DMARC: was Empfänger mit gefälschter Mail tun sollen

Modul 4: Einträge für E-Mail · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, wie DMARC SPF und DKIM kombiniert, einen gültigen DMARC-Eintrag erstellen und die Richtlinie Schritt für Schritt verschärfen.

Kernbegriffe: DMARC, _dmarc, v=DMARC1, Richtlinie p=none / quarantine / reject, Ausrichtung (Alignment), rua-Berichte, sp= und np=, Testmodus t=, ein einziger DMARC-Eintrag

Das fehlende Stück

SPF (Lektion 4.3) prüft, von welchem Server eine Mail kommt, schaut dabei aber auf die technische Envelope-Adresse. DKIM (Lektion 4.4) prüft eine Signatur, die aber von jeder beliebigen Domain stammen kann. Ein Betrüger kann also eine Mail mit „Von: info@example.com“ versenden, die SPF für seine eigene Domain problemlos besteht und von seiner eigenen Domain ordentlich signiert ist.

DMARC (Domain-based Message Authentication, Reporting and Conformance) schließt diesen Kreis. Es stellt eine einzige Frage: Gehört die bestandene SPF- oder DKIM-Prüfung zu der Domain, die der Empfänger in der „Von:“-Adresse sieht? Das nennt man Ausrichtung (Alignment). Und Sie teilen den Empfängern mit, was sie tun sollen, wenn die Antwort Nein lautet.

DMARC wurde 2015 in RFC 7489 beschrieben. Im Mai 2026 erschien die überarbeitete Fassung als offizieller Internetstandard: RFC 9989 (mit RFC 9990 und 9991 für die Berichte). Bestehende Einträge mit v=DMARC1 bleiben gültig.

Wie ein Empfänger entscheidet

Kommt eine Mail mit Absender info@example.com an, geht der Empfänger so vor:

1. SPF: Kommt die Mail von einem zugelassenen Server, und gehört die Envelope-Domain zu example.com?
2. DKIM: Gibt es eine gültige Signatur, und gehört die signierende Domain (d=) zu example.com?
3. DMARC: Ist mindestens eine der beiden Prüfungen bestanden und ausgerichtet? Dann ist die Mail in Ordnung. Wenn nicht, folgt der Empfänger Ihrer Richtlinie.

Eine der beiden Prüfungen genügt. Deshalb ist DKIM so wichtig für Dienste, die mit einer eigenen Envelope-Adresse versenden, wie viele Newsletter-Dienste: Dort besteht SPF zwar, aber nicht für Ihre Domain. Nur eine DKIM-Signatur mit d=example.com sorgt dann dafür, dass alles stimmt.

„Gehört zu“ bedeutet standardmäßig: dieselbe Organisationsdomain. nieuws.example.com gehört zu example.com. Das nennt man relaxed Ausrichtung. Mit adkim=s oder aspf=s (strict) muss es exakt dieselbe Domain sein. Für fast alle reicht relaxed aus.

Wie sieht ein DMARC-Eintrag aus?

Ein DMARC-Eintrag ist ein TXT-Eintrag auf dem Namen _dmarc Ihrer Domain:

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Er besteht aus Teilen (Tags), getrennt durch ein Semikolon.

Die Richtlinie wählen

Sinnvolle Reihenfolge:

1. Zuerst SPF und DKIM in Ordnung bringen, für alle Dienste, die in Ihrem Namen Mails versenden: Ihr E-Mail-Provider, Ihre Website, Ihr Newsletter-Dienst, Ihre Buchhaltungssoftware, Ihr Webshop.
2. Beginnen Sie mit p=none und einer rua-Adresse. Schauen Sie ein paar Wochen in die Berichte, welche Dienste in Ihrem Namen mailen und ob diese bestehen.
3. Gehen Sie zu p=quarantine, und wenn alles gut bleibt, zu p=reject.

Sind Sie unsicher, ob alle Ihre Dienste korrekt eingerichtet sind, gehen Sie nicht sofort zu reject. Ein vergessener Dienst (zum Beispiel das Programm, das Ihre Rechnungen versendet) kommt dann nicht mehr an.

Manche Hosting-Unternehmen setzen bei einem neuen Paket sofort einen strengen DMARC-Eintrag (p=reject). Das ist sicher, solange Ihre gesamte Mail über deren Server läuft. Versenden Sie auch über andere Dienste Mails, prüfen Sie zuerst SPF und DKIM dieser Dienste.

Berichte

Mit rua=mailto:dmarc@example.com erhalten Sie von großen Empfängern täglich eine Übersicht (eine XML-Datei) darüber, wer in Ihrem Namen gemailt hat und ob das erfolgreich war. Nützlich, aber technisch. Verwenden Sie dafür eine eigene Adresse; Sie bekommen schnell mehrere pro Tag. Es gibt Dienste, die die Berichte lesbar machen.

