Was ist DMARC?

Einfach erklärt

DMARC ist eine Anweisung, die Sie zu Ihrer Domain veröffentlichen. Sie sagt jedem empfangenden Mailserver: „Wenn eine Mail angeblich von uns kommt, aber die Echtheitsprüfung nicht besteht, dann …“. Es gibt drei Stufen:

• Beobachten: zustellen wie bisher, aber berichten.
• Quarantäne: in den Spam-Ordner legen.
• Ablehnen: gar nicht erst annehmen.

Dazu bekommen Sie auf Wunsch Berichte, welche Server Mails in Ihrem Namen verschickt haben.

Warum das wichtig ist

Ohne DMARC können Betrüger Mails verschicken, die genau Ihre Absenderadresse tragen, etwa gefälschte Rechnungen an Ihre Kunden. Mit DMARC auf „Quarantäne“ oder „Ablehnen“ sortieren empfangende Server solche Mails aus. Auch die großen Mailanbieter verlangen DMARC zunehmend. Google etwa setzt einen DMARC-Eintrag voraus, wenn eine Domain mehr als 5.000 Mails am Tag an Gmail-Adressen schickt.

Was Sie tun können

DMARC wird schrittweise eingeführt, damit keine echten Mails verloren gehen:

1. Eintrag auf „Beobachten“ setzen und Berichte anfordern.
2. In den Berichten alle Dienste finden, die für Sie senden, und für jeden SPF und DKIM richtig einrichten.
3. Erst dann auf „Quarantäne“ und später auf „Ablehnen“ umstellen.

Die Berichte sind technische Dateien. Ihr IT-Dienstleister braucht ein Werkzeug, um sie auszuwerten.

Einordnung: Viele Domains bleiben jahrelang auf „Beobachten“ stehen. Dann wird zwar berichtet, gefälschte Mails werden aber weiter zugestellt. Der Schutz beginnt erst mit „Quarantäne“.

Was DMARC nicht kann

DMARC schützt Ihre genaue Domain. Gegen ähnlich aussehende Domains wie „ihre-flrma.de“ und gegen gefälschte Anzeigenamen hilft es nicht, mehr dazu unter Spoofing.

Eintrag und Auswertung

DMARC ist ein TXT-Eintrag unter _dmarc.<domain>:

_dmarc.ihre-firma.de.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@ihre-firma.de; adkim=r; aspf=r"

Eine Mail besteht DMARC, wenn SPF oder DKIM besteht und die jeweils geprüfte Domain zur Domain im From: passt (Identifier Alignment). Bei r (relaxed, Standard) genügt dieselbe Organisationsdomain, bei s (strict) muss die Domain genau übereinstimmen.

Neuer Standard: RFC 9989

Seit Mai 2026 ersetzt RFC 9989 die bisherige Beschreibung RFC 7489. DMARC ist damit erstmals ein Standard der IETF (Proposed Standard). Die Berichte sind in RFC 9990 und RFC 9991 ausgelagert. Für bestehende Einträge wichtig:

• Einträge mit v=DMARC1 und die übrigen bekannten Tags gelten weiter.
• pct entfällt. An seine Stelle tritt der Testmodus t=y: Empfänger wenden die Richtlinie eine Stufe milder an, aus reject wird quarantine, aus quarantine wird none.
• Neu sind np und psd. Die Organisationsdomain wird über eine Abfrage entlang des DNS-Baums bestimmt (Tree Walk), nicht mehr über die Public Suffix List.

Typische Fehler

• Dauerhaft p=none. Berichtet, schützt aber nicht.
• Zwei DMARC-Einträge. Beide werden verworfen, die Domain hat dann keine eigene Richtlinie.
• Berichte an eine fremde Domain ohne Freigabe. Liegt rua auf einer anderen Domain, muss diese mit einem Eintrag ihre-firma.de._report._dmarc.<zieldomain> mit dem Inhalt v=DMARC1 zustimmen, sonst gehen keine Berichte ein.
• Versanddienst ohne Alignment. Der Dienst besteht SPF und DKIM mit seiner eigenen Domain. Vor dem Wechsel auf quarantine braucht er DKIM mit Ihrer Domain.

Prüfen

dig +short TXT _dmarc.ihre-firma.de