Wofür ist der Domain Check gedacht?

Für den schnellen Gesamtüberblick über die E-Mail-Konfiguration einer Domain: MX, SPF, DMARC, DKIM, MTA-STS und SMTP-Erreichbarkeit in einem Durchlauf, mit einer Ampel je Bereich. Für die Detailarbeit an einem einzelnen Aspekt sind die Einzel-Werkzeuge schneller und ausführlicher.

Warum findet der Domain Check keinen DKIM-Selector?

Ohne Selector-Eingabe probiert er nur eine Liste gängiger Selektoren durch (default, google, selector1, s1 und weitere). Nutzt die Domain einen anderen Selector, den Wert aus dem Feld s= der DKIM-Signature-Zeile einer echten Mail nehmen und den DKIM Lookup einzeln damit aufrufen.

Warum dauert der Domain Check länger als die Einzel-Checks?

Er führt alle Checks im selben Aufruf aus, inklusive DKIM-Selector-Suche, HTTPS-Abruf der MTA-STS-Policy und echten SMTP-Verbindungen zu den MX-Servern auf Port 25. Deshalb läuft er im Hintergrund und das Ergebnis erscheint automatisch, sobald alles durch ist.

Warum ist DANE nicht Teil des Domain Checks?

DANE ist bislang wenig verbreitet und erzeugt bei Domains ohne TLSA-Records nur Rauschen. Wer es einsetzt, prüft es gezielt mit dem DANE Check.

Der Domain Check ist grün, trotzdem landet Mail im Spam. Warum?

Konfiguration und Erreichbarkeit sind nur ein Teil der Zustellbarkeit. Dazu kommen die IP- und Domain-Reputation (Blocklist Check), das Sendeverhalten und inhaltliche Spam-Merkmale. Die DMARC-Aggregatberichte zeigen, wie Empfänger die eigene Mail tatsächlich bewerten.

Domain Check

Alle E-Mail-Checks für eine Domain in einem Durchlauf: MX, SPF, DMARC, DKIM, MTA-STS und ein SMTP-Verbindungstest.

Der Domain Check prüft die E-Mail-Konfiguration einer Domain in einem Durchlauf und fasst zusammen, was für Zustellbarkeit und Spoofing-Schutz zusammenspielen muss. Statt einzeln MX, SPF, DMARC, DKIM, MTA-STS und die SMTP-Erreichbarkeit zu prüfen, liefert er ein Gesamtbild mit einer Ampel je Bereich. Er ist der richtige Startpunkt bei Fragen wie warum kommt unsere Mail nicht an oder ist unsere Domain gegen Fälschung abgesichert.

Was dieses Werkzeug prüft

Es ruft sechs Einzel-Analysen im selben Durchlauf auf: MX Lookup (zuständige Mailserver, deren Adressen und Reverse DNS), SPF Check (Record, Syntax, die 10-Lookup-Grenze), DMARC Analyzer (Policy, Ausrichtung, Reporting), DKIM Lookup im Probe-Modus (eine Liste gängiger Selektoren), MTA-STS und TLS-RPT (Policy-Abruf per HTTPS, Abgleich mit den MX-Records) und einen SMTP Test, der sich mit den MX-Servern auf Port 25 verbindet und STARTTLS prüft. DANE bleibt bewusst außen vor, dafür gibt es das eigene Werkzeug.

Das Ergebnis lesen

Oben steht eine Kopfzeile mit der schlimmsten Stufe über alle Bereiche, darunter eine Fazit-Zeile je Bereich mit Ampel: grün heißt keine Beanstandung, gelb ein Hinweis oder eine Empfehlung, rot ein Fehler, der Zustellung oder Schutz beeinträchtigt. Jeder Bereich lässt sich aufklappen und zeigt dann exakt die Findings und den aufgelösten Baum des jeweiligen Einzel-Checks. Ein fehlschlagender Teil-Check (etwa ein Timeout beim SMTP-Teil) kippt den Gesamt-Check nicht, der Bereich wird dann als nicht abschließend geprüft markiert.

