DMARC-Eintrag erklärt: Beispiele, Tags und der Weg von p=none zu p=reject

DMARC-Eintrag: Beispiel und kurze Antwort

Ein DMARC-Eintrag, der für fast jede Domain vom ersten Tag an passt, lautet v=DMARC1; p=none; rua=mailto:[email protected] und wird als TXT-Eintrag auf dem Host _dmarc.beispiel.de veröffentlicht. Dieser Eintrag bittet empfangende Mailserver, alles wie gewohnt zuzustellen, Ihnen aber täglich einen Bericht darüber zu schicken, wer E-Mails mit Ihrer Domain in der Absenderadresse (From) versendet. Sobald diese Berichte zeigen, dass Ihre gesamte legitime Post besteht, verschärfen Sie die DMARC-Policy Schritt für Schritt: zuerst auf quarantine, dann auf reject.

Dieser Leitfaden liefert Ihnen kopierfertige DMARC-Einträge für jede Phase, eine Tabelle aller Tags aus der DMARC-Spezifikation (RFC 7489), einen sicheren Plan von p=none zu p=reject, eine Anleitung zum Lesen der aggregierten Berichte und die Eintragsfehler, die DMARC am häufigsten aushebeln. Die Grundlagen finden Sie in unserer DMARC-Übersicht und in der FAQ Was ist ein DMARC-Eintrag?; dieser Artikel behandelt Beispieleinträge und die schrittweise Einführung.

Das Wichtigste in Kürze

• Ein DMARC-Eintrag ist ein einzelner TXT-Eintrag auf _dmarc.ihredomain. Er muss mit v=DMARC1 beginnen und eine Policy p= enthalten.
• Die DMARC-Policy hat drei Werte: none (nur beobachten), quarantine (fehlschlagende Mails als verdächtig behandeln) und reject (fehlschlagende Mails abweisen).
• Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und die geprüfte Domain mit der Domain der sichtbaren From-Adresse übereinstimmt (Alignment).
• Beginnen Sie immer mit p=none und einer rua-Adresse, lesen Sie die Berichte, korrigieren Sie jeden legitimen Absender und gehen Sie dann zu quarantine und reject über.
• Nur ein DMARC-Eintrag pro Domain. Zwei Einträge auf demselben Host bedeuten, dass keiner angewendet wird.

Wie sieht ein DMARC-Eintrag aus?

Ein DMARC-Eintrag ist eine kurze Zeile aus Tag=Wert-Paaren, getrennt durch Semikolons, die als DNS-TXT-Eintrag auf der Subdomain _dmarc Ihrer Versanddomain liegt. Lautet Ihre Absenderadresse [email protected], steht der Eintrag unter _dmarc.beispiel.de. Das Format ist immer gleich: zuerst das Versions-Tag, dann die Policy, danach optionale Tags in beliebiger Reihenfolge.

DMARC-Eintrag im DNS setzen: was in welches Feld gehört

DMARC ersetzt weder SPF noch DKIM, sondern baut auf ihnen auf. Wenn Sie beides noch nicht eingerichtet haben, beginnen Sie mit unserer Erklärung, was E-Mail-SPF ist und wie es funktioniert, und kommen Sie zu DMARC zurück, wenn beides steht.

DMARC-Eintrag Beispiele für jede Situation

Die folgenden DMARC-Beispiele verwenden beispiel.de und erfundene Berichtsadressen. Ersetzen Sie sie durch Ihre Domain und ein Postfach, das Sie tatsächlich lesen (oder die Adresse eines Auswertungstools).

1. Nur Monitoring (p=none): der Starteintrag

v=DMARC1; p=none; rua=mailto:[email protected]

An der Zustellung ändert sich nichts. Die Empfänger filtern wie gewohnt und schicken Ihnen aggregierte Berichte. Nutzen Sie diesen Eintrag in den ersten Wochen, während Sie alle Dienste ermitteln, die im Namen Ihrer Domain E-Mails versenden.

