DMARC einrichten: der sichere, schrittweise Rollout

DMARC einzurichten bedeutet einen DNS-Eintrag und eine Disziplin: veröffentlichen Sie ihn zunächst im Überwachungsmodus, lesen Sie die Berichte, die er zurücksendet, korrigieren Sie alles, was sich nicht authentifiziert, und weisen Sie Empfänger erst dann an, durchzusetzen. Stürmen Sie direkt zur Durchsetzung, können Sie Ihre eigene legitime Mail in den Spam schicken. Hier ist der sichere, geordnete Weg dorthin.

Die kurze Antwort#

DMARC lebt in einem einzelnen TXT-Eintrag unter _dmarc.yourdomain.com. Der Wert beginnt mit v=DMARC1, legt eine Policy fest (p=none, p=quarantine oder p=reject) und verweist auf ein Postfach, das die Aggregatberichte sammelt (rua=). Der richtige Rollout ist immer derselbe: beginnen Sie bei p=none, um zu beobachten, ohne etwas kaputtzumachen, nutzen Sie die Berichte, um zu bestätigen, dass jeder legitime Mailstrom SPF oder DKIM in Ausrichtung besteht, und heben Sie die Policy dann auf quarantine und schließlich reject an. Dieser Leitfaden ist die Schritt-für-Schritt-DMARC-Einrichtung — wie SPF, DKIM und DMARC konzeptionell zusammenpassen, erfahren Sie im Erklärartikel zu SPF, DKIM und DMARC.

Was ein DMARC-Eintrag ist und wo er lebt#

Ein DMARC-Eintrag ist ein reiner DNS-Texteintrag, der empfangenden Mailservern zwei Dinge mitteilt: was mit Mail zu tun ist, die vorgibt, von Ihrer Domain zu stammen, aber die Authentifizierung nicht besteht, und wohin Berichte darüber gesendet werden sollen. Es ist keine Zauberei — es ist ein einzelner TXT-Eintrag, den Sie einmal veröffentlichen und dann mit der Zeit anpassen.

Der Ort ist festgelegt und nicht verhandelbar: Der Eintrag muss sich unter dem Hostnamen _dmarc innerhalb Ihrer Domain befinden. Für example.com lautet der vollständige Eintragsname also _dmarc.example.com. Wenn Ihr DNS-Anbieter nur nach dem Feld „Name“ oder „Host“ fragt, tragen Sie üblicherweise _dmarc ein und die Domain wird für Sie angehängt.

Ein minimaler, gültiger Ausgangs-Eintrag sieht so aus:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"

Das ist tatsächlich alles, was Sie für den Anfang brauchen. Er erzwingt noch nichts — p=none bedeutet „nichts unternehmen“ —, aber er schaltet die Berichterstattung ein, die alles Weitere überhaupt erst möglich macht.

Der Aufbau eines DMARC-Eintrags#

Jeder DMARC-Eintrag ist eine durch Semikola getrennte Liste von Tags. Nur zwei sind erforderlich (v und p); der Rest ist optional, aber nützlich. Hier ist, was jedes einzelne in einfachen Worten bewirkt.

In manchen Einträgen werden Sie auch ein ruf=-Tag sehen — es fordert forensische (Berichte pro Nachricht) an. Die meisten Anbieter senden sie aus Datenschutzgründen nicht mehr, sodass Sie es getrost weglassen und sich auf die rua-Aggregatberichte verlassen können.

Wie die DMARC-Ausrichtung mit SPF und DKIM funktioniert#

Dies ist das Konzept, das die meisten Konfigurationen falsch verstehen, weshalb es sich lohnt, hier zu verweilen. SPF oder DKIM zu bestehen genügt für sich allein nicht — DMARC verlangt zusätzlich Ausrichtung, das heißt, die Domain, die authentifiziert hat, muss mit der Domain übereinstimmen, die Ihre Empfänger tatsächlich in der „From“-Adresse sehen.

Hier ist der Grund, warum das wichtig ist. Ein Spammer kann Mail versenden, die SPF für seine eigene Domain besteht, während er Ihre Domain in der sichtbaren „From“-Zeile fälscht. SPF allein würde das als Bestehen werten, weil SPF den verborgenen Envelope-Absender prüft und nicht die Adresse, die Ihr Empfänger liest. DMARC schließt diese Lücke, indem es darauf besteht, dass die authentifizierte Domain und die „From“-Domain zusammenpassen. Eine Nachricht erfüllt DMARC, wenn eine der folgenden Bedingungen zutrifft:

• SPF-Ausrichtung — die Nachricht besteht SPF und die von SPF geprüfte Domain stimmt mit der „From“-Domain überein.
• DKIM-Ausrichtung — die Nachricht trägt eine gültige DKIM-Signatur und die signierende Domain stimmt mit der „From“-Domain überein.

