Häufige Fragen

Sie erhalten auf der Startseite eine zufällige Testadresse. Senden Sie eine E-Mail dorthin – am besten genau so, wie Sie sie sonst auch versenden würden, also aus demselben Programm und über denselben Server.

Sobald die Nachricht eintrifft, prüfen wir sie automatisch und leiten Sie zum Ergebnis weiter. Das dauert in der Regel nur wenige Sekunden.

Die Adresse ist 10 Minuten lang gültig. Danach wird sie ungültig und Sie benötigen eine neue. Laden Sie dafür einfach die Startseite neu.

Ihre Nachricht wird für die Auswertung gespeichert und 1 Stunde(n) nach dem Eingang automatisch gelöscht – zusammen mit dem Ergebnis.

Wichtig: Wer den Ergebnislink kennt, kann in diesem Zeitraum auch die vollständige Rohnachricht einsehen. Senden Sie deshalb keine vertraulichen Inhalte an die Testadresse. Das gilt für vergleichbare Dienste ebenso.

Acht Prüfmodule vergeben zusammen 10,5 Rohpunkte, die auf eine Skala von 0 bis 10 umgerechnet werden:

• SPF: bis 2,0 Punkte
• DKIM: bis 2,0 Punkte
• Sperrlisten: bis 2,0 Punkte
• DMARC: bis 1,5 Punkte
• SpamAssassin: bis 1,5 Punkte
• PTR / Reverse-DNS: bis 0,5 Punkte
• Kopfzeilen: bis 0,5 Punkte
• Inhalt: bis 0,5 Punkte

Ab 8 Punkten ist Ihre Nachricht gut aufgestellt. Unter 6 Punkten sollten Sie die roten Prüfungen zuerst angehen – dort steht jeweils, was konkret zu tun ist.

In dieser Reihenfolge erzielen Sie die größte Wirkung:

1. Sperrlisten – ein Eintrag führt zur direkten Abweisung. Ursache beheben, dann Streichung beantragen.
2. PTR-Eintrag – ohne ihn weisen große Anbieter oft grundsätzlich ab. Beim Anbieter der IP-Adresse anfragen.
3. SPF – ein einzelner DNS-Eintrag, schnell erledigt.
4. DKIM – auf dem Mailserver einrichten und den öffentlichen Schlüssel veröffentlichen.
5. DMARC – erst danach, denn es baut auf beiden auf.

DNS-Änderungen brauchen Zeit, bis sie überall bekannt sind – je nach eingestellter Gültigkeitsdauer wenige Minuten bis mehrere Stunden. Unser Dienst speichert DNS-Antworten nur 60 Sekunden zwischen, Sie können also zügig erneut testen.

Bekommen Sie weiterhin das alte Ergebnis, liegt es meist an der Gültigkeitsdauer Ihres eigenen DNS-Eintrags, nicht an diesem Dienst.

Dann meldet der Bericht in aller Regel einen konkreten Grund. Am häufigsten ist der Körper-Hash betroffen: In diesem Fall wurde die Nachricht nach dem Signieren verändert. Typische Verursacher sind Mailinglisten, die eine Fußzeile anhängen, Virenscanner, die einen Hinweis einfügen, oder Systeme, die Anhänge umschreiben.

Steht dort dagegen, dass kein Schlüssel im DNS gefunden wurde, prüfen Sie den Selektor: Der Eintrag muss unter selektor._domainkey.ihre-domain.de liegen.

Nein. Der Test prüft die technischen Voraussetzungen – und die sind bei voller Punktzahl erfüllt. Über die Zustellung entscheiden aber weitere Faktoren, die sich mit einer einzelnen Nachricht nicht messen lassen:

• die Reputation Ihrer Domain und IP-Adresse über die Zeit
• wie Empfänger auf Ihre Nachrichten reagieren (öffnen, löschen, als Spam melden)
• wie aktuell und sauber Ihre Empfängerliste ist

Die technische Grundlage ist die Voraussetzung, nicht die Garantie.

Ja, pro IP-Adresse sind 10 Tests je Stunde möglich. Das schützt den Dienst vor automatisierter Überlastung. Für regelmäßige Prüfungen größeren Umfangs sprechen Sie uns gerne an.

Der Test ist kostenlos und ohne Anmeldung nutzbar. Es werden keine Zugangsdaten benötigt und keine Werbenetzwerke eingebunden.

