Smarte, fokussierte E-Mails.
Perfekte Cross-Platform-Mails für mehr Ordnung – so können Sie sich aufs Wesentliche konzentrieren.
Definition
💡 DMARC-Eintrag: Ein DNS-Eintrag, der empfangenden Mailservern mitteilt, was mit einer E-Mail geschehen soll, die vorgibt, von Ihrer Domain zu stammen, aber die Authentifizierungsprüfungen nicht besteht. Er baut auf DKIM und SPF auf und ist das, was Ihre E-Mail-Sicherheitsrichtlinie tatsächlich durchsetzt. Betrachten Sie ihn als die Regel, die entscheidet, ob eine verdächtige E-Mail zugestellt, in Quarantäne verschoben oder direkt abgelehnt wird.
Brauchen Sie das wirklich?
Wenn Sie E-Mails von einer privaten Gmail- oder Outlook-Adresse senden, müssen Sie sich nicht mit DMARC befassen. Google und Microsoft erledigen das für Sie.
Aber wenn Sie von einer eigenen Domain senden (sie@ihrunternehmen.com), liegt das in Ihrer Verantwortung. Google und Yahoo kündigten 2023 an, dass Massenversender DMARC einrichten müssen, und Ende 2025 begann Gmail mit einer strikten Durchsetzung, wobei nicht konforme Nachrichten nun vorübergehend oder dauerhaft abgelehnt werden. Microsoft folgte 2025 mit ähnlichen Regeln für Versender mit hohem Volumen.
Möglicherweise stoßen Sie zum ersten Mal auf DMARC, wenn Ihre E-Mails ohne ersichtlichen Grund im Spam landen. Oder Ihr Domain-Registrar meldet einen fehlenden Authentifizierungseintrag. Oder das IT-Team eines Kunden fragt, warum Ihre Nachrichten deren Sicherheitsprüfungen nicht bestehen. In diesem Moment wird das Ganze konkret.
Versenden Sie Newsletter oder Kunden-E-Mails von einer eigenen Domain? Richten Sie es ein. Es ist nicht mehr optional.
Was DMARC tatsächlich macht
Ohne eine DMARC-Richtlinie muss ein empfangender Server eine eigene Entscheidung treffen, wenn er eine E-Mail erhält, die die Authentifizierungsprüfungen nicht besteht. Manchmal stellt er sie trotzdem zu. Manchmal nicht. Sie haben weder Einblick noch Kontrolle.
DMARC ändert das. Ihr Eintrag teilt dem empfangenden Server genau mit, was mit diesen fehlgeschlagenen E-Mails geschehen soll: normal zustellen (p=none), in den Spam verschieben (p=quarantine) oder vollständig ablehnen (p=reject). Sie erhalten außerdem Berichte. Empfangende Server senden Ihnen täglich Daten, die zeigen, welche Nachrichten die Authentifizierung bestanden haben, welche fehlgeschlagen sind und welche IP-Adressen E-Mails im Namen Ihrer Domain versendet haben.
Genau dieser letzte Punkt macht DMARC für kleine Unternehmen so wertvoll. Ohne DMARC könnte jemand Phishing-E-Mails versenden, die genau so aussehen, als kämen sie von Ihrer Unternehmensadresse. Ihre Kunden werden betrogen, geben Ihrer Marke die Schuld, und Sie ahnen nicht einmal, dass es passiert. Die Berichte informieren Sie darüber. Die Durchsetzungsrichtlinie verhindert es.
Es ist nicht nur eine Sicherheitsmaßnahme. Es geht auch um die E-Mail-Zustellbarkeit.
Wie ein DMARC-Eintrag aufgebaut ist
DMARC-Einträge befinden sich in Ihrem DNS als TXT-Einträge und werden unter _dmarc.ihredomain.com veröffentlicht. Ein einfacher sieht so aus:
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
Die wichtigsten Teile, die Sie verstehen müssen:
p= ist Ihre Richtlinie. Beginnen Sie mit none (nur Überwachung, keine Maßnahme). Sobald Sie bestätigt haben, dass Ihre legitimen E-Mails die Authentifizierung bestehen, wechseln Sie zu quarantine und dann zu reject.
rua= ist der Ort, an den Ihre aggregierten Berichte gesendet werden. Das ist die E-Mail-Adresse, die tägliche XML-Zusammenfassungen von den empfangenden Servern erhält. Sie sollten dafür ein eigenes Postfach einrichten, da das Volumen schnell anwachsen kann.
v=DMARC1 ist lediglich das Versions-Tag. Immer DMARC1.
