E-Mail-Domain-Zustand überwachen: was prüfen und wann

Ihre E-Mail-Domain besteht zum großen Teil aus einer Handvoll DNS-Einträgen. Am Tag der Veröffentlichung waren sie korrekt, dann wurde das Hosting gewechselt, ein Versandtool hinzugefügt, ein Schlüssel rotiert oder es wurden „ungenutzte“ TXT-Einträge aufgeräumt. Der Schaden kündigt sich nirgends an. Die E-Mails fließen zunächst weiter, dann steigen Bounces und Spam-Platzierung schleichend an, und niemand kann sagen, wann es begann. Dieser Leitfaden erklärt, was E-Mail-Domain-Zustand bedeutet, welche Einträge dazugehören, was lautlos bricht und wie sich eine einmalige Prüfung von einer Überwachung unterscheidet, die jeden Tag läuft.

Die kurze Antwort#

E-Mail-Domain-Zustand ist die Frage: „Sind die DNS-Einträge, über die die Welt E-Mails an diese Domain zustellt und ihren E-Mails vertraut, vorhanden, gültig und unverändert?“ In der Praxis sind das sechs Dinge: MX (kann Ihnen überhaupt jemand zustellen), SPF (welche Server dürfen in Ihrem Namen senden), DKIM (ist Ihr Signaturschlüssel veröffentlicht), DMARC (was sollen Empfänger tun, wenn Prüfungen scheitern) sowie MTA-STS und BIMI als optionale Extras. Eine einmalige Prüfung zeigt den Zustand jetzt. Überwachung wiederholt die Prüfung nach Zeitplan und meldet, wenn sich etwas ändert, und das ist wichtig, weil die meisten Ausfälle Rückschritte sind und keine Einrichtungsfehler. Führen Sie heute die kostenlose Domain-Zustandsprüfung aus, um eine Ausgangsbasis zu erhalten, und entscheiden Sie dann, ob sich eine tägliche Kontrolle für die Domains lohnt, auf die Sie angewiesen sind.

Was eine Domain-Zustandsprüfung abdeckt#

Jeder Eintrag in der Tabelle beantwortet eine andere Frage, und jeder kann für sich ausfallen.

Die ersten vier entscheiden, ob Ihre E-Mails zugestellt werden und als vertrauenswürdig gelten. DMARC einrichten und der Überblick zu SPF, DKIM und DMARC im Zusammenspiel erklären, wie man sie schreibt. MTA-STS und TLS-RPT und BIMI sind optionale Härtungen, ein fehlender Eintrag ist dort also eine Information und kein Notfall.

Bedenken Sie, dass Mailbox-Anbieter das inzwischen verlangen. Die Absenderanforderungen von Google und Yahoo erwarten von Massenversendern SPF, DKIM und einen DMARC-Record, wobei die From-Domain mit SPF oder DKIM im Alignment sein muss, und Microsoft wendet ähnliche Regeln auf Hochvolumen-Versender an Outlook.com-Adressen an. Ein Record, der still verschwindet, kann Sie über Nacht von konform zu nicht konform machen.

Was bricht, ohne dass es jemand merkt#

Authentifizierungsfehler sehen selten wie Fehler aus. E-Mails werden weiter angenommen, einige landen im Spam, und die Ursache ist ein Eintrag, den seit Monaten niemand angesehen hat. Diese Fälle tauchen immer wieder auf.

• Eine DNS-Migration verliert TXT-Records. Sie wechseln den DNS-Host, das Importtool kopiert A- und CNAME-Records, und die TXT-Einträge für SPF, DKIM und DMARC fehlen oder werden verstümmelt. Die ganze Geschichte steht in wenn SPF, DKIM und DMARC nicht mehr funktionieren.
• Ein zweiter SPF-Record erscheint. Ein Marketing-Tool sagt jemandem, er solle „diesen TXT-Record hinzufügen“, und nun hat die Domain zwei SPF-Records. Empfänger werten das als permanenten Fehler, sodass SPF für alles fehlschlägt.
• SPF wächst über 10 DNS-Abfragen hinaus. Jedes neue Tool bringt ein include: mit, und eines Tages überschreitet der Record das Limit. SPF: zu viele DNS-Abfragen erklärt das Zählen und die Lösung.
• Ein DKIM-Schlüssel wird rotiert oder entfernt. Der Anbieter wechselt zu einem neuen Selektor, oder jemand löscht den alten Schlüssel, während noch damit signiert wird. Ihren DKIM-Selektor finden zeigt, wie Sie erkennen, welchen Schlüssel ein Absender tatsächlich verwendet.
• DMARC wird gelöscht oder bekommt nie Berichte. Entweder ist der Record weg, oder rua= zeigt ins Leere, sodass Sie nicht sehen, wer in Ihrem Namen sendet.
• Ein kurzer DKIM-Schlüssel bleibt bestehen. Ein 1024-Bit-Schlüssel funktioniert weiterhin, und genau deshalb bleibt er jahrelang. Der Standard sagt, Signierer sollten mindestens 2048 verwenden.

Keiner dieser Fälle braucht einen Angreifer. Es ist ganz normale Wartung, weshalb eine gelegentliche manuelle Durchsicht sie übersieht: Nichts wirkt kaputt, bis die Zahlen sich bewegen.

Einmalige Prüfung oder tägliche Überwachung#

Eine einmalige Prüfung ist das richtige Werkzeug in drei Situationen: nachdem Sie Records veröffentlicht oder geändert haben, wenn Sie eine konkrete Beschwerde untersuchen und wenn Sie eine Domain übernehmen, die Sie nicht selbst eingerichtet haben. Sie ist kostenlos, dauert Sekunden und liefert eine Momentaufnahme. Nutzen Sie die Domain-Zustandsprüfung für das Gesamtbild oder den SPF-, DKIM- und DMARC-Checker, wenn Sie nur die Authentifizierungs-Records brauchen.

Überwachung beantwortet eine andere Frage: Was hat sich seit gestern geändert, und wer muss es wissen? Die oben genannten Ausfälle geschehen alle zwischen zwei Prüfungen. Entscheidend ist die Zeit von „Record gebrochen“ bis „jemand hat es bemerkt“, und bei einem manuellen Vorgehen ist diese Lücke so lang, wie es dauert, bis die Bounce-Rate eine Untersuchung auslöst. Tägliche Prüfung macht daraus höchstens einen Tag.

Eine faire Entscheidungshilfe:

1. Eine Domain, selten geändert, ein Versandtool: Eine einmalige Prüfung nach jeder Änderung reicht wahrscheinlich aus.
2. Mehrere Domains, mehrere Absender oder mehr als eine Person mit DNS-Zugriff: Eine tägliche Kontrolle zahlt sich spätestens dann aus, wenn jemand einen Record ändert, ohne es Ihnen zu sagen.
3. Geparkte oder sekundäre Domains, von denen Sie nie senden: Prüfen Sie sie gelegentlich, denn ein fehlender oder zu lockerer DMARC-Record ist dort eine Einladung zum Spoofing.

Wobei ein Alarm sinnvoll ist#

Ein Alarm ist nur nützlich, wenn er selten und konkret ist. Es lohnt sich, jemanden zu wecken, bei Einträgen, deren Änderung bedeutet, dass E-Mails jetzt scheitern. Als Faustregel würden wir sie so trennen.

Noch am selben Tag handeln:

• MX fehlt oder ein MX-Host löst nicht mehr auf.
• SPF fehlt, SPF ist doppelt veröffentlicht, ein Syntaxfehler oder mehr als 10 Abfragen.
• DMARC fehlt oder ist ungültig, einschließlich zwei DMARC-Records.
• Ein DKIM-Selektor, auf den Sie sich verlassen und der keinen Schlüssel mehr liefert (das Produkt kann das nur für Selektoren melden, die Sie ihm genannt haben).

Diese Woche prüfen:

• SPF bei 9 oder 10 Abfragen, eine Ergänzung vom Fehlschlag entfernt.
• DMARC steht noch auf p=none oder es gibt keine rua=-Adresse für Berichte.
• Ein 1024-Bit-DKIM-Schlüssel oder ein Schlüssel, der noch als Test markiert ist (t=y).
• Ein ?all-Qualifier oder der nicht empfohlene ptr-Mechanismus in SPF.

Zur Information:

• MTA-STS- und BIMI-Records, die erscheinen oder verschwinden.