Eine eingehende Nachricht ist für diesen Dienst reine Eingabe, die ausgewertet und angezeigt wird – sie wird an keiner Stelle ausgeführt. Konkret:

• SQL-Injection: Alle Datenbankzugriffe laufen über vorbereitete Anweisungen mit gebundenen Parametern. Inhalte der Nachricht werden nie in einen SQL-Befehl eingesetzt.
• Cross-Site-Scripting: Jede Ausgabe wird maskiert. Enthält Ihre Nachricht HTML oder JavaScript, erscheint es im Bericht als sichtbarer Text und wird nicht ausgeführt. Zusätzlich verbietet eine Content-Security-Policy dem Browser, überhaupt fremde oder eingebettete Skripte auszuführen.
• Befehlsausführung: Der Dienst ruft keine Shell auf. Die Übergabe von Postfix an die Anwendung erfolgt über eine feste Schnittstelle; Absender- und Empfängerangaben werden dabei von Steuerzeichen befreit.
• Anhänge: werden weder gespeichert noch geöffnet. Erfasst wird nur der Dateiname zur Anzeige.
• Abschottung: Jeder Dienst läuft in einem eigenen Container. Datenbank, Zwischenspeicher und Spamfilter sind von außen nicht erreichbar; nur Webserver und Mailempfang sind es.

Diese Punkte wurden mit gezielten Testnachrichten überprüft, die typische Angriffsmuster enthielten – die Datenbank blieb unverändert und im Bericht wurde kein eingeschleuster Code ausgeführt.

SPF ist ein Eintrag im DNS Ihrer Domain, in dem Sie auflisten, welche Server in Ihrem Namen E-Mails versenden dürfen. Der empfangende Mailserver prüft, ob die IP-Adresse des einliefernden Servers in dieser Liste steht. Fehlt der Eintrag oder ist der Server nicht aufgeführt, landet Ihre Nachricht häufig im Spam-Ordner. Wichtig: SPF prüft den Absender aus dem SMTP-Umschlag (Return-Path), nicht die sichtbare Absenderadresse in der From-Zeile.

Beispiel:

v=spf1 ip4:45.88.108.43 include:_spf.google.com ~all

Ihr Mailserver signiert jede ausgehende Nachricht mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel hinterlegen Sie im DNS. Der Empfänger prüft damit zwei Dinge: dass die Nachricht wirklich von Ihrer Domain stammt und dass sie unterwegs nicht verändert wurde. Schlägt die Prüfung fehl, obwohl DKIM eingerichtet ist, hat meist ein System dazwischen die Nachricht nachträglich verändert – etwa eine Mailingliste, ein Virenscanner oder ein Signatur-Anhang.

Beispiel:

selektor._domainkey.ihre-domain.de  TXT  "v=DKIM1; k=rsa; p=MIGfMA0…"

DMARC baut auf SPF und DKIM auf und schließt deren größte Lücke: Beide prüfen nicht zwingend die Adresse, die der Empfänger tatsächlich sieht. DMARC verlangt, dass die Domain aus der From-Zeile zur SPF- oder DKIM-Domain passt (genannt „Alignment"). Zusätzlich legen Sie fest, wie der Empfänger mit Nachrichten umgehen soll, die durchfallen: nur beobachten (p=none), in den Spam-Ordner (p=quarantine) oder abweisen (p=reject). Beginnen Sie mit p=none, werten Sie die Berichte aus und verschärfen Sie die Richtlinie erst danach.

Beispiel:

_dmarc.ihre-domain.de  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@ihre-domain.de"

Sperrlisten – auch DNSBL oder RBL genannt – sammeln IP-Adressen, von denen Spam ausging. Viele Mailserver fragen diese Listen bei jeder eingehenden Verbindung ab und weisen gelistete Absender direkt ab. Ein Eintrag entsteht schnell: ein gekapertes Postfach, ein falsch konfiguriertes Kontaktformular oder ein Vorbesitzer der IP-Adresse genügen. Die Streichung beantragen Sie über das Webformular der jeweiligen Liste – beheben Sie aber zuerst die Ursache, sonst erfolgt die nächste Listung umgehend.

Normales DNS beantwortet die Frage „welche IP-Adresse hat dieser Name?". Der PTR-Eintrag beantwortet die Gegenrichtung: „welcher Name gehört zu dieser IP-Adresse?". Große Anbieter wie Google und Microsoft weisen Nachrichten von Servern ohne PTR-Eintrag oft grundsätzlich ab. Den Eintrag können Sie in der Regel nicht selbst setzen – er wird von dem Anbieter verwaltet, dem die IP-Adresse gehört. Ein kurzer Hinweis an den Support genügt meist.

