← Frankys Web GitHub Kontakt
Frankys Web Mailtools

E-Mail-Konfigurationen prüfen und verstehen

Mail Check

Eine echte E-Mail an eine Einmaladresse schicken und SPF, DKIM, DMARC und Blocklisten am tatsächlichen Versand prüfen lassen.

Dieses Werkzeug braucht ein kostenloses Konto. Alles andere auf mailtools bleibt ohne Anmeldung nutzbar.

Kostenlos registrieren Anmelden

Alle anderen Werkzeuge hier sehen sich an, was im DNS steht. Dieses sieht sich an, was tatsächlich passiert: du schickst eine echte Nachricht von deinem Mailserver, deinem Newsletter-Dienst oder deinem Ticketsystem an eine erzeugte Einmaladresse, und sie wird genau so geprüft, wie ein empfangender Server es tun würde. Der Unterschied ist größer, als er klingt. Ein SPF-Record kann tadellos aussehen und trotzdem den Server nicht abdecken, der wirklich sendet. Eine DKIM-Signatur kann im DNS veröffentlicht sein und beim Versand dennoch fehlen oder brechen. Erst die echte Mail zeigt das.

Was dieses Werkzeug prüft

Vier Dinge, in der Reihenfolge, in der ein Empfänger sie prüft. SPF gegen die IP-Adresse, die uns die Mail wirklich eingeliefert hat, und gegen den Umschlag-Absender (MAIL FROM), nicht gegen den sichtbaren Absender. DKIM wird kryptografisch nachgerechnet: der Signatur-Hash über den kanonisierten Nachrichtentext und die Signatur selbst gegen den im DNS veröffentlichten Schlüssel. DMARC ist danach kein eigener Test mehr, sondern die Frage, ob eine der beiden bestandenen Prüfungen zu der Domain passt, die im Mailprogramm als Absender steht. Und die einliefernde IP läuft gegen dieselben kuratierten Blocklisten wie im Blocklist Check.

Das Ergebnis lesen

Grün bedeutet: SPF oder DKIM hat bestanden und die dazugehörige Domain ist auf den sichtbaren Absender ausgerichtet, die Mail besteht also DMARC. Ein Fehler bei SPF ist nicht automatisch ein Drama, solange DKIM trägt: genau diese Arbeitsteilung lässt eine weitergeleitete Mail überleben, denn SPF bricht bei jeder Weiterleitung, die Signatur nicht. Umgekehrt ist eine fehlende DKIM-Signatur auch dann ein Befund, wenn SPF gerade besteht: die Authentifizierung hängt dann an einem einzigen Faden. Ein temperror ist nie eine Aussage über deine Mail, sondern über unsere Abfrage; beim nächsten Versuch kann er verschwinden.

Hintergrund

Maßgeblich sind RFC 7208 für SPF, RFC 6376 für DKIM (Ed25519-Signaturen zusätzlich RFC 8463) und RFC 9989 für DMARC, das seit 2026 den älteren RFC 7489 ablöst. Die Ausrichtung (Alignment) steht in RFC 9989 Abschnitt 3.1: relaxed akzeptiert dieselbe organisatorische Domain, strict verlangt exakte Gleichheit, steuerbar über die Tags aspf und adkim. Entscheidend ist der Punkt, den SPF und DKIM je für sich nicht leisten: beide sagen nichts darüber, was im Mailprogramm als Absender erscheint. Erst DMARC verbindet die technische Prüfung mit der sichtbaren Adresse, und genau deshalb ist es die einzige der drei, die Spoofing wirklich adressiert.

