none, quarantine, reject), und lässt sich diese Prüfungen als Berichte zurücksenden. Ergebnis: weniger Spoofing, geschützte Marke und bessere Zustellbarkeit.
Das Problem: E-Mail ist von Haus aus fälschbar
Die Absenderadresse einer E-Mail (das „Von:", das Sie im Postfach sehen) kann jeder frei eintragen – ähnlich wie den Absender auf einem Briefumschlag. Nichts hindert einen Angreifer daran, eine Mail mit rechnung@ihre-domain.de als Absender zu verschicken, obwohl sie nie über Ihre Systeme lief.
Genau das nutzen Spoofing (vorgetäuschter Absender) und Phishing (Betrug mit gefälschten Absendern). Für Empfänger sieht es aus, als käme die Mail von Ihnen. Markieren diese dann solche Mails als Spam, leidet die Reputation Ihrer Domain – und irgendwann landen auch Ihre echten Mails nicht mehr im Posteingang.
Die drei Bausteine
DMARC funktioniert nicht allein. Es ist die Klammer über zwei Authentifizierungsverfahren:
Wer darf senden?
Ein DNS-Eintrag listet die Server/IP-Adressen, die für Ihre Domain Mail versenden dürfen. Der empfangende Server prüft, ob die sendende IP auf dieser Liste steht.
Ist sie unverändert & echt?
Ausgehende Mails werden mit einem privaten Schlüssel digital signiert. Der öffentliche Schlüssel steht im DNS. So lässt sich prüfen, dass die Mail wirklich von Ihrer Domain signiert und unterwegs nicht verändert wurde.
Was tun bei Fälschung?
DMARC verknüpft SPF/DKIM mit der sichtbaren Absenderdomain, legt die Regel für Fehlschläge fest und sorgt für Berichte. Es ist die Richtlinie und die Auswertung.
Wie DMARC prüft: das „Alignment"
Der Kern von DMARC ist die Ausrichtung (Alignment). Es reicht nicht, dass SPF oder DKIM irgendwie bestehen – die dabei geprüfte Domain muss zur sichtbaren Absenderdomain (dem „Von:") passen. Sonst könnte ein Angreifer einfach mit seiner eigenen, sauber authentifizierten Domain in Ihrem Namen schreiben.
Eine Mail besteht DMARC, wenn mindestens eines zutrifft:
- SPF besteht und die SPF-Domain ist mit der Von-Domain ausgerichtet, oder
- DKIM besteht und die DKIM-Signatur-Domain ist mit der Von-Domain ausgerichtet.
Beim Alignment gibt es zwei Modi: relaxed (Standard – die übergeordnete Domain muss passen, Subdomains wie mail.ihre-domain.de sind ok) und strict (die Domain muss exakt übereinstimmen).
Die drei Richtlinien
Im DMARC-Eintrag legen Sie über die p=-Angabe fest, was empfangende Server mit Mails tun sollen, die die Prüfung nicht bestehen:
p=none
Nur beobachten. Es wird nichts blockiert, aber Sie erhalten Berichte. Der richtige Startpunkt, um zu sehen, wer alles in Ihrem Namen sendet.
p=quarantine
Verdächtige Mails werden zugestellt, aber in den Spam-/Junk-Ordner. Der Zwischenschritt, sobald alle legitimen Quellen sauber authentifiziert sind.
p=reject
Fehlschläge werden komplett abgewiesen. Das volle Schutzniveau gegen Spoofing – Ziel jeder ausgereiften DMARC-Einführung.
DMARC-Berichte: Ihr Röntgenbild
Der oft unterschätzte Teil: DMARC lässt empfangende Provider Berichte an eine von Ihnen angegebene Adresse schicken. Es gibt zwei Arten:
- Aggregat-Berichte (RUA) – meist einmal täglich, als XML. Sie enthalten pro sendender IP-Adresse: Nachrichtenmenge, SPF-/DKIM-Ergebnis und DMARC-Bewertung. Damit sehen Sie alle Quellen, die unter Ihrer Domain versenden – erwünschte wie unerwünschte.
- Forensische Berichte (RUF) – Einzelmeldungen zu fehlgeschlagenen Nachrichten. Detaillierter, aber datenschutzsensibler und von vielen Providern gar nicht mehr verschickt.