Senden Sie Berichte an eine Adresse auf einer anderen Domain (zum Beispiel einem Berichtsdienst), muss diese andere Domain in ihrem DNS eine Erlaubnis erteilen. Der Dienst erledigt das meist selbst.

Häufige Fehler

• Zwei DMARC-Einträge. Es darf nur einer auf _dmarc vorhanden sein. Bei zwei Einträgen behandelt der Empfänger die Situation so, als hätten Sie kein DMARC. Passen Sie den bestehenden Eintrag an.
• Auf dem falschen Namen. Der Eintrag gehört auf _dmarc.example.com, nicht auf example.com selbst.
• Tippfehler in den Tags. p=reject funktioniert, p=rejected oder policy=reject nicht. Ohne gültiges p= zählt der Eintrag als p=none.
• DMARC aktivieren, bevor SPF und DKIM stimmen. Dann weisen Sie Ihre eigene Mail ab.
• Zu schnell nach einer Änderung erneut prüfen. Ein DMARC-Eintrag hat manchmal eine lange TTL (zum Beispiel vier Stunden). Nach einer Änderung sehen Sie also noch eine Weile den alten Eintrag.

Warum es wichtig ist

Seit Februar 2024 verlangen Gmail und Yahoo von Versendern großer Mailmengen (mehr als rund 5.000 pro Tag) einen DMARC-Eintrag, mindestens mit p=none, sowie dass SPF oder DKIM ausgerichtet besteht. Microsoft verlangt seit Mai 2025 dasselbe für Outlook.com und Hotmail. Auch für kleine Absender verbessert DMARC die Zustellung und schützt Ihre Kunden vor gefälschten Rechnungen in Ihrem Namen.

In der Praxis: So sieht es in einem Panel aus

In diesem Beispiel verwenden wir DirectAdmin. In der DNS-Verwaltung klicken Sie auf den Stift hinter dem TXT-Eintrag _dmarc, oder Sie legen einen neuen TXT-Eintrag mit dem Namen _dmarc an und wählen bei TXT-Eintragstyp DMARC. Bei Domain-Richtlinientyp wählen Sie Keiner, Quarantäne oder Ablehnen; bei Gesamt-E-Mail (RUA) tragen Sie gegebenenfalls eine Berichtsadresse ein. Mein WebOké verfügt über eine vergleichbare DMARC-Hilfe auf der Registerkarte DNS.

Hat Ihr Panel keine solche Hilfe, legen Sie einfach einen gewöhnlichen TXT-Eintrag auf _dmarc an und geben den Text selbst ein. Das Ergebnis ist dasselbe.

Zusammenfassung

• DMARC prüft, ob SPF oder DKIM für die Domain in der „Von:“-Adresse besteht (Ausrichtung).
• Der Eintrag steht auf _dmarc.<Domain>, beginnt mit v=DMARC1 und hat eine Richtlinie p=none, quarantine oder reject.
• Zuerst SPF und DKIM für alle Dienste, dann p=none mit Berichten, dann verschärfen.
• Genau ein DMARC-Eintrag pro Domain.

Quiz

Aufgabe

Aufgabe Z4.5: DMARC nachschlagen. Suchen Sie den DMARC-Eintrag von sidn.nl (der Website von SIDN, der Registry von .nl in den Niederlanden) heraus (oder den Ihrer eigenen Domain). Fügen Sie den vollständigen Eintrag ein und tragen Sie ein, welche Richtlinie (p=) dort steht.

Aufgabe O4.5: Selbst einrichten in Ihrer Übungszone. In der Übungszone senden Sie die Berichte an eine feste Übungsadresse; bei Ihrer echten Domain verwenden Sie eine eigene Adresse. Legen Sie in Ihrer Übungszone <code>.dnspractice.eu einen DMARC-Eintrag mit der Richtlinie quarantine an (oder none, wenn Sie mit dem Monitoring beginnen möchten) sowie Berichte an dmarc@dnspractice.eu (rua=mailto:dmarc@dnspractice.eu).

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; in anderen Panels funktioniert es vergleichbar.

• Was ist DMARC? Erklärung in einfacher Sprache
• DirectAdmin Anleitung 5.9: DMARC einrichten
• DMARC-Eintrag in DirectAdmin erstellen
• WebOké Anleitung 5.5: DNS-Helfer: MX, SPF, DMARC, CAA und SRV
• Öffentliche E-Mail-Prüfung (SPF, DMARC, MX): https://www.weboke.at/e-mail-check, sowie der Mailtest von internet.nl: https://internet.nl
• RFC 9989 (DMARC), RFC 9990 (Berichte); historisch RFC 7489