Eine strengere DMARC-Richtlinie bedeutet nicht automatisch mehr Sicherheit. Ist ein legitimer Absender nicht ordnungsgemäß konfiguriert, können seine Nachrichten im Spam-Ordner der Empfänger landen oder sogar abgelehnt werden. Daher beginnt die Einrichtung des DMARC-Eintrags mit einer Überprüfung, und eine Verschärfung der Einstellungen sollte erst auf der Grundlage der gesammelten Daten erfolgen. Durch die Einhaltung der richtigen Reihenfolge können Sie das Risiko fehlerhafter E-Mail-Einstellungen verringern und gleichzeitig Ihre Domain vor gefälschten Nachrichten schützen, die in Ihrem Namen versendet werden.

SPF überprüft, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. DKIM hilft mithilfe einer digitalen Signatur dabei, die Herkunft der Nachricht zu bestätigen, während DMARC festlegt, was geschehen soll, wenn die Überprüfungen nicht übereinstimmen. Bitte überprüfen Sie vor dem Anlegen des Eintrags die DNS-Einstellungen Ihrer Domain sowie alle verwendeten E-Mail-Dienste.

Die Anleitung zeigt Ihnen, wie Sie die SPF- und DKIM-Einstellungen vornehmen, welchen TXT-Eintrag Sie in die DNS-Zone aufnehmen müssen und wie Sie das Ergebnis überprüfen können. Sie erfahren mehr über die Rolle der Berichte sowie darüber, wann es sinnvoll ist, von der „Observer“-Richtlinie zunächst auf „Quarantäne“ und anschließend auf „Ablehnung“ umzustellen. Auf diese Weise können Sie DMARC transparenter einführen und das Risiko minimieren, dass legitime E-Mails den Empfänger nicht erreichen.

Was ist ein DMARC-Eintrag und welches Problem löst er für eine E-Mail-Domain?

Es kann vorkommen, dass ein Betrüger Ihre Domain als Absender angibt, obwohl die E-Mail nicht aus Ihrem E-Mail-System stammt. DMARC hilft den empfangenden E-Mail-Systemen dabei, solche E-Mails zu überprüfen und die vom Domaininhaber festgelegten Regeln zu befolgen. Die Konfiguration erfolgt über einen TXT-Eintrag, der in der DNS-Zone der Domain veröffentlicht wird.

Das Ziel von DMARC ist es, auf der Grundlage von SPF- und DKIM-Prüfungen sowie der Übereinstimmung mit der Absenderdomain Anleitungen für den Umgang mit nicht authentifizierten E-Mails zu geben. Der Name des Protokolls leitet sich von dem Begriff „Domain-based Message Authentication“ ab. Die Zusammenfassung „Was ist DMARC?“ bietet weitere Hintergrundinformationen zu seiner Funktionsweise sowie zu seiner Verbindung mit SPF und DKIM.

DMARC ist keine Zustellgarantie und bietet für sich genommen keinen vollständigen Schutz vor Phishing. Das Protokoll hilft dabei, zu erkennen, wenn die Absenderdomain einer Nachricht nicht mit den Authentifizierungsergebnissen übereinstimmt. Der Provider des Empfängers kann auf dieser Grundlage die im Eintrag festgelegte Regel anwenden, doch können auch andere Faktoren die Zustellung beeinflussen.

Worin unterscheiden sich SPF, DKIM und DMARC voneinander?

Die drei Technologien ergänzen sich gegenseitig, bieten jedoch Antworten auf unterschiedliche Fragestellungen:

• SPF: Prüft, ob der Server, der die Nachricht versendet, im SPF-Eintrag der Domain als autorisierter Absender aufgeführt ist.
• DKIM: Überprüft anhand einer kryptografischen Signatur, ob die signierten Teile der Nachricht mit dem öffentlichen Schlüssel der Absenderdomain übereinstimmen.
• DMARC: Es wertet die Ergebnisse der SPF- und DKIM-Prüfungen aus und überprüft, ob die Domain mindestens einer der erfolgreich geprüften Einträge mit der vom Empfänger angezeigten Absenderdomain übereinstimmt.

Die DMARC-Prüfung kann somit auch dann erfolgreich sein, wenn die SPF- oder DKIM-Anforderungen ordnungsgemäß erfüllt sind und die Domain der jeweiligen Prüfung mit der Absenderdomain übereinstimmt.

