Auf einen Blick. Eintrags-Host: _dmarc.yourdomain.com (TXT) · Beginnen mit: p=none plus einer rua-Adresse · Steigern: quarantine, dann reject, in Etappen · Ein Eintrag: Zwei Einträge machen beide ungültig
Die Kurzfassung
- Was DMARC bewirkt. DMARC steht für Domain-based Message Authentication, Reporting and Conformance.
- Bevor Sie beginnen. DMARC besteht, wenn entweder SPF oder DKIM besteht und die bestandene Domain mit der Domain in der From-Adresse übereinstimmt, also aligned ist.
- Schritt 1: Einen Eintrag im Überwachungsmodus veröffentlichen. DMARC ist ein TXT-Eintrag unter _dmarc.yourdomain.com.
- Schritt 2: Die aggregierten Berichte lesen. Empfänger senden tägliche XML-Berichte an die rua-Adresse.
- Ein durchgespieltes Beispiel zum Lesen eines Berichts. Stellen Sie sich vor, ein Bericht zeigt drei Quellen für Ihre Domain.
- DMARC mit gängigen Postfachanbietern. Läuft Ihre Mitarbeiter-Mail über Google Workspace oder Microsoft 365, hat jeder Anbieter eigene Schritte, um das DKIM-Signieren für Ihre Domain zu aktivieren, und einen eigenen SPF-Include-Wert.
Was DMARC bewirkt
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es baut auf zwei älteren Prüfungen auf. SPF legt fest, welche Server für Ihre Domain senden dürfen, und DKIM fügt eine Signatur hinzu, die belegt, dass die Nachricht nicht verändert wurde. DMARC ergänzt zwei Dinge: eine Regel, was Empfänger tun sollen, wenn beide Prüfungen nicht zu Ihrer sichtbaren From-Domain passen, und eine Möglichkeit für Empfänger, Ihnen Bericht zu erstatten.
Ohne DMARC kann jeder Ihre Domain in die From-Zeile schreiben, und Empfänger haben von Ihnen keine Anweisung, was sie tun sollen. Mit DMARC sehen Sie den Missbrauch und können, wenn Sie bereit sind, die Empfänger bitten, ihn abzuweisen.
Bevor Sie beginnen
DMARC besteht, wenn entweder SPF oder DKIM besteht und die bestandene Domain mit der Domain in der From-Adresse übereinstimmt, also aligned ist. SPF und DKIM müssen daher bereits für jeden Dienst funktionieren, der in Ihrem Domainnamen sendet: Ihren Versanddienst, Ihren Büro-Postfachanbieter, Ihr CRM, Ihren Support-Desk und jedes Rechnungstool.
Erstellen Sie eine Liste aller dieser Dienste. Vergessene Absender sind der mit Abstand häufigste Grund, warum ein DMARC-Rollout legitime Mails blockiert. Unser kostenloser Checker zeigt, was aktuell veröffentlicht ist.
Schritt 1: Einen Eintrag im Überwachungsmodus veröffentlichen
DMARC ist ein TXT-Eintrag unter _dmarc.yourdomain.com. Beginnen Sie mit der Richtlinie p=none, die Empfänger bittet, nichts zu unternehmen, Ihnen aber trotzdem Berichte zu senden. Ersetzen Sie die Adresse durch ein Postfach, das Sie tatsächlich lesen, oder durch einen Berichtsdienst.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.comManche DNS-Oberflächen ergänzen den Domainnamen für Sie, sodass Sie als Host nur _dmarc eingeben. Andere verlangen den vollständigen Namen. Wenn Ihre Oberfläche Anführungszeichen entfernt oder lange Werte teilt, prüfen Sie das Ergebnis mit einem Abfrage-Tool, statt dem Bildschirm zu vertrauen.