FCrDNS steht für „Forward-Confirmed reverse DNS". Es genügt nicht, dass Ihre IP-Adresse irgendeinen Namen zurückliefert – dieser Name muss auch wieder auf genau diese IP-Adresse verweisen. Beide Richtungen müssen also zusammenpassen. Andernfalls könnte jeder einen beliebigen Namen eintragen. Ideal ist es, wenn zusätzlich der HELO-Name Ihres Mailservers mit dem PTR-Eintrag übereinstimmt.

SpamAssassin prüft eine Nachricht gegen mehrere hundert Regeln und vergibt für jede zutreffende Regel Plus- oder Minuspunkte. Ab etwa 5 Punkten gilt eine Nachricht üblicherweise als Spam. Bewertet werden unter anderem Formulierungen, der Aufbau der Nachricht, das Verhältnis von Text zu Bildern und die Reputation der verlinkten Domains. Da viele Mailserver SpamAssassin oder ein vergleichbares System einsetzen, ist dieser Wert ein guter Anhaltspunkt.

Jeder Rechner im Internet besitzt eine IP-Adresse, etwa 45.88.108.43 (IPv4) oder 2a01:4f8::1 (IPv6). Für die Zustellbarkeit ist die IP-Adresse entscheidend, von der Ihre Nachricht tatsächlich eingeliefert wurde – nicht die Ihres Arbeitsplatzrechners. Bei ihr prüfen die Empfänger Reputation, Sperrlisten und PTR-Eintrag.

Zu Beginn jeder SMTP-Verbindung nennt der sendende Server seinen Namen – mit dem Befehl HELO oder EHLO. Dieser Name sollte ein gültiger Hostname sein und zum PTR-Eintrag der IP-Adresse passen. Meldet sich ein Server mit „localhost" oder einem nicht auflösbaren Namen, werten viele Filter das als Warnsignal.

Eine E-Mail hat zwei Absenderangaben: die sichtbare in der From-Zeile und die technische im SMTP-Umschlag, auch Return-Path oder MAIL FROM genannt. An letztere gehen Unzustellbarkeitsmeldungen. SPF prüft ausschließlich den Umschlagabsender. Bei Newsletter-Diensten unterscheiden sich beide Adressen häufig – genau deshalb ist DMARC mit seiner Alignment-Prüfung so wichtig.

Jede E-Mail sollte eine eindeutige Message-ID in der Form <zufallswert@ihre-domain.de> besitzen. Mailserver erkennen daran Duplikate, und E-Mail-Programme ordnen darüber Antworten zu Gesprächsverläufen zusammen. Fehlt die Message-ID oder ist sie fehlerhaft aufgebaut, gilt das als deutlicher Spam-Hinweis.

Mit dieser Kopfzeile stellen Sie eine maschinenlesbare Abmeldemöglichkeit bereit. Gmail und Outlook zeigen daraufhin direkt neben dem Absender einen Abmelde-Knopf an. Das senkt die Wahrscheinlichkeit deutlich, dass Empfänger stattdessen auf „Spam melden" klicken – und genau das schadet Ihrer Reputation am meisten. Für den Versand größerer Mengen an Gmail und Yahoo ist die Kopfzeile inzwischen verpflichtend.

Auf dem Weg zum Empfänger verändern Server Nachrichten geringfügig – etwa Leerzeichen am Zeilenende oder die Zeilenumbrüche in Kopfzeilen. Damit die DKIM-Signatur trotzdem gültig bleibt, wird die Nachricht vor dem Signieren in eine einheitliche Form gebracht. „simple" toleriert dabei fast nichts, „relaxed" erlaubt kleinere Abweichungen. In der Praxis wird meist relaxed/relaxed verwendet.

Die acht Prüfmodule vergeben zusammen 10,5 Rohpunkte, die auf eine Skala von 0 bis 10 umgerechnet werden. Ab 8 Punkten ist Ihre Nachricht gut aufgestellt. Der Wert ist ein Anhaltspunkt, keine Garantie: Auch die Reputation Ihrer Domain und das bisherige Verhalten der Empfänger beeinflussen die Zustellung – beides lässt sich mit einer einzelnen Testnachricht nicht messen.