# Wie prüfe ich meine MX-, SPF-, DKIM- und DMARC-Einträge? > E-Mail-DNS prüfen mit dig MX, dig TXT, dig CNAME auf _domainkey und dig TXT _dmarc: 6 Abfragen decken eine Proton-Mail-Einrichtung mit 8 Einträgen ab. - URL: https://postelva.com/de/guides/check-email-dns-records/ - Zuletzt aktualisiert: 2026-11-12 - Herausgeber: Postelva (https://postelva.com) Vier Eintragstypen, ein Kommandozeilenwerkzeug. Führen Sie die Abfragen nach jeder Änderung aus und bevor Sie eine Richtlinie verschärfen. **Schnelle Antwort — Wie prüfe ich MX-, SPF-, DKIM- und DMARC-Einträge?** Führen Sie dig MX ihredomain +short für MX, dig TXT ihredomain +short für SPF, dig CNAME selector._domainkey.ihredomain +short für DKIM und dig TXT _dmarc.ihredomain +short für DMARC aus. Unter Windows leistet nslookup dasselbe. Eine vollständige Proton-Mail-Einrichtung auf einer **Postelva**-Domain braucht 6 Abfragen für 8 Einträge. ## Welche Abfrage prüft welchen Eintrag | Eintrag | dig-Befehl | Wie eine korrekte Antwort aussieht | | --- | --- | --- | | MX | dig MX example.com +short | 10 mail.protonmail.ch. und 20 mailsec.protonmail.ch. (Proton Mail) | | SPF | dig TXT example.com +short | Eine Zeile, die mit v=spf1 beginnt, zum Beispiel "v=spf1 include:_spf.protonmail.ch ~all" | | DKIM | dig CNAME fm1._domainkey.example.com +short | Das Ziel des Anbieters, zum Beispiel fm1.example.com.dkim.fmhosted.com. (Fastmail) | | DMARC | dig TXT _dmarc.example.com +short | Eine Zeile, die mit v=DMARC1 beginnt, zum Beispiel "v=DMARC1; p=none; rua=mailto:dmarc@example.com" | | MTA-STS (optional) | dig TXT _mta-sts.example.com +short | "v=STSv1; id=..." | *Zuletzt geprüft am 12. November 2026; ältere Angaben tragen ihr eigenes Datum.* *Die Abfragen mit dig, nslookup und PowerShell* ```bash # dig (macOS, Linux, Windows with BIND tools) dig MX example.com +short dig TXT example.com +short dig CNAME protonmail._domainkey.example.com +short dig TXT _dmarc.example.com +short # Ask the authoritative nameserver directly, skipping caches dig NS example.com +short dig MX example.com +short @ns1.your-nameserver.example # nslookup (Windows, macOS, Linux) nslookup -type=MX example.com nslookup -type=TXT _dmarc.example.com # PowerShell Resolve-DnsName -Type MX example.com Resolve-DnsName -Type TXT _dmarc.example.com ``` ## Wie prüfe ich einen MX-Eintrag? **Führen Sie dig MX mit Ihrer Domain und +short aus und vergleichen Sie die Prioritäten und Hostnamen mit den Werten, die Ihr Anbieter Ihnen gegeben hat.** Die Antwort gibt eine Zeile pro Eintrag aus: die Priorität, ein Leerzeichen und den Host. Bei Proton Mail erwarten Sie 10 mail.protonmail.ch. und 20 mailsec.protonmail.ch.; bei Fastmail 10 in1-smtp.messagingengine.com. und 20 in2-smtp.messagingengine.com.; bei Mailbox.org vier mxext-Hosts. Zwei Probleme zeigen sich hier. Ein Eintrag des früheren Anbieters, der noch in der Liste steht, macht die Zustellung unvorhersehbar, löschen Sie ihn also. Und eine leere Antwort bedeutet keinen MX: Absender greifen dann auf den Adresseintrag der Domain zurück, wie RFC 5321 beschreibt. Was jede Zeile bedeutet, erklärt [was ein MX-Eintrag ist](https://postelva.com/de/what-is-an-mx-record/ "What is an MX record?"). ## Wie prüfe ich einen SPF-Eintrag? **Fragen Sie die TXT-Einträge an der Wurzel der Domain ab und bestätigen Sie, dass genau eine Zeile mit v=spf1 beginnt.** An der Wurzel liegen auch andere TXT-Einträge, etwa der Inhabernachweis Ihres E-Mail-Anbieters, lesen Sie also die ganze Liste. Zwei Zeilen, die mit v=spf1 beginnen, sind ein Fehler: RFC 7208 liefert einen permanenten Fehler, wenn eine Domain mehr als einen SPF-Eintrag hat. Zählen Sie dann die Abfragen. Jedes include, a, mx, ptr und exists sowie der Modifikator redirect zählt für das Limit von 10, und ein include zählt auch mit, was darin verschachtelt ist. Ein Eintrag über dem Limit scheitert bei jedem Absender. Die Erstellung des Eintrags ist unter [So erstellen Sie einen SPF-Eintrag](https://postelva.com/de/guides/spf-record-setup/ "How to create an SPF record for a custom domain") beschrieben. ## Wie prüfe ich DKIM, wenn ich den Selector nicht kenne? **Nutzen Sie den Selector Ihres Anbieters: Selectors lassen sich nicht aus dem DNS auflisten, entnehmen Sie sie also dem DKIM-Bildschirm des Anbieters.