Kostenloses Werkzeug · Stand August 2026
SPF, DKIM und DMARC prüfen: Was steht wirklich in deinem DNS?
Absenderdomain eingeben, Befund bekommen. Nicht nur „vorhanden oder nicht", sondern was genau zu tun ist – inklusive der Zähler, an denen SPF in der Praxis reißt.
Hinweis, weil er hier anders lautet als sonst: Dieses Werkzeug fragt DNS-Server, und dafür muss der Domainname deinen Browser verlassen — anders lässt sich ein DNS-Eintrag nicht nachschlagen. Gefragt wird ausschließlich nach dem Namen, den du eingibst, bei den öffentlichen Resolvern von Google und Cloudflare. Das ist eine öffentliche Auskunft über eine öffentliche Domain, kein personenbezogenes Datum. Zu uns wird nichts übertragen und nichts gespeichert.
SPF, DKIM und DMARC sind drei DNS-Einträge, mit denen du belegst, wer in deinem Namen E-Mails senden darf. SPF listet die zugelassenen Server, DKIM signiert jede Nachricht kryptografisch, DMARC sagt Empfängern, was mit Nachrichten passieren soll, die keine der beiden Prüfungen bestehen. Ohne alle drei sortieren Google und Yahoo Massenversand aus.
Das Wichtigste in Kürze
- SPF darf höchstens zehn DNS-Abfragen auslösen. Bei der elften werten Empfänger den Eintrag als Fehler – die Authentifizierung scheitert, obwohl alles eingetragen ist.
- Pro Domain ist genau ein SPF-Eintrag erlaubt. Zwei Einträge sind schlechter als keiner, weil die Prüfung dann ungültig wird.
- DKIM steht unter <selektor>._domainkey.deine-domain.de. ActiveCampaign nutzt acdkim1 und acdkim2.
- Ein DMARC-Eintrag mit p=none und ohne rua-Adresse erfüllt zwar die Anforderung von Google, tut aber sonst nichts: Er wehrt nichts ab und sammelt keine Berichte.
- Seit dem 1. Februar 2024 verlangen Google und Yahoo von Versendern ab 5.000 Nachrichten am Tag alle drei Einträge plus Ein-Klick-Abmeldung.
- Die Beschwerderate muss dauerhaft unter 0,3 Prozent bleiben – ablesbar nur in den Google Postmaster Tools.
Stand der Angaben: 27. August 2026 · geprüft von Advertal, offizieller ActiveCampaign-Partner seit 2017
200+ Unternehmen im Advertal Partner-Netzwerk · offizieller ActiveCampaign-Partner · seit 2017 auf eine Plattform spezialisiert
Der Zähler, an dem SPF in der Praxis reißt
Der häufigste Fehler ist nicht der fehlende SPF-Eintrag, sondern der zu lange. RFC 7208 erlaubt höchstens zehn DNS-Abfragen je Auswertung. Gezählt wird jedes `include`, jedes `a`, `mx`, `ptr`, `exists` und jedes `redirect` – auch die, die tief in den Einträgen der eingebundenen Dienste stecken.
Ein Beispiel: `include:_spf.google.com` sieht nach einer Abfrage aus. Wenn daneben noch `include:google.com` steht, kommt dessen eigener Verweis auf `_spf.google.com` hinzu – zwei Abfragen für dieselbe Sache. So sammeln sich über Jahre Newsletter-Dienst, Ticketsystem, Rechnungsversand und Bewerbungsportal an, bis der elfte Verweis alles kippt.
Das Tückische daran: Es passiert lautlos. Der Eintrag sieht vollständig aus, im DNS steht alles, und trotzdem meldet der empfangende Server `permerror` und behandelt die Nachricht, als gäbe es gar kein SPF.
Der Check oben zählt rekursiv durch und zeigt den Baum. Ab acht von zehn Abfragen warnt er – dann sprengt der nächste hinzugefügte Dienst das Limit.
Die drei Einträge im Vergleich
Was jeder leistet und was passiert, wenn er fehlt.
| Eintrag | Wo er steht | Was er sagt | Wenn er fehlt |
|---|---|---|---|
| SPF | TXT auf der Domain selbst | Diese Server dürfen für mich senden. | Empfänger können nicht prüfen, ob der sendende Server befugt ist. |
| DKIM | TXT auf <selektor>._domainkey | Diese Nachricht ist signiert und unterwegs nicht verändert worden. | Weiterleitungen und Fälschungen sind nicht unterscheidbar. |
| DMARC | TXT auf _dmarc | So sollt ihr mit Nachrichten umgehen, die SPF und DKIM nicht bestehen. | Jeder kann in deinem Namen senden, ohne dass es auffällt. |
| MX | MX auf der Domain | Hierhin gehen Antworten. | Antworten auf deine Kampagnen kommen nie an. |
DKIM und SPF müssen zusätzlich zur Absenderdomain passen (Alignment), damit DMARC greift. Der Eintrag adkim=s beziehungsweise aspf=s verlangt dabei genaue Übereinstimmung statt nur derselben Hauptdomain.