Nur eine der beiden muss ausgerichtet sein, aber mindestens eine muss es. Die Relaxed-Ausrichtung (die Voreinstellung) akzeptiert eine übereinstimmende Organisationsdomain, sodass mail.example.com mit example.com ausgerichtet ist; die Strict-Ausrichtung verlangt eine exakte Übereinstimmung. Beginnen Sie mit Relaxed, sofern Sie keinen konkreten Grund dagegen haben — die Strict-Ausrichtung bricht mehr legitime Mail und bringt selten echten Schutz.

Der sichere Rollout, Schritt für Schritt#

DMARC ist das seltene Stück E-Mail-Infrastruktur, bei dem die Reihenfolge der Schritte mehr zählt als der Eintrag selbst. Folgen Sie ihr der Reihe nach.

1. Veröffentlichen Sie p=none mit einer Berichtsadresse. Legen Sie den TXT-Eintrag unter _dmarc.yourdomain.com mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com an. Das ändert nichts daran, wie Ihre Mail behandelt wird — es schaltet lediglich die täglichen Aggregatberichte ein. Lassen Sie es mindestens ein paar Wochen so, damit Sie einen vollständigen Sendezyklus erfassen.

2. Lesen Sie die Aggregatberichte. Anbieter senden einmal täglich XML-Berichte an Ihre rua-Adresse. Jeder Bericht führt die sendenden IP-Adressen auf, die Ihre Domain verwendet haben, wie viele Nachrichten jede versandt hat und ob sie die SPF-, DKIM- und DMARC-Ausrichtung bestanden haben. Rohes XML ist auf einen Blick schwer zu lesen, daher leiten die meisten Menschen es in einen DMARC-Berichtsparser oder ein Überwachungs-Dashboard, das es in eine übersichtliche Tabelle verwandelt. Worauf Sie achten: dass jede legitime Quelle Ihrer Mail — Ihr ESP, Ihr CRM, Ihr Transaktionsanbieter, Ihr eigener Mailserver — ein DMARC-Bestehen mit ausgerichtetem SPF oder DKIM zeigt. Alles, was durchfällt, ist entweder ein Strom, den Sie korrigieren müssen, oder Spoofing, das Sie gerne abfangen. Über die Berichte entdecken Sie außerdem Versanddienste, die Sie vollständig vergessen hatten, was in jeder Organisation, die schon ein paar Jahre besteht, häufig vorkommt.

3. Korrigieren Sie die Ausrichtung für jeden legitimen Strom. Das ist die eigentliche Arbeit. Stellen Sie für jeden Versanddienst, der durchfällt, sicher, dass er sich als Ihre Domain authentifiziert: fügen Sie seine Server zu Ihrem SPF-Eintrag hinzu, richten Sie die DKIM-Signierung mit Ihrer Domain ein (nicht mit der Standarddomain des Anbieters) und konfigurieren Sie eine eigene „From“- oder Return-Path-Domain, wo der Anbieter dies zulässt. Die DKIM-Ausrichtung ist meist die, die Vorrang haben sollte, weil eine DKIM-Signatur mit der Nachricht mitreist und die Weiterleitung übersteht, während die SPF-Ausrichtung in dem Moment bricht, in dem Mail weitergeleitet wird. Die meisten E-Mail-Plattformen dokumentieren genau, welche DNS-Einträge für eine eigene Signierungsdomain hinzuzufügen sind — hier fließt der Großteil der Einrichtungszeit hinein. Iterieren Sie weiter, bis die Berichte zeigen, dass Ihre gesamte echte Mail besteht.

4. Wechseln Sie zu p=quarantine. Sobald die Berichte sauber sind, ändern Sie die Policy so, dass durchfallende Mail in den Spam statt in den Posteingang wandert. Sie können sich mit pct= hineintasten — p=quarantine; pct=25 wendet die Policy zunächst auf ein Viertel der durchfallenden Mail an — und sie dann in Richtung 100 anheben, sobald Sie sicherer werden.

5. Wechseln Sie zu p=reject. Das Ziel. p=reject weist Empfänger an, durchfallende Mail rundweg abzuweisen, was die Einstellung ist, die Spoofing tatsächlich stoppt und die großen Anbieter belohnen. Kommen Sie hierher erst, nachdem die Berichte bei quarantine eine Weile sauber waren. Dies ist auch die Policy, die die Absenderanforderungen von Google und Yahoo für Massenversender vollständig erfüllt.

Warum DMARC inzwischen verpflichtend ist#

DMARC war früher eine fortgeschrittene Best Practice. Seit 2024 ist es eine Hürde. Nach den Absenderanforderungen von Google und Yahoo müssen Massenversender — jeder, der mehr als 5.000 Nachrichten pro Tag an Gmail sendet — einen DMARC-Eintrag mit mindestens einer p=none-Policy veröffentlichen, zusätzlich zu SPF, DKIM, Ausrichtung und Ein-Klick-Abmeldung. Verlangt wird eine veröffentlichte Policy, nicht zwingend die Durchsetzung, doch für immer bei p=none zu bleiben bedeutet, dass Sie das Häkchen bei der Compliance setzen, während Sie Ihre Domain für Spoofing weit offen lassen. Der Weg in Richtung reject ist es, was Ihre Absenderreputation schützt und verhindert, dass Fälscher sie an Ihrer Stelle verbrennen.

