// audit · dns
Deine Mails landen im Spam — oder jemand versendet in deinem Namen. Wir prüfen SPF, DKIM und DMARC und lesen die komplette DNS-Zone deiner Domain. Heraus kommt der dns-report: jeder Befund priorisiert, mit fertigem Record-Vorschlag und der Reihenfolge, in der du ihn umsetzt. siteway prüft, du entscheidest.
// definition
Ein DNS- & E-Mail-Audit prüft, ob deine Domain technisch sauber E-Mails versendet und empfängt. Auf dem Prüfstand stehen SPF, DKIM und DMARC — die drei DNS-Verfahren, mit denen empfangende Mailserver entscheiden, ob eine Mail wirklich von dir kommt. Dazu kommen das Alignment dieser Verfahren, die komplette DNS-Zone mit MX- und PTR-Records und die Frage, welche Systeme überhaupt in deinem Namen versenden.
Das Audit ist eine Diagnose, keine Baustelle. Wir schauen uns den Ist-Zustand an und schreiben auf, was davon hält, was fehlt und was dich Zustellbarkeit kostet. Du bekommst den dns-report — und entscheidest danach frei, wer ihn umsetzt: dein Hoster, deine IT oder wir.
// anlass
e-mail ist infrastruktur
E-Mail fällt selten laut aus. Sie wird leise unzuverlässig: Die Bestellbestätigung kommt beim Kunden nicht an, das Kontaktformular schickt ins Nichts, der Newsletter landet im Werbung-Tab. Niemand meldet das — die Mails sind ja rausgegangen. Erst wenn Umsatz oder Bewerbungen fehlen, fällt es auf.
Die zweite Variante ist unangenehmer: Jemand versendet in deinem Namen. Ohne DMARC-Policy kann jeder Absender deine Domain ins Von-Feld schreiben — Spoofing kostet keine Technik, nur ein Skript. Deine Kunden sehen deinen Namen, du siehst nichts. Beides sind Konfigurationsprobleme im DNS, und beide sind mit Records lösbar. Man muss nur wissen, welche.
// prüfumfang · 6 bereiche
jeder bereich ein befund
Wir lesen deine DNS-Zone Record für Record und stellen sie gegen die Realität: gegen die Dienste, die tatsächlich Mails in deinem Namen verschicken. Jeder Bereich endet mit einem Befund — grün, gelb oder rot, immer mit Begründung.
// p-01inventar
Wer versendet eigentlich für dich? Mailserver, Google Workspace oder Microsoft 365, Newsletter-Tool, CRM, Shop, Ticketsystem, Formular- und Systemmails der Website. Diese Liste ist die Grundlage — ohne sie prüft man Records ins Blaue.
befund: versender-liste
// p-02spf
Ein SPF-Record je Domain, nicht zwei. Alle Versender aus dem Inventar enthalten. Und höchstens 10 DNS-Lookups — darüber liefert SPF einen permerror, und die Prüfung schlägt fehl, obwohl der Record „da" ist.
befund: record · lookups · dubletten
// p-03dkim
Jeder Versanddienst signiert mit einem eigenen Selektor. Wir prüfen je Dienst: Ist der öffentliche Schlüssel im DNS, ist die Schlüssellänge zeitgemäß, und hält die Signatur beim Empfänger tatsächlich?
befund: selektor je dienst
// p-04dmarc
Policy, Alignment, Reporting. Steht p=none, quarantine oder reject — und passt die Domain in der Signatur zur Domain im Von-Feld? Ohne Alignment nützt ein gültiger SPF-Record nichts. Und laufen die rua-Reports überhaupt irgendwo auf?
befund: policy · alignment · rua
// p-05zone
Die ganze Zone, nicht nur die drei Mail-Records: MX, A, CNAME, PTR, TTL und Nameserver. Wir finden verwaiste Einträge alter Dienste, widersprüchliche Ziele und TTLs, die einen Umzug zur Zitterpartie machen.