Typische Fehlerbilder

  • SPF besteht, DMARC nicht. Die Prüfung gilt für die Domain des Versanddienstleisters, nicht für die eigene. Aus Sicht von DMARC ist das nicht ausgerichtet und damit wertlos. Abhilfe: eine eigene Absenderdomain beim Dienstleister einrichten oder ihn mit deiner Domain signieren lassen.
  • Gar keine Signatur. Der Dienst bietet DKIM an, es wurde aber nie eingeschaltet. Häufigster Einzelbefund überhaupt.
  • Die Signatur bricht unterwegs. Fast immer eine Station, die den Nachrichtentext anfasst: ein Virenscanner mit Fußnote, eine Mailingliste mit angehängtem Abmeldehinweis. Der Hash über den Text stimmt danach nicht mehr.
  • Kein DMARC-Record. SPF und DKIM können tadellos sein, ohne Policy sagt trotzdem niemand, was ein Empfänger mit gefälschter Post tun soll.
  • Treffer auf einer Blockliste. Kostet Zustellbarkeit völlig unabhängig davon, wie sauber SPF, DKIM und DMARC dastehen.

Häufige Fragen

Wie lange gilt die angezeigte Adresse?
30 Minuten. In dieser Zeit nimmt sie mehrere Nachrichten an, jede ergibt ein eigenes Ergebnis. Danach nimmt sie nichts mehr an und wird gelöscht; beim nächsten Aufruf dieser Seite steht automatisch eine neue da. Du musst dafür nichts tun, und eine zweite Adresse auf Vorrat gibt es bewusst nicht: an eine solche Adresse kann jeder schreiben, der sie kennt.
Wird meine Testmail gespeichert?
Der Nachrichtentext nicht. Er wird zur Prüfung der DKIM-Signatur im Arbeitsspeicher gebraucht und danach verworfen, er erreicht die Datenbank nie. Das Ergebnis samt Header-Block liegt eine Stunde bereit und verschwindet dann von selbst. Speicherst du es ausdrücklich, wird das Ergebnis dauerhaft abgelegt, der Header-Block nicht: er verschwindet auch dann nach dieser Stunde.
Warum braucht DKIM den Nachrichtentext?
Weil der Tag <code>bh=</code> ein Hash über den kanonisierten Text ist (RFC 6376 Abschnitt 3.7). Eine Prüfung allein aus dem Header ist deshalb nicht möglich: ohne den Text lässt sich nicht feststellen, ob die Nachricht unterwegs verändert wurde.
SPF besteht, DMARC nicht. Wie geht das?
SPF prüft den Umschlag-Absender, DMARC den sichtbaren. Verschickt ein Dienstleister deine Post unter seiner eigenen Umschlag-Domain, besteht SPF für ihn und ist trotzdem nicht auf dich ausgerichtet. Abhilfe: eine eigene Absenderdomain beim Dienstleister einrichten oder DKIM mit deiner Domain signieren lassen.
Warum bekomme ich keine Antwortmail?
mailtools antwortet auf eingehende Post grundsätzlich nicht, weder mit einer Bestätigung noch mit einer Unzustellbarkeitsmeldung. Absenderadressen lassen sich fälschen, und eine automatische Antwort landete dann bei jemandem, der nie etwas geschickt hat. Das Ergebnis erscheint ausschließlich hier auf der Seite.
Warum landet meine Mail im Spam, obwohl SPF und DKIM stimmen?
Weil Authentifizierung nur die eine Hälfte ist. Ein Filter bewertet zusätzlich den Aufbau der Nachricht: fehlende Kopfzeilen, eine erfundene <code>Message-ID</code>, reine Bildmails ohne Textteil, verdächtige Links. Genau diese Bewertung zeigt der Mail Check als eigenen Befund an, mit den Regeln, die Punkte gegeben haben. Dazu kommt die Reputation der sendenden IP, die der Blocklist Check prüft.
Ersetzt das den Email Header Analyzer?
Nein, die beiden beantworten verschiedene Fragen. Der Header Analyzer liest eine fremde Mail aus, die dir jemand geschickt hat, und wertet aus, was andere Server hineingeschrieben haben. Der Mail Check prüft selbst, und zwar an einer Nachricht, die du gerade abgeschickt hast.