DMARC – was passieren soll, wenn jemand deinen Namen benutzt

DMARC sagt Empfängern, was mit gefälschten Absendern geschehen soll, und liefert Berichte. Wir zeigen den Aufbau, den Weg von p=none zu p=reject und jeden Befund.

SPF und DKIM liefern Befunde: „Server nicht auf der Liste", „Siegel passt nicht". Nur sagt keines von beiden, was daraus folgen soll. Diese Lücke füllt DMARC. Es ist die Hausordnung deiner Domain – eine Anweisung an jeden Empfänger auf der Welt, was mit einer Nachricht geschehen soll, die vorgibt, von dir zu kommen, und den Nachweis nicht erbringt.

Dazu kommt das, was DMARC in der Praxis am wertvollsten macht: Berichte. Wer DMARC einrichtet, bekommt täglich Sammelberichte von Gmail, Outlook, GMX, Web.de und vielen anderen – wer in seinem Namen versendet hat, von welchen Adressen aus, und ob es durchging. Ohne diese Berichte weißt du nicht, wie viele Versandwege deine Firma tatsächlich hat. Die Antwort ist fast immer: mehr als gedacht.

DMARC verlangt außerdem etwas, das die beiden anderen Verfahren nicht prüfen: Übereinstimmung. Es reicht nicht, dass irgendeine Signatur gültig ist – die signierende Domain muss zu dem Absender passen, den dein Kunde im Postfach sieht.

Wie der Eintrag aussieht

DMARC steht immer unter der festen Unteradresse _dmarc deiner Domain:

_dmarc.beispiel-gmbh.de.   TXT   "v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel-gmbh.de; sp=quarantine; fo=1"

Die drei Anweisungen im Klartext:

Der Weg von none zu reject

Niemand fängt mit p=reject an. Wer das tut, stellt im Zweifel die eigenen Rechnungsmails ab. Der Weg hat drei Stufen und dauert typischerweise sechs bis zwölf Wochen:

1. Beobachten. p=none mit rua=. Zwei bis vier Wochen laufen lassen und die Berichte ansehen. Jeder Versandweg, der auftaucht und durchfällt, kommt auf eine Liste – Buchhaltung, Shop, Ticketsystem, das Kopiergerät im Flur.
2. Reparieren. Jeden dieser Wege absichern: in SPF aufnehmen oder DKIM einschalten, und zwar so, dass mit deiner Domain signiert wird. Erst wenn die Berichte über eine Woche sauber sind, geht es weiter.
3. Verschärfen. Auf p=quarantine wechseln, wieder zwei Wochen beobachten, dann p=reject. Die Berichte laufen weiter – sie sind auch danach dein Frühwarnsystem.

Die Berichte kommen als gepackte XML-Dateien. Man kann sie von Hand ansehen, aber schon bei einer mittleren Domain sind es Dutzende pro Woche; ein Auswertungsdienst lohnt sich schnell. Eine eigene Adresse wie dmarc@deine-domain.de hält den normalen Posteingang frei.

deine-domain.de._report._dmarc.berichtsdomain.de.   TXT   "v=DMARC1;"

So richtest du es ein

Der DMARC-Eintrag selbst ist bei jedem Anbieter derselbe Text. Unterschiedlich ist nur, wo du ihn einträgst – nämlich dort, wo die DNS-Einträge deiner Domain liegen:

So legst du ihn bei IONOS an:

1. Im IONOS-Konto zu Domains & SSL gehen und bei der Domain DNS öffnen.
2. Prüfen, ob es schon einen TXT-Eintrag mit dem Hostnamen _dmarc gibt. Wenn ja: diesen bearbeiten. Zwei Einträge machen DMARC unwirksam.
3. Eintrag hinzufügen, Typ TXT, Hostname _dmarc (ohne den Domainnamen dahinter – den ergänzt IONOS selbst).
4. Als Wert eintragen: v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de; fo=1
5. Speichern und dafür sorgen, dass die Adresse aus rua= wirklich existiert und jemand hineinsieht.
6. Nach ein bis zwei Tagen kommen die ersten Berichte. Nach zwei bis vier Wochen auf p=quarantine erhöhen.
7. Zwischendurch die Domain im Mail-Check prüfen – dort siehst du sofort, ob der Eintrag lesbar ist.