befund: zonen-inventar
// p-06transport
MTA-STS und TLS-RP für verschlüsselten Transport, PTR-Record für die versendende IP, dazu der Blacklist-Status von IP und Domain. Reputation ist der Teil, den kein Record allein rettet — aber ein sauberes Setup hält sie stabil.
befund: mta-sts · blacklists
// mehrwert
grün heißt nicht zugestellt
Kostenlose SPF-, DKIM- und DMARC-Checker gibt es reichlich, und sie sind ein guter erster Blick. Sie fragen ab, was im DNS steht, und melden „gültig" oder „fehlt". Nur beantworten sie die drei Fragen nicht, an denen Zustellbarkeit tatsächlich hängt: Wer versendet für dich? Hält das unter Last? Und was zuerst?
// c-01blindstelle
Ein Checker sieht deinen SPF-Record — aber nicht das Bewerbungstool, das die Personalabteilung vor zwei Jahren angebunden hat. Wir schalten DMARC-Reporting scharf und lesen aus den Reports, wer real in deinem Namen versendet. Erst dann ist die Liste vollständig.
rua-reports statt raten
// c-02alignment
SPF und DKIM können beide „grün" sein und DMARC scheitert trotzdem — weil die geprüfte Domain nicht zur Domain im Von-Feld passt. Genau dieses Alignment ist die häufigste stille Ursache, wenn Mails über Dritt-Dienste rausgehen und beim Empfänger durchfallen.
aspf · adkim
// c-03reihenfolge
Wer DMARC sofort auf p=reject stellt, blockt zuverlässig auch die eigenen Rechnungsmails. Der Weg führt über p=none mit Reporting, dann quarantine, dann reject — erst wenn alle Versender sauber signieren. Der Report schreibt dir diese Staffel auf.
none → quarantine → reject
// kontext · warum das seit 2024 dringlicher ist
Google verlangt seit dem 1. Februar 2024 von Absendern mit mehr als 5.000 Nachrichten pro Tag an Gmail-Konten SPF und DKIM, zusätzlich einen DMARC-Eintrag, eine Abmeldung mit einem Klick und eine in den Postmaster Tools gemeldete Spamrate unter 0,3 %. Was früher „nice to have" war, ist damit Voraussetzung für die Zustellung — und die Grenze rutscht nach unten, sobald Newsletter, Shop und CRM zusammen versenden. (Quelle: Google-Richtlinien für E-Mail-Absender)
// output · dns-report
der report gehört dir
Der dns-report ist ein Dokument, kein Dashboard-Zugang. Jeder Befund steht mit Beleg da: was wir gemessen haben, warum es ein Problem ist, was es dich kostet. Dazu die Einordnung nach Wirkung und Aufwand — damit du siehst, welche zwei Records am Montag gesetzt gehören und welche Baustelle Zeit hat.
Konkret heißt das: fertige Record-Vorschläge zum Kopieren, jeweils mit Zielsystem und Kommentar. Dein Hoster oder deine IT setzt sie ein, ohne dass jemand nochmal recherchieren muss. Dazu die Staffel für DMARC, die Liste der Versender und ein Prüf-Kommando, mit dem du nach der Umsetzung selbst nachsehen kannst.
Wenn du willst, setzen wir es um oder begleiten den Weg zu p=reject — das läuft dann über Betrieb, Wartung & Support. Musst du aber nicht. Der Report funktioniert auch ohne uns.