Warum p=none ohne rua nichts bringt
Der mit Abstand häufigste DMARC-Eintrag im Bestand sieht so aus: `v=DMARC1; p=none;` – und sonst nichts. Er ist formal gültig, erfüllt die Anforderung von Google und Yahoo, und ist trotzdem wirkungslos.
`p=none` bedeutet: nichts tun. Nachrichten, die die Prüfung nicht bestehen, werden ganz normal zugestellt. Das ist als Einstieg auch richtig so – wer sofort auf `reject` geht, blockiert im Zweifel seine eigenen Rechnungsmails.
Der Punkt ist der zweite Teil: Ohne `rua=` werden keine Berichte gesammelt. Genau diese Berichte sind aber der Grund, warum man mit `p=none` anfängt – sie zeigen über einige Wochen, wer alles in deinem Namen sendet und ob alle legitimen Absender sauber authentifiziert sind. Ohne sie bleibt der Eintrag für immer auf `none` stehen, weil die Grundlage für den nächsten Schritt fehlt.
Die Reihenfolge, die funktioniert: `p=none` mit `rua` setzen, vier bis sechs Wochen Berichte sammeln, fehlende Absender nachziehen, dann auf `p=quarantine`, später auf `p=reject`.
Was ActiveCampaign genau braucht
Die Einträge findest du in ActiveCampaign unter Einstellungen (Zahnrad) › Erweitert bei deiner Versanddomain. Diese vier Schritte machen aus einer neuen Domain eine, die zustellt.
DKIM: zwei CNAME-Einträge setzen
ActiveCampaign vergibt die Selektoren acdkim1 und acdkim2. Beide werden als CNAME auf die Ziele gesetzt, die im Konto stehen. Zwei, damit ein Schlüsselwechsel ohne Unterbrechung möglich ist.
SPF: den Versand-Include ergänzen
Der Include gehört in den bestehenden SPF-Eintrag, nicht in einen zweiten. Zwei SPF-Einträge machen die Prüfung ungültig. Danach den Zähler oben kontrollieren – bei acht von zehn Abfragen ist Aufräumen fällig.
Return-Path angleichen
ActiveCampaign stellt einen CNAME für den Rücksendepfad bereit. Ohne ihn läuft SPF gegen eine fremde Domain und die Ausrichtung für DMARC scheitert – DKIM allein trägt die Prüfung dann.
DMARC mit Berichtsadresse
Erst zum Schluss, wenn SPF und DKIM stehen. Mit p=none anfangen und einer rua-Adresse, die die Berichte auch wirklich entgegennimmt.
Was dieses Werkzeug nicht sehen kann
DNS ist öffentlich, deshalb lässt sich alles oben von außen prüfen. Drei Dinge, die für die Zustellung mindestens ebenso wichtig sind, stehen aber nicht im DNS:
Die Beschwerderate. Google verlangt dauerhaft unter 0,3 Prozent. Sichtbar ist sie nur in den Google Postmaster Tools, für die du die Domain einmalig verifizieren musst. Wer regelmäßig an Gmail-Adressen sendet und das nicht eingerichtet hat, fliegt blind.
Der Ruf der sendenden IP-Adresse. Bei ActiveCampaign teilst du dir im Regelfall einen Adressbereich mit anderen Kunden. Das ist unproblematisch, solange die eigene Liste sauber ist – und genau deshalb ist Listenhygiene keine Fleißarbeit, sondern Zustellbarkeit.
Der Inhalt. Ein technisch einwandfrei authentifiziertes Mailing landet trotzdem im Spam, wenn niemand es öffnet. Authentifizierung ist die Eintrittskarte, nicht die Garantie.
Der Unterschied, den kaum jemand kennt
Gleicher Preis, gleicher Funktionsumfang – plus deutschsprachiger Ansprechpartner
ActiveCampaign kostet über das Advertal Partner-Netzwerk exakt so viel wie im Direktbezug. Du startest deinen Account über uns oder verknüpfst deinen bestehenden; Preis und Funktionsumfang bleiben unverändert. Dazu bekommst du einen persönlichen Ansprechpartner auf Deutsch – ohne Aufschlag, ohne zusätzliche Vertragsbindung. Der offizielle Support von ActiveCampaign bleibt dir daneben erhalten.
