{
    "schema": "https://saferpage.de/schemas/email-domain-authentication.v1",
    "generated_at": "2026-06-09T21:31:43+00:00",
    "domain": "anrufer.info",
    "available": true,
    "scan": {
        "id": "01848372-c4ad-4cda-bad8-9d81b583c57c",
        "checked_at": "2026-06-09 21:34:11.104241+02"
    },
    "score": 60,
    "status": "prüfen",
    "summary": "anrufer.info: E-Mail- und Domain-Schutz mit MX, SPF, DKIM-Betreibernachweis, DMARC, DNSSEC, CAA, HSTS und Domainhistorie.",
    "metrics": {
        "check_count": 8,
        "missing_or_manual_count": 5,
        "public_dns_signal_count": 5,
        "dkim_requires_operator_evidence": true
    },
    "checks": [
        {
            "id": "mx",
            "label": "MX-Mailserver",
            "status": "vorhanden",
            "score": 100,
            "color": "green",
            "publicly_observable": true,
            "summary": "MX-Records zeigen, wohin E-Mails fuer die Domain zugestellt werden.",
            "operator_action": "Mailanbieter dokumentieren, ungenutzte Backup-MX entfernen und Mailfluss nach DNS-Aenderungen testen.",
            "owner": "IT/Mailbetrieb",
            "evidence": [
                "MX: vorhanden"
            ]
        },
        {
            "id": "spf",
            "label": "SPF-Absenderfreigabe",
            "status": "vorhanden",
            "score": 100,
            "color": "green",
            "publicly_observable": true,
            "summary": "SPF begrenzt, welche Mailserver im Namen der Domain senden duerfen.",
            "operator_action": "Genau einen SPF-Record pflegen, nur echte Versanddienste aufnehmen, zu breite +all-Regeln vermeiden und DNS-Lookup-Grenzen pruefen.",
            "owner": "IT/Mailbetrieb",
            "evidence": [
                "SPF: vorhanden"
            ]
        },
        {
            "id": "dkim",
            "label": "DKIM-Signatur",
            "status": "nicht belegt",
            "score": 55,
            "color": "orange",
            "publicly_observable": false,
            "summary": "DKIM ist selector-basiert. Ohne bekannten Selector oder echten ausgehenden Mail-Header kann SaferPage DKIM nicht ehrlich bestaetigen.",
            "operator_action": "Versanddienste und Selectors inventarisieren, DKIM-TXT-Records je Anbieter veroeffentlichen, Schluesselrotation planen und eine echte ausgehende Testmail auf aligned DKIM pruefen.",
            "owner": "IT/Mailbetrieb",
            "evidence": [
                "Betreiber-/Mail-Header-Nachweis erforderlich"
            ]
        },
        {
            "id": "dmarc",
            "label": "DMARC-Richtlinie",
            "status": "fehlt",
            "score": 25,
            "color": "red",
            "publicly_observable": true,
            "summary": "DMARC legt fest, wie Empfaenger mit SPF-/DKIM-Fehlern umgehen und ob Reports gesendet werden.",
            "operator_action": "Mit p=none und rua-Monitoring starten, legitime Absender bereinigen und erst danach auf quarantine oder reject schaerfen.",
            "owner": "IT/Mailbetrieb/Datenschutz",
            "evidence": [
                "DMARC: fehlt"
            ]
        },
        {
            "id": "dnssec",
            "label": "DNSSEC",
            "status": "fehlt",
            "score": 45,
            "color": "orange",
            "publicly_observable": true,
            "summary": "DNSSEC schuetzt DNS-Antworten kryptografisch gegen Manipulation auf dem Aufloesungsweg.",
            "operator_action": "DNSSEC beim Registrar/Nameserver aktivieren, DS-Record pruefen und Monitoring fuer ablaufende oder falsche Schluessel einrichten.",
            "owner": "Hosting/IT",
            "evidence": [
                "DNSSEC: fehlt"
            ]
        },
        {
            "id": "caa",
            "label": "CAA-Zertifikatsfreigabe",
