Wichtigste Maßnahmen
Sortiert nach Wirkung auf den GesamtscoreAlle Prüfungen auf einen Blick
Gesamtscore = gewichteter Durchschnitt aller anwendbaren Kriterien. Gewicht 5 = essenziell, 1 = nice to have.
PDF-Report & Fix-Plan per Mail
Optional. Du bekommst den vollständigen Bericht mit allen Kriterien, Prioritäten und konkreten DNS-Snippets als PDF.
So funktioniert der Domain Trust Check
- Domain eingeben (z. B. example.com) – ohne Anmeldung, ohne Installation.
- Der Check fragt live DNS, Mailserver, Webserver, Blacklists und RDAP ab und bewertet 17 Kriterien in vier Kategorien.
- Du erhältst einen Gesamtscore von 0 bis 100, eine Note von A+ bis F und die wichtigsten Maßnahmen – sortiert nach Wirkung, mit DNS-Snippets zum Kopieren.
Die 17 Prüfkriterien und ihre Gewichtung
Jedes Kriterium hat ein Gewicht von 1 (nice to have) bis 5 (essenziell). Kriterien, die für eine Domain nicht zutreffen – etwa DKIM bei einer Domain ohne Mailversand –, werden als „nicht anwendbar“ gewertet und fließen nicht in den Score ein.
E-Mail-Authentifizierung
| Kriterium | Gewicht | Was geprüft wird |
|---|---|---|
| SPF Hauptdomain | 5/5 | Genau ein gültiger SPF-Record (v=spf1), eine klare Regel für fremde Server (-all oder ~all), höchstens 10 DNS-Lookups, alle Includes auflösbar, kein veralteter ptr-Mechanismus. |
| SPF für Subdomains | 5/5 | Aktive Subdomains wie www, mail oder shop ohne eigenen Mailversand sollten „v=spf1 -all“ veröffentlichen – oder per DMARC sp=reject geschützt sein, damit Angreifer nicht auf Subdomains ausweichen. |
| DKIM | 5/5 | Sucht öffentliche DKIM-Schlüssel unter <selector>._domainkey in rund 150 gängigen Selektoren (eigener Selektor optional) und prüft auf Testmodus (t=y) sowie widerrufene Schlüssel. |
| DMARC | 5/5 | DMARC-Record unter _dmarc, Richtlinie p=none/quarantine/reject, Anteil (pct), Aggregat-Reports (rua) inkl. Autorisierung externer Empfänger, Subdomain-Richtlinie (sp) und Alignment (adkim/aspf). |
| BIMI | 1/5 | BIMI-Record unter default._bimi, Logo im Format SVG Tiny PS, Markenzertifikat (VMC/CMC) und die Voraussetzung DMARC quarantine oder reject. |
Mail-Transport & Reputation
| Kriterium | Gewicht | Was geprüft wird |
|---|---|---|
| MX-Konfiguration | 5/5 | MX-Records vorhanden oder Null MX (RFC 7505), alle MX-Hosts auflösbar, kein CNAME, öffentliche IP-Adressen, passender Reverse DNS (PTR), Redundanz und IPv6. |
| MTA-STS | 4/5 | TXT-Record _mta-sts, Policy-Datei per HTTPS unter mta-sts.<domain>/.well-known/mta-sts.txt, Modus (enforce/testing), Syntax, alle MX-Hosts in der Policy und sinnvolles max_age. |
| TLS-RPT | 4/5 | TLS-RPT-Record unter _smtp._tls mit gültiger Berichtsadresse (rua), damit Gmail, Microsoft & Co. Fehler bei verschlüsselter Zustellung melden. |
| DANE/TLSA für Mail | 4/5 | MX-Hosts per DNSSEC signiert, TLSA-Records unter _25._tcp für alle MX und empfohlene Parameter (3 1 1 oder 2 1 1). |
| Blacklists & Reputation | 3/5 | Abfrage der Mail- und Webserver-IPs bei Spamhaus ZEN, SpamCop, Barracuda, PSBL, Mailspike und UCEPROTECT sowie der Domain bei Spamhaus DBL und SURBL. |
Web & Zertifikate
| Kriterium | Gewicht | Was geprüft wird |
|---|---|---|
| HTTPS Hauptdomain | 5/5 | Erreichbarkeit per HTTPS, vertrauenswürdiges und passendes Zertifikat, Restlaufzeit, TLS 1.2/1.3 statt TLS 1.0/1.1, dauerhafte Weiterleitung von HTTP auf HTTPS und HSTS. |
| HTTPS www | 5/5 | Dieselben Prüfungen für die www-Subdomain. Existiert keine www-Subdomain, ist das Kriterium nicht anwendbar. |
| Security-Header | 2/5 | HTTP-Sicherheitsheader der tatsächlichen Startseite: Content-Security-Policy, X-Content-Type-Options, Clickjacking-Schutz, Referrer-Policy, Permissions-Policy und keine Versionsangaben. |
| CAA | 4/5 | CAA-Record mit issue- und issuewild-Einträgen, iodef-Meldeadresse und ob die Zertifizierungsstelle des aktuellen Zertifikats erlaubt ist. |
DNS & Domain
| Kriterium | Gewicht | Was geprüft wird |
|---|---|---|
| DNS-Konfiguration | 5/5 | Mindestens zwei autoritativ antwortende Nameserver, synchrone SOA-Seriennummer, Delegation beim Registry identisch mit der Zone, Verteilung auf mehrere Netze, IPv6 und plausible SOA-Werte. |
| DNSSEC | 5/5 | DS-Record beim Registrar, DNSKEY in der Zone, erfolgreiche Validierung (AD-Flag) und ein moderner Signaturalgorithmus. |
| Domain-Registrierung | 3/5 | Registrierungsdaten per RDAP (Nachfolger von WHOIS): Ablaufdatum sowie Transfer-, Delete- und Update-Lock gegen Domain-Diebstahl. |
So wird der Score berechnet
Jedes Kriterium besteht aus mehreren Einzelprüfungen mit Punkten und erhält einen Wert von 0 bis 100 % (ab 90 % gut, ab 50 % verbesserbar, darunter kritisch). Der Gesamtscore ist der gewichtete Durchschnitt aller anwendbaren Kriterien. Die wichtigsten Maßnahmen sind danach sortiert, wie viele Punkte sie dem Gesamtscore bringen.