Häufige Fragen
Wie viele DNS-Abfragen darf SPF auslösen?
Höchstens zehn. RFC 7208 zählt dazu jedes include, a, mx, ptr, exists und redirect – auch die, die in den Einträgen der eingebundenen Dienste stecken. Bei der elften Abfrage brechen empfangende Server ab und werten das Ergebnis als permerror, was praktisch bedeutet: als gäbe es gar kein SPF.
Darf ich zwei SPF-Einträge haben?
Nein. Pro Domain ist genau ein TXT-Eintrag erlaubt, der mit v=spf1 beginnt. Zwei Einträge machen die Prüfung ungültig und sind damit schlechter als gar kein SPF. Wer einen zweiten Dienst anbinden will, ergänzt dessen include im bestehenden Eintrag.
Welche DKIM-Selektoren nutzt ActiveCampaign?
acdkim1 und acdkim2, jeweils als CNAME unter acdkim1._domainkey.deine-domain.de. Zwei Selektoren deshalb, damit sich der Schlüssel wechseln lässt, ohne dass zwischendurch unsignierte Nachrichten hinausgehen. Der Check oben prüft beide.
Was bedeutet p=none bei DMARC?
Dass nichts geschieht: Nachrichten, die SPF und DKIM nicht bestehen, werden trotzdem zugestellt. Als Einstieg ist das richtig. Sinn ergibt es aber nur zusammen mit einer rua-Adresse, an die Berichte gehen – ohne sie sammelt der Eintrag keine Daten und es gibt nie eine Grundlage, um auf quarantine zu wechseln.
Was verlangen Google und Yahoo genau?
Seit dem 1. Februar 2024 von allen, die mehr als 5.000 Nachrichten am Tag versenden: SPF und DKIM eingerichtet, ein DMARC-Eintrag vorhanden, eine Ein-Klick-Abmeldung im Nachrichtenkopf nach RFC 8058 und eine Beschwerderate dauerhaft unter 0,3 Prozent. Die Abmeldung setzt ActiveCampaign bei Kampagnen automatisch.
Warum findet der Check meinen DKIM-Schlüssel nicht?
Geprüft werden die zehn gängigsten Selektoren, darunter die von ActiveCampaign, Google Workspace, Microsoft 365 und Mailchimp. Wer einen eigenen Selektornamen vergeben hat, taucht hier nicht auf – das ist dann kein Fehler. Den tatsächlichen Namen findest du im Kopf einer versendeten Nachricht im Feld DKIM-Signature unter s=.
Reicht SPF allein nicht aus?
Nein, aus zwei Gründen. SPF prüft den sendenden Server, nicht die Nachricht – bei einer Weiterleitung bricht es deshalb regelmäßig. Und ohne DKIM fehlt DMARC die zweite Säule: Wenn SPF durch eine Weiterleitung scheitert, rettet nur die DKIM-Signatur die Nachricht.
Werden meine Daten bei der Prüfung übertragen?
Der eingegebene Domainname geht an die öffentlichen DNS-Server von Google und Cloudflare – anders lässt sich ein DNS-Eintrag nicht nachschlagen. Das ist eine öffentliche Auskunft über eine öffentliche Domain. An uns wird nichts übertragen und nichts gespeichert.
Geprüft von
Tom Wenk, Gründer und Geschäftsführer von Advertal
Tom Wenk arbeitet seit 2017 ausschließlich mit ActiveCampaign. Mit Advertal betreut er heute über 200 Unternehmen im deutschsprachigen Raum, sitzt im ActiveCampaign Customer Advisory Board und im Partner Advisory Subcommittee und hat über 280 kostenlose Tutorials zur Plattform veröffentlicht. Die Angaben auf dieser Seite stammen aus dieser Praxis und aus Quellen, die wir am 27. August 2026 selbst geprüft haben.
Technisch sauber ist die Voraussetzung. Ankommen ist die Arbeit.
Wir richten die Authentifizierung für ActiveCampaign ein, räumen gewachsene SPF-Einträge auf und begleiten den Weg von p=none zu p=reject – ohne dass unterwegs Rechnungsmails verschwinden.
Zustellbarkeit prüfen lassenAuch spannend: die ActiveCampaign Agentur, der kostenlose Kurs und unsere Fallstudien.