Wann ist die Einrichtung eines DMARC-Eintrags erforderlich?

DMARC ist sowohl für die Unternehmens-E-Mail-Kommunikation als auch für Benachrichtigungen über Website-Formulare und Newsletter-Versandsysteme nützlich. Bevor Sie den DMARC-Eintrag einrichten, sollten Sie ermitteln, welche Systeme E-Mails im Namen Ihrer Domain versenden. Berücksichtigen Sie dabei neben Ihren eigenen E-Mail-Servern auch externe Dienste.

Wenn mehrere Absenderquellen im Einsatz sind, überprüfen Sie bitte die SPF- und DKIM-Einstellungen jeder einzelnen. Selbst die Nachrichten eines ausgelassenen, aber legitimen Systems können von einer strengen DMARC-Richtlinie betroffen sein. Der Eintrag muss in der DNS-Zone verwaltet werden, die auf den Nameservern der Domain tatsächlich gültig ist. cPanel ist nur dann die geeignete Oberfläche hierfür, wenn die DNS-Zone der betreffenden Domain dort verwaltet werden kann.

Welche Voraussetzungen müssen vor der Einrichtung des DMARC-Eintrags erfüllt sein?

Eine erfolgreiche DMARC-Einführung beginnt mit der Bestandsaufnahme der Absendersysteme und der DNS-Einstellungen. Bevor Sie die Einträge Ihrer Domain ändern, erstellen Sie bitte eine Liste aller Dienste, die im Namen Ihrer Domain E-Mails versenden. Eine ausgelassene Absenderquelle kann später zu einem Authentifizierungsfehler führen und es erschweren, festzustellen, ob die fehlgeschlagene Überprüfung mit einer legitimen oder einer unerwünschten E-Mail zusammenhängt.

Die Bestandsliste sollte die Unternehmens-E-Mails, die Benachrichtigungs-E-Mails der Website-Formulare sowie alle externen Newsletter-Versand- oder Verwaltungssysteme enthalten. Notieren Sie sich, welcher Dienst welche Absenderadresse verwendet und wo sich die Authentifizierungseinstellungen dafür befinden. Die Einstellungen des E-Mail-Hostings hängen ebenfalls mit den DNS-Einträgen der Domain zusammen; beachten Sie daher bitte die Dokumentation des verwendeten E-Mail-Systems.

Der offizielle Hintergrund des Protokolls wird in der offiziellen Spezifikation von DMARC.org erläutert. Bei der praktischen Vorbereitung ist es am wichtigsten, dass Sie die SPF- und DKIM-Daten Ihrer eigenen Absenderressourcen kennen und wissen, welche DNS-Zone Sie bearbeiten müssen.

Wie überprüfen Sie die SPF- und DKIM-Einstellungen?

Suchen Sie in der Dokumentation Ihres E-Mail- und Versanddienstleisters nach dem von diesem angegebenen SPF-Eintrag sowie nach den für DKIM erforderlichen Einträgen und Werten. Vergleichen Sie diese anschließend mit den bereits in Ihrer DNS-Zone vorhandenen Daten. Erstellen Sie keinen neuen SPF-Eintrag und ersetzen Sie den bestehenden nicht, ohne zuvor den bisherigen Verlauf zu überprüfen. Doppelte oder widersprüchliche Einträge können zu Problemen führen.

Bitte überprüfen Sie gesondert, ob die Website, die Unternehmens-E-Mail-Adresse und alle externen Versandplattformen in die Bestandsliste aufgenommen wurden. Sollten die Einstellungen eines Dienstes unklar sein, konsultieren Sie bitte zunächst die Anleitung des jeweiligen Anbieters oder wenden Sie sich an dessen Kundensupport. Auf diese Weise sinkt die Wahrscheinlichkeit, dass ein berechtigter Absender bei der Authentifizierung übersehen wird.

Wo muss der DMARC-DNS-Eintrag angelegt werden?

Sie müssen den Eintrag in jener autoritativen DNS-Zone vornehmen, die von den für die Domain konfigurierten Nameservern verwendet wird. Der Ort der Domainregistrierung, das Webhosting und die DNS-Verwaltung müssen nicht unbedingt denselben Dienst oder dasselbe Verwaltungsportal nutzen. Überprüfen Sie zunächst, wo die Domain-Einträge tatsächlich geändert werden können.

