SPF sagt, wer versenden darf. DKIM beweist, wer versendet hat. Beide stellen nur fest – keiner von beiden sagt dem Empfänger, was er tun soll, wenn etwas nicht stimmt. Genau das ist die Aufgabe von DMARC.
Ein DMARC-Eintrag enthält eine Anweisung: durchlassen, aussortieren oder abweisen. Ohne ihn bleibt jede Fälschung folgenlos – der Empfänger sieht vielleicht, dass SPF fehlschlägt, weiß aber nicht, ob das ein Angriff ist oder nur ein schlampig eingerichteter Newsletter. Im Zweifel stellt er zu.
Der zweite, oft unterschätzte Teil: DMARC verschafft dir Berichte. Jeden Tag melden dir die großen Anbieter, wer in deinem Namen verschickt hat und ob es durchging. Das ist die einzige Möglichkeit, überhaupt zu erfahren, dass deine Domain missbraucht wird – und die einzige Grundlage, auf der du gefahrlos verschärfen kannst.
Ein TXT-Eintrag unter _dmarc.<deine-domain>:
v=DMARC1; p=quarantine; rua=mailto:berichte@beispiel.de; fo=1| Feld | Bedeutung |
|---|---|
p= | die Anweisung: none, quarantine oder reject |
rua= | wohin die täglichen Sammelberichte gehen |
sp= | eigene Anweisung für Unterdomains; fehlt sie, gilt p auch dort |
pct= | auf wie viel Prozent der Nachrichten die Anweisung angewandt wird |
adkim=, aspf= | wie streng Absender und signierte Domain übereinstimmen müssen |
DMARC sofort auf reject zu setzen, ist der klassische Fehler – dann verschwinden Rechnungen aus dem Shop, Terminbestätigungen und Newsletter, weil ein Versandweg nicht sauber eingerichtet war. Der geordnete Weg dauert ein paar Wochen und tut niemandem weh:
Stufe 1 – beobachten. p=none mit rua=. Es ändert sich nichts an der Zustellung, aber die Berichte laufen ein.
Stufe 2 – aufräumen. Die Berichte durchsehen, bis darin nur noch Versandwege auftauchen, die du kennst und die bestehen. Jeder Dienst, der durchfällt, braucht SPF-Eintrag oder DKIM-Schlüssel – oder gehört abgeschaltet, weil ihn niemand mehr nutzt.
Stufe 3 – scharf stellen. Erst auf p=quarantine (Fälschungen landen im Spam), nach ein paar weiteren ruhigen Wochen auf p=reject (Fälschungen werden abgewiesen).
DMARC ist bei allen Anbietern gleich: ein TXT-Eintrag, Hostname _dmarc, Wert wie oben. Es gibt keinen Schalter im Postfach und keine anbieterspezifische Variante.
_dmarc (manche Oberflächen erwarten _dmarc.deine-domain.de – dann den vollständigen Namen).v=DMARC1; p=none; rua=mailto:deine-adresse@deine-domain.deBei IONOS unter Domains & SSL → Domain → DNS, bei Microsoft 365 und Google Workspace in der DNS-Verwaltung deines Domain-Anbieters – nicht im Microsoft- oder Google-Portal, denn DMARC ist eine reine DNS-Angelegenheit.
Unter _dmarc.<deine-domain> steht nichts. Damit fehlt die einzige Anweisung, die Empfänger tatsächlich befolgen – und du bekommst keine Berichte, erfährst also auch nichts von Missbrauch.
Was zu tun ist: Mit p=none und einer Berichtsadresse anfangen, wie oben beschrieben. Das ändert an der Zustellung nichts und ist damit risikofrei.
Es gibt mehr als einen Eintrag, der mit v=DMARC1 beginnt. Zulässig ist genau einer; bei mehreren wird DMARC vollständig ignoriert.
Was zu tun ist: Auf einen Eintrag zusammenführen, die übrigen löschen.
Das Feld p= fehlt oder enthält einen unbekannten Wert. Damit ist der Eintrag unwirksam – er sieht aus wie ein DMARC-Eintrag, wirkt aber nicht.
Was zu tun ist: p=none, p=quarantine oder p=reject setzen. Andere Werte gibt es nicht.