Das ist ehrlich gesagt das meiste, was Sie für eine grundlegende Einrichtung benötigen. Die anderen Tags (adkim=, aspf=, sp=) steuern die Ausrichtungsstrenge und die Subdomain-Richtlinie, aber darum müssen Sie sich am ersten Tag nicht kümmern.
So richten Sie einen DMARC-Eintrag ein
DMARC ist eine DNS-Operation. Sie fügen Ihrer Domain einen Texteintrag hinzu. Aber bevor Sie etwas ändern, stellen Sie sicher, dass SPF und DKIM bereits konfiguriert sind und bestanden werden. Google empfiehlt, nach der Einrichtung von SPF und DKIM 48 Stunden zu warten, bevor Sie Ihren DMARC-Eintrag hinzufügen. Wenn Sie diesen Schritt überspringen, verursachen Sie wahrscheinlich Zustellungsprobleme für Ihre eigenen E-Mails.
Allgemeine Einrichtung (funktioniert bei jedem Domain-Registrar):
- Stellen Sie sicher, dass SPF und DKIM für Ihre Domain aktiv sind. Verwenden Sie die kostenlose DMARC-Abfrage von MXToolbox zur Überprüfung.
- Generieren Sie Ihren DMARC-Eintrag mit einem kostenlosen Tool wie dem Eintragsgenerator von EasyDMARC oder dem DMARC-Generator von MXToolbox. Beginnen Sie mit p=none.
- Melden Sie sich bei Ihrem Domain-Registrar oder DNS-Anbieter an (Cloudflare, GoDaddy, Namecheap usw.)
- Fügen Sie einen neuen TXT-Eintrag hinzu. Setzen Sie den Namen auf _dmarc und fügen Sie Ihre generierte Richtlinienzeichenfolge als Wert ein.
- Speichern Sie und warten Sie bis zu 48 Stunden auf die DNS-Verbreitung.
- Überprüfen Sie mit der DMARC-Abfrage von MXToolbox, ob er aktiv ist.
Für Google Workspace: Googles offizielle DMARC-Einrichtungsanleitung führt speziell durch den Prozess für Workspace-Domains.
Für Microsoft 365: Microsofts DMARC-Konfigurationsdokumentation behandelt die Einrichtung für 365-Umgebungen.
Sie müssen innerhalb von Gmail, Outlook oder Spark nichts konfigurieren. DMARC befindet sich vollständig auf der DNS-Ebene, nicht in Ihrem E-Mail-Programm.
So führen Sie DMARC ein, ohne Ihre E-Mails zu beeinträchtigen
Richten Sie zuerst SPF und DKIM ein. DMARC funktioniert nicht ohne sie. Wenn Sie das überspringen, verursachen Sie wahrscheinlich Zustellungsprobleme für Ihre eigenen E-Mails, bevor Sie überhaupt etwas beheben. Überspringen Sie es nicht.
Beginnen Sie mit p=none und warten Sie ab. Übereilen Sie nicht den Wechsel zu p=reject. Verbringen Sie ein bis zwei Wochen einfach damit, Berichte zu sammeln. Sie werden wahrscheinlich Tools entdecken, von denen Sie vergessen haben, dass sie in Ihrem Namen senden. Das ist normal. Häufige Beispiele sind Mailchimp, CRM-Systeme, Rechnungssoftware – alles, was E-Mails über Ihre Domain-Adresse versendet.
Überprüfen Sie jedes Tool, das in Ihrem Namen E-Mails versendet. Jedes einzelne muss ordnungsgemäß authentifiziert sein, bevor Sie Ihre Richtlinie verschärfen. Eines zu übersehen ist die häufigste Ursache dafür, dass etwas schiefgeht. Sie wechseln zu p=reject, und plötzlich werden Ihre Mailchimp-Newsletter nicht mehr zugestellt, weil Sie vergessen haben, DKIM über Ihren ESP zu konfigurieren.
Verwenden Sie ein Dashboard-Tool für die Berichte. Die Rohberichte sind XML-Dateien. Für die meisten Menschen unlesbar. Die kostenlosen Versionen von EasyDMARC oder MXToolbox verwandeln sie in etwas Verständliches. Nutzen Sie eines davon.
Wechseln Sie schließlich zu p=reject. p=none ist ein Ausgangspunkt, kein Ziel. Bis Sie dort ankommen, ist Ihre Domain weiterhin fälschbar. Das Ziel ist die vollständige Durchsetzung. Es dauert nur ein paar Wochen, um sicher dorthin zu gelangen.