DMARC-Check: DMARC-Eintrag prüfen und erstellen

DMARC-Eintrag erstellen. Zum Kopieren in Deine DNS-Verwaltung.

Dein DMARC-Eintrag

Typ: TXT
Name: _dmarc

Starte mit „none" und einer Adresse für Berichte. Zeigen die Berichte nach einigen Wochen, dass alle Deine Absender bestehen, stell auf „quarantine" und später auf „reject".

Nutzt Du Microsoft 365, Google Workspace, IONOS, STRATO oder einen anderen Anbieter? Dann erzeugt der Anbieter den Schlüssel selbst. Du schaltest DKIM im Admin-Bereich ein und trägst den Eintrag ins DNS ein, den er Dir anzeigt, oft als CNAME. Der Generator hier ist für eigene Mailserver.

So funktioniert DMARC.

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Der Eintrag liegt als TXT unter „_dmarc.Deine-Domain" und beginnt mit „v=DMARC1". Er verbindet SPF und DKIM mit der Absenderadresse, die der Empfänger sieht: Eine Mail besteht nur, wenn SPF oder DKIM für genau diese Domain passt.

Die Regel „p=" legt fest, was mit Mails passiert, die nicht bestehen: „none" beobachtet nur, „quarantine" schiebt sie in den Spam, „reject" weist sie ab. Mit „rua=" bekommst Du regelmäßig Berichte der großen Anbieter, meist täglich. Darin steht, welche Server in Deinem Namen gesendet haben.

Der sichere Weg: mit „p=none" und einer Berichtsadresse starten, die Berichte einige Wochen lesen und fehlende Absender in SPF oder DKIM nachtragen. Danach auf „quarantine" und schließlich auf „reject" umstellen.

Beispiele

Der Start

v=DMARC1; p=none; rua=mailto:dmarc@firma.de

Nur beobachten und Berichte sammeln.

Der Zwischenschritt

v=DMARC1; p=quarantine; rua=mailto:dmarc@firma.de

Mails, die nicht bestehen, landen im Spam.

Voller Schutz

v=DMARC1; p=reject; rua=mailto:dmarc@firma.de

Gefälschte Mails mit Deiner Domain werden abgewiesen.

Typische Fehler.

Eintrag an der falschen Stelle

DMARC gehört unter „_dmarc", nicht auf die Domain selbst. Steht er dort, findet ihn kein Empfänger.

Gleich mit „reject" starten

Wer ohne Berichte sofort auf „reject" stellt, riskiert, dass eigene Mails abgewiesen werden, etwa vom Newsletter-Dienst oder von der Buchhaltungssoftware.

Keine Berichtsadresse

Ohne „rua" bleibst Du blind. Du siehst weder Missbrauch noch eigene Dienste, denen SPF oder DKIM fehlt.

Berichte an eine fremde Domain

Gehen die Berichte an eine Adresse einer anderen Domain, muss diese Domain das per DNS erlauben. Auswertungsdienste richten das meist für Dich ein.

Fragen zu DMARC

Was bedeuten p=none, p=quarantine und p=reject?

Das ist die Regel für Mails, die weder SPF noch DKIM passend zu Deiner Domain bestehen. „none" heißt nur beobachten, „quarantine" heißt in den Spam-Ordner, „reject" heißt abweisen.

Reicht p=none für Gmail und Yahoo?

Für die Anforderung an große Absender ja: Google verlangt einen DMARC-Eintrag, die Regel darf „none" sein. Vor gefälschten Mails mit Deiner Domain schützt aber erst „quarantine" oder „reject".

Was mache ich mit den DMARC-Berichten?

Die Berichte kommen als XML-Dateien, meist gepackt. Lesbar werden sie mit einem Auswertungsdienst. Du siehst darin, welche Server in Deinem Namen gesendet haben und ob SPF und DKIM gepasst haben.

Brauche ich DMARC als kleiner Betrieb?

Ja. Auch wenn Du weniger als 5.000 Mails am Tag verschickst: Ohne DMARC kann jeder Mails mit Deiner Domain als Absender verschicken, etwa gefälschte Rechnungen an Deine Kunden. Ein Eintrag mit „p=none" ist schnell gesetzt.

Die anderen Einträge

Zum E-Mail-Check mit allen Regeln

Mehr Anfragen, die auch ankommen?

Wir bauen Websites und Kampagnen, die Anfragen bringen. SPF, DKIM und DMARC richten wir dabei gleich mit ein. Erst Dein Paket, dann ein Termin per Video.

Kevin Baum im Videocall an seinem Schreibtisch, im Hintergrund eine Holzlattenwand mit farbigem Licht.

Erst Dein Paket, dann der Termin

Im Preisrechner tippst Du an, was Dich bremst. Du siehst sofort Dein Paket mit Preisspanne. Danach wählst Du direkt einen Termin, das Gespräch läuft per Video.

Dein Preis in 2 Minuten

DMARC-Check. Schütz Deine Domain vor gefälschten Mails.

SPF

DKIM

DMARC