Der mit Abstand häufigste Befund. Gefälschte Absender werden gemeldet, aber weder aussortiert noch abgewiesen. Als erste Stufe ist das genau richtig. Als Dauerzustand schützt es vor nichts – und sehr viele Domains stehen seit Jahren hier, weil den zweiten Schritt niemand gemacht hat.
Was zu tun ist: Die Berichte auswerten. Sobald darin nur noch eigene, funktionierende Versandwege auftauchen, auf p=quarantine wechseln und später auf p=reject. Wenn du keine Berichte bekommst, fehlt rua – siehe unten.
Mit pct unter 100 wendet der Empfänger die Anweisung nur auf einen Teil der Nachrichten an, der Rest kommt ungeprüft durch. Als vorsichtiger Einstieg gedacht, oft aber einfach vergessen worden.
Was zu tun ist: Nach der Einführungsphase pct ganz entfernen – das entspricht 100.
Ohne rua bekommst du keine Sammelberichte. Damit siehst du weder, ob deine Domain missbraucht wird, noch welche deiner eigenen Versandwege noch durchfallen – und kannst die Anweisung nie gefahrlos verschärfen. Ein DMARC-Eintrag ohne rua gibt die halbe Wirkung weg.
Was zu tun ist: rua=mailto:… ergänzen. Eine eigene Adresse genügt für den Anfang; für die laufende Auswertung lohnt ein Auswertungsdienst.
sp=none nimmt alle Unterdomains ausdrücklich von der Anweisung aus. Genau dorthin weichen Fälschungen aus – rechnung.deine-domain.de ist ein beliebtes Muster, weil es auf den ersten Blick nach dir aussieht.
Was zu tun ist: sp entfernen, dann gilt p auch für Unterdomains. Wenn eine Unterdomain wirklich eine mildere Behandlung braucht, gib ihr einen eigenen DMARC-Eintrag, statt alle freizustellen.
Deine Berichte gehen an eine fremde Domain – typischerweise einen Auswertungsdienst. Damit das funktioniert, muss diese Domain es ausdrücklich erlauben, mit einem Eintrag der Form deine-domain.de._report._dmarc.dienst.de und dem Wert v=DMARC1;. Fehlt er, verwerfen die versendenden Empfänger die Berichte stillschweigend.
Dieser Fehler ist besonders tückisch, weil das Ausbleiben von Berichten niemandem auffällt. Der Eintrag sieht richtig aus, es kommt nur nie etwas an.
Was zu tun ist: Beim Auswertungsdienst nachsehen – die meisten legen diesen Eintrag automatisch an, sobald du deine Domain dort registrierst. Passiert das nicht, dort nachfragen.
Für die geprüfte Unterdomain gibt es keinen eigenen Eintrag; es gilt der der Hauptdomain. Das ist zulässig und meistens gewollt.
Was zu tun ist: Nichts – es sei denn, die Unterdomain hat eigene Versandwege, die eine andere Behandlung brauchen. Dann bekommt sie einen eigenen Eintrag.
Ja – wenn man zu früh auf quarantine oder reject geht, ohne vorher die Berichte auszuwerten. Genau deshalb der Weg über p=none. Wer die drei Stufen einhält, riskiert nichts.
So lange, bis die Berichte zwei bis vier Wochen lang nur noch bekannte, bestandene Versandwege zeigen. Bei einer Firma mit wenigen Diensten kann das nach zwei Wochen erreicht sein, bei vielen Werkzeugen dauert es länger.
quarantine heißt: Die Nachricht wird zugestellt, aber in den Spam-Ordner. reject heißt: Der empfangende Server nimmt sie gar nicht erst an. reject ist das Ziel – bei quarantine landet eine Fälschung immerhin noch im Postfach des Empfängers, wo sie jemand herausfischen könnte.
Nein. Für eine kleine Firma reicht ein kostenloses Auswertungswerkzeug völlig. Wichtig ist nicht der Funktionsumfang, sondern dass du überhaupt hineinschaust.
Grafikdesigner & Programmierer. Seit über 25 Jahren in der Werbung zuhause – heute mit Fokus auf Websites, 3D, SEO und KI-Automation für Agenturen und Unternehmen.
Unverbindlich und auf Augenhöhe – ich sage dir ehrlich, was sinnvoll ist.
Termin vereinbaren → oder Kontaktdaten ansehen