2. Einen Teil der fehlschlagenden Mails in Quarantäne (p=quarantine mit pct)

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]

Ein Viertel der Nachrichten, die DMARC nicht bestehen, wird als verdächtig behandelt (in der Praxis meist in den Spam-Ordner verschoben). Laut RFC 7489 werden die übrigen 75 % so behandelt, als stünde die Policy auf none. Das ist ein vorsichtiger erster Schritt Richtung Durchsetzung.

3. Vollständige Quarantäne

v=DMARC1; p=quarantine; rua=mailto:[email protected]

Ohne pct-Tag gilt die Policy für 100 % der fehlschlagenden Mails, weil 100 der Standardwert ist.

4. Volle Durchsetzung (p=reject)

v=DMARC1; p=reject; rua=mailto:[email protected]

Die Empfänger werden gebeten, jede Nachricht abzuweisen, die DMARC nicht besteht. Dieser Eintrag verhindert, dass andere E-Mails versenden, die angeblich von genau Ihrer Domain stammen. Behalten Sie das rua-Tag: Sie wollen weiterhin sehen, was blockiert wird.

5. Eigene Policy für Subdomains (sp)

v=DMARC1; p=reject; sp=quarantine; rua=mailto:[email protected]

Die Hauptdomain steht auf reject, während Mails von Subdomains wie shop.beispiel.de ohne eigenen DMARC-Eintrag in Quarantäne gehen. Ohne sp-Tag übernehmen Subdomains den Wert von p.

6. Striktes Alignment (adkim=s, aspf=s)

v=DMARC1; p=reject; adkim=s; aspf=s; rua=mailto:[email protected]

Striktes Alignment verlangt eine exakte Übereinstimmung der Domain: Eine DKIM-Signatur von mail.beispiel.de zählt dann nicht mehr für eine From-Adresse unter beispiel.de. Nutzen Sie es nur, wenn Sie sicher sind, dass alle Absender mit genau der From-Domain signieren und Bounces verarbeiten.

7. Domain, die nie E-Mails versendet

v=DMARC1; p=reject; sp=reject

Für eine geparkte oder defensiv registrierte Domain weisen Sie alles ab. Kombinieren Sie das mit einem SPF-Eintrag, der niemanden autorisiert (v=spf1 -all). Eine rua-Adresse ist hier optional, zeigt Ihnen aber, wer die Domain zu missbrauchen versucht.

8. Mehrere Berichtsadressen und Fehlerberichte (ruf, fo)

v=DMARC1; p=none; rua=mailto:[email protected],mailto:[email protected]; ruf=mailto:[email protected]; fo=1

Aggregierte Berichte gehen an zwei Postfächer (durch Komma getrennt). Fehlerberichte gehen an ein drittes, und fo=1 fordert einen Fehlerbericht an, sobald SPF oder DKIM fehlschlägt, nicht erst, wenn beide fehlschlagen.

DMARC-Tags erklärt: v, p, sp, rua, ruf, pct, adkim, aspf

RFC 7489 definiert eine überschaubare Zahl von DMARC-Tags. Nur v und p sind Pflicht; alle anderen haben einen Standardwert, der gilt, wenn das Tag fehlt.

Was bewirkt die DMARC-Policy none, quarantine oder reject?

Die DMARC-Policy sagt den Empfängern, wie sie mit Mails Ihrer Domain umgehen sollen, die DMARC nicht bestehen. Sie betrifft nur fehlschlagende Mails: Nachrichten, die bestehen, werden nach der normalen Filterung des Empfängers zugestellt.

Erst eine quarantine- oder reject-Policy hält diejenigen auf, die Ihre Domain in die From-Adresse ihrer eigenen Mails setzen. Unser Artikel wie man E-Mail-Spoofing verhindert beschreibt diese Angriffe und die weiteren Schutzmaßnahmen neben DMARC.

DMARC funktioniert nur, wenn SPF und DKIM für jeden Dienst eingerichtet sind, der im Namen Ihrer Domain versendet. So funktioniert die E-Mail-Authentifizierung mit Mailpro™ – legen Sie zuerst dieses Fundament.