Die Domain-Zustand-Überwachung von Qualisend bildet diese auf zwei Schweregrade ab: 20 Issue-Codes für MX, SPF, DKIM und DMARC, jeweils als „bad“ oder „warn“ markiert, und eine Bewertung der Domain, die schlicht dem schlimmsten vorhandenen Schweregrad entspricht. Alles aus der ersten Liste ist „bad“, alles aus der zweiten ist „warn“. Sie erhalten eine E-Mail, wenn ein Problem auftritt und wenn es verschwindet. DNS-Fehler wie Timeouts markieren die Prüfung als „konnte nicht geprüft werden“ und lösen nie einen Alarm aus, sodass Resolver-Probleme nicht zum Fehlalarm werden. Ein Problem gilt nach der zweiten sauberen Prüfung als behoben, die Entwarnung kann sich also um bis zu zwei Tage verzögern, wenn Sie nicht von Hand neu prüfen.

Eine Ausgangsbasis und eine Routine#

Sie brauchen keine Plattform, um den größten Teil des Nutzens zu erhalten. Gehen Sie pro Domain einmal so vor.

1. Notieren Sie Ihre Absender. Listen Sie jedes System auf, das als diese Domain sendet: Mailbox-Anbieter, Marketing-Plattform, Transaktionsdienst, CRM, Helpdesk, Rechnungsstellung. Jedes sollte in SPF abgebildet und mit DKIM signiert sein.
2. Führen Sie eine Basisprüfung durch und speichern Sie das Ergebnis. Notieren Sie die Zahl der SPF-Abfragen, die vorhandenen DKIM-Selektoren und Ihre DMARC-Richtlinie.
3. Halten Sie die DKIM-Selektoren fest, die jeder Absender verwendet. Selektornamen vergisst man leicht und errät sie später schwer. So finden Sie einen DKIM-Selektor zeigt, wo Sie sie ablesen.
4. Veröffentlichen Sie eine Berichtsadresse in DMARC, damit Fehlschläge eine Spur hinterlassen. Die Berichte lesen und DMARC-Monitoring behandeln, was Sie damit tun.
5. Prüfen Sie nach jeder DNS-Änderung neu und nach dem Hinzufügen oder Entfernen eines Versandtools, danach unabhängig davon einmal im Monat.

Wenn eine Domain für den Umsatz zählt, ist der letzte Schritt derjenige, den Menschen irgendwann nicht mehr tun, und genau ihn ersetzt die Überwachung.

Was Überwachung nicht sehen kann#

Seien Sie sich der Grenzen bewusst, damit Sie sich nicht in der falschen Hinsicht auf sie verlassen.

• Sie liest öffentliches DNS. Sie sendet keine Test-E-Mails, beobachtet nicht Ihre tatsächlich ausgehenden Nachrichten und misst keine Posteingangsplatzierung. Ein SPF-Record kann völlig gültig sein und trotzdem einen Absender vermissen, den Sie vergessen haben. Um zu sehen, wie sich eine echte Nachricht authentifiziert und was ein empfangender Server sieht, nutzen Sie den E-Mail-Zustellbarkeitstest. Auch er misst keine Posteingangsplatzierung.
• DMARC wird geparst; MTA-STS und BIMI werden nur auf Vorhandensein geprüft. Sie ruft keine MTA-STS-Richtliniendatei ab und validiert kein BIMI-Logo und kein Zertifikat.
• Sie überwacht Domains, nicht Versand-IPs, und verändert nie Ihr DNS. Probleme beheben Sie bei Ihrem eigenen DNS-Host.
• Täglich heißt täglich. Eine Änderung wird innerhalb von 24 Stunden erkannt, nicht in Echtzeit.
• Sie sagt Ihnen nicht, wer als Ihre Domain sendet. Dafür sind DMARC-Aggregatberichte da, und DMARC-Berichte ist das eigene Produkt, das darum herum gebaut ist.

Die Preise sind pro Stufe pauschal zum Standardtarif: 8,99 $ im Monat für eine Domain, 89 $ für bis zu 10 und 499 $ für bis zu 60, ohne Credits und ohne Pflicht, etwas anderes dazuzukaufen.

Noch ein Hinweis: Standards entwickeln sich weiter. DMARC wurde in RFC 7489 definiert, den RFC 9989 im Mai 2026 abgelöst hat. Prüfen Sie also den aktuellen Text, wenn Sie sich auf Randfallverhalten verlassen.

Gesundes DNS sorgt dafür, dass Ihren E-Mails vertraut wird, bereinigt aber nicht die Liste dahinter. Der kostenlose Tarif auf der Preisseite enthält 100 Credits, die die vollständige Verifizierung für eine Liste durchführen, denn auch eine gut überwachte Domain braucht eine gesunde Liste, um den Posteingang zu erreichen.