Noten: A+ ab 95 Punkten · A ab 85 · B ab 70 · C ab 55 · D ab 40 · F darunter.
Häufige Fragen
Was prüft der Domain Trust Check?
Er prüft 17 Kriterien in vier Kategorien: E-Mail-Authentifizierung (SPF, SPF für Subdomains, DKIM, DMARC, BIMI), Mail-Transport und Reputation (MX, MTA-STS, TLS-RPT, DANE, Blacklists), Web und Zertifikate (HTTPS für Hauptdomain und www, Security-Header, CAA) sowie DNS und Domain (Nameserver, DNSSEC, Registrierung). Alle Prüfungen laufen live gegen die öffentlichen DNS-, Mail- und Webserver der Domain.
Ist der Check kostenlos?
Ja. Der Domain Trust Check ist kostenlos und ohne Anmeldung nutzbar. Optional kannst du dir den vollständigen Bericht als PDF per E-Mail schicken lassen.
Wie wird der Score berechnet?
Jedes Kriterium erhält 0 bis 100 % und ein Gewicht von 1 bis 5. Der Gesamtscore ist der gewichtete Durchschnitt aller anwendbaren Kriterien. Daraus ergibt sich die Note: A+ ab 95, A ab 85, B ab 70, C ab 55, D ab 40, sonst F.
Warum landen meine E-Mails im Spam?
Häufige Ursachen sind ein fehlender oder fehlerhafter SPF-Record, keine DKIM-Signatur, kein DMARC-Record, ein fehlender Reverse-DNS-Eintrag des Mailservers oder eine Listung auf einer Blacklist wie Spamhaus. Gmail und Yahoo verlangen seit Februar 2024 von allen Absendern SPF oder DKIM und von Massenversendern (über 5.000 Mails pro Tag) SPF, DKIM und DMARC; Microsoft stellt seit Mai 2025 ähnliche Anforderungen. Genau diese Punkte zeigt der Check mit Spam-Relevanz an.
Warum findet der Check meinen DKIM-Schlüssel nicht?
DKIM-Schlüssel liegen unter einem frei wählbaren Selektor (<selector>._domainkey.<domain>), der sich nicht aus dem DNS auflisten lässt. Der Check probiert rund 150 gängige Selektoren, u. a. von Google, Microsoft 365, Mailchimp, IONOS und Strato. Steht dein Selektor nicht darunter, gib ihn unter „DKIM-Selektor angeben“ ein. Du findest ihn im Header einer gesendeten Mail im Feld DKIM-Signature (s=…).
Brauche ich MTA-STS und DANE?
Beide schützen eingehende E-Mails davor, unverschlüsselt oder an einen gefälschten Server zugestellt zu werden. MTA-STS funktioniert ohne DNSSEC und wird von Gmail und Microsoft ausgewertet; DANE setzt DNSSEC voraus und wird z. B. von web.de, GMX, Posteo und Microsoft genutzt. Zusammen mit TLS-RPT erfährst du, wenn eine verschlüsselte Zustellung scheitert.
Was bedeutet „nicht anwendbar“?
Manche Kriterien gelten nicht für jede Domain: Eine Domain, die laut SPF keine E-Mails versendet, braucht kein DKIM und kein BIMI; eine Domain ohne Mailempfang braucht kein MTA-STS, TLS-RPT oder DANE. Solche Kriterien werden nicht in den Score eingerechnet.
Wie oft sollte ich meine Domain prüfen?
Nach jeder Änderung an DNS, Mailserver oder Hosting – und regelmäßig, etwa monatlich, um ablaufende Zertifikate, Blacklist-Einträge oder vergessene Records früh zu erkennen. Ergebnisse werden 15 Minuten zwischengespeichert; mit „Neu prüfen“ startest du einen frischen Check.
Wer steht hinter dem Domain Trust Check?
Der Check ist ein Angebot von Soll IT Consulting aus Thaleischweiler-Fröschen (Rheinland-Pfalz), einem IT-Dienstleister für Domains, DNS, E-Mail und Hosting. Wenn du Hilfe bei der Umsetzung der Empfehlungen brauchst, kannst du direkt einen Fix anfragen.
Begriffe nachschlagen
Kurz und verständlich erklärt, was hinter den Abkürzungen steckt: