DMARC-Eintrag prüfen
Kann jemand in Ihrem Namen E-Mails fälschen?
Prüfen Sie Ihren DMARC-Eintrag: was Empfänger mit Mails tun, die Ihre Domain nutzen, aber SPF oder DKIM nicht bestehen, wohin Berichte gehen und auf welcher Schutzstufe Sie stehen.
DMARC-Eintrag erstellen
Zum ersten Mal? Beginnen Sie mit none und einer Report-Adresse; zeigen die Berichte, dass alle legitimen Absender bestehen, wechseln Sie zu quarantine und dann zu reject.
DMARC-Probleme und Lösungen
Die meisten DMARC-Probleme entstehen, weil kein Eintrag existiert, jahrelang p=none gilt oder keine Report-Adresse gesetzt ist – und man nicht sieht, wer mit der Domain sendet. Wählen Sie Ihr Symptom.
Gmail und Yahoo verlangen einen DMARC-Eintrag
Seit Februar 2024 verlangen Gmail und Yahoo von Absendern mit mehr als 5.000 Mails pro Tag einen DMARC-Eintrag mit mindestens p=none sowie SPF und DKIM. Beginnen Sie mit v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de; auch kleinere Absender verbessern damit die Zustellung.
Mit meiner Domain werden gefälschte Mails versendet
p=none blockiert keine Fälschungen, es meldet sie nur. Prüfen Sie zuerst anhand der Berichte, dass alle legitimen Absender SPF oder DKIM bestehen, und setzen Sie die Richtlinie dann auf quarantine und reject. Mit reject erreichen gefälschte Mails mit Ihrer Domain nie das Postfach.
Seit Jahren auf p=none – wie geht es weiter?
Lesen Sie 2–4 Wochen lang die Berichte und listen Sie Ihre legitimen Absender auf; ergänzen Sie fehlschlagende im SPF oder aktivieren Sie deren DKIM. Beginnen Sie dann mit p=quarantine; pct=25, erhöhen Sie auf 100, solange nichts bricht, und wechseln Sie zuletzt auf p=reject.
Es kommen keine DMARC-Berichte
Prüfen Sie, ob der Eintrag rua=mailto:… enthält. Liegt die Report-Adresse auf einer anderen Domain, muss diese unter beispiel.de._report._dmarc.reportdomain.de einen TXT-Eintrag v=DMARC1 veröffentlichen. Berichte kommen einmal täglich als komprimierte XML-Dateien.
Meine legitimen Mails landen plötzlich im Spam
Nach dem Verschärfen besteht ein Absender (CRM, Rechnungen, Newsletter-Tool) SPF oder DKIM für Ihre Domain nicht. Finden Sie die Quelle in den Berichten, ergänzen Sie sie im SPF oder aktivieren Sie im Dienst DKIM mit Ihrer Domain. Bis dahin können Sie die Richtlinie eine Stufe lockern.
SPF-Eintrag prüfenSind meine Subdomains geschützt?
Hat eine Subdomain keinen eigenen Eintrag, gilt der Eintrag der Hauptdomain: deren sp=, sonst p=. Mit sp=reject unterbinden Sie Fälschungen für Subdomains, die nie Mails senden. Fragen Sie hier eine Subdomain ab, um zu sehen, welcher Eintrag gilt.
Was ist DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein TXT-Eintrag, der Empfängern sagt, was mit Mails geschehen soll, die Ihre Domain nutzen, aber SPF oder DKIM nicht bestehen: trotzdem zustellen (none), in den Spam (quarantine) oder ablehnen (reject).
Der Eintrag liegt unter _dmarc.beispiel.de und fordert über das Tag rua tägliche Berichte an. Sie zeigen, wer mit Ihrer Domain sendet – so prüfen Sie Ihre legitimen Absender, bevor Sie die Richtlinie verschärfen.
- SPF und DKIMPrüfen die Nachricht
- DMARC-RichtlinieLegt fest, was mit dem Ergebnis geschieht
- Zustellen, Spam oder AblehnenSie erhalten tägliche Berichte
So lesen Sie einen DMARC-Eintrag
v=DMARC1Version: Kennzeichnet den Eintrag als DMARC; muss das erste Tag sein.p=quarantineRichtlinie:nonebeobachtet,quarantineschiebt in den Spam,rejectlehnt ab.rua=mailto:dmarc@example.comReport-Adresse: Ziel der täglichen Sammelberichte; eine Adresse auf fremder Domain braucht deren Erlaubnis.pct=100Anteil: Der Anteil der Nachrichten, für den die Richtlinie gilt; ohne Angabe 100.adkim=rAlignment:rlocker: Subdomains passen auch;sstrikt: genau dieselbe Domain ist nötig.
Das Ergebnis erklärt jedes Tag, zeigt die Stufe Ihrer Richtlinie und prüft außerdem, ob externe Report-Adressen berechtigt sind.
DMARC sicher einführen
Wer sofort p=reject setzt, lässt auch legitime Mails von Absendern mit unvollständigem SPF oder DKIM ablehnen. Verschärfen Sie die Richtlinie Schritt für Schritt anhand der Berichte.
| Schritt | Eintrag | Wann |
|---|---|---|
| 1 | v=DMARC1; p=none; rua=mailto:dmarc@example.com | Erste 2–4 Wochen: Berichte sammeln, legitime Absender auflisten. |
| 2 | v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@example.com | Wenn in den Berichten kein legitimer Absender mehr scheitert: zuerst auf ein Viertel der Nachrichten anwenden. |
| 3 | v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com | Wenn ein, zwei Wochen nichts bricht: auf alle Nachrichten anwenden. |
| 4 | v=DMARC1; p=reject; rua=mailto:dmarc@example.com | Letzter Schritt: Gefälschte Mails mit Ihrer Domain werden nie zugestellt. |
Nutzen Sie ein eigenes Postfach als Report-Adresse; Berichte sind komprimierte XML-Dateien, die einmal täglich kommen.
Häufige Fragen
Die häufigsten Fragen zu DMARC-Richtlinie, Berichten und den Vorgaben von Gmail/Yahoo.
- DMARC legt fest, was Empfänger tun, wenn Mails mit Ihrer Domain SPF oder DKIM nicht bestehen, und meldet Ihnen, wer in Ihrem Namen sendet. Es ist der Eintrag, der Spoofing stoppt.
-
p=noneist reiner Beobachtungsmodus: Mails ohne bestandene Prüfung werden trotzdem zugestellt und Ihnen gemeldet. Das erfüllt die Mindestanforderung von Gmail und Yahoo, blockiert aber kein Spoofing; Schutz beginnt mit quarantine und reject. - Zuerst
quarantine: Ist ein legitimer Absender falsch eingerichtet, landen seine Mails im Spam statt zu verschwinden. Sind die Berichte sauber, wechseln Sie zureject– der stärksten Einstellung, die Fälschungen ganz fernhält. - Für Absender mit mehr als 5.000 Mails pro Tag an Gmail oder Yahoo seit Februar 2024 ja (mindestens p=none). Für kleinere Absender keine Pflicht – aber der Eintrag verbessert die Zustellung und verhindert den Missbrauch Ihrer Domain.
- An die
rua-Adresse kommt täglich eine komprimierte XML-Datei mit den IP-Adressen, die mit Ihrer Domain gesendet haben, Nachrichtenzahlen und SPF/DKIM-Ergebnissen. Laden Sie sie in einen DMARC-Report-Analyzer, um sie als Tabelle zu lesen. - Nein; eine Subdomain ohne eigenen Eintrag nutzt den der Hauptdomain (deren
sp=, falls gesetzt). Braucht eine Subdomain eine andere Richtlinie, legen Sie einen eigenen Eintrag unter_dmarc.sub.beispiel.dean.
Keine Lust auf E-Mail-DNS-Einträge?
Bei Atak Domain Business-E-Mail werden MX, SPF und DKIM automatisch eingetragen, Support gibt es jeden Tag – ab $0,99 im Monat.