Suchen Sie in der cPanel-Hosting-Oberfläche nur dann nach den DNS-Einstellungen, wenn die Zone der betreffenden Domain tatsächlich dort verwaltet werden kann. Das Vorhandensein von cPanel allein bedeutet nicht, dass sich dort die autoritative DNS-Zone befindet. Die genaue Benutzeroberfläche hängt von Ihren Domain-Einstellungen ab.

Welche DMARC-Richtlinie sollten Sie wählen: „none“, „quarantine“ oder „reject“?

Die DMARC-Richtlinie legt fest, welche Maßnahmen der Domaininhaber von den empfangenden E-Mail-Systemen verlangen soll, wenn eine Nachricht die DMARC-Prüfung nicht besteht. Im Rahmen der schrittweisen Einführung erfolgt in der Regel zunächst eine Beobachtungsphase; nach der Überprüfung der Absenderquellen und der Authentifizierungsergebnisse kann die Regel dann verschärft werden. Die Erläuterung des DMARC-Protokolls liefert weitere Hintergrundinformationen zur Funktionsweise.

Nutzungsbedingungen	Was erwarten Sie von dem Hostingsystem?	Wofür kann es verwendet werden?
p=none	Behandeln Sie E-Mails, die die DMARC-Prüfung nicht bestehen, nicht gesondert.	Zur Beobachtung und zur Erfassung der Absenderquellen. Dies allein führt nicht dazu, dass die verdächtige E-Mail unter Quarantäne gestellt oder abgelehnt wird.
p=quarantine	Behandeln Sie die fehlgeleitete E-Mail mit Vorsicht, beispielsweise indem Sie sie in den Spam-Ordner verschieben.	Schrittweise Aktivierung, nachdem die Authentifizierung der berechtigten Absender überprüft wurde.
p=reject	Lehnen Sie E-Mails ab, die die DMARC-Prüfung nicht bestehen.	Strengere Durchsetzung, sobald die Einstellungen der legitimen Absenderquellen bereits ordnungsgemäß konfiguriert sind.

Die Richtlinie erteilt dem E-Mail-System des Empfängers Anweisungen, löscht oder verschiebt die E-Mail jedoch nicht direkt in Ihrem System. Die Umsetzung durch den empfangenden Provider kann variieren. „p=none“ kann eine sinnvolle Grundeinstellung sein, sollte jedoch nicht als endgültige Sicherheitseinstellung betrachtet werden: Sie bewirkt nicht, dass gefälschte oder fehlerhaft authentifizierte E-Mails unter Quarantäne gestellt oder abgelehnt werden. Zum Empfang und zur Analyse der Berichte ist zudem die entsprechende Berichtseinstellung im Datensatz erforderlich.

Wann ist es ratsam, zu strengeren Nutzungsbedingungen überzugehen?

Verschärfen Sie die Regeln nicht einfach nur nach einem festen Zeitplan. Überprüfen Sie zunächst die DMARC-Berichte und ermitteln Sie, welche Systeme legitime E-Mails im Namen Ihrer Domain versenden. Sollte die Überprüfung bei einer bekannten Absenderquelle fehlschlagen, überprüfen Sie die SPF- und DKIM-Einstellungen und korrigieren Sie diese, bevor Sie zu strengeren Regeln übergehen.

Verschärfen Sie Ihre DMARC-Richtlinie erst, nachdem Sie die Berichte und die Absenderquellen überprüft haben. Dadurch können Sie das Risiko verringern, dass auch legitime E-Mails in Quarantäne gelangen oder abgelehnt werden. Sollte noch unklar sein, welcher Dienst die Nachricht gesendet hat oder warum die Authentifizierung fehlgeschlagen ist, bleiben Sie in der Beobachtungsphase und klären Sie die Daten, bevor Sie Änderungen vornehmen. Die Konfiguration des DMARC-Eintrags wird erst dann zu einer wirksamen Durchsetzung, wenn alle legitimen Absender ordnungsgemäß authentifiziert sind.

Schritt-für-Schritt-Anleitung zur Einrichtung eines DMARC-Eintrags im DNS-Manager

Wenn Sie bereits mit den E-Mail-Systemen Ihrer Domain vertraut sind und deren SPF- und DKIM-Einstellungen überprüft haben, können Sie nun den TXT-Eintrag hinzufügen. Sie müssen diesen Eintrag in der autoritativen DNS-Zone Ihrer Domain erstellen. Die Bezeichnungen der Felder im Verwaltungsbereich können je nach Anbieter variieren. Überprüfen Sie daher vor dem Speichern, ob der Name und der Wert des Eintrags in die richtigen Felder eingegeben wurden.

Video: DMARC Policy Explained: p=none, p=quarantine, p=reject (PowerDMARC, auf Englisch)

Welche Daten sollte der DMARC-TXT-Eintrag enthalten?

In dem Datensatz bezeichnet „v=DMARC1“ die DMARC-Version, während „p=“ die Richtlinie angibt, die die empfangenden Systeme bei E-Mails befolgen müssen, die die Überprüfung nicht bestehen. Als Einstieg eignet sich die Option „p=none“, die eine Beobachtungsphase vorsieht. Das Tag „rua“ gibt die Empfangsadresse für die zusammengefassten DMARC-Berichte an. Wählen Sie ein Postfach, das von Ihnen oder dem für die Einstellungen zuständigen Mitarbeiter regelmäßig überprüft wird.

Das folgende Beispiel dient ausschließlich der Veranschaulichung und stellt keinen tatsächlichen Eintrag von aWh dar. Ersetzen Sie „example.hu“ durch Ihre eigene Domain und die E-Mail-Adresse durch ein funktionierendes Postfach.

v=DMARC1; p=none; rua=mailto:dmarc-riport@example.hu

Wie fügen Sie den Eintrag hinzu?

1. Öffnen Sie die autoritative DNS-Zone. Melden Sie sich bei dem Anbieter im DNS-Manager an, der die Einträge für die Nameserver Ihrer Domain verwaltet.
2. Legen Sie einen neuen TXT-Eintrag an. Der Name oder das Hostfeld des Eintrags lautet in der Regel „_dmarc“. Einige Benutzeroberflächen fügen den Domainnamen automatisch hinzu, andere verlangen die Angabe des vollständigen Namens. Befolgen Sie die Anweisungen der Benutzeroberfläche, um zu vermeiden, dass die Domain doppelt eingegeben wird.
3. Geben Sie den Wert des Datensatzes an. Fügen Sie die ausgewählten DMARC-Daten ein, beispielsweise das oben genannte Beispiel, das die Überwachungsrichtlinie verwendet. Geben Sie die Berichtsadresse nur dann an, wenn diese tatsächlich E-Mails empfangen kann.
4. Speichern Sie die Änderung. Überprüfen Sie den Namen, den TXT-Typ und den vollständigen Wert und speichern Sie anschließend den Eintrag.
5. Überprüfen Sie den veröffentlichten Eintrag. Fragen Sie den Namen „_dmarc“ in der autoritativen DNS-Zone ab und überprüfen Sie, ob der erstellte TXT-Eintrag lesbar ist.

Die Dauer der DNS-Aktualisierung hängt von den Einstellungen des Anbieters ab; betrachten Sie es daher bitte nicht als Fehler, wenn der Eintrag nicht sofort in allen Kontrolloberflächen angezeigt wird. Überprüfen Sie bei der Abfrage die Syntax, die Semikolons sowie eventuelle doppelte DMARC-Einträge. Die Darstellung der Anführungszeichen kann je nach Oberfläche variieren. Fügen Sie diese nicht manuell hinzu, wenn die Benutzeroberfläche den TXT-Wert automatisch formatiert.

Die Sichtbarkeit des Eintrags bedeutet noch nicht, dass alle legitimen Absenderquellen ordnungsgemäß authentifiziert sind. Analysieren Sie die Berichte und die Ergebnisse der legitimen E-Mails, bevor Sie zu strengeren Richtlinien übergehen. Wenn die DNS-Zone Ihrer Domain über cPanel verwaltet werden kann, machen Sie sich mit dem cPanel-Hosting vertraut und überprüfen Sie die in dem jeweiligen Konto verfügbaren DNS-Verwaltungsoptionen.

Fehlerbehebung und E-Mail-Schutz: Was ist nach der Einrichtung zu tun?

Überprüfen Sie nach der Veröffentlichung des DMARC-Eintrags, ob die Authentifizierung der E-Mails in der Praxis tatsächlich den Einstellungen entspricht. Sollte eine berechtigte Nachricht in Quarantäne gelangen oder abgelehnt werden, ändern Sie die Richtlinien nicht sofort. Vergleichen Sie den im DNS veröffentlichten Eintrag mit den Ergebnissen der DMARC-Berichte und den Anweisungen des betreffenden E-Mail-Anbieters.

Warum können legitime E-Mails in Quarantäne gelangen oder abgelehnt werden?

Die DMARC-Prüfung kann auch dann fehlschlagen, wenn SPF oder DKIM für sich genommen erfolgreich sind, die für die Prüfung verwendete Domain jedoch nicht mit der in der Absenderadresse der E-Mail angezeigten Domain übereinstimmt. Dies kann bei externen Newsletter-Versendern, Website-Formularen oder automatischen Benachrichtigungen vorkommen, wenn die Versandroute und die Authentifizierungsdatensätze nicht aufeinander abgestimmt sind.

Ermitteln Sie anhand der Berichte und der Daten des Dienstanbieters die Ursache für die fehlgeschlagenen Überprüfungen. Überprüfen Sie anschließend die entsprechenden SPF- und DKIM-Einträge, die verwendete Absenderdomain sowie die Frage, über welches System die Nachricht tatsächlich versendet wird.

• Fehlender Absender: Nehmen Sie das neue oder zuvor nicht erfasste E-Mail-, Formular- und Benachrichtigungssystem in das Verzeichnis auf und überprüfen Sie anschließend dessen Authentifizierungsvorschriften.
• Syntaxfehler: Überprüfen Sie den Wert des Eintrags, die Trennung der Tags und den im DNS-Manager angegebenen Eintragsnamen.
• Wiederholter Eintrag: Bitte überprüfen Sie, ob unter dem Namen „_dmarc“ nicht mehrere DMARC-TXT-Einträge vorhanden sind. Anstelle der doppelten Einträge ist ein gültiger Eintrag erforderlich.

Fragen Sie nach der Korrektur die DNS-Einstellungen erneut ab und überprüfen Sie anschließend in den Berichten die Ergebnisse der betroffenen Absender. Verschärfen Sie die Richtlinien erst dann, wenn die Authentifizierung und die Domain-Zuordnung der legitimen Absenderquellen bereits geklärt sind.

Erweiterte Einstellungen und Sonderfälle

Der Eintrag kann neben „v“ und „p“ weitere, optionale Elemente enthalten:

• rua: Die Adresse für die zusammenfassenden Berichte. Die Berichte werden täglich im XML-Format von den großen E-Mail-Systemen übermittelt; bei hohem Datenaufkommen empfiehlt es sich, die Adresse eines Berichtsanalyse-Dienstes anzugeben, da die manuelle Auswertung dieser Berichte sehr aufwendig ist.
• sp: Die Richtlinie für Subdomains, falls diese von der Hauptdomain abweicht (beispielsweise sp=reject, wenn von der Subdomain niemals E-Mails versendet werden).
• adkim und aspf: die Strenge der Übereinstimmung. Bei der standardmäßigen Einstellung „locker“ (r) passt auch eine E-Mail, die von einer Subdomain signiert wurde, zur Hauptdomain; bei der Einstellung „streng“ (s) hingegen nur die exakt identische Domain. In den meisten Fällen ist die lockere Übereinstimmung die richtige Wahl.
• pct: Die Richtlinie wird nur auf einen Teil der fehlerhaften E-Mails angewendet (beispielsweise p=quarantine; pct=25). Dies ist bei der schrittweisen Einführung strengerer Maßnahmen hilfreich.

Domains, von denen keine E-Mails versendet werden. Wenn von einer Domain (beispielsweise einer aus Gründen des Markenschutzes gesperrten oder geparkten Domain) niemals E-Mails versendet werden, können Betrüger diese dennoch missbrauchen. Richten Sie für eine solche Domain einen SPF-Eintrag mit „v=spf1 -all“ sowie einen DMARC-Eintrag mit „v=DMARC1; p=reject;“ ein, damit E-Mails, die in ihrem Namen versendet werden, von den Empfängern abgelehnt werden.

