Kostenloses Tool · ohne Anmeldung

Kostenloser SPF-, DKIM- & DMARC-Checker

Gmail und Yahoo (seit Februar 2024) sowie Microsoft Outlook (seit Mai 2025) verlangen von Massenversendern, ihre Domain mit SPF, DKIM und DMARC zu authentifizieren. Geben Sie Ihre Domain ein, um alle drei zu prüfen — dazu MX, BIMI, MTA-STS und TLS-RPT — und erhalten Sie einen Score, das Bulk-Sender-Urteil und eine priorisierte Liste mit Korrekturen.

Sie können auch eine E-Mail-Adresse oder eine Website-URL einfügen.

Eigene DKIM-Selektoren angeben (optional)

Wir testen bereits über 30 gängige Selektoren (Google Workspace, Microsoft 365, Mailchimp, Brevo, HubSpot…). Nutzt Ihre Plattform einen anderen, finden Sie ihn im Header einer Nachricht (DKIM-Signature: … s=Selektor) — geben Sie ihn hier ein.

Kostenlose Prüfungen heute: 30

So funktioniert dieser SPF-, DKIM- und DMARC-Checker

  1. 1

    Live-DNS-Abfragen

    Wir fragen das DNS Ihrer Domain in Echtzeit ab. Fügen Sie eine Domain, eine E-Mail-Adresse oder eine URL ein — wir ermitteln die Domain.

  2. 2

    SPF ausgewertet und gezählt

    Wir lesen Ihren SPF-Eintrag, folgen jedem include und redirect, zählen die DNS-Abfragen gegen das Limit von 10 aus RFC 7208 und prüfen den abschließenden „all“-Qualifier.

  3. 3

    DKIM und DMARC

    Wir testen über 30 gängige DKIM-Selektoren plus bis zu 5 eigene, messen die Schlüssellänge und werten Ihre DMARC-Richtlinie, pct und Berichtsadresse aus.

  4. 4

    Score und Korrekturen

    Sie erhalten einen Score von 0–100 mit Note A–F, das Bulk-Sender-Urteil für Gmail/Yahoo/Outlook und eine priorisierte, verständliche Liste mit Korrekturen.

SPF, DKIM, DMARC, BIMI und MTA-STS einfach erklärt

Eine Handvoll DNS-Einträge entscheidet, ob Postfachanbieter Mails vertrauen, die angeblich von Ihrer Domain kommen.

SPF

Sender Policy Framework

Ein TXT-Eintrag Ihrer Domain mit den Servern, die für sie senden dürfen, z. B. v=spf1 include:_spf.google.com ~all. Eine Domain darf nur einen SPF-Eintrag haben, und seine Auswertung darf höchstens 10 DNS-Abfragen auslösen.

DKIM

DomainKeys Identified Mail

Ihre Versandplattform signiert jede Nachricht mit einem privaten Schlüssel; der öffentliche Schlüssel liegt unter selektor._domainkey.ihredomain. Eine gültige Signatur beweist, dass die Nachricht unverändert ist und Ihre Domain dafür einsteht. Verwenden Sie 2048-Bit-Schlüssel.

DMARC

Domain-based Message Authentication, Reporting & Conformance

Ein TXT-Eintrag unter _dmarc.ihredomain, der Empfängern sagt, was mit Mails geschehen soll, die weder ausgerichtetes SPF noch DKIM bestehen — p=none (beobachten), p=quarantine (Spam-Ordner) oder p=reject (ablehnen) — und wohin Berichte gehen (rua).

BIMI · MTA-STS

Optionale Extras

BIMI zeigt Ihr Markenlogo neben Ihren Nachrichten, sobald DMARC durchgesetzt ist (die meisten großen Postfächer verlangen zusätzlich ein Markenzertifikat). MTA-STS und TLS-RPT sorgen dafür, dass Mails an Ihre Domain verschlüsselt übertragen werden, und melden, wenn das nicht klappt.

→ Den vollständigen SPF-, DKIM- und DMARC-Leitfaden mit Schritt-für-Schritt-Rollout-Plan lesen

Bulk-Sender-Anforderungen von Gmail, Yahoo und Outlook

Seit Februar 2024 wenden Gmail und Yahoo — und seit Mai 2025 Microsoft Outlook.com — strengere Regeln auf alle an, die rund 5.000 oder mehr Nachrichten pro Tag an ihre Nutzer senden. Mails, die sie nicht erfüllen, landen im Spam oder werden abgelehnt.

  • SPF und DKIM

    Beides muss für die Versanddomain eingerichtet sein. Kleinere Versender brauchen mindestens eines davon, beides ist aber der sichere Standard.

  • DMARC, mindestens p=none

    Ein gültiger DMARC-Eintrag ist Pflicht. p=none wird akzeptiert, aber nur quarantine oder reject verhindern wirklich das Spoofing Ihrer Domain.

  • Alignment

    Die Domain Ihrer sichtbaren From-Adresse muss mit der Domain übereinstimmen, die SPF oder DKIM besteht. Das wird an echten Nachrichten geprüft, nicht im DNS.