Die Befunde im Einzelnen

Kein DMARC-Eintrag

Gemessen: Unter _dmarc.deine-domain.de steht kein Eintrag, der mit v=DMARC1 beginnt.

DMARC ist das einzige der drei Verfahren, das Empfängern sagt, was mit gefälschten Absendern geschehen soll. Ohne ihn bleibt jede Fälschung folgenlos, und du erfährst nichts davon. Große Empfänger erwarten inzwischen zumindest einen Eintrag, bevor sie Massenversand aus einer Domain durchlassen.

Was zu tun ist: Mit v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de beginnen. Das ändert an der Zustellung heute nichts und schaltet die Berichte ein – alles Weitere entscheidest du auf Grundlage dessen, was dort ankommt.

Mehrere DMARC-Einträge

Gemessen: Unter _dmarc stehen zwei oder mehr Einträge mit v=DMARC1.

Erlaubt ist einer. Bei mehreren wird DMARC vollständig ignoriert – wie bei SPF fällt der Schutz aus, obwohl jeder Eintrag für sich richtig aussieht.

Was zu tun ist: Entscheiden, welcher gelten soll, die Berichtsadressen aus beiden in diesen einen übernehmen (mehrere rua=-Adressen dürfen durch Komma getrennt nebeneinanderstehen) und den anderen löschen.

DMARC ohne gültige Anweisung

Gemessen: Das Feld p= fehlt oder enthält einen Wert, den der Standard nicht kennt.

Der Eintrag ist damit unwirksam. Häufig steckt ein Tippfehler dahinter (p=quarantaine), ein Semikolon zu viel oder eine Anweisung, die erst nach rua= steht, obwohl p direkt hinter v=DMARC1 gehört.

Was zu tun ist: p=none, p=quarantine oder p=reject setzen, direkt hinter der Kennung. Felder werden mit Semikolon getrennt, Werte nicht in Anführungszeichen gesetzt.

DMARC nur zur Beobachtung (p=none)

Gemessen: Der Eintrag steht auf p=none.

Gefälschte Absender werden gemeldet, aber weder aussortiert noch abgewiesen. Als Startpunkt ist das genau richtig. Als Dauerzustand schützt es nicht: Wer deinen Namen benutzt, kommt weiterhin durch, und dein Eintrag sagt den Empfängern ausdrücklich, dass sie nichts unternehmen sollen.

Was zu tun ist: Die Berichte der letzten Wochen ansehen. Tauchen dort nur eigene, abgesicherte Versandwege auf, auf p=quarantine wechseln. Nach zwei ruhigen Wochen auf p=reject. Kommen keine Berichte an, ist erst die Berichtsadresse zu klären – ohne Berichte ist jede Verschärfung ein Sprung ins Dunkle.

DMARC greift nur teilweise

Gemessen: Der Eintrag enthält pct= mit einem Wert unter 100.

Der Empfänger wendet die Anweisung dann nur auf diesen Anteil der Nachrichten an. Der Rest kommt ungeprüft durch. Für eine Einführungsphase ist das sinnvoll gedacht – gefunden wird es meist Jahre später, und dann ist es schlicht eine Lücke.

Was zu tun ist: Wenn die Einführung abgeschlossen ist, pct ersatzlos entfernen; das entspricht 100. Läuft die Einführung noch, den Wert in Schritten erhöhen und dabei die Berichte weiter beobachten.

DMARC ohne Berichtsadresse

Gemessen: Im Eintrag fehlt das Feld rua=.

Damit bekommst du keine Sammelberichte. Du siehst weder, ob jemand deinen Namen missbraucht, noch welche deiner eigenen Versandwege noch durchfallen – und kannst die Anweisung deshalb nie gefahrlos verschärfen. Das ist der Befund, der am meisten Nutzen liegen lässt.

