Sie öffnen einen DMARC-Bericht oder einen Nachrichten-Header und sehen spf=pass und dkim=pass neben dmarc=fail. Nichts ist so kaputt, wie es aussieht: Beide Prüfungen haben bestanden, nur nicht für die Domain, die DMARC interessiert. Dieser Leitfaden ist ein Fehlersuchpfad für genau diese Situation. Er setzt voraus, dass Sie bereits wissen, was Alignment ist, und herausfinden wollen, welche der üblichen Ursachen bei Ihnen vorliegt, in der Reihenfolge ihrer Wahrscheinlichkeit.
Die kurze Antwort#
DMARC besteht, wenn SPF oder DKIM besteht und mit der Domain in der sichtbaren Absenderadresse ausgerichtet ist. „Bestanden“ und „ausgerichtet“ sind getrennte Fragen. SPF wird mit der Domain des Return-Path (Envelope-Absender) verglichen, DKIM mit der d=-Domain in der Signatur. Wenn Ihr E-Mail-Dienst mit seiner eigenen Domain signiert und über seine eigene Domain bounct, bestehen beide Prüfungen, und keine ist ausgerichtet. Die Lösung ist fast immer dieselbe: Richten Sie eine eigene DKIM-Signaturdomain auf Ihrer eigenen Domain ein und, wenn auch SPF ausgerichtet sein soll, eine eigene Return-Path-Domain. Prüfen Sie Strict-Mode-Tags, Weiterleitungen und Subdomains erst danach. Zum Konzept selbst siehe die Erklärung zu SPF, DKIM und DMARC.
Womit jede Prüfung verglichen wird#
Jede Nachricht trägt drei Domains, die zählen, und DMARC gleicht sie paarweise ab. Die meiste Verwirrung verschwindet, sobald Sie benennen können, welche Domain jede Prüfung verwendet.
| Prüfung | Domain, die DMARC vergleicht | Wo Sie sie sehen | Ausgerichtet, wenn |
|---|---|---|---|
| From | Die Adresse, die der Leser sieht (die Author Domain) | header.from in Authentication-Results | Bezugspunkt für beide Prüfungen |
| SPF | Die Return-Path-Domain, auch MAIL FROM oder Envelope-Absender genannt | smtp.mailfrom oder der Header Return-Path: | Sie stimmt unter Ihrem Alignment-Modus mit der From-Domain überein |
| DKIM | Die d=-Domain im Header DKIM-Signature | header.d oder d= in der Signatur | Sie stimmt unter Ihrem Alignment-Modus mit der From-Domain überein |
So sieht der klassische Fehler in einer empfangenen Nachricht aus. Das From gehört Ihnen, beide Prüfungen bestehen, und die beiden anderen Domains gehören dem Absender:
Authentication-Results: mx.receiver.example;
spf=pass smtp.mailfrom=bounce.mail.vendor.example;
dkim=pass header.d=mail.vendor.example;
dmarc=fail header.from=yourdomain.com
Der E-Mail-Header-Analyzer zeigt die SPF-, DKIM- und DMARC-Urteile sowie die Felder From und Return-Path. Den d=-Wert von DKIM lesen Sie selbst aus der Zeile DKIM-Signature. Wenn Sie nur einen Aggregatbericht haben, stehen dieselben Informationen in auth_results (rohe Ergebnisse und Domains) gegenüber policy_evaluated (das ausgerichtete Urteil). Der Leitfaden zum Lesen von Berichten erklärt diese Trennung.
Der Entscheidungspfad#
Arbeiten Sie diese Liste von oben nach unten ab und halten Sie beim ersten passenden Schritt an. Jeder Schritt ist eine andere Ursache mit einer anderen Lösung.
- DKIM besteht, aber
d=ist die Domain des Absenders. Das ist die häufigste Ursache und die beste Lösung. Aktivieren Sie im Versanddienst die eigene DKIM-Signierung (manchmal „Branded Domain“ oder „authentifizierte Domain“ genannt), sodass er mitd=yourdomain.comoder einer Subdomain davon signiert. DKIM reist mit der Nachricht und bleibt deshalb auch nach einer Weiterleitung ausgerichtet. - SPF besteht, aber der Return-Path ist die Domain des Absenders. SPF kann sich nur ausrichten, wenn der Envelope-Absender Ihre Domain ist. Richten Sie im Dienst eine eigene Return-Path-Domain (Bounce-Domain) ein, meist eine Subdomain wie
bounce.yourdomain.com, die per CNAME oder per MX- und TXT-Records, die der Anbieter Ihnen nennt, auf den Anbieter zeigt. Den Anbieter in Ihren eigenen SPF-Record einzutragen behebt das nicht: SPF wird gegen die Domain im Return-Path geprüft, also die des Anbieters, Ihr Record wird für diese Nachricht nie abgefragt. - Beide sind benutzerdefiniert, aber DMARC schlägt trotzdem fehl. Sehen Sie sich
adkimundaspfin Ihrem DMARC-Record an. Ist eines davons(strict), muss die Übereinstimmung exakt sein, eine Signatur vonmail.yourdomain.comrichtet sich also nicht mit dem Fromyourdomain.comaus. Signieren Sie entweder mit der exakten From-Domain oder entfernen Sie das Strict-Tag. - Es scheitert nur bei manchen Quellen oder nur bei manchen Empfängern. Verdächtigen Sie Weiterleitung, eine Mailingliste oder ein Security-Gateway, das E-Mails umschreibt. Siehe den Abschnitt zu Weiterleitungen unten.
- Es scheitert nur bei einer Subdomain. Prüfen Sie, ob die Subdomain ein eigenes SPF und DKIM hat und welcher DMARC-Record für sie gilt. Siehe den Abschnitt zu Subdomains.
- Gar nichts besteht. Das ist kein Alignment-Problem. SPF oder DKIM fehlt oder ist für diese Quelle defekt, ein anderes, einfacheres Problem.
Relaxed gegenüber Strict in der Praxis#
Der Standard ist bei beiden relaxed. Unter relaxed Alignment müssen die beiden Domains nur dieselbe Organizational Domain teilen, ein Return-Path bounce.yourdomain.com richtet sich also mit einem From news.yourdomain.com aus. Unter strict müssen sie identisch sein.
_dmarc.example.com. TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r"
Lassen Sie beide auf r, solange Sie keinen schriftlichen Grund haben. Der Strict-Modus stoppt selten einen echten Angriff, den relaxed durchließe, und ist eine häufige Ursache dafür, dass legitime Subdomain-E-Mails scheitern. Ein Detail hat sich im aktuellen Standard geändert: RFC 9989 (Mai 2026) löst RFC 7489 ab und definiert die Organizational Domain über einen DNS-Tree-Walk statt über eine Public-Suffix-Liste. Wenn Sie ungewöhnliche Domains mit mehreren Labels betreiben, prüfen Sie, wie Ihre Empfänger das anwenden.
Warum Weiterleitung eine Prüfung bricht, die andere nicht#
Wenn eine Nachricht weitergeleitet wird, sendet der weiterleitende Server sie von seiner eigenen IP weiter. SPF wird gegen die verbindende IP ausgewertet, also scheitert SPF oder richtet sich nicht mehr aus. Deshalb kann eine Quelle bei einem Empfänger gesundes DMARC zeigen und bei einem anderen Fehler: Die Fehler sind die weitergeleiteten Kopien.
DKIM übersteht Weiterleitung meist, weil die Signatur in der Nachricht mitreist. Es bricht, wenn der Weiterleiter oder eine Mailingliste verändert, was signiert wurde, etwa durch eine Fußzeile oder eine Betreffänderung. Deshalb ist der Rat jedes Mal derselbe: Richten Sie DKIM für jede Quelle aus, damit DMARC auch dann bestehen kann, wenn SPF es nicht kann.
Weiterleitung können Sie von Ihrer Seite aus nicht vollständig beheben. Kleine verbleibende Fehler, die auf Weiterleiter und Listen zurückgehen, sind normal. Das ist ein Grund, Fortschritt am Trend und an der Quelle zu messen statt an einem schlechten Tag.
Subdomain-Abweichungen#
Eine Subdomain erbt nicht den SPF-Record der übergeordneten Domain, und DKIM-Schlüssel werden unter jedem Selektor und jeder Domain nachgeschlagen, also braucht eine Subdomain, die E-Mails sendet, eigene Authentifizierung. Bei der DMARC-Richtlinie ist es anders: Wenn die Subdomain keinen eigenen DMARC-Record veröffentlicht, finden Empfänger den Record der übergeordneten Domain, und deren sp=-Tag (falls vorhanden) legt die Richtlinie der Subdomain fest.
Zwei Prüfungen fangen die meisten Subdomain-Probleme ab. Erstens: Bestätigen Sie, dass der Versanddienst mit einer Domain signiert, die zur From-Subdomain passt oder im relaxed Modus zur übergeordneten Domain. Zweitens: Wenn Sie bei der übergeordneten Domain sp=reject gesetzt haben, bestätigen Sie, dass jede sendende Subdomain besteht, bevor Sie sich darauf verlassen. Der Leitfaden zur Sende-Subdomain beschreibt, wie Sie das so strukturieren, dass jeder Mail-Strom isoliert bleibt.
Die fehlschlagende Quelle schnell finden#
Das Teure an einem Alignment-Fehler ist nicht die Lösung, sondern herauszufinden, welche Quelle sie braucht. Ihre Berichte gruppieren E-Mails nach Sende-IP, also erscheint eine Quelle, die mit ihrer eigenen Domain signiert, als Zeile mit niedrigem DMARC-Prozentsatz.
Qualisend DMARC-Berichte zeigt jede Quelle mit getrennten Prozentsätzen für DMARC, DKIM und SPF und markiert Zeilen unter 100 %. Eine Quelle, die mit den eigenen Domains des Anbieters signiert und bounct, zeigt niedrige DMARC-, DKIM- und SPF-Prozentsätze zugleich, das ist das Muster aus Schritt 1 oder 2 oben. Die Seite zeigt für jede Zeile weder die d=-Domain noch den Return-Path, Sie nehmen also weiterhin eine Nachricht dieser Quelle und lesen deren Header, um zu sehen, welche der beiden Domains falsch ist. Sie meldet außerdem nur, was Empfänger zurückschicken, ein Empfänger ohne Aggregatberichte ist darin also unsichtbar.
Für einen ersten Blick ohne Konto liest der kostenlose DMARC-Berichtsanalyzer eine Berichtsdatei in Ihrem Browser. Um einen Absender von Anfang bis Ende zu testen, senden Sie eine Nachricht an den kostenlosen E-Mail-Zustellbarkeitstest und lesen Sie dessen Authentifizierungsergebnisse.
Eine Checkliste pro Dienst#
Jeder Versanddienst nutzt eigene Worte für die Einstellungen, aber die Arbeit besteht aus denselben vier Punkten. Prüfen Sie jeden in der Dokumentation des Dienstes selbst, statt einem Spickzettel zu trauen, denn Menüs und Standardwerte ändern sich.
- Eigene DKIM-Domain. Suchen Sie nach „authenticate your domain“, „branded sending domain“ oder „DKIM“. Veröffentlichen Sie die Schlüssel, die Sie erhalten. Ein neuer Selektorname steht nicht im Konflikt mit Ihren bestehenden.
- Eigene Return-Path-Domain. Suchen Sie nach „custom bounce domain“, „return-path“ oder „link branding“. Das ist oft eine eigene Einstellung neben DKIM.
- Absenderadresse. Bestätigen Sie, dass das From Ihre Domain nutzt. Ein From auf einer kostenlosen Mail-Domain, über einen Drittanbieter gesendet, kann sich mit nichts von Ihnen ausrichten.
- Eine Änderung nach der anderen. Nehmen Sie die Änderung vor, senden Sie einen Test, lesen Sie den Header und prüfen Sie dann den nächsten Bericht. Mehrere Änderungen auf einmal machen es unmöglich zu sehen, welche gewirkt hat.
Wann Sie aufhören können und wann Sie sich Sorgen machen sollten#
Sie sind bereit, über Durchsetzung nachzudenken, wenn jede legitime Quelle DMARC über mindestens eine ausgerichtete Prüfung besteht und die verbleibenden Fehler zu Weiterleitern oder zu E-Mails gehören, die Sie nicht kennen. Wenn Sie noch herausfinden, wie Sie dorthin kommen, enthält die DMARC-Einrichtungsanleitung die Reihenfolge für den Rollout, und der Leitfaden zu den Absenderanforderungen erklärt, warum ausgerichtetes DMARC für Massen-E-Mails inzwischen wichtig ist.
Häufig gestellte Fragen
01Warum schlägt DMARC fehl, wenn SPF und DKIM beide bestehen?
Weil DMARC ein Bestehen braucht, das auch ausgerichtet ist. SPF wird mit der Return-Path-Domain verglichen und DKIM mit der d=-Domain der Signatur, und eine von beiden muss mit der sichtbaren From-Domain übereinstimmen. Wenn Ihr E-Mail-Dienst seine eigene Bounce-Domain nutzt und mit seiner eigenen Domain signiert, bestehen beide Prüfungen für den Dienst, und keine passt zu Ihrer. Richten Sie eine eigene DKIM-Domain ein und, wenn auch SPF ausgerichtet sein soll, einen eigenen Return-Path.
02Reicht es, meinen E-Mail-Dienst in meinen SPF-Record einzutragen?
Meist nicht. Den Dienst in Ihren SPF-Record einzutragen hilft nur, wenn der Envelope-Absender, der Return-Path, Ihre eigene Domain ist. Wenn der Dienst weiterhin seine eigene Bounce-Domain nutzt, wird SPF für diese Domain ausgewertet, nicht für Ihre, und kann sich unabhängig von Ihrem Record nicht ausrichten. Die verlässliche Lösung ist eigene DKIM-Signierung auf Ihrer Domain, denn eine DKIM-Signatur richtet sich unabhängig von SPF aus und übersteht Weiterleitung in den meisten Fällen.
03Sollte ich strict oder relaxed Alignment verwenden?
Relaxed, solange Sie keinen konkreten schriftlichen Grund haben. Im relaxed Modus müssen die beiden Domains nur dieselbe Organizational Domain teilen, sodass bounce.yourdomain.com sich mit news.yourdomain.com ausrichtet. Strict verlangt exakte Übereinstimmung und bricht häufig legitime Subdomain-E-Mails, bei geringem Mehrschutz. Relaxed ist außerdem der Standard, festgelegt durch die Tags adkim und aspf in Ihrem DMARC-Record, die Sie normalerweise einfach in Ruhe lassen.
04Warum schlägt DMARC nur bei weitergeleiteten E-Mails fehl?
Weiterleitung sendet die Nachricht vom Server des Weiterleiters, sodass SPF gegen eine IP geprüft wird, die Sie nie autorisiert haben, und scheitert oder sich nicht mehr ausrichtet. DKIM übersteht das normalerweise, weil die Signatur in der Nachricht mitreist, es sei denn, der Weiterleiter oder die Mailingliste verändert signierte Inhalte. Deshalb sollten Sie DKIM für jede Sendequelle ausrichten. Eine kleine verbleibende Fehlerrate durch Weiterleiter und Listen ist normal und lässt sich von Ihrer Seite nicht vollständig beheben.
Alignment sagt Empfängern, dass die E-Mail wirklich von Ihnen stammt, aber nichts über die Liste dahinter. Sobald alle Ihre Quellen bestehen, prüfen Sie ein paar Adressen mit dem kostenlosen E-Mail-Checker, der Syntax, MX-Records und Tippfehler für jeweils eine Adresse testet. Für eine ganze Liste bietet der kostenlose Tarif auf der Preisseite 100 Credits, die die vollständige Verifizierung durchführen, denn eine perfekt ausgerichtete Domain braucht trotzdem eine gesunde Liste, um den Posteingang zu erreichen.
