Die Frage hinter den meisten DMARC-Projekten ist nicht, wie man den Record schreibt, sondern wie lange man bei p=none bleiben sollte und was gelten muss, bevor man weitergeht. Ewiges Warten lässt Ihre Domain für Spoofing offen, und zu frühes Umschalten schickt Ihre eigenen Rechnungen in den Spam. Dieser Leitfaden gibt Ihnen Ausstiegskriterien pro Stufe, einen Plan für Subdomains, was üblicherweise schiefgeht und wie Sie zurückrollen. Die Schwellenwerte sind unsere Empfehlung, nicht Teil eines Standards, und wir kennzeichnen sie als solche.
Die kurze Antwort#
Bleiben Sie bei p=none mindestens einen vollen Sendezyklus, meist zwei bis vier Wochen, länger bei monatlichen oder vierteljährlichen E-Mails wie Kontoauszügen. Wechseln Sie zu quarantine, wenn jede bekannte legitime Quelle DMARC über eine ausgerichtete SPF- oder DKIM-Prüfung besteht. Wechseln Sie zu reject nach einer weiteren Phase bei quarantine ohne Überraschungen. Planen Sie den Anstieg nicht um pct= herum: Der aktuelle DMARC-Standard, RFC 9989, entfernt dieses Tag. Er wurde im Mai 2026 veröffentlicht und löst RFC 7489, die ursprüngliche DMARC-Spezifikation, ab. Die Grundlagen des Records selbst stehen in der DMARC-Einrichtungsanleitung, die dieser Beitrag nicht wiederholt.
Die Stufen und wann Sie sie verlassen#
Jede Stufe unten hat einen Ausstiegstest. Jede Zahl in der Tabelle ist eine Faustregel, die wir vorschlagen, denn Ihr Volumen und Ihre Mischung an Absendern entscheiden, was realistisch ist.
| Stufe | Record | Ausstiegstest (unsere Empfehlung) | Typische Dauer |
|---|---|---|---|
| 1. Beobachten | p=none mit rua= | Die Berichte haben einen vollen Zyklus abgedeckt, und Sie haben für jede Quelle mit echtem Volumen einen benannten Verantwortlichen | 2 bis 4 Wochen |
| 2. Beheben | p=none | Jede bekannte legitime Quelle besteht über eine ausgerichtete Prüfung, zwei Wochen in Folge | Tage bis Monate |
| 3. Subdomains | Zuerst bei nicht sendenden oder vollständig verstandenen Subdomains durchsetzen | Zwei Wochen keine legitimen Fehler bei diesen Subdomains | 1 bis 2 Wochen |
| 4. Quarantine | p=quarantine | Zwei bis vier Wochen, in denen keine neue legitime Quelle scheitert und es keine Beschwerden von Mitarbeitenden oder Kunden über fehlende E-Mails gibt | 2 bis 4 Wochen |
| 5. Reject | p=reject | Kein Ausstieg: Lesen Sie weiter Berichte und prüfen Sie neue Absender, bevor sie live gehen | Dauerhaft |
Eine Stufe ist abgeschlossen, wenn die ungeklärten Fehler klein und unspektakulär sind: ein paar Nachrichten von Weiterleitern, Mailinglisten oder Quellen, die Sie als nicht zu Ihnen gehörig identifizieren können. Wenn eine Quelle mit echtem Volumen noch nicht identifiziert ist, sind Sie mit Stufe 2 nicht fertig. Das Vorgehen zum Identifizieren steht im Leitfaden So lesen Sie DMARC-Berichte.
Ein Beispielkalender#
Um die Tabelle greifbar zu machen, hier ein plausibler Zeitplan für ein Unternehmen mit einem ESP, einem CRM und einem Rechnungstool. Es ist eine Veranschaulichung, kein Versprechen.
- Woche 1 bis 4:
p=noneveröffentlichen, Berichte sammeln und eine Liste jeder Quelle mit ihrem Verantwortlichen aufbauen. Nehmen Sie diejenige auf, die nur zum Monatsende sendet. - Woche 5 bis 8: Alignment Quelle für Quelle beheben, beginnend mit der größten nach Volumen. Prüfen Sie die Berichte nach jeder Änderung, nicht erst am Ende.
