Was ist DMARC?
E-Mail wurde ohne Absender-Prüfung erfunden. Jeder kann eine Mail mit „info@deinefirma.de“ als Absender verschicken — das nennt man Spoofing. DMARC (Domain-based Message Authentication, Reporting and Conformance) schließt diese Lücke. Es ist ein Eintrag im DNS deiner Domain, der drei Dinge regelt:
- Prüfung: Eine Mail besteht DMARC, wenn SPF oder DKIM besteht und die geprüfte Domain zur sichtbaren Absenderdomain passt.
- Richtlinie: Du legst fest, was mit Mails passiert, die durchfallen.
- Berichte: Empfänger schicken dir Auswertungen, wer in deinem Namen sendet.
Definiert ist DMARC in RFC 7489 von 2015. Im Mai 2026 hat RFC 9989 („DMARCbis“) ihn abgelöst und DMARC zum offiziellen Internet-Standard gemacht. Bestehende Einträge funktionieren weiter.
SPF, DKIM und DMARC im Zusammenspiel
Eintrag
Was er prüft
SPF
Darf dieser Server für die Domain senden?
DKIM
Ist die Mail signiert und unverändert?
DMARC
Passt das zum sichtbaren Absender, und was passiert sonst?
Der Knackpunkt ist das Alignment, die Übereinstimmung. SPF prüft eine unsichtbare Absenderadresse im Hintergrund, DKIM die Domain der Signatur. Beide können bestehen, während im „Von“-Feld eine ganz andere Domain steht. DMARC verlangt, dass mindestens eine der beiden zur sichtbaren Absenderdomain passt.
So sieht ein DMARC-Eintrag aus
Ein TXT-Eintrag unter _dmarc.deinefirma.de, für den Einstieg zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.de. Die Richtlinie p hat drei Stufen:
- none — nur beobachten, Mails werden normal zugestellt
- quarantine — durchgefallene Mails landen im Spam
- reject — durchgefallene Mails werden abgelehnt
Über rua bekommst du tägliche Sammelberichte als XML-Datei. Darin siehst du jeden Server, der in deinem Namen sendet — auch das Newsletter-Tool, das du längst vergessen hattest.
Was Gmail, Yahoo und Outlook verlangen
Seit Februar 2024 setzen Google und Yahoo Mindestregeln. Wer mehr als 5.000 Mails am Tag an Gmail schickt, braucht SPF und DKIM, einen DMARC-Eintrag (mindestens p=none) mit passender Absenderdomain, eine Abmeldung mit einem Klick und eine Spamrate unter 0,3 %. Alle anderen brauchen mindestens SPF oder DKIM. Microsoft verlangt für Outlook.com seit 2025 dasselbe von Massenversendern und lehnt sonst mit dem Fehler 550 5.7.515 ab.
Die Wirkung ist messbar: Laut Google ist die Zahl nicht authentifizierter Mails bei Gmail-Nutzern um 75 % gesunken, seit Gmail eine Authentifizierung verlangt (Stand Oktober 2023). Verbreitet ist DMARC trotzdem noch nicht überall. Laut EasyDMARC hatten 2025 47,7 % von 1,8 Millionen untersuchten Top-Domains einen Eintrag (2023: 27,2 %), die meisten davon nur mit p=none.
Häufige Fehler
Fehler 1 · Für immer auf p=none
p=none erfüllt die Mindestanforderung, schützt aber vor nichts — es beobachtet nur. Viele Domains bleiben jahrelang auf dieser Stufe. Ziel ist quarantine und dann reject.
Fehler 2 · SPF und DKIM grün, DMARC rot
Typisch beim Newsletter-Tool: Es signiert mit seiner eigenen Domain statt mit deiner. Dann fehlt das Alignment. Abhilfe: in Brevo, Mailchimp, CleverReach oder HubSpot die eigene Domain authentifizieren und deren DKIM-Einträge ins DNS übernehmen.
Fehler 3 · Zu früh auf reject
Wer sofort p=reject setzt, sperrt womöglich eigene Rechnungen aus dem Buchhaltungs-Tool oder Mails aus dem Shop aus. Erst mit Berichten herausfinden, wer alles in deinem Namen sendet, dann verschärfen.
So richtest du DMARC ein
- SPF und DKIM zuerst: für jeden Dienst, der in deinem Namen sendet. Google rät, beide mindestens 48 Stunden laufen zu lassen, bevor DMARC dazukommt.
- Mit p=none und rua starten: ein paar Wochen Berichte sammeln.
- Berichte auswerten: mit Tools wie dmarcian, EasyDMARC oder Valimail statt XML von Hand.
- Schrittweise verschärfen: erst quarantine, dann reject.
- Überwachen: Spamrate und Authentifizierung in den Google Postmaster Tools, Einträge prüfen mit MXToolbox.
Häufige Fragen
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF legt fest, welche Server für deine Domain senden dürfen. DKIM signiert Mails kryptografisch. DMARC verknüpft beides mit dem sichtbaren Absender, legt fest, was mit durchgefallenen Mails passiert, und liefert Berichte.
Brauche ich DMARC, wenn ich nur wenige Mails verschicke?
Gmail, Yahoo und Outlook verlangen es formal erst ab 5.000 Mails pro Tag. Sinnvoll ist es trotzdem für jede Domain, weil es Betrüger daran hindert, in deinem Namen zu mailen.
Welche DMARC-Richtlinie soll ich wählen?
Starte mit p=none und Berichten, um alle legitimen Versender zu finden. Danach auf quarantine und schließlich auf reject verschärfen.
Warum scheitert DMARC, obwohl SPF und DKIM bestehen?
Weil das Alignment fehlt: Die geprüfte Domain passt nicht zur Absenderdomain im Von-Feld. Häufig signiert ein Newsletter-Tool mit seiner eigenen Domain. Abhilfe ist eine eigene DKIM-Signatur für deine Domain im Tool.
Was bedeutet der Fehler 550 5.7.515?
Outlook.com lehnt die Mail ab, weil die Absenderdomain die Authentifizierungsanforderungen für Massenversender nicht erfüllt. Prüfe SPF, DKIM und den DMARC-Eintrag.
