DMARC-Eintragsgenerator

Was ist DMARC und warum brauchen Sie es?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist die dritte Säule der E-Mail-Authentifizierung auf Basis von SPF und DKIM. Es teilt empfangenden Mailservern mit, was bei fehlgeschlagenen Authentifizierungsprüfungen zu tun ist und wohin Berichte über diese Fehler gesendet werden. Ohne DMARC sind SPF und DKIM notwendig, aber nicht ausreichend — ein Angreifer kann Ihre sichtbare From-Adresse fälschen, selbst wenn SPF und DKIM auf einer anderen Domain bestehen.

Gmail, Yahoo und Microsoft haben DMARC für Massensender zur Pflicht gemacht. Domains ohne DMARC-Richtlinie erleben stärkeres Spam-Filtering und schlechtere Inbox-Platzierung bei großen Postfachanbietern.

Die drei DMARC-Richtlinienebenen

DMARC nutzt ein abgestuftes Rollout mit drei Richtlinienebenen. Die empfohlene Reihenfolge ist: bei none starten, zu quarantine wechseln und schließlich reject erreichen.

• p=none — Nur überwachen. Fehlgeschlagene Nachrichten werden normal zugestellt, aber Aggregatberichte gehen an die rua-Adresse. Nutzen Sie dies, um alle Versandquellen zu entdecken, bevor Sie die Richtlinie erzwingen.
• p=quarantine — Fehlgeschlagene Nachrichten landen im Spam. Nutzen Sie dies, sobald legitime E-Mail die Authentifizierung besteht.
• p=reject — Fehlgeschlagene Nachrichten werden vollständig abgelehnt. Das ist der stärkste Schutz und das Ziel der meisten Domains.

DMARC-Alignment verstehen

DMARC besteht, wenn SPF oder DKIM besteht und die authentifizierte Domain mit der From-Header-Domain ausgerichtet ist. Relaxed Alignment (r) erlaubt Subdomain-Übereinstimmungen — z. B. ist mail.example.com mit example.com aligned. Strict Alignment (s) verlangt exakte Domain-Übereinstimmung. Beginnen Sie mit relaxed Alignment und wechseln Sie nur bei konkretem Grund zu strict.

DMARC-Reporting: rua vs. ruf

Das rua-Tag legt die E-Mail-Adresse für Aggregatberichte fest — tägliche XML-Zusammenfassungen der Authentifizierungsergebnisse aller Absender weltweit. Sie sind essenziell, um Ihren Versand-Footprint zu verstehen und unautorisierte Absender zu erkennen. Das ruf-Tag legt die Adresse für Forensik-(Fehler-)Berichte fest, die Details einzelner fehlgeschlagener Nachrichten enthalten. Forensikberichte sind weniger weit verbreitet und können Nachrichteninhalt enthalten, daher erfordern sie vorsichtigeren Umgang.

Sie können Berichte an jede E-Mail-Adresse empfangen — auch auf einer anderen Domain. Manche Organisationen nutzen dedizierte DMARC-Report-Dienste, um aggregierte XML-Daten zu parsen und zu visualisieren.

E-Mail-Authentifizierung vervollständigen

DMARC funktioniert am besten als letzte Schicht über SPF und DKIM. Richten Sie SPF ein, um sendende IPs zu autorisieren, konfigurieren Sie DKIM-Signierung auf Ihrem Mailserver oder E-Mail-Anbieter und fügen Sie dann eine DMARC-Richtlinie hinzu, die alles verbindet und Berichte liefert.

Authentifizierung schützt vor Domain-Missbrauch. Listenhygiene schützt Ihre Absenderreputation. Nutzen Sie E-Mail-Verifizierung , um ungültige Adressen vor jedem Versand zu entfernen, oder prüfen Sie große Listen mit Bulk-E-Mail-Verifizierung. Siehe Preise für Verifizierungspläne.