Die Anforderungen der großen E-Mail-Anbieter. Google und Yahoo erwarten ab Februar 2024, Microsoft (Outlook.com) seit Mai 2025 erwarten von Absendern mit hohem E-Mail-Aufkommen SPF, DKIM und einen DMARC-Eintrag mit der Richtlinie „p=none“; E-Mails ohne Authentifizierung landen daher immer häufiger im Spam-Ordner oder werden selbst bei kleineren Absendern zurückgewiesen. Die Einrichtung von DMARC verbessert somit auch die Zustellbarkeit Ihrer eigenen E-Mails. Über die weiterreichenden Zusammenhänge des Schutzes vor Phishing informiert Sie unser Phishing-Leitfaden.

BIMI. Wenn die Domain die Richtlinien „p=quarantine“ oder „p=reject“ verwendet, kann dank des BIMI-Standards das Firmenlogo in einigen E-Mail-Systemen neben den E-Mails angezeigt werden (dafür ist in den meisten Fällen ein separates, für das Logo ausgestelltes Zertifikat erforderlich).

Die DNS-Authentifizierung und das E-Mail-Hosting sind separate Aufgaben

Die DNS-Einträge legen fest, wie die empfangenden Systeme E-Mails überprüfen können, die von Ihrer Domain gesendet werden. Das E-Mail-Hosting hingegen bildet die technische Grundlage für die E-Mail-Konten und den E-Mail-Versand. Beide Bereiche hängen zusammen, sind jedoch nicht identisch: Der DMARC-Eintrag muss in der authentifizierten DNS-Zone der Domain verwaltet werden, während Sie die SPF- und DKIM-Einstellungen vom Absenderdienstleister erfahren müssen.

Wenn Sie sich für einen E-Mail-Dienst entscheiden oder Ihre bestehenden Einstellungen überprüfen möchten, sehen Sie sich die E-Mail-Hosting-Lösungen von aWh an und stimmen Sie die erforderlichen Authentifizierungsdaten mit dem DNS-Verwalter Ihrer Domain ab.

Führen Sie den DMARC-Schutz in kontrollierten Schritten ein

Die Einrichtung eines sicheren DMARC-Eintrags ist mit dem Speichern des TXT-Eintrags noch nicht abgeschlossen. Erfassen Sie zunächst alle E-Mail-Versandsysteme und überprüfen Sie anschließend die SPF- und DKIM-Authentifizierung. Beobachten Sie danach die DMARC-Berichte, beheben Sie die bei legitimen Absendern festgestellten Fehler und wechseln Sie erst auf der Grundlage geprüfter Ergebnisse zu einer strengeren Richtlinie. Auf diese Weise können Sie das Risiko verringern, dass die Schutzmaßnahmen auch Ihre eigenen, ordnungsgemäß versendeten E-Mails beeinträchtigen.

Die DNS-Authentifizierung und der E-Mail-Dienst hängen zwar zusammen, stellen jedoch getrennte Aufgaben dar. Der Eintrag muss in der entsprechenden DNS-Zone veröffentlicht und überprüft werden, wobei auch die Einstellungen der verwendeten E-Mail-Anbieter zu berücksichtigen sind. Bei der Auswahl eines Anbieters empfiehlt es sich, nach einer Lösung zu suchen, die Ihren E-Mail-Anforderungen entspricht.

Auf den cPanel-Hosting-Paketen von aWh lassen sich SPF und DKIM mit wenigen Klicks im Menüpunkt „E-Mail-Zustellbarkeit“ einrichten, während Sie den DMARC-Eintrag im Zone-Editor hinzufügen können. Sehen Sie sich das E-Mail-Hosting von aWh an und prüfen Sie, welche Einstellungen für Ihre Domain erforderlich sind. Durch sorgfältige Vorbereitung und kontinuierliche Überprüfung können Sie Schritt für Schritt einen transparenteren E-Mail-Schutz aufbauen.

Häufig gestellte Fragen zum DMARC-Eintrag

Was ist ein DMARC-Eintrag?

Der DMARC-Eintrag ist eine E-Mail-Authentifizierungsregel für eine Domain, die als TXT-Eintrag im DNS veröffentlicht wird. Die empfangenden E-Mail-Systeme berücksichtigen das Ergebnis der SPF- und DKIM-Prüfung sowie die Übereinstimmung zwischen der authentifizierten Domain und der Absenderdomain. Der Eintrag gibt zudem vor, wie E-Mails zu behandeln sind, die die Überprüfung nicht bestehen. Er garantiert für sich genommen keine Zustellung, und für seine Funktionsweise sind entsprechende SPF- und DKIM-Einstellungen erforderlich.