Was zu tun ist: rua=mailto:dmarc@deine-domain.de ergänzen und ein Postfach oder eine Weiterleitung dafür anlegen. Soll die Adresse auf einer fremden Domain liegen, dort zusätzlich den Freigabe-Eintrag setzen lassen (siehe Kasten oben).

Unterdomains ausgenommen (sp=none)

Gemessen: Der Eintrag enthält sp=none.

Für Unterdomains gilt damit ausdrücklich keine Anweisung – auch dann, wenn p auf reject steht. Fälschungen weichen genau dorthin aus: rechnung.deine-domain.de ist ein beliebtes Muster, und es sieht für Empfänger im Postfach fast aus wie deine echte Adresse.

Was zu tun ist: sp entfernen, dann gilt p auch für Unterdomains. Wenn es einen echten Grund für eine eigene Regel gibt, sp=quarantine oder sp=reject setzen. sp=none ist nur während einer Umstellung einer einzelnen Unterdomain vertretbar, und auch dann befristet.

Berichtsadresse ohne Freigabe

Gemessen: rua= zeigt auf eine andere Domain als deine, und dort fehlt der Freigabe-Eintrag.

Die berichtenden Empfänger verwerfen die Berichte dann. Dein Eintrag sieht richtig aus, es kommt nur nie etwas an – und weil niemand Berichte vermisst, die er nie hatte, fällt es oft jahrelang nicht auf.

Was zu tun ist: Beim Betreiber der Berichtsdomain den Freigabe-Eintrag setzen lassen: deine-domain.de._report._dmarc.berichtsdomain.de mit dem Wert v=DMARC1;. Auswertungsdienste haben dafür eine Anleitung; bei einer Agenturdomain ist es eine Zeile im DNS.

DMARC stammt von der Hauptdomain

Gemessen: Für diese Unterdomain gibt es keinen eigenen Eintrag. Es gilt der der Hauptdomain.

Das ist zulässig und meistens gewollt: Eine Anweisung an einer Stelle deckt alles ab. Ein Mangel ist es nur dann, wenn die Unterdomain eigene Versandwege hat, für die die Regel der Hauptdomain nicht passt.

Was zu tun ist: In der Regel nichts. Versendet die Unterdomain eigenständig – etwa news.deine-domain.de über einen Newsletter-Dienst –, lohnt ein eigener Eintrag mit eigener Berichtsadresse. So lassen sich die Berichte der beiden Wege sauber auseinanderhalten.

Häufige Fragen

Riskiere ich, dass meine eigenen E-Mails nicht mehr ankommen?

Bei p=none nicht – dort ändert sich an der Zustellung nichts. Das Risiko entsteht erst beim Verschärfen, und genau dagegen sind die Berichte da. Wer zwei Wochen lang saubere Berichte hat, kann auf quarantine gehen, ohne zu raten.

Warum kommen keine Berichte, obwohl rua gesetzt ist?

Drei Ursachen, in dieser Reihenfolge: Die Adresse liegt auf einer fremden Domain ohne Freigabe-Eintrag. Das Postfach existiert nicht. Oder der Eintrag ist zwar gesetzt, hat aber einen Tippfehler im mailto:. Alle drei sind in Minuten geprüft.

Reicht es, DMARC zu setzen, wenn SPF und DKIM stehen?

Setzen ja, aber nicht stehenlassen. Ein DMARC-Eintrag auf p=none ist eine Absichtserklärung, keine Maßnahme. Die Wirkung entsteht erst bei quarantine oder reject.

Wir haben Domains, über die gar keine Post läuft. Brauchen die DMARC?

Ja, und dort ist es besonders einfach: v=DMARC1; p=reject; rua=mailto:dmarc@deine-domain.de ohne Umweg über none. Es gibt keinen eigenen Versand, der brechen könnte. Mehr dazu unter Posteingang.

Was hat DMARC mit dem Logo im Postfach zu tun?

BIMI setzt DMARC im Durchgriff voraus – also p=quarantine oder p=reject bei voller Anwendung. Ohne das bleibt das Logo unsichtbar, so richtig der BIMI-Eintrag sonst auch sein mag.