DMARC einrichten: Eintrag, Tags, Reports

Was muss stehen, bevor Sie DMARC einrichten?

DMARC authentifiziert selbst nichts. Es liest die Ergebnisse von SPF und DKIM aus und stellt eine zusätzliche Frage: Passt die Domain, die bestanden hat, zur Domain im sichtbaren From-Header? Die DMARC-Spezifikation nennt diese Übereinstimmung „Alignment“, auf Deutsch meist Ausrichtung. Eine Nachricht besteht DMARC, wenn SPF besteht und ausgerichtet ist oder wenn DKIM besteht und ausgerichtet ist. Beides zugleich ist nicht nötig.

Deshalb kommt es auf die Reihenfolge an. Bevor Sie einen DMARC-Eintrag veröffentlichen, prüfen Sie für jeden Dienst, der im Namen Ihrer Domain versendet, zwei Dinge. Erstens einen SPF-Eintrag, der diesen Dienst aufführt, und zwar alles in einem einzigen, zusammengeführten v=spf1-Eintrag. Zweitens eine DKIM-Signatur, deren d=-Domain Ihre Domain oder eine ihrer Subdomains ist. Wenn Sie die ganze Kette durcharbeiten, beschreibt der Artikel dazu, wie DKIM, DMARC und SPF bei Cold E-Mails zusammenspielen, die Reihenfolge der Einrichtung und die Einträge, die ein typisches Setup aus Google Workspace und Brevo braucht.

Wo es nicht funktioniert: Ein Versanddienst kann SPF für seine eigene Bounce-Domain bestehen, ohne dass diese Domain zu Ihrer passt. SPF besteht dann, ist aber nicht ausgerichtet. In diesem Fall hängt DMARC vollständig an einer DKIM-Signatur mit