Grundlagen

Der Domain Check bündelt die Standards der Einzel-Checks: SPF nach RFC 7208, DMARC nach RFC 9989, DKIM nach RFC 6376, die MX- und SMTP-Ebene nach RFC 5321, MTA-STS nach RFC 8461 und TLS-RPT nach RFC 8460. Er bewertet nichts neu, sondern führt dieselbe Logik wie die Einzel-Werkzeuge aus, nur gebündelt und mit einem strengeren Zeit- und Abfrage-Budget.

Typische Fehlerbilder und wie man sie behebt

DKIM erscheint als nicht gefunden. Im Bündel läuft DKIM nur im Probe-Modus über gängige Selektoren. Nutzt die Domain einen eigenen Selector, ist das kein Fehler: den Selector aus dem DKIM-Signature-Header einer echten Mail nehmen und den DKIM Lookup einzeln damit aufrufen.
SPF grün, DMARC trotzdem rot. Häufig steht die Policy auf p=none oder es fehlt die rua-Adresse. SPF sagt nichts über die Durchsetzung, die trifft DMARC.
SMTP-Bereich meldet ein nicht vertrauenswürdiges Zertifikat. Auf Port 25 ist TLS opportunistisch, das ist zunächst nur ein Hinweis. Zum Fehler wird es erst, wenn MTA-STS im enforce-Modus oder DANE ein gültiges Zertifikat verlangt.
Ein Bereich bleibt ohne Ergebnis. Meist ein Timeout unter Last (der SMTP-Teil macht echte ausgehende Verbindungen). Den betroffenen Einzel-Check gezielt erneut ausführen, er hat mehr Zeitbudget.
Alles grün, Mail kommt trotzdem nicht an. Der Domain Check deckt Konfiguration und Erreichbarkeit ab, nicht die Reputation. Zusätzlich den Blocklist Check auf die sendende IP und die Aggregatberichte aus DMARC auswerten.

Häufige Fragen

Wofür ist der Domain Check gedacht?: Für den schnellen Gesamtüberblick über die E-Mail-Konfiguration einer Domain: MX, SPF, DMARC, DKIM, MTA-STS und SMTP-Erreichbarkeit in einem Durchlauf, mit einer Ampel je Bereich. Für die Detailarbeit an einem einzelnen Aspekt sind die Einzel-Werkzeuge schneller und ausführlicher.
Warum findet der Domain Check keinen DKIM-Selector?: Ohne Selector-Eingabe probiert er nur eine Liste gängiger Selektoren durch (default, google, selector1, s1 und weitere). Nutzt die Domain einen anderen Selector, den Wert aus dem Feld s= der DKIM-Signature-Zeile einer echten Mail nehmen und den DKIM Lookup einzeln damit aufrufen.
Warum dauert der Domain Check länger als die Einzel-Checks?: Er führt alle Checks im selben Aufruf aus, inklusive DKIM-Selector-Suche, HTTPS-Abruf der MTA-STS-Policy und echten SMTP-Verbindungen zu den MX-Servern auf Port 25. Deshalb läuft er im Hintergrund und das Ergebnis erscheint automatisch, sobald alles durch ist.
Was bedeutet die Ampel je Bereich?: Grün = keine Beanstandung, gelb = Hinweis oder Empfehlung, rot = Fehler, der Zustellung oder Schutz beeinträchtigt. Die Kopfzeile zeigt die schlimmste Stufe über alle Bereiche.
Warum ist DANE nicht Teil des Domain Checks?: DANE ist bislang wenig verbreitet und erzeugt bei Domains ohne TLSA-Records nur Rauschen. Wer es einsetzt, prüft es gezielt mit dem DANE Check.
Der Domain Check ist grün, trotzdem landet Mail im Spam. Warum?: Konfiguration und Erreichbarkeit sind nur ein Teil der Zustellbarkeit. Dazu kommen die IP- und Domain-Reputation (Blocklist Check), das Sendeverhalten und inhaltliche Spam-Merkmale. Die DMARC-Aggregatberichte zeigen, wie Empfänger die eigene Mail tatsächlich bewerten.