100.Keine Adresse für aggregierte Berichte (rua) – Sie sehen nicht, wer E-Mails im Namen Ihrer Domain sendet.Fügen Sie rua=mailto:dmarc-reports@{org} hinzu (oder nutzen Sie einen DMARC-Berichtsdienst).Die Subdomain-Richtlinie sp=none lässt alle Subdomains für Spoofing offen.Erwägen Sie p=reject für den stärksten Schutz.starkmittelteilweisenur ÜberwachungungültigstrenglockerDer Selektor '{s}' hat einen leeren Schlüssel (widerrufen).Selektor '{s}': {error}.Der öffentliche Schlüssel ist kein gültiges Base64Der öffentliche Schlüssel konnte nicht gelesen werdenDer Selektor '{s}' verwendet einen {bits}-Bit-RSA-Schlüssel – Empfänger lehnen Schlüssel unter 1024 Bit ab.Der Selektor '{s}' verwendet einen {bits}-Bit-RSA-Schlüssel; empfohlen sind aktuell 2048 Bit.Wechseln Sie zu einem 2048-Bit-DKIM-Schlüssel.Der Selektor '{s}' befindet sich im Testmodus (t=y).Kein DKIM-Schlüssel bei den Selektoren: {list}.Die Domain verarbeitet keine E-Mails (Null-MX); DKIM ist nicht erforderlich.Bei den geprüften gängigen Selektoren wurde kein aktiver DKIM-Schlüssel gefunden. Selektoren lassen sich nicht aus dem DNS auflisten. Geben Sie daher oben den Selektor Ihres Anbieters ein, um ihn zu prüfen.Aktivieren Sie die DKIM-Signierung bei Ihrem E-Mail-Anbieter und veröffentlichen Sie dessen öffentlichen Schlüssel.Kein MTA-STS – E-Mails an Sie können von Angreifern auf unverschlüsseltes SMTP herabgestuft werden.Veröffentlichen Sie _mta-sts.{domain} TXT 'v=STSv1; id=<date>' und eine Richtlinie unter https://mta-sts.{domain}/.well-known/mta-sts.txt (beginnen Sie mit mode: testing).Dem MTA-STS-TXT-Eintrag fehlt ein id=-Wert.Der TXT-Eintrag ist vorhanden. Eine Browserseite darf die Richtliniendatei selbst nicht lesen. Daher werden Modus, MX-Liste und max_age hier nicht geprüft, und MTA-STS fließt nicht in die Bewertung ein. Öffnen Sie unten die Richtliniendatei, um sie zu prüfen, oder nutzen Sie die API für die vollständige Prüfung.Kein TLS-RPT-Eintrag – Sie erhalten keine Berichte, wenn Absender keine sichere Verbindung aufbauen können.Veröffentlichen Sie _smtp._tls.{domain} TXT 'v=TLSRPTv1; rua=mailto:tls-reports@{domain}'.Dem TLS-RPT-Eintrag fehlt ein gültiges rua (mailto: oder https:).Kein BIMI-Eintrag (optional: zeigt Ihr Logo in unterstützenden Postfächern an; erfordert DMARC-Durchsetzung).BIMI erfordert DMARC p=quarantine oder p=reject bei pct=100; Logos werden sonst nicht angezeigt.Die BIMI-Logo-URL muss https verwenden.Kein VMC/CMC-Zertifikat (a=); Gmail und Apple Mail setzen eines voraus.Avalon Pro prüft bis zu {pro} Domains gleichzeitig; die ersten {pro} wurden beibehalten.Fügen Sie mindestens eine Domain hinzu, eine pro Zeile.{done} von {total} geprüft…{total} Domains geprüft.Nach {done} von {total} gestoppt.keine Domainkonnte nicht geprüft werdenDomain,Score,Note,MX,SPF,DMARC,DKIM,MTA-STS,TLS-RPT,BIMI,SPF-Abfragen,DMARC-Richtlinie,Gefundene DKIM-Selektoren,Probleme,Geprüft am