Wie funktioniert das DMARC-Alignment?

DMARC ist bestanden, wenn mindestens eine von zwei Prüfungen erfolgreich ist und zur From-Domain passt: SPF besteht und die Bounce-Domain (Return-Path) entspricht der From-Domain, oder DKIM besteht und die Signaturdomain (der d=-Wert der Signatur) entspricht der From-Domain. Ein bestandenes SPF oder DKIM auf der Domain eines anderen reicht nicht.

So wirkt das Alignment bei einer Nachricht mit der sichtbaren From-Adresse [email protected]:

• DKIM signiert mit d=beispiel.de: im relaxed- und im strict-Modus aligned.
• DKIM signiert mit d=mail.beispiel.de: im relaxed-Modus aligned (gleiche Organisationsdomain), im strict-Modus nicht.
• DKIM signiert mit d=versandplattform.net: DKIM kann bestehen, ist aber nicht aligned und zählt daher nicht für DMARC.
• Return-Path auf bounce.beispiel.de und SPF besteht: im relaxed-Modus aligned, im strict-Modus nicht.

Das ist der häufigste Grund, warum eine Domain DMARC nicht besteht, obwohl in den Headern „SPF und DKIM pass“ steht: Sie bestehen für die Domain des Versanddienstes, nicht für Ihre. Die Lösung ist, in jedem Dienst die DKIM-Signatur mit Ihrer eigenen Domain einzurichten. Genau deshalb landen auch Shop-Benachrichtigungen oft im Spam; unser Leitfaden zu Bestellbestätigungen im Spam zeigt diese Einrichtung für einen Onlineshop.

DMARC-Eintrag erstellen und im DNS setzen

Um einen DMARC-Eintrag zu erstellen, legen Sie einen TXT-Eintrag auf dem Host _dmarc Ihrer Domain an, in der DNS-Verwaltung desjenigen, der Ihre DNS-Zone hostet (Registrar, Hoster oder DNS-Anbieter).

1. Prüfen Sie, ob schon ein DMARC-Eintrag existiert. Fragen Sie die TXT-Einträge von _dmarc.ihredomain ab. Gibt es bereits einen, bearbeiten Sie ihn, statt einen zweiten anzulegen.
2. Richten Sie ein Postfach oder einen Alias für die Berichte ein, zum Beispiel dmarc-berichte@ihredomain. Die Berichte kommen als komprimierte XML-Anhänge, eine eigene Adresse hält sie aus den Arbeitspostfächern heraus.
3. Legen Sie den TXT-Eintrag an: Host _dmarc, Wert v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihredomain.
4. Speichern Sie und warten Sie die DNS-Verbreitung ab, je nach TTL meist einige Minuten bis wenige Stunden.
5. DMARC-Eintrag prüfen: Fragen Sie den Eintrag erneut ab und stellen Sie sicher, dass genau ein Wert zurückkommt, der mit v=DMARC1 beginnt.

Wenn Sie über Mailpro versenden, deckt unsere Schritt-für-Schritt-FAQ zum Konfigurieren von DMARC mit Mailpro die Seite des Kontos ab.

Von p=none zu p=reject: Schritt für Schritt

Sicher von p=none zu p=reject zu wechseln heißt, mit Berichten zu belegen, dass jede legitime Quelle Ihrer Mails DMARC besteht, bevor Sie die Empfänger bitten, Fehlschlagendes zu blockieren. Die Zeitangaben unten sind ein Beispiel für eine vorsichtige Einführung bei einer Domain mit mehreren Versanddiensten; eine kleine Domain mit nur einem Absender kann schneller vorgehen, eine große Organisation langsamer.

1. Woche 1 bis 4: p=none mit rua veröffentlichen. Lassen Sie Berichte über mindestens einen vollständigen Geschäftszyklus auflaufen, damit Monatsrechnungen, Newsletter und seltene Systemmails auftauchen.
2. Alle Absender auflisten. Gruppieren Sie die Berichtszeilen nach Quelle und ordnen Sie jede einem Dienst zu: Ihrem Mailanbieter, Ihrer Newsletter-Plattform, Ihrem Shop, Ihrem CRM, Ihrem Helpdesk, Ihrer Rechnungssoftware, Druckern und Scannern, die Mails verschicken.
3. Jeden legitimen Absender korrigieren. Nehmen Sie ihn in SPF auf, wenn er Ihren Return-Path nutzt, und richten Sie die DKIM-Signatur mit Ihrer eigenen Domain ein. Warten Sie neue Berichte ab, um zu bestätigen, dass er jetzt mit Alignment besteht.
4. Auf p=quarantine; pct=25 wechseln. Beobachten Sie ein bis zwei Wochen lang die Berichte und das Support-Postfach. Erhöhen Sie dann pct auf 50 und anschließend auf 100 (oder entfernen Sie pct, da 100 der Standard ist).
5. Auf p=reject; pct=25 wechseln und auf dieselbe Weise erhöhen. Bei pct unter 100 und einer reject-Policy sieht RFC 7489 vor, dass die übrigen fehlschlagenden Mails stattdessen in Quarantäne gehen.
6. Bei p=reject bleiben und weiter Berichte lesen. Jedes neue Tool, das im Namen Ihrer Domain versendet, braucht SPF und DKIM, bevor es live geht, sonst werden seine Mails abgewiesen.

Einige Postfachanbieter erwarten von Massenversendern bereits einen DMARC-Eintrag. Unser Artikel über die neuen Regeln für Gmail und Yahoo erklärt, welche Rolle DMARC darin spielt.

DMARC-Reports lesen: die aggregierten Berichte verstehen

Aggregierte DMARC-Reports sind XML-Dateien, meist als zip oder gzip komprimiert, die ein Empfänger an Ihre rua-Adresse schickt, um alle Mails zusammenzufassen, die er in einem Zeitraum, meist einem Tag, von Ihrer Domain gesehen hat. Jeder Bericht listet sendende IP-Adressen mit der Anzahl der Nachrichten und ihren SPF-, DKIM- und DMARC-Ergebnissen. Sie können sie im Texteditor öffnen, doch ein Auswertungstool, das sie einliest und grafisch darstellt, ist ab einem gewissen Volumen deutlich schneller.

Ordnen Sie beim Lesen jede Zeile einem von vier Fällen zu:

• Bekannter Dienst, DMARC pass: nichts zu tun.
• Bekannter Dienst, DKIM pass, aber nicht aligned: Der Dienst signiert mit seiner eigenen Domain. Richten Sie dort DKIM mit Ihrer Domain ein.
• Bekannter Dienst, SPF fail: Der Dienst fehlt in Ihrem SPF-Eintrag, oder er nutzt seinen eigenen Return-Path (dann verlassen Sie sich auf aligned DKIM).
• Unbekannte IP, alles schlägt fehl: entweder ein vergessenes internes System (finden Sie es) oder jemand, der im Namen Ihrer Domain Mails verschickt, genau das, was quarantine und reject stoppen.

Weitergeleitete Mails oder Mails über Verteilerlisten können ebenfalls als fehlgeschlagen erscheinen, weil Weiterleitung SPF meist bricht und Listensoftware die Nachricht verändern und so DKIM brechen kann. Ein kleiner, stabiler Anteil an Fehlschlägen von Weiterleitungsservern ist normal und kein Grund, bei p=none zu bleiben.

