Öffentliche E-Mail-Bewertung v3

Verbindliche Grundsätze

1. Nur DNS für E-Mail, E-Mail-Authentifizierung und Mailtransportschutz fließen in Score, Note und Abdeckung ein. Ihre Gewichte sind 20:25:15, normalisiert auf 100 Prozent.
2. Website, TLS der Website, Sicherheitsheader, Spamlisten, Reputation und Erreichbarkeit sind zusätzliche Informationen ohne Einfluss auf die E-Mail-Bewertung.
3. Unbekannte und nicht anwendbare Werte zählen nicht als bestanden. Eine Note setzt mindestens 50 Prozent gewichtete E-Mail-Datenabdeckung voraus.
4. Wochen- und Monatsübersichten benötigen mindestens 75 Prozent E-Mail-Datenabdeckung und sechs auswertbare E-Mail-Signale. Bei alten Einmalprüfungen werden gespeicherte Befunde ohne neue Netzabfrage neu bewertet.
5. Öffentliche Prüfungen verwenden ausschließlich öffentliche DNS-Daten und begrenztes, validiertes und IP-gepinntes HTTPS auf Port 443. Keine anonymen SMTP- oder Postfachzugriffe.
6. Der Score ist eine technische Momentaufnahme, kein Zertifikat, keine Rechtsprüfung und kein Versprechen über Zustellung oder Inboxplatzierung.
7. DANE hat hohe Priorität: Fehlen für mindestens einen MX verwendbare, DNSSEC-authentifizierte TLSA-Einträge oder ist die DNSSEC-Kette unsicher, werden einmalig 8 Punkte abgezogen. Die Note ist höchstens BBB, also keine A-Klasse. Fehlerhafte DANE-Daten bleiben zusätzlich ein kritischer Befund.
8. Fehlendes MTA-STS oder mode: none kostet einmalig 3 Punkte. Ein vorhandener Modus testing wird als Testbetrieb dargestellt und ersetzt keinen DANE-Nachweis.
9. Die Abzüge werden nach dem gewichteten Basisscore angewendet. Fehlende Richtlinien verursachen keinen zweiten Statusabzug in der Kategorie. Die Ratinggrenze gilt unabhängig vom Punktestand; beispielsweise 92/100 mit höchstens BBB.
10. Ohne belastbare DANE-Messung gibt es keinen Fehlend-Abzug. Die offene Prüfung senkt die Abdeckung und begrenzt die Note auf A. Ältere Ergebnisse brauchen eine neue Einmalprüfung für einen DANE-Befund; ihr bisheriger Messzeitpunkt bleibt erhalten.
11. Der öffentliche DANE-Check prüft den DNSSEC-authentifizierten MX-Satz und TLSA an sämtlichen MX-Zielen. Er bestätigt veröffentlichte Transport-Policies, keinen Abgleich mit dem aktuell ausgelieferten SMTP-Zertifikat. Ein gültiger Null-MX benötigt keinen eingehenden DANE- oder MTA-STS-Schutz.
12. Die Priorität orientiert sich an BSI TR-03108 und BSI-CS155. Die Punkte und Ratinggrenzen sind eigene Regeln von Sendequelle, keine BSI-Notenskala und kein Konformitätsnachweis.

Versionsstatus

Profil

public-email-trust-v3

Status

historisch · durch E-Mail-Bewertung v4 ersetzt

Prüfprofile

6

Veröffentlicht

30.09.2026