Wie richtet man den DMARC-Eintrag ein?

Bevor Sie den DMARC-Eintrag einrichten, sollten Sie alle Systeme erfassen, die im Namen Ihrer Domain E-Mails versenden, und anschließend die SPF- und DKIM-Einstellungen überprüfen. Suchen Sie anschließend die autoritative DNS-Zone Ihrer Domain und fügen Sie einen TXT-Eintrag mit dem Namen „_dmarc“ hinzu. Geben Sie als Wert die Protokollversion und die von Ihnen gewählte Richtlinie an. Überprüfen Sie nach dem Speichern den veröffentlichten Eintrag und verfolgen Sie anschließend die Berichte.

Wo muss der DMARC-TXT-Eintrag angelegt werden?

Sie müssen den Eintrag bei dem DNS-Anbieter erstellen, der die autoritative DNS-Zone der Domain verwaltet. Dies ist nicht unbedingt derselbe Anbieter wie der für die Domainregistrierung, das Webhosting oder die E-Mail-Konten. Überprüfen Sie zunächst, welche Nameserver die Domain verwendet, und suchen Sie dann in der dazugehörigen Verwaltungsoberfläche die DNS-Zone. Erstellen Sie dort einen TXT-Eintrag für den Namen „_dmarc“.

Was ist der Unterschied zwischen „p=none“ und „p=reject“?

Die Einstellung „p=none“ dient zu Beobachtungszwecken. Mit ihrer Hilfe können Sie Informationen über die DMARC-Ergebnisse sammeln, doch diese Richtlinie verlangt nicht, dass E-Mails, die die DMARC-Prüfung nicht bestehen, unter Quarantäne gestellt oder abgelehnt werden. „p=reject“ ist eine strengere Regel: Sie fordert das empfangende System auf, E-Mails, die die DMARC-Prüfung nicht bestehen, zurückzuweisen. Vergewissern Sie sich vor der Umstellung, dass alle legitimen Absenderquellen bekannt und ordnungsgemäß authentifiziert sind.

Sind SPF- und DKIM-Einträge für die DMARC-Konfiguration erforderlich?

Ja, DMARC stützt sich auf die Ergebnisse der SPF- und DKIM-Prüfungen. Erfassen Sie zunächst die Unternehmens-E-Mails, die Benachrichtigungen auf der Website sowie die externen E-Mail-Versandsysteme und überprüfen Sie anschließend die dazugehörigen Einstellungen. Das bloße Vorhandensein eines Eintrags reicht nicht aus: Sowohl die Versandroute als auch die authentifizierte Domain müssen korrekt mit der Absenderdomain übereinstimmen. Die Einzelheiten entnehmen Sie bitte den Anleitungen der jeweiligen E-Mail-Anbieter.

Warum wird der DMARC-Eintrag nicht angezeigt oder funktioniert er nicht?

Häufige Ursachen sind ein fehlerhafter Eintragsname, ein Tippfehler im TXT-Wert, eine falsche DNS-Zone oder ein mehrfach angelegter DMARC-Eintrag. Bitte überprüfen Sie, ob auf den autoritativen Nameservern Ihrer Domain der erwartete TXT-Wert für den Namen „_dmarc“ sichtbar ist und ob kein weiterer DMARC-Eintrag unter demselben Namen vorhanden ist. Die Dauer der DNS-Aktualisierung hängt von den Einstellungen Ihres Anbieters ab. Überprüfen Sie in den Berichten auch die SPF- und DKIM-Ergebnisse.

Was bedeuten DMARC-Berichte und wie soll ich damit umgehen?

DMARC-Berichte können aggregierte Daten darüber liefern, welche Systeme E-Mails im Namen Ihrer Domain versenden und wie sie die Authentifizierungsprüfungen bestehen. Identifizieren Sie zunächst die legitimen Absender und vergleichen Sie die Ergebnisse anschließend mit den SPF- und DKIM-Einstellungen sowie den von den Anbietern angegebenen Daten. Beheben Sie die festgestellten Fehler und erwägen Sie erst danach eine Verschärfung Ihrer Richtlinien. Die Sichtbarkeit des Eintrags allein ist kein Beweis dafür, dass der gesamte E-Mail-Versand ordnungsgemäß funktioniert.

• E-Mail-Zustellung
• DNS
• Anleitungen
• Authentifizierung