Häufige Fehler im DMARC-Eintrag und wie Sie sie beheben

Die meisten DMARC-Probleme gehen auf eine Handvoll Fehler im Eintrag und bei der Einführung zurück:

• Zwei DMARC-Einträge auf demselben Host. Laut RFC 7489 ignorieren Empfänger dann DMARC für die Domain. Führen Sie sie zu einem Eintrag zusammen.
• v=DMARC1 nicht an erster Stelle oder falsch geschrieben (DMARC 1, dmarc1 mit Leerzeichen, ein führendes Anführungszeichen). Der Eintrag wird nicht erkannt.
• Eintrag auf dem falschen Host. Manche DNS-Oberflächen hängen die Domain automatisch an; wer dort _dmarc.beispiel.de eingibt, erzeugt _dmarc.beispiel.de.beispiel.de. Geben Sie in diesen Oberflächen nur _dmarc ein.
• rua ohne mailto: oder Adressen mit Semikolon statt Komma getrennt. Die Berichte kommen nie an.
• Berichtsadresse auf einer anderen Domain ohne Freigabe. Schickt beispiel.de seine Berichte an eine Adresse unter berichte.beispiel.net, muss die empfangende Domain einen TXT-Eintrag unter beispiel.de._report._dmarc.berichte.beispiel.net mit dem Wert v=DMARC1 veröffentlichen, sonst werden die Berichte nicht verschickt.
• Direkt auf p=reject springen. Jeder vergessene Absender, etwa das Rechnungstool oder das Kontaktformular der Website, wird abgewiesen.
• Striktes Alignment als Voreinstellung. adkim=s und aspf=s brechen Dienste, die von einer Subdomain aus signieren oder Bounces verarbeiten. Relaxed ist nicht ohne Grund der Standard.
• Für immer bei p=none bleiben. Monitoring allein hält niemanden davon ab, Ihre Domain zu missbrauchen. Planen Sie den Schritt zur Durchsetzung von Anfang an.
• Subdomains vergessen. Ohne sp erben Subdomains p, was meist gewünscht ist; prüfen Sie aber, dass jede versendende Subdomain in Ihren Berichten auftaucht, bevor Sie reject erreichen.

Steht Ihre Domain auf quarantine oder reject, erfüllen Sie eine der Voraussetzungen, um Ihr Logo neben Ihren E-Mails anzuzeigen; den Rest erklärt unser Leitfaden zu BIMI. Eine kurze Definition zum Weitergeben an Kollegen finden Sie im Glossareintrag zu DMARC.

Häufige Fragen zum DMARC-Eintrag

Welcher DMARC-Eintrag eignet sich als Beispiel für den Start?

Beginnen Sie mit v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihredomain, veröffentlicht als TXT-Eintrag auf _dmarc.ihredomain. Er ändert nichts an der Zustellung und startet die Berichte, die Sie brauchen, bevor Sie eine Policy durchsetzen.

Was bedeutet „DMARC-Richtlinie nicht aktiviert“?

„DMARC-Richtlinie nicht aktiviert“ bedeutet, dass Ihre Domain keinen DMARC-Eintrag hat oder einen mit p=none, sodass Empfänger nicht gebeten werden, gegen fehlschlagende Mails vorzugehen. Ein veröffentlichter Eintrag und der Wechsel zu quarantine oder reject beheben das; unsere FAQ zur Meldung DMARC-Richtlinie nicht aktiviert erklärt sie im Detail.

Reicht p=none aus?

p=none reicht, um Berichte zu erhalten und einen DMARC-Eintrag veröffentlicht zu haben, schützt Ihre Domain aber nicht. Nur quarantine oder reject bitten die Empfänger, Mails zu stoppen, die DMARC nicht bestehen.

Brauchen Subdomains einen eigenen DMARC-Eintrag?

Nein. Hat eine Subdomain keinen DMARC-Eintrag, nutzen die Empfänger den Eintrag der Organisationsdomain und wenden deren sp-Wert an, oder p, wenn sp fehlt. Veröffentlichen Sie einen eigenen _dmarc-Eintrag auf einer Subdomain nur, wenn sie eine andere Policy braucht.

Wie lange dauert es, bis DMARC-Berichte eintreffen?

Aggregierte Berichte werden meist einmal täglich verschickt, weil das Standardintervall im DMARC-Standard 86.400 Sekunden beträgt. Rechnen Sie mit den ersten Berichten ein bis zwei Tage nach der Veröffentlichung, von den Empfängern, die Mails Ihrer Domain gesehen haben.