DMARC einrichten — Schritt-für-Schritt-Anleitung

DMARC (Domain-based Message Authentication, Reporting & Conformance) sagt empfangenden Mailservern, was mit E-Mails Ihrer Domain geschehen soll, die die Authentifizierung nicht bestehen. Es baut auf SPF und DKIM auf und gibt Ihnen Kontrolle und Einblick in Ihren E-Mail-Verkehr.

SPF prüft den sendenden Server, DKIM prüft die Signatur, und DMARC entscheidet, was passiert, wenn eines von beiden fehlschlägt.

Voraussetzungen

Bevor Sie DMARC einrichten, sollten Sie Folgendes haben:

SPF record für Ihre Domain konfiguriert
DKIM-Signierung bei Ihrem E-Mail-Anbieter eingerichtet

DMARC prüft, dass mindestens eines von SPF oder DKIM mit der From:-Domain übereinstimmt.

Schritt 1: Einen DMARC-Eintrag zum Beobachten anlegen

Start with p=none — damit wird nur beobachtet, ohne E-Mails abzulehnen. Legen Sie einen TXT-Eintrag an bei _dmarc.yourdomain.com:

v=DMARC1; p=none; rua=mailto:[email protected]

Das veranlasst empfangende Server, aggregierte Berichte an Ihre E-Mail-Adresse zu senden.

Schritt 2: Berichte auswerten

Nach einigen Tagen erhalten Sie XML-Berichte, die zeigen, welche Server E-Mails von Ihrer Domain senden und ob sie SPF/DKIM bestehen. Prüfen Sie sie, um sicherzugehen, dass Ihre legitimen E-Mails korrekt authentifiziert werden.

Nutzen Sie einen DMARC-Berichtsanalyzer (es gibt viele kostenlose), um das XML in ein lesbares Format zu bringen.

Schritt 3: Auf Quarantäne umstellen

Sobald Ihre legitimen E-Mails durchgehend bestehen, stellen Sie um auf p=quarantine:

v=DMARC1; p=quarantine; pct=10; rua=mailto:[email protected]

The pct=10 bedeutet, die Richtlinie nur auf 10 % der fehlgeschlagenen E-Mails anzuwenden. Erhöhen Sie das mit wachsender Sicherheit schrittweise auf 100 %.

Schritt 4: Mit Reject durchsetzen

Die strengste Richtlinie — fehlgeschlagene E-Mails werden direkt abgelehnt:

v=DMARC1; p=reject; rua=mailto:[email protected]; ruf=mailto:[email protected]

Parameter eines DMARC-Eintrags

Tag	Example	Description
`p`	`p=reject`	Richtlinie: none, quarantine oder reject
`sp`	`sp=quarantine`	Richtlinie für Subdomains (übernimmt p, wenn nicht angegeben)
`pct`	`pct=50`	Anteil der E-Mails, auf die die Richtlinie angewendet wird (1–100)
`rua`	`rua=mailto:[email protected]`	Ziel für aggregierte Berichte
`ruf`	`ruf=mailto:[email protected]`	Ziel für forensische Berichte (Fehlerberichte)
`adkim`	`adkim=s`	DKIM-Ausrichtung: s (streng) oder r (entspannt)
`aspf`	`aspf=r`	SPF-Ausrichtung: s (streng) oder r (entspannt)

DMARC-Ausrichtung erklärt

DMARC verlangt „Ausrichtung“ (Alignment): Die Domain im From:-Header der E-Mail muss zur Domain passen, die bei der SPF- oder DKIM-Authentifizierung verwendet wurde:

Relaxed (r) — Subdomains sind erlaubt (Standard). mail.example.com aligns with example.com
Strict (s) — exakte Übereinstimmung erforderlich. mail.example.com ist NICHT ausgerichtet mit example.com

Häufige Fehler

Direkt zu p=reject springen, ohne vorher zu beobachten — legitime E-Mails können scheitern
Den Eintrag auf der Root-Domain anlegen statt bei _dmarc.yourdomain.com
SPF und DKIM nicht zuerst einrichten
Vergessen, rua anzugeben — ohne Berichte können Sie nicht beobachten, was passiert

Ihren DMARC-Eintrag prüfen

Nutzen Sie die E-Mail-Sicherheitsprüfung, um zu überprüfen, ob Ihr DMARC korrekt konfiguriert ist:

DMARC prüfen →← Was ist SPF?

Auf Ihrer Domain ausprobieren

Sehen Sie die Theorie in der Praxis — führen Sie E-Mail-Sicherheitsprüfung für Ihre eigene Domain aus.