Was dieses Tool kann

Geben Sie eine Domain ein, und diese Prüfung liest ihre E-Mail-Authentifizierungseinträge direkt aus dem DNS: SPF, DKIM, DMARC, MX, MTA-STS, TLS-RPT und BIMI. Jede Prüfung erhält bestanden, Warnung oder fehlgeschlagen, mit dem genauen Problem und der Lösung. Die bewerteten Prüfungen ergeben zusammen einen Score aus 100 Punkten und eine Note von A+ bis F.

Außerdem zählt sie die SPF-DNS-Abfragen so wie die Empfänger und folgt dabei jedem Include. So sehen Sie, wie nah Sie am Limit von 10 sind, bevor Sie es durch einen neuen E-Mail-Dienst überschreiten.

So verwenden Sie es

Geben Sie eine Domain wie example.com ein. Eine E-Mail-Adresse oder eine Website-Adresse funktioniert ebenfalls.
Wenn Sie Ihren DKIM-Selektor kennen, tragen Sie ihn im zweiten Feld ein (bis zu 5, durch Kommas getrennt). Andernfalls probiert die Prüfung 30 gängige Selektoren aus.
Klicken Sie auf Domain prüfen. Die meisten Domains benötigen ein bis drei Sekunden.
Beginnen Sie mit Was zuerst zu beheben ist: Fehler stehen vor Warnungen.
Öffnen Sie die einzelnen Abschnitte, um den gefundenen Eintrag, den SPF-Include-Baum, die DMARC-Richtlinie und die DKIM-Schlüssellängen zu sehen.

So funktioniert die Bewertung

Prüfung	Punkte	Volle Punktzahl, wenn
MX	15	Jeder Mailhost aufgelöst wird oder die Domain einen Null-MX veröffentlicht
SPF	25	Ein Eintrag, unter 8 Abfragen, endet auf ~all oder -all (bei einer Warnung gibt es 15)
DMARC	30	p=reject bei 100 % (p=quarantine ergibt 25, ein Teil-pct 15, p=none 10)
DKIM	15	Ein Schlüssel mit 2048 Bit oder mehr gefunden wird (ein 1024-Bit-Schlüssel ergibt 8)
MTA-STS	10	Nur von der API bewertet (siehe unten)
TLS-RPT	5	Ein Eintrag mit gültiger Berichtsadresse
BIMI	0	Nur zur Information angezeigt

Der Score ergibt sich aus den erreichten Punkten geteilt durch die möglichen Punkte. Eine Domain, die keine E-Mails empfängt, oder eine Prüfung, die nur zur Information angezeigt wird, senkt den Score daher nicht. MTA-STS fließt hier nicht in den Score ein, wenn der TXT-Eintrag vorhanden ist, weil eine Webseite die Richtliniendatei nicht lesen kann; die API liest und bewertet sie.

Häufige Probleme und Lösungen

Zwei SPF-Einträge. Eine Domain darf nur einen veröffentlichen. Führen Sie sie zu einem einzigen Eintrag zusammen, der mit v=spf1 beginnt.
Zu viele SPF-Abfragen. Entfernen Sie Dienste, die Sie nicht mehr nutzen, oder fragen Sie bei einem Anbieter nach dessen IP-Bereichen statt eines Includes.
DMARC bei p=none. Diese Einstellung sammelt nur Berichte. Lesen Sie diese einige Wochen lang und wechseln Sie dann zu p=quarantine und schließlich zu p=reject.
1024-Bit-DKIM-Schlüssel. Bei den meisten Anbietern können Sie in den Einstellungen zu einem 2048-Bit-Schlüssel wechseln.

