DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein Eintrag im DNS deiner Domain, der Empfängern sagt, wie sie mit Mails umgehen sollen, die in deinem Namen ankommen und die Prüfung nicht bestehen. Zugleich kannst du darüber Berichte anfordern, wer unter deiner Domain sendet. DMARC baut auf SPF und DKIM auf und ersetzt beide nicht.

Kurz zusammengefasst:

• Der Eintrag liegt als TXT-Eintrag unter _dmarc.deinedomain.de.
• Die Regel lautet none, quarantine oder reject.
• Bestanden ist die Prüfung nur, wenn SPF oder DKIM zur sichtbaren Absenderdomain passt.
• Google rät zum Start mit none und späterer Verschärfung.
• Bei Google ist DMARC erst ab rund 5.000 Mails am Tag Pflicht, empfohlen wird es allen.

Was DMARC prüft

SPF und DKIM beantworten jeweils eine technische Frage, doch die sichtbare Absenderzeile muss dabei nicht betroffen sein. DMARC schließt diese Lücke mit der sogenannten Ausrichtung: Die von SPF oder DKIM bestätigte Domain muss zur Domain im Absenderfeld passen. Standardmäßig genügt dieselbe Hauptdomain, ein strenger Modus verlangt die exakt gleiche.

Der Eintrag selbst ist kurz und liegt im DNS:

_dmarc.beispiel.de TXT "v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de"

Dabei steht p für die Regel und rua für die Adresse der Sammelberichte. Fehlt rua, bekommst du keine Berichte. Seit Mai 2026 ist RFC 9989 die gültige Beschreibung des Verfahrens und löst RFC 7489 ab. Bestehende Einträge beginnen weiter mit v=DMARC1.

Die drei Regeln

Die Regel ist eine Bitte an den Empfänger, kein Befehl. Der Standard rät Empfängern ausdrücklich davon ab, Mails allein wegen p=reject abzuweisen. Sie sollen weitere Anhaltspunkte einbeziehen. Rechne trotzdem damit, dass Mails bei einer strengen Regel aussortiert oder abgewiesen werden können.

Was das für deinen Betrieb bedeutet

Im Betrieb zählt: Ohne Berichte weiß niemand, ob das Kontaktformular oder der Kopierer im Büro die Prüfung besteht. Kaufmännisch zählt das Risiko: Wer deine Domain für Phishing missbraucht, trifft deine Kunden unter deinem Namen, und eine strenge Regel erschwert genau das. Eine zu früh gesetzte strenge Regel kann aber auch eigene Mails treffen, etwa Rechnungen aus einem vergessenen System.

Die sichere Reihenfolge steht bei Google: Erst SPF und DKIM einrichten, die Mails mindestens 48 Stunden lang authentifizieren lassen, dann DMARC mit p=none setzen. Danach liest du die Berichte und verschärfst die Regel erst, wenn klar ist, wie deine Mails authentifiziert werden. Der Standard warnt zusätzlich: Domains, deren Nutzer an Mailverteilern teilnehmen, sollten p=reject nicht setzen, weil Verteiler dabei Probleme machen können.

Ein bestandenes DMARC sagt laut Standard nur, dass die Domain zu Recht verwendet wurde. Es garantiert nicht, dass die Mail im Postfach ankommt.

Häufige Fragen

Brauche ich als kleiner Betrieb DMARC?

Google verlangt es erst ab rund 5.000 Mails am Tag und dann mit mindestens p=none, empfiehlt es aber allen. Sinnvoll ist es vor allem wegen der Berichte, weil du erst dann siehst, wer in deinem Namen sendet.

Muss ich bis p=reject gehen?

Bei Google nicht, dort reicht selbst oberhalb der Mailgrenze p=none. Die strenge Regel schützt deinen Namen besser, verlangt aber, dass alle deine Systeme sauber laufen.

Wer liest die Berichte?

Die Sammelberichte sind technische XML-Dateien und können zahlreich werden. Google rät zu einem eigenen Postfach oder einer Gruppe statt deiner persönlichen Adresse. Für den Alltag hilft ein Dienst oder Betreuer, der sie lesbar aufbereitet.

Kann ein falscher Eintrag Mails blockieren?

Ja. Mit quarantine oder reject können Mails vergessener Systeme im Spam landen oder abgewiesen werden. Mit p=none passiert das durch DMARC nicht, deshalb ist das der richtige Start.

Wo trage ich DMARC ein?

Dort, wo der DNS deiner Domain verwaltet wird. Lege einen TXT-Eintrag für _dmarc an. Die Werte für die Berichtsadresse legst du selbst fest.

Sendet deine Domain, was du denkst?

Wir sehen uns gern gemeinsam mit dir an, welche Einträge bei dir stehen und was als Nächstes dran ist.