Häufige Stolperfallen#

Eine Handvoll Fehler ist für die meisten kaputten DMARC-Konfigurationen verantwortlich:

• Direkt zu p=reject springen. Ohne die Überwachungsphase entdecken Sie die Ströme, die sich nicht authentifizieren, auf die harte Tour — indem Sie Ihre eigenen Rechnungen und Newsletter zurückweisen.
• Keine rua-Adresse. Ein Eintrag ohne Berichtsadresse fliegt im Blindflug. Sie können nicht korrigieren, was Sie nicht sehen; nehmen Sie immer rua auf.
• Einen Versanddienst vergessen. Marketingplattformen, Helpdesk-Tools, Rechnungssysteme und Kalendereinladungen senden alle „als Sie“. Jedes davon braucht SPF und DKIM, konfiguriert für Ihre Domain, sonst fällt es bei DMARC durch, sobald Sie durchsetzen.
• Standardmäßig die Strict-Ausrichtung verwenden. Der Strict-Modus bricht Subdomains und viele ESP-Konfigurationen für wenig Nutzen. Die Relaxed-Ausrichtung ist die richtige Voreinstellung.
• Mehrere DMARC-Einträge. Unter _dmarc darf nur ein TXT-Eintrag existieren — ein zweiter macht beide ungültig. Dasselbe gilt für SPF.
• DMARC als Zustellbarkeit behandeln. Die Authentifizierung beweist, wer Sie sind; sie macht Sie nicht zu einem guten Absender. Eine perfekt authentifizierte Nachricht von einer Domain, die an tote Adressen sendet, landet trotzdem im Spam, was einer der häufigsten Gründe ist, warum legitime E-Mails im Spam landen.

Häufig gestellte Fragen#

Wo genau lege ich einen DMARC-Eintrag ab?#

Er gehört in Ihr DNS als TXT-Eintrag unter dem Hostnamen _dmarc.yourdomain.com. In den meisten DNS-Verwaltungsoberflächen legen Sie einen neuen TXT-Eintrag an, tragen im Feld Name oder Host _dmarc ein (die Oberfläche hängt Ihre Domain meist automatisch an) und fügen den Wert ein — zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com. Es gibt pro Domain immer nur einen einzigen DMARC-Eintrag; ein zweiter macht beide ungültig.

Was bedeutet DMARC p=none, und reicht das aus?#

p=none weist empfangende Server an, bei Mail, die die Authentifizierung nicht besteht, nichts zu unternehmen und Ihnen lediglich Berichte zu senden. Es ist der richtige, sichere Ausgangspunkt zum Starten, weil Sie damit überwachen können, ohne Ihre legitime Mail zu gefährden — für sich genommen bietet es jedoch keinen Schutz vor Spoofing. Es erfüllt zwar formal die Google- und Yahoo-Anforderung nach einer veröffentlichten Policy, doch sollten Sie es als Schritt eins betrachten, nicht als Ziellinie, und zu quarantine und reject weitergehen.

Wie lange sollte ich warten, bevor ich von p=none zur Durchsetzung übergehe?#

Lange genug, um einen vollständigen Sendezyklus zu erfassen und zu bestätigen, dass die Berichte sauber sind — typischerweise ein paar Wochen, mitunter länger, wenn Sie viele Versanddienste oder selten genutzte Ströme wie monatliche Kontoauszüge haben. Die Wartezeit ist nicht willkürlich: Sie beobachten die Aggregatberichte, bis jede legitime Quelle ein DMARC-Bestehen mit ausgerichtetem SPF oder DKIM zeigt. Gehen Sie erst dann eine Stufe höher, wenn nichts Legitimes mehr durchfällt.

Worin besteht der Unterschied zwischen DMARC und SPF oder DKIM?#

SPF führt auf, welche Server für Ihre Domain senden dürfen, und DKIM signiert jede Nachricht kryptografisch, damit ein Empfänger bestätigen kann, dass sie nicht gefälscht wurde. DMARC setzt auf beiden auf: Es verknüpft sie über die Ausrichtung mit der sichtbaren „From“-Adresse, teilt Empfängern mit, was zu tun ist, wenn eine Nachricht durchfällt, und meldet das Ergebnis an Sie zurück. SPF und DKIM erledigen die Authentifizierung; DMARC legt die Policy fest und macht das Ergebnis durchsetzbar.

DMARC beweist, dass Ihre Mail wirklich Ihnen gehört, doch die Authentifizierung ist nur die Eintrittskarte in den Posteingang. Der kostenlose Tarif durchläuft die vollständige Verifizierungs-Pipeline, sodass Sie tote Adressen und Spamfallen aus Ihrer Liste entfernen, bevor sie zu Bounces führen — denn eine vertrauenswürdige Identität verdient sich die Platzierung nur, wenn die Liste dahinter sauber ist.