// ablauf · 4 schritte
3–5 werktage bis zum report
// schritt 01 · briefing
Welche Domains, welche Mailsysteme, welche Tools versenden? Du nennst uns, was du weißt — die Lücken finden wir. Danach steht der Festpreis.
output: scope + festpreis
// schritt 02 · messung
Wir ziehen die komplette DNS-Zone, prüfen SPF, DKIM und DMARC gegen jeden Versender und schicken Testmails durch die echten Wege — Formular, Shop, Newsletter.
output: rohbefunde
// schritt 03 · bewertung
Jeder Befund bekommt Wirkung und Aufwand. Daraus wird eine Reihenfolge — inklusive der Staffel von p=none über quarantine zu reject, damit unterwegs keine Mail verloren geht.
output: priorisierte liste
// schritt 04 · übergabe ● ergebnis
Der dns-report mit allen Befunden, Record-Vorschlägen zum Kopieren und nächsten Schritten — plus ein Gespräch, in dem wir ihn mit dir und deiner IT durchgehen.
output: dns-report
// faq
Ein DNS- & E-Mail-Audit prüft, ob deine Domain technisch sauber E-Mails versendet und empfängt. Geprüft werden SPF, DKIM und DMARC, das Alignment dieser Verfahren, die komplette DNS-Zone mit MX- und PTR-Records sowie alle Systeme, die in deinem Namen versenden. Ergebnis ist ein Report mit priorisierten Befunden und den passenden Record-Vorschlägen.
Meist, weil die Empfänger deine Mails nicht sicher deiner Domain zuordnen können. Typische Ursachen: ein SPF-Record ohne den Dienst, der gerade versendet, fehlendes oder falsch hinterlegtes DKIM, ein DMARC-Eintrag, dessen Alignment nicht passt, oder eine versendende IP auf einer Blacklist. Das Audit findet heraus, welche dieser Ursachen bei dir zutrifft — und welche zuerst behoben gehört.
Für einen ersten Blick ja. Ein Checker prüft die Records, die er über DNS sieht, und sagt dir gültig oder ungültig. Er weiß aber nicht, welche Systeme in deinem Namen versenden, ob dein SPF-Record das Limit von 10 DNS-Lookups reißt, ob DMARC-Reports irgendwo auflaufen und in welcher Reihenfolge du die Baustellen anfassen solltest, ohne dass Mails ausfallen. Genau das liefert das Audit von siteway.
Festpreis nach Briefing. Sobald klar ist, wie viele Domains und Versandsysteme im Spiel sind, nennen wir einen Preis und halten ihn fest. Keine Stundenzettel, keine Überraschung am Ende.
In der Regel drei bis fünf Werktage ab Briefing. Wenn wir DMARC-Reports über einen echten Zeitraum auswerten sollen, um alle Versender zu finden, planen wir zusätzlich zwei bis vier Wochen Sammelphase ein — dafür richten wir das Reporting im ersten Schritt ein.
Nein. Das DNS- & E-Mail-Audit prüft Konfiguration: Records, Policies, Alignment und Zustellbarkeit. Es ist kein Penetrationstest, keine Prüfung deines Mailservers von innen und keine Rechtsberatung. Angriffsfläche, Header und Zertifikate deiner Website sind Thema im Security-Audit, Server und Hosting im Hosting- & Infrastruktur-Audit.
Nein. Der Report gehört dir. Die Record-Vorschläge sind so notiert, dass dein Hoster, deine IT oder dein Systemhaus sie direkt übernehmen kann. Wenn du willst, setzen wir es um oder begleiten den Weg von p=none zu p=reject — musst du aber nicht.
// passt dazu
umsetzung & nachbarprüfungen
// leistung · umsetzung
Das Audit findet die Befunde — diese Leistung setzt sie um und hält die Zone sauber: Records pflegen, DMARC-Reports beobachten, Policy hochziehen.
weiterlesen →
// audit · security
Die Nachbarprüfung für die Website statt für die Mails: Angriffsfläche, Security-Header wie CSP und HSTS, Zertifikate und veraltete Komponenten.
weiterlesen →
// tool · kostenlos
Für den ersten Blick auf deine Domain: kostenlos, ohne Anmeldung. Ersetzt kein Audit, zeigt aber, ob sich ein genauerer Blick lohnt.
zum tool →
// Kommen deine Mails wirklich an?
Audit anfragen