- Woche 9: Auf geparkten und nicht sendenden Domains durchsetzen.
- Woche 10 bis 13: Die Hauptdomain auf
quarantinestellen und jede Woche nach neuen fehlschlagenden Quellen sehen. - Ab Woche 14: Auf
rejectwechseln, wenn der letzte Monat ruhig war, und eine feste Regel ergänzen, dass neue Absender vor dem Start authentifiziert werden.
Wenn eine Quelle sich nur langsam beheben lässt, wartet der Kalender auf sie. Das Datum ist ein Plan, der Ausstiegstest ist die Regel.
Was Sie mit pct tun#
Wenn Sie älteren Rat wie pct=10, dann 25, 50, 100 gesehen haben: Das war ein Weg, eine strengere Richtlinie auf einen Teil der fehlschlagenden E-Mails anzuwenden. RFC 9989 entfernt das Tag. Die Begründung dort sagt, dass das Tag meist nur bei den Werten 0 oder 100 korrekt angewendet wurde. Stattdessen fügt er ein t-Tag hinzu, mit y für „testing“ und n (Standard) für die normale Behandlung.
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc@example.com"
Mit t=y sollte ein Empfänger, der es unterstützt, eine fehlschlagende Nachricht eine Stufe milder behandeln, als die Richtlinie sagt: quarantine wird zu none, reject wird zu quarantine. Bei p=none hat es keine Wirkung. Zwei ehrliche Vorbehalte. Erstens: Die Unterstützung für das neue Tag wird Zeit brauchen, um sich zu verbreiten, verlassen Sie sich also nicht darauf, dass es Sie schützt. Zweitens: Ein Prozent-Anstieg war schon vor der Änderung nie ein verlässliches Sicherheitsnetz.
Ein sichererer Weg, das Risiko zu begrenzen, ist, nach Umfang statt nach Prozentsatz zu staffeln: zuerst bei Subdomains und nicht sendenden Domains durchsetzen, dann bei der Hauptdomain, und vor reject einige Wochen bei quarantine verweilen. Wenn Ihr aktueller Record noch pct= enthält, müssen Sie es nicht eilig entfernen, aber fügen Sie keinen neuen Anstieg hinzu, der sich darauf stützt.
Subdomains und Domains, die nichts senden#
Der schnellste Gewinn kommt von Domains, die nie E-Mails senden. Geparkte Domains und eingestellte Marken sind beliebte Spoofing-Ziele, und sie haben keine legitimen Quellen, die man kaputt machen könnte. Veröffentlichen Sie sofort eine durchsetzende Richtlinie, dazu einen SPF-Record, der nichts autorisiert:
parked.example.com. TXT "v=spf1 -all"
_dmarc.parked.example.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"
parked.example.com._report._dmarc.example.com. TXT "v=DMARC1;"
Die dritte Zeile ist der Autorisierungs-Record. Weil die rua=-Adresse in einer anderen Domain liegt als der, die die Richtlinie schützt, senden Empfänger Berichte nur, wenn diese andere Domain einen TXT-Record mit dem Namen <protected-domain>._report._dmarc.<report-domain> veröffentlicht. Lassen Sie ihn weg oder legen Sie die rua=-Adresse auf die geparkte Domain selbst, und die Berichte für diese Domain kommen nie an. Der Leitfaden zu nicht ankommenden Berichten beschreibt die Prüfung.
Für Subdomains einer Domain, die sendet, gilt die Richtlinie der übergeordneten Domain, sofern die Subdomain keinen eigenen Record veröffentlicht. Das sp=-Tag legt eine andere Richtlinie für Subdomains ohne eigenen Record fest. RFC 9989 definiert außerdem ein np-Tag für Subdomains, die im DNS nicht existieren, nützlich gegen erfundene Hostnamen. Wenn Sie vorhaben, bei der übergeordneten Domain sp=reject zu setzen, bestätigen Sie zuerst, dass jede sendende Subdomain besteht, oder geben Sie ihr einen eigenen Record. Der Leitfaden zur Sende-Subdomain erklärt, warum jeder Mail-Strom ohnehin besser auf einer eigenen Subdomain liegt.