Schritt 2: Die aggregierten Berichte lesen
Empfänger senden tägliche XML-Berichte an die rua-Adresse. Jeder listet die IP-Adressen auf, die Mails in Ihrem Domainnamen gesendet haben, wie viele Nachrichten es waren und ob SPF und DKIM bestanden haben und aligned waren. Rohes XML ist schwer lesbar, daher nutzen die meisten Teams einen kostenlosen oder kostenpflichtigen Berichtsviewer.
Achten Sie auf zwei Dinge. Legitime Absender, deren Alignment fehlschlägt, die Sie beheben müssen, und Quellen, die Sie nicht kennen und die möglicherweise Spoofing betreiben. Planen Sie zwei bis vier Wochen ein, damit auch monatliche Absender, etwa Rechnungsläufe, erscheinen.
Ein durchgespieltes Beispiel zum Lesen eines Berichts
Stellen Sie sich vor, ein Bericht zeigt drei Quellen für Ihre Domain. Die erste ist Ihr Versanddienst: 40.000 Nachrichten, SPF und DKIM bestehen beide und sind aligned. Die zweite ist Ihr Büro-Postfachanbieter: 600 Nachrichten, DKIM besteht und ist aligned. Die dritte ist ein unbekannter Server in einem anderen Land: 900 Nachrichten, beides schlägt fehl.
Die ersten beiden erfordern keine Maßnahme. Die dritte ist entweder ein Tool, das Sie vergessen haben, oder jemand, der sich als Sie ausgibt. Klären Sie das, bevor Sie die Richtlinie verschärfen. Ist es ein vergessenes Tool, korrigieren Sie dessen Authentifizierung. Gehört es nicht Ihnen, ist das genau der Verkehr, den p=reject stoppen soll.
DMARC mit gängigen Postfachanbietern
Läuft Ihre Mitarbeiter-Mail über Google Workspace oder Microsoft 365, hat jeder Anbieter eigene Schritte, um das DKIM-Signieren für Ihre Domain zu aktivieren, und einen eigenen SPF-Include-Wert. Erledigen Sie das zuerst und veröffentlichen Sie dann DMARC. Viele kleine Unternehmen in Indien verwalten das DNS über ein Registrar-Panel wie GoDaddy, BigRock oder Hostinger oder über Cloudflare, und der TXT-Eintrag funktioniert bei allen gleich.
Welche Variante Sie auch nutzen: Fügen Sie den DMARC-Eintrag nur einmal hinzu und prüfen Sie ihn nach einigen Minuten per Abfrage. DNS-Änderungen können Zeit brauchen, bis sie sich verbreiten, und manche Oberflächen cachen stundenlang.
Schritt 3: Fehlerhafte Absender beheben
Entscheiden Sie bei jedem legitimen Absender, der fehlschlägt, ob Sie SPF, DKIM oder beides korrigieren. Ein Drittanbieter-Tool, das von einer eigenen Domain sendet, braucht eine eigene DKIM-Signatur für Ihre. Ein vergessener Server muss in SPF aufgenommen werden, wobei das Limit von zehn DNS-Abfragen einzuhalten ist.
Weitergeleitete Mails können bei SPF durchfallen, weil der Server des Weiterleiters nicht in Ihrem Eintrag steht. DKIM übersteht eine Weiterleitung meist, ein guter Grund, dafür zu sorgen, dass jeder Absender signiert.
Schritt 4: Zu quarantine und dann zu reject wechseln
Zeigen die Berichte, dass Ihre legitimen Mails bestehen, verschärfen Sie die Richtlinie in Etappen. p=quarantine bittet Empfänger, Fehlschläge als verdächtig zu behandeln, meist als Spam. p=reject bittet sie, die Nachricht abzuweisen. Mit dem Tag pct wenden Sie die Richtlinie zunächst auf einen Teil der Mails an.
v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc-reports@yourdomain.comGehen Sie Schritt für Schritt vor und beobachten Sie die Berichte auf jeder Stufe ein paar Wochen lang. Es gibt keinen Preis dafür, schnell reject zu erreichen, und eine überstürzte Änderung kann Rechnungen und Passwort-Resets blockieren.