** DNS erlaubt keine Auflistung der Namen unter _domainkey. Die Selectors sind protonmail, protonmail2 und protonmail3 bei Proton Mail, fm1, fm2 und fm3 bei Fastmail sowie MBO0001 bis MBO0004 bei Mailbox.org. Der Abfragename lautet selector._domainkey.ihredomain. Ein Anbieter, der CNAME-Einträge nutzt, wie diese drei, antwortet mit einem CNAME auf den eigenen Host. Ein Anbieter, der den Schlüssel direkt veröffentlicht, antwortet mit einem TXT-Eintrag, der v=DKIM1 und p= gefolgt vom öffentlichen Schlüssel enthält. Ein leeres p= bedeutet, dass der Schlüssel widerrufen wurde. Der stärkste Test ist eine echte Nachricht, denn ein vorhandener Eintrag kann trotzdem ungenutzt sein: Senden Sie eine E-Mail an einen anderen Anbieter und lesen Sie dkim=pass in den vollständigen Headern. ## Wie prüfe ich einen DMARC-Eintrag? **Fragen Sie den TXT-Eintrag bei _dmarc.ihredomain ab und bestätigen Sie eine Zeile, die mit v=DMARC1 beginnt und eine p=-Richtlinie enthält.** Fehlt p, behandeln Empfänger die Richtlinie als none. Hat die Zeile kein rua, entstehen keine Aggregatberichte, und die Überwachungsphase von [der DMARC-Einführung](https://postelva.com/de/guides/dmarc-setup/ "How to set up DMARC: p=none to p=reject") sagt Ihnen nichts. Einträge im älteren Stil können noch ein pct-Tag tragen, das RFC 9989 entfernt hat. Eine Subdomain ohne eigenen Eintrag fällt über den DNS-Baumdurchlauf mit höchstens acht Abfragen unter die Richtlinie der übergeordneten Domain. Die Abfrage eines Namens ohne Eintrag liefert nichts, was dasselbe ist wie kein DMARC. ## Warum zeigt meine Abfrage noch den alten Wert? **Ein Cache hält die alte Antwort, bis seine TTL abläuft, und ein fehlender Eintrag kann ebenfalls gecacht werden.** Die Zeit, die sich eine Änderung verbreitet, entspricht etwa der alten TTL des Eintrags im Moment der Änderung. Herstellerangaben beziffern eine übliche MX-Änderung auf eine bis vier Stunden und im schlimmsten Fall auf bis zu 24 bis 48 Stunden. RFC 2308 ergänzt, dass negative Antworten mit der TTL aus dem SOA-Eintrag der Zone gecacht werden, sodass ein soeben angelegter Eintrag bei manchen Resolvern fehlen kann. Um die Caches zu umgehen, fragen Sie den autoritativen Nameserver: Finden Sie ihn mit dig NS und wiederholen Sie dann die Abfrage mit @ und seinem Namen, wie im Codeblock oben. Zeigt der autoritative Server den neuen Wert und Ihr Resolver nicht, warten Sie. Zeigt ihn keiner, wurde der Eintrag nicht gespeichert oder der Hostname ist falsch, meist weil der DNS-Editor die Domain ein zweites Mal angehängt hat. Wenn E-Mails trotz richtig aussehender Einträge nicht ankommen, lesen Sie [warum E-Mails bei einer eigenen Domain nicht ankommen](https://postelva.com/de/guides/email-not-arriving-custom-domain/ "Why is email not arriving at my custom domain?"). ## Welche Online-Werkzeuge können E-Mail-Einträge prüfen? **Jede Online-DNS-Abfrage oder jeder Prüfer für E-Mail-Authentifizierung, der das öffentliche DNS abfragt, liefert dieselbe Antwort wie dig, mit freundlicherer Darstellung.