Kostenlos, Pro und Pro+

	Kostenlos	Pro	Pro+
Domains pro Prüfung	1	50	50
CSV-Export aller Ergebnisse	—	Ja	Ja
Ergebnisqualität	In jedem Tarif gleich
Server-Tools, die mit Credits bezahlt werden	Mit einem Credit-Paket	Mit einem Credit-Paket	300 Credits pro Monat

Pro+-Guthaben bezahlen Server-Tools: Sprache in Text mit höherer Genauigkeit, automatische Untertitel mit höherer Genauigkeit, schnelle Server-Stimmen sowie KI-PDF-Zusammenfassungen, -Antworten und -Übersetzungen. Ein Guthabenpaket (150 Guthaben, 12 Monate gültig) funktioniert mit jedem Tarif. Tarife vergleichen.

Häufig gestellte Fragen

Was prüft diese E-Mail-Domain-Prüfung?

Sieben Dinge, die ein empfangender Mailserver betrachtet: MX (wohin E-Mails für die Domain gehen), SPF (welche Server im Namen der Domain senden dürfen, einschließlich des Limits von 10 Abfragen), DMARC (wie mit fehlgeschlagenen E-Mails zu verfahren ist), DKIM (Signaturschlüssel bei 30 gängigen Selektoren plus allen, die Sie hinzufügen), MTA-STS und TLS-RPT (verschlüsselte Zustellung und deren Berichte) sowie BIMI (ein Markenlogo im Posteingang). Jede Prüfung erhält bestanden, Warnung oder fehlgeschlagen samt Lösung, und die bewerteten Prüfungen ergeben zusammen einen Score aus 100 Punkten.

Warum schlägt SPF bei zu vielen DNS-Abfragen fehl?

Empfänger brechen die SPF-Prüfung nach 10 DNS-Abfragen ab und werten jede weitere als Fehler, sodass SPF bei jeder Nachricht fehlschlägt. Jedes include, a, mx, ptr, exists und redirect zählt mit, auch die in eingebundenen Einträgen. Die Prüfung folgt jedem Include und zeigt den Baum an, sodass Sie sehen, welcher Anbieter die meisten Abfragen verursacht.

Warum wird kein DKIM-Schlüssel gefunden, obwohl DKIM aktiv ist?

Das DNS kann die DKIM-Selektoren einer Domain nicht auflisten, daher probiert die Prüfung 30 gängige aus (google, selector1, selector2, k1, s1 und weitere). Verwendet Ihr Anbieter einen anderen Namen, geben Sie ihn im Feld „DKIM-Selektoren“ ein. Sie finden ihn im DKIM-Signature-Header einer von Ihnen gesendeten E-Mail, nach s=.

Ist das Ergebnis dasselbe wie bei Ihrer API?

Ja bei MX, SPF, DMARC, DKIM, TLS-RPT und BIMI: dieselben Regeln, Punkte und Formulierungen wie in der Email Domain Doctor API. Der einzige Unterschied ist MTA-STS. Eine Webseite darf die Richtliniendatei einer anderen Website nicht herunterladen, daher wird hier nur der MTA-STS-TXT-Eintrag geprüft und MTA-STS fließt nicht in den Score ein; die API liest auch die Richtliniendatei und bewertet sie.

Wohin gehen die Abfragen? Wird meine Domain gespeichert?

Ihr Browser fragt einen öffentlichen DNS-Resolver (den von Cloudflare oder, falls dieser nicht antwortet, den von Google) nach den Einträgen der Domain, also nach denselben öffentlichen Einträgen, die jeder Mailserver liest. Nichts wird an unsere Server gesendet und nichts gespeichert.

Kann ich eine Subdomain oder eine E-Mail-Adresse prüfen?

Ja. Geben Sie eine Subdomain wie mail.example.com, eine vollständige E-Mail-Adresse oder eine Website-Adresse ein, und die Domain wird daraus übernommen. Hat eine Subdomain keinen eigenen DMARC-Eintrag, sucht die Prüfung wie die Empfänger bei den übergeordneten Domains nach einem.