So sieht ein DMARC-Eintrag aus
DMARC ist ein einzelner TXT-Eintrag im DNS Ihrer Domain, unter dem Namen _dmarc:
_dmarc.ihre-domain.de TXT "v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de; adkim=r; aspf=r"Die wichtigsten Bestandteile (Tags):
| Tag | Bedeutung |
|---|---|
v=DMARC1 | Version – muss am Anfang stehen und ist immer DMARC1. |
p= | Richtlinie für die Hauptdomain: none, quarantine oder reject. |
sp= | Optionale, abweichende Richtlinie für Subdomains. |
rua= | Adresse für die Aggregat-Berichte (als mailto:). |
ruf= | Adresse für forensische Einzelberichte (optional). |
pct= | Prozentsatz der Mails, auf den die Richtlinie angewendet wird (zum stufenweisen Einführen). |
adkim= / aspf= | Alignment-Modus für DKIM bzw. SPF: r (relaxed) oder s (strict). |
Liegt das Berichts-Postfach auf einer anderen Domain als die überwachte, verlangt der Standard zusätzlich eine Freigabe auf der Empfängerseite (ein _report._dmarc-Eintrag). Solche Feinheiten übernehmen wir bei der Einrichtung.
Warum DMARC heute Pflicht ist
DMARC war lange „nice to have". Das hat sich geändert: Seit Februar 2024 verlangen Google (Gmail) und Yahoo von Massenversendern (Faustregel: mehr als 5.000 Mails pro Tag), dass E-Mails mit SPF und DKIM authentifiziert sind, ein ausgerichtetes DMARC (mindestens p=none) besitzen und eine funktionierende Ein-Klick-Abmeldung anbieten. Seit Ende 2025 setzt Gmail das strenger durch – nicht konforme Mails können abgewiesen werden.
Die Konsequenzen betreffen aber nicht nur Massenversender:
- Zustellbarkeit: Ohne saubere Authentifizierung landen Mails eher im Spam oder werden abgelehnt.
- Markenschutz: DMARC mit
quarantine/rejectstoppt Kriminelle, die in Ihrem Namen phishen. - Sichtbarkeit: Über die Berichte erkennen Sie neue oder fehlkonfigurierte Versandquellen frühzeitig.
Der Weg zur Einführung
DMARC führt man nicht mit einem Schalter „scharf", sondern stufenweise – begleitet von den Berichten:
Beobachten (p=none)
DMARC-Eintrag mit p=none setzen und Berichte sammeln. Erst mal sehen, wer alles unter Ihrer Domain sendet.
Quellen sauber machen
Alle legitimen Versender (Mailserver, Newsletter-Tool, CRM …) korrekt mit SPF und DKIM authentifizieren, bis sie DMARC bestehen.
Anziehen (p=quarantine)
Auf quarantine wechseln, ggf. zunächst für einen Teil der Mails (pct). Weiter über die Berichte kontrollieren.
Durchsetzen (p=reject)
Auf reject gehen. Jetzt werden Fälschungen konsequent abgewiesen – volles Schutzniveau.
Häufige Fragen
Brauche ich SPF und DKIM beide?
Für DMARC muss mindestens eines der beiden ausgerichtet bestehen. In der Praxis sollten Sie beide einrichten – das ist robuster (z. B. übersteht DKIM eine Weiterleitung, bei der SPF bricht) und wird von Google/Yahoo für Massenversender ausdrücklich verlangt.
Blockiert DMARC sofort E-Mails?
Nein. Mit p=none wird nichts blockiert – Sie beobachten nur. Erst quarantine und reject greifen ein. Deshalb startet man immer mit none und zieht erst an, wenn alle legitimen Quellen sauber sind.
Ist DMARC dasselbe wie SPF oder DKIM?
Nein. SPF und DKIM sind die zwei Prüfungen. DMARC verbindet sie mit der sichtbaren Absenderdomain (Alignment), legt die Regel für Fehlschläge fest und liefert Berichte. Ohne DMARC gibt es keine Alignment-Prüfung und keine Auswertung.
Was passiert, wenn ich gar kein DMARC habe?
Dann kann jeder ungehindert in Ihrem Namen mailen, und empfangende Provider haben keine Anweisung, wie sie damit umgehen sollen. Zunehmend führt fehlendes DMARC außerdem zu schlechterer Zustellbarkeit Ihrer echten Mails.
Wie schnell wirkt eine Änderung?
Der DNS-Eintrag ist meist innerhalb von Minuten bis Stunden aktiv. Aussagekräftige Berichte brauchen aber ein paar Tage, weil Provider sie typischerweise einmal täglich schicken und nur, wenn tatsächlich Mail über die Domain lief.