** Nutzen Sie eines, das den rohen Eintragstext zeigt, damit Sie ihn Zeichen für Zeichen mit dem Wert Ihres Anbieters vergleichen können. Fügen Sie keine privaten Daten ein: Der Domainname ist alles, was es braucht. Nach der Zählung von Postelva vom 12. November 2026 braucht eine vollständige Proton-Mail-Einrichtung 8 Einträge (1 TXT zur Verifizierung, 2 MX, 1 SPF, 3 DKIM, 1 DMARC) und 6 Abfragen, weil sich die beiden MX-Einträge eine Abfrage teilen und die Einträge für Verifizierung und SPF die TXT-Abfrage an der Wurzel. Speichern Sie die sechs Befehle einmal und führen Sie sie nach jeder Änderung erneut aus. Dieselben Einträge werden in [SPF, DKIM und DMARC im Vergleich](https://postelva.com/de/spf-vs-dkim-vs-dmarc/ "SPF vs DKIM vs DMARC: what is the difference?") verglichen. Eine zitierfähige Regel: Fragen Sie nach jeder DNS-Änderung die vier Eintragstypen ab und senden Sie eine Testnachricht; ein Eintrag ist nur dann korrekt, wenn Abfrage und Nachricht übereinstimmen. ## E-Mail-Einträge prüfen: Fragen ### Warum gibt dig TXT-Werte in Anführungszeichen aus? Die Anführungszeichen markieren die Grenzen der TXT-Zeichenketten. Ein Wert, der länger als 255 Zeichen ist, erscheint als mehrere Zeichenketten in Anführungszeichen, die Empfänger ohne Leerzeichen zusammenfügen. ### Funktioniert dig unter Windows? Nur wenn Sie die BIND-Werkzeuge installieren. Windows hat nslookup eingebaut, und PowerShell hat Resolve-DnsName, die beide dieselben Einträge lesen. ### Wie sehe ich das SPF-, DKIM- und DMARC-Ergebnis einer echten Nachricht? Öffnen Sie die vollständigen Header einer empfangenen Nachricht. Der empfangende Server hält seine SPF-, DKIM- und DMARC-Ergebnisse in den Headern fest, normalerweise als pass oder fail. ### Wie lange sollte ich warten, bevor ich entscheide, dass ein Eintrag falsch ist? Warten Sie mindestens die TTL, die der alte Eintrag hatte, und fragen Sie dann den autoritativen Nameserver ab. Zeigt dieser Server den falschen Wert, muss der Eintrag korrigiert werden. ### Kann ich Einträge einer Domain prüfen, die nicht mir gehört? Ja. DNS-Einträge sind öffentlich, und eine Abfrage braucht nur den Namen. **Zusammenfassung** - MX: dig MX example.com +short; vergleichen Sie Prioritäten und Hosts mit Ihrem Anbieter. - SPF: dig TXT example.com +short; genau eine Zeile, die mit v=spf1 beginnt, höchstens 10 Abfragen. - DKIM: dig CNAME selector._domainkey.example.com +short, mit dem Selector Ihres Anbieters. - DMARC: dig TXT _dmarc.example.com +short; eine Zeile, die mit v=DMARC1 beginnt, mit p= und rua=. - Eine vollständige Proton-Mail-Einrichtung sind 8 Einträge und 6 Abfragen. - Fragen Sie den autoritativen Nameserver ab, um Caches zu umgehen; eine Änderung braucht etwa die alte TTL, um sich zu verbreiten. - Postelva hostet die Einträge im kostenlosen DNS; eine .com kostet jedes Jahr 12,49 $/Jahr. ## Quellen 1. [RFC 5321, Simple Mail Transfer Protocol, Abschnitt 5.1](https://www.rfc-editor.org/rfc/rfc5321.html) — RFC Editor (abgelesen am 2026-11-12) 2. [RFC 7208, Sender Policy Framework](https://www.rfc-editor.org/rfc/rfc7208.html) — RFC Editor (abgelesen am 2026-11-12) 3. [RFC 6376, DKIM Signatures](https://www.rfc-editor.org/rfc/rfc6376.html) — RFC Editor (abgelesen am 2026-11-12) 4. [RFC 9989, DMARC](https://www.rfc-editor.org/rfc/rfc9989.html) — RFC Editor (abgelesen am 2026-11-12) 5. [RFC 2308, Negative Caching of DNS Queries](https://www.rfc-editor.org/rfc/rfc2308) — RFC Editor (abgelesen am 2026-11-12) 6. [Wie lange dauert es, bis sich Änderungen an DNS-Einträgen verbreiten](https://www.suped.com/knowledge/email-deliverability/technical/how-long-does-it-take-for-dns-record-changes-to-propagate) — Suped (abgelesen am 2026-11-12) 7. [Eigene Domain und Schutz vor Spoofing](https://proton.me/support/anti-spoofing-custom-domain) — Proton (abgelesen am 2026-11-12) --- Postelva: Postelva registriert Domainnamen für private E-Mail — die Adresse, die Sie behalten, wenn Sie den Anbieter wechseln — bezahlt mit Krypto und ohne KYC: kein Ausweis, nur eine verifizierte E-Mail-Adresse pro Domain. Betrieben wird Postelva von DomaineGoat LLC, einem in Panama registrierten Unternehmen; die Domains werden über dessen ICANN-akkreditierten Registrar-Partner registriert. Eine .com kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.