            "status": "fehlt",
            "score": 45,
            "color": "orange",
            "publicly_observable": true,
            "summary": "CAA-Records begrenzen, welche Zertifizierungsstellen TLS-Zertifikate fuer die Domain ausstellen duerfen.",
            "operator_action": "CAA auf genutzte Zertifizierungsstellen begrenzen und nach CDN-/Hosting-Wechseln aktualisieren.",
            "owner": "Hosting/IT",
            "evidence": [
                "CAA: fehlt"
            ]
        },
        {
            "id": "hsts",
            "label": "HTTPS/HSTS-Verbindung",
            "status": "fehlt",
            "score": 25,
            "color": "red",
            "publicly_observable": true,
            "summary": "HSTS reduziert Downgrade-Risiken, wenn Nutzer die Domain per HTTPS besuchen.",
            "operator_action": "HSTS nach stabiler HTTPS-Konfiguration setzen, Subdomains bewusst pruefen und Weiterleitungen auf HTTPS erzwingen.",
            "owner": "Webbetrieb/Security",
            "evidence": [
                "HSTS: fehlt"
            ]
        },
        {
            "id": "domain_history",
            "label": "Domainhistorie",
            "status": "vorhanden",
            "score": 85,
            "color": "green",
            "publicly_observable": true,
            "summary": "Domainalter und Ablaufdaten sind Vertrauenssignale, aber kein Datenschutz- oder Sicherheitsbeweis.",
            "operator_action": "WHOIS-/Registrar-Daten, Domaininhaber, Ablaufdatum, Auto-Renew und Rollen im Betreiberhandbuch pflegen.",
            "owner": "Betreiber/IT",
            "evidence": [
                "Die Domain existiert seit etwa 15.4 Jahren.",
                "Domainalter Tage: 5606",
                "Ablauf in Tagen: 237"
            ]
        }
    ],
    "operator_playbook": {
        "title": "Betreiber-Playbook fuer SPF, DKIM und DMARC",
        "owner": "IT/Mailbetrieb + Datenschutz",
        "steps": [
            "Alle Systeme inventarisieren, die E-Mails fuer anrufer.info senden: Website-Formulare, Newsletter, CRM, Shop, Ticketing, Rechnungen und Hosting.",
            "SPF auf einen Record konsolidieren und nur autorisierte Versanddienste aufnehmen.",
            "DKIM-Selectors je Versanddienst veroeffentlichen und mit echten ausgehenden Testmails gegen SPF-/DKIM-Alignment pruefen.",
            "DMARC-Reports auswerten, legitime Absender bereinigen und die Policy stufenweise von p=none auf quarantine oder reject schaerfen.",
            "CAA, DNSSEC, HSTS und Domainablauf nach Hosting-, CDN- oder Registrar-Aenderungen erneut pruefen."
        ],
        "acceptance": [
            "SPF, DKIM und DMARC sind fuer alle legitimen Versandwege aligned.",
            "DMARC-Reporting ist empfangbar und wird regelmaessig gesichtet.",
            "DNS-Aenderungen sind dokumentiert und ein SaferPage-Re-Scan ist verlinkt."
        ]
    },
    "links": {
        "email_domain_center": "https://saferpage.de/email-schutz/anrufer.info",
        "json": "https://saferpage.de/email-schutz/anrufer.info/json",
        "csv": "https://saferpage.de/email-schutz/anrufer.info/csv",
        "markdown": "https://saferpage.de/email-schutz/anrufer.info/md",
        "short_report": "https://saferpage.de/anrufer.info",
        "security": "https://saferpage.de/sicherheit/anrufer.info",
        "domain_monitoring": "https://saferpage.de/monitoring/domain/anrufer.info",
        "nis2": "https://saferpage.de/nis2/anrufer.info",
        "rescan": "https://saferpage.de/?url=anrufer.info"
    },
    "disclaimer": "SaferPage nutzt passive oeffentliche Signale. Es wird keine E-Mail versendet, keine Empfaengeradresse gesammelt und kein privater Mail-Header veroeffentlicht. DKIM braucht Betreiberangaben zu Selectors oder eine echte ausgehende Testmail."
}