  • Ein-Klick-Abmeldung

    Gmail und Yahoo verlangen für Marketing-Mails einen List-Unsubscribe-Header mit Ein-Klick-Abmeldung (RFC 8058) und die Bearbeitung von Abmeldungen innerhalb von zwei Tagen.

  • Spamrate unter 0,3 %

    Halten Sie die von Nutzern gemeldete Spamrate in den Google Postmaster Tools unter 0,3 % — idealerweise unter 0,1 %. Alte, ungültige und verwaiste Adressen treiben Bounces und Beschwerden in die Höhe.

  • Gültiger PTR und TLS

    Versand-IPs brauchen übereinstimmendes Forward- und Reverse-DNS, und Nachrichten sollten über eine TLS-Verbindung zugestellt werden.

Dieser Checker prüft alles, was im DNS sichtbar ist. Alignment, Abmelde-Header und Spamrate hängen davon ab, wie Sie versenden — und von der Qualität Ihrer Liste.

→ Einzelne Adresse mit dem kostenlosen E-Mail-Validator prüfen

Häufig gestellte Fragen

Ist dieser SPF-, DKIM- und DMARC-Checker wirklich kostenlos?

Ja. Sie können ohne Konto 30 Prüfungen pro Tag durchführen. Das Tool liest nur öffentliche DNS-Einträge — es wird keine E-Mail von oder an Ihre Domain gesendet.

Was ist eine gute DMARC-Richtlinie?

Beginnen Sie mit p=none und einer rua-Adresse, um einige Wochen lang Berichte zu sammeln. Sobald alle legitimen Absender ausgerichtetes SPF oder DKIM bestehen, wechseln Sie zu p=quarantine und dann zu p=reject, angewendet auf 100 % der Nachrichten. p=none erfüllt die Mindestanforderung von Gmail, Yahoo und Outlook, schützt Ihre Domain aber nicht vor Spoofing.

Warum hat SPF ein Limit von 10 DNS-Abfragen?

RFC 7208 begrenzt die Mechanismen, die DNS-Abfragen auslösen (include, a, mx, ptr, exists und redirect), auf 10 pro Prüfung, um Empfänger zu schützen. Darüber lautet das Ergebnis „permerror“, und viele Empfänger werten SPF als fehlgeschlagen. Entfernen Sie nicht mehr genutzte Dienste, ersetzen Sie Includes durch stabile ip4/ip6-Bereiche oder verlagern Sie einzelne Versender auf Subdomains.

Was ist ein DKIM-Selektor und wie finde ich meinen?

Der Selektor ist der Name, unter dem ein öffentlicher DKIM-Schlüssel veröffentlicht wird (selektor._domainkey.ihredomain); so kann eine Domain mehrere Schlüssel haben. Öffnen Sie eine gesendete Nachricht, lassen Sie sich die Original-Header anzeigen und suchen Sie DKIM-Signature: Der Wert von s= ist der Selektor, d= die signierende Domain.

Sollte mein DKIM-Schlüssel 1024 oder 2048 Bit haben?

Verwenden Sie 2048 Bit. 1024-Bit-Schlüssel werden von den großen Anbietern noch akzeptiert, gelten aber als schwach; Schlüssel unter 1024 Bit werden abgelehnt. Kann Ihr DNS-Anbieter den langen Wert nicht in einem String speichern, teilen Sie ihn im selben TXT-Eintrag in mehrere Strings in Anführungszeichen auf.

Brauche ich BIMI?

Nein. BIMI ist optional und verbessert die Zustellbarkeit allein nicht. Es zeigt Ihr Logo in unterstützten Postfächern, sobald DMARC auf quarantine oder reject steht; Gmail und Apple Mail verlangen zusätzlich ein Verified Mark Certificate (Gmail akzeptiert auch ein Common Mark Certificate).

Warum findet der Checker meinen DKIM-Schlüssel nicht?

Einen DKIM-Schlüssel findet man nur, wenn man den Selektor kennt — DNS kann Schlüssel nicht auflisten. Wir testen über 30 gängige Selektoren; nutzt Ihre Plattform einen eigenen, geben Sie ihn im optionalen Feld ein. Prüfen Sie auch, ob die Plattform mit Ihrer eigenen Domain signiert (d=ihredomain) und nicht mit ihrer.

Wie lange dauert es, bis DNS-Änderungen sichtbar sind?

Meist Minuten, im Extremfall aber bis zur TTL des Eintrags (oft eine Stunde, manchmal bis zu 48 Stunden). Unsere Ergebnisse werden 10 Minuten zwischengespeichert — warten Sie also kurz, bevor Sie erneut prüfen.

Authentifizierte Domain + saubere Liste = Posteingang

Ein kostenloses Konto bringt 200 Credits (10 für E-Mails kostenloser Anbieter), um Listen in großen Mengen, über die REST-API oder in Echtzeit in Ihren Formularen zu validieren.

Kostenloses Konto — 200 Credits

Keine Kreditkarte. Credits verfallen nie.