Subdomains und weitere Tags
Ein DMARC-Eintrag gilt auch für Subdomains, sofern Sie kein sp-Tag hinzufügen. Wenn Sie Marketing-Mails von einer Subdomain senden, können Sie dort einen eigenen Eintrag veröffentlichen. Die Tags adkim und aspf steuern die Strenge des Alignments. Relaxed, die Voreinstellung, erlaubt einer Subdomain, zur Organisationsdomain zu passen. Die meisten Absender sollten beide unverändert lassen.
Möglicherweise begegnet Ihnen ein ruf-Tag für forensische Berichte. Nur wenige Empfänger senden sie, und sie können Nachrichteninhalte enthalten, weshalb die meisten Organisationen sie nicht nutzen.
Fehler, die Sie vermeiden sollten
Zwei DMARC-Einträge auf einer Domain machen beide ungültig, halten Sie also genau einen vor. Springen Sie nicht am ersten Tag zu p=reject. Richten Sie Berichte nicht an ein Postfach, das niemand liest. Und betrachten Sie DMARC nicht allein als Lösung für die Zustellbarkeit: Es belegt, wer Sie sind, nicht, dass Ihre Mails erwünscht sind. Listenqualität und Beschwerderaten entscheiden weiterhin darüber, ob Sie im Posteingang ankommen.
Große Postfachanbieter erwarten von Massenversendern inzwischen SPF, DKIM und DMARC, daher lohnt es sich auch bei bescheidenem Volumen. Unser Leitfaden zu den Anforderungen der Postfachanbieter erklärt, was jeder einzelne verlangt.
Weiterführende Literatur und Quellen
- RFC 7489: DMARC
- RFC 7208: Sender Policy Framework (SPF)
- RFC 6376: DomainKeys Identified Mail (DKIM) Signatures
- Google: Richtlinien für Absender
- Yahoo: Best Practices für Absender
In MigoSMTP umsetzen: Hilfeartikel
- DMARC-Berichte lesen und zu p=reject wechseln
- Eigene Return-Path- und Tracking-Domains
- Sendedomain in MigoSMTP authentifizieren: SPF, DKIM und DMARC
Verwandte Leitfäden und Tools
- DMARC-Record-Generator: Einen Eintrag erstellen, den Sie ins DNS einfügen können.
- SPF, DKIM und DMARC prüfen: Die Einträge Ihrer Domain testen.
- Anforderungen der Postfachanbieter: Was Gmail, Outlook und Yahoo erwarten.
Sind Sie unsicher, ob Ihre Einträge stimmen? Nutzen Sie unseren kostenlosen Checker oder senden Sie uns einen Header, dann helfen wir Ihnen beim Lesen.
Häufig gestellte Fragen
Was bewirkt DMARC?
Mit DMARC teilt der Domaininhaber empfangenden Servern mit, wie sie mit Mails umgehen sollen, bei denen SPF und DKIM nicht aligned sind, und bittet sie, darüber Berichte zu senden. Es schützt Ihre Domain davor, in gefälschten From-Adressen missbraucht zu werden.
Sollte ich mit p=none beginnen?
Ja. Eine p=none-Richtlinie unternimmt nichts gegen fehlerhafte Mails, sammelt aber Berichte. So finden Sie alle legitimen Absender und beheben sie, bevor Sie zu quarantine und dann zu reject wechseln.
Kann ich zwei DMARC-Einträge haben?
Nein. Veröffentlichen Sie genau einen DMARC-TXT-Eintrag unter _dmarc.yourdomain. Zwei Einträge machen die Richtlinie ungültig, und Empfänger ignorieren möglicherweise beide.
Wie lange dauert es, bis ich zu reject wechseln kann?
Das hängt davon ab, wie viele Systeme in Ihrem Domainnamen senden. Viele Teams verbringen mehrere Wochen damit, Berichte zu lesen und Absender zu beheben, bevor sie die Stufe erhöhen, und sie tun es in Etappen statt in einem Schritt.