Wie der Transport funktioniert
Mailserver reden per SMTP miteinander. Seit Jahren bieten fast alle Server STARTTLS an: Die Verbindung beginnt unverschlüsselt und wechselt dann auf TLS. Das Problem: Die Aushandlung ist freiwillig. Ein Angreifer im Netz dazwischen kann das TLS-Angebot wegfiltern, und die Server fallen auf unverschlüsselt zurück, ohne dass jemand es merkt. Ebenso prüfen viele Server das Zertifikat der Gegenseite nicht.
Was Sie prüfen sollten
- Bietet Ihr Mailserver TLS an, und ist das Zertifikat gültig und auf den richtigen Hostnamen ausgestellt?
- Werden alte, unsichere TLS-Versionen abgelehnt?
- Ist die Verschlüsselung für Sender erzwingbar, also per MTA-STS oder DANE angekündigt?
Der kostenlose Check zeigt den Stand der Transportverschlüsselung Ihrer Domain: Kostenloser Domain-Check
MTA-STS: Verschlüsselung verbindlich ankündigen
MTA-STS (RFC 8461) ist eine kleine Datei auf einer Webseite Ihrer Domain plus ein DNS-Eintrag. Damit sagen Sie allen sendenden Servern: Zu mir nur verschlüsselt, mit gültigem Zertifikat, über genau diese Mailserver. Google, Microsoft und viele andere halten sich daran. Ein Angreifer kann die Verschlüsselung dann nicht mehr wegfiltern.
Einrichtung: ein DNS-Eintrag _mta-sts, eine Subdomain mta-sts.example.com mit einer Textdatei, Modus zuerst testing, später enforce. Bei Microsoft 365 und Google Workspace ist das in einer Stunde erledigt.
Kostenloser Domain-Check
Ist Ihre Firmen-Adresse geschützt?
Geben Sie Ihre Domain oder Ihre E-Mail-Adresse ein. Das Ergebnis sehen Sie sofort hier, mit Ampel und Note von A bis F.
Sie haben einen Link zu einem Ergebnis geöffnet. Geprüft wird erst mit Ihrem Klick – immer mit dem aktuellen Stand.
Datenschutz: Geben Sie eine E-Mail-Adresse ein, übertragen wir nur die Domain dahinter; der Teil vor dem @ verlässt Ihren Browser nicht. Wir verwenden die Domain nur für diese Prüfung öffentlicher DNS-Einträge und speichern sie nicht im Klartext; das Ergebnis speichern wir nicht. Ihre IP-Adresse speichern wir nur als Prüfsumme und höchstens einen Tag, um Missbrauch zu bremsen.
Der Kurz-Check basiert auf öffentlichen DNS-Daten zum Abfragezeitpunkt und ersetzt keine vollständige Prüfung; keine Gewähr.
Dauerhaft im Blick behalten statt einmal prüfen:
Kostenloses Erstgespräch buchenDomain überwachen – 14 Tage kostenlosLieber mit Hilfe? Einrichtung durch uns anfragen- Unverbindlich
- Ohne Kreditkarte
- Endet nach 14 Tagen von selbst
Unverbindliche Anfrage per Mail · Preis auf Anfrage
So geht es weiter
- Ihr Mailprogramm öffnet eine vorbereitete Anfrage mit Ihrer Domain. Ergänzen Sie Ihren Namen und senden Sie sie ab.
- Wir melden uns und besprechen mit Ihnen oder Ihrem IT-Partner, welche Einträge (SPF, DKIM, DMARC) nötig sind und was die Einrichtung kostet.
- Für die Einrichtung braucht es Zugriff auf die DNS-Verwaltung Ihrer Domain. Die Übergabe sprechen wir mit Ihnen ab – bitte senden Sie uns keine Passwörter per Mail.
- Auf Wunsch überwacht DomainRadar Ihre Domain danach laufend und meldet sich, wenn sich etwas ändert.
Es öffnet sich kein Mailprogramm? Schreiben Sie uns mit Ihrer Domain an info@domainradar.ch.
Gut zu wissen: Der Schutz verhindert, dass jemand genau Ihre Domain fälscht. Gegen ähnlich klingende Adressen hilft, Zahlungsänderungen immer telefonisch rückzubestätigen.
Alle Prüfpunkte
Kurz-Check aus öffentlichen DNS-Einträgen. Die laufende Überwachung prüft zusätzlich Zertifikate, Blacklists und Ihre DMARC-Berichte.
Ihr Ergebnis als PDF
Als Bericht zum Ablegen oder zum Weiterleiten an Ihre IT.
Kostenlos und ohne Konto: Sie bestätigen Ihre Adresse per Mail, danach können Sie sich jederzeit abmelden.
TLS-RPT: Berichte über fehlgeschlagene Verschlüsselung
Mit einem Eintrag _smtp._tls erhalten Sie von Google, Microsoft und anderen tägliche Berichte, wenn eine verschlüsselte Verbindung zu Ihrem Server nicht zustande kam. So erfahren Sie von abgelaufenen Zertifikaten, bevor Mails verloren gehen. DomainRadar nimmt diese Berichte wie DMARC-Berichte entgegen und wertet sie aus.
DANE
Die Alternative zu MTA-STS, setzt DNSSEC voraus. In der Schweiz unterstützen einige Hoster DANE, Microsoft 365 ebenfalls seit 2024. Für die meisten KMU ist MTA-STS der einfachere Einstieg, beides zusammen ist ideal.
Häufige Fragen
Ist das Ende-zu-Ende-Verschlüsselung?
Nein. TLS schützt die Übertragung zwischen Servern. Auf den Servern ist die Mail lesbar. Für vertrauliche Inhalte braucht es zusätzlich S/MIME, PGP oder einen sicheren Austausch.
Verlangt das Datenschutzgesetz Transportverschlüsselung?
Das DSG verlangt angemessene Massnahmen. Erzwungene Transportverschlüsselung ist heute Stand der Technik und mit wenig Aufwand erreichbar. Das ist keine Rechtsberatung.
So hilft DomainRadar
DomainRadar prüft SPF, DKIM und DMARC Ihrer Domains laufend, wertet die DMARC-Berichte automatisch aus und sagt in klaren Worten, welcher Versandweg fehlt und was zu tun ist.
Der kostenlose Domain-Check zeigt Ihnen in einer Minute, wo Ihre Domain heute steht.
Der Domain-Check bleibt kostenlos. Danach testen Sie DomainRadar 14 Tage lang mit allen Funktionen – ohne Kreditkarte, der Test endet von selbst.