Was beim Durchsetzen üblicherweise schiefgeht#
Fast jeder Vorfall beim Durchsetzen geht auf eines dieser Dinge zurück. Suchen Sie in Stufe 1 und 2 danach, nicht erst nach der Richtlinienänderung.
- Der Absender, an den sich niemand erinnerte. Ein Rechnungstool, eine Umfrageplattform oder ein Recruiting-System, das einmal im Monat sendet. Ein voller Berichtszyklus fängt die meisten davon ab, weshalb Stufe 1 nicht übersprungen werden kann.
- Im Test ausgerichtet, in Produktion nicht. Ein Dienst besteht von einem Sende-IP-Pool und scheitert von einem anderen. Beurteilen Sie jede Quelle nach ihrem echten Volumen über die Zeit.
- Weiterleiter und Mailinglisten. Weiterleitung bricht SPF, und Listen, die eine Nachricht verändern, brechen DKIM. Sie können das nicht vollständig verhindern. Erwarten Sie eine kleine verbleibende Fehlerrate und entscheiden Sie im Voraus, dass sie akzeptabel ist. RFC 9989 ist dabei eindeutig: Eine Domain, die
p=rejectveröffentlicht, darf sich nicht allein auf SPF verlassen und muss ihre E-Mails mit DKIM signieren, und eine Domain, deren Nutzer an Mailinglisten schreiben, solltep=rejectgar nicht veröffentlichen. Für eine solche Domain empfiehlt er mindestens einen Monat beip=none, dann einen ebenso langen Zeitraum beip=quarantine, bevor Sie die Ergebnisse vergleichen. Unsere kürzeren Zeitfenster oben passen zu Domains, die überwiegend Systemmails senden, verlängern Sie sie also, wenn Ihre Mitarbeitenden an öffentliche Listen schreiben. - Ein neues Tool, das nach dem Durchsetzen hinzukommt. Das Marketingteam meldet sich an einem Dienstag bei einer Plattform an, und deren E-Mails beginnen zu bouncen. Das ist ein Prozessproblem: Vereinbaren Sie, dass neue Absender vor der ersten Nutzung Authentifizierung bekommen.
- Strict-Alignment bleibt eingeschaltet.
adkim=soderaspf=smachen aus einer funktionierenden relaxed Konfiguration Fehler. Der Leitfaden zur Alignment-Fehlersuche geht jede Ursache durch.
Den Wechsel mit echten Zahlen beobachten#
In den Stufen 2 bis 4 wollen Sie eine Ansicht: Für jede Quelle, welcher Anteil ihrer E-Mails DMARC besteht und welche Quellen diese Woche neu sind. Qualisend DMARC-Berichte zeigt das pro Domain über 7, 30 oder 90 Tage und schickt Ihnen am Tag danach eine E-Mail, wenn bei einer Domain mindestens 10 Nachrichten sowohl SPF als auch DKIM nicht bestehen oder eine neue Quelle mindestens 5 fehlschlagende Nachrichten hat. Es gibt keinen Wert „bereit für reject“, das Urteil liegt also bei Ihnen: Beobachten Sie, wie jede legitime Quelle 100 % erreicht und dort bleibt. Aggregatdaten hinken außerdem ein bis zwei Tage nach und decken nur die Empfänger ab, die Berichte senden, eine ruhige Woche ist also kein Beweis, dass nichts fehlgeschlagen ist.
Die Domain-Zustand-Überwachung von Qualisend listet p=none als Warnung in den Problemen einer Domain und warnt bei pct unter 100, was hilft, wenn Sie mehrere Domains verwalten und sehen wollen, welche noch nicht weitergekommen sind.
Rollback#
Planen Sie den Weg zurück, bevor Sie umschalten. Drei Gewohnheiten machen einen Rollback schnell.
- Bewahren Sie den bisherigen Record-Text in Ihren Änderungsnotizen auf, damit das Zurücksetzen per Copy and Paste geht.
- Senken Sie die TTL des
_dmarc-Records etwa einen Tag vor einer Richtlinienänderung auf wenige Minuten und erhöhen Sie sie wieder, sobald alles stabil ist. Empfänger cachen DNS, und eine lange TTL verlangsamt Ihren eigenen Rollback. - Gehen Sie einen Schritt zurück, nicht ganz zurück. Wenn eine legitime Quelle bei
rejectzu scheitern beginnt, kehren Sie zuquarantinezurück, während Sie sie beheben. Nachrichten, die in diesem Zeitfenster bereits abgelehnt wurden, werden meist an den Absender zurückgewiesen und sind von der Empfängerseite nicht wiederherstellbar, daher ist es besser, das erste Durchsetzungsfenster kurz zu halten und zu beobachten.
Wo Durchsetzung mit allem anderen zusammenhängt#
quarantine oder reject bei der Organizational Domain zu erreichen ist auch die Voraussetzung für BIMI-Logos, und der BIMI-Leitfaden listet auf, was der Standard verlangt. Es ersetzt nicht die übrigen Grundlagen aus den Anforderungen von Google und Yahoo. Das Gesamtbild, wie Authentifizierung und Reputation zusammenspielen, steht im Zustellbarkeits-Leitfaden.
Häufig gestellte Fragen
01Wie lange sollte ich bei p=none bleiben?
Mindestens einen vollen Sendezyklus, meist zwei bis vier Wochen, und länger, wenn Sie monatliche oder vierteljährliche E-Mails wie Kontoauszüge senden. Das ist unsere Empfehlung, keine Regel des Standards. Der eigentliche Test ist nicht der Kalender, sondern ob jede Quelle mit nennenswertem Volumen identifiziert ist, einen Verantwortlichen hat und DMARC über eine ausgerichtete SPF- oder DKIM-Prüfung besteht.
02Muss ich p=reject erreichen?
Nicht, um die Regeln von Google, Yahoo und Microsoft für Massenversender zu erfüllen, die eine veröffentlichte DMARC-Richtlinie verlangen, die p=none sein darf. Reject ist das, was Spoofing Ihrer Domain tatsächlich stoppt, und Funktionen wie BIMI verlangen quarantine oder reject. Gehen Sie in dem Tempo vor, das Ihre Berichte rechtfertigen, und setzen Sie bei Domains, die nie E-Mails senden, sofort durch.
03Kann ich pct weiterhin für einen schrittweisen Anstieg nutzen?
RFC 9989, im Mai 2026 veröffentlicht und RFC 7489 ablösend, entfernt das pct-Tag und merkt an, dass es meist nur bei 0 oder 100 korrekt angewendet wurde. Stattdessen fügt er ein t-Tag zum Testen hinzu. Weil sich das Verhalten zwischen Empfängern unterscheidet, bauen Sie keinen Plan, der von Prozentwerten abhängt. Staffeln Sie stattdessen nach Umfang: nicht sendende Domains, dann Subdomains, dann die Hauptdomain, mit einigen Wochen bei quarantine.
04Was tue ich, wenn eine legitime Quelle nach dem Durchsetzen scheitert?
Gehen Sie eine Stufe zurück, zum Beispiel von reject zu quarantine, statt die Richtlinie zu entfernen, und beheben Sie dann das DKIM- oder Return-Path-Alignment der Quelle. Bewahren Sie den bisherigen Record-Text in Ihren Notizen auf und senken Sie vor einer Änderung die TTL, damit ein Zurücksetzen schnell wirkt. Im Zeitfenster abgelehnte E-Mails werden meist an den Absender zurückgewiesen, halten Sie das erste Durchsetzungsfenster also kurz und beobachtet.
Eine durchgesetzte DMARC-Richtlinie beweist, dass die E-Mail von Ihnen stammt, aber sie kann eine schlechte Liste nicht gut machen. Der kostenlose Tarif auf der Preisseite enthält 100 Credits, die die vollständige Verifizierung für eine Liste durchführen. Eine geschützte Domain braucht trotzdem eine gesunde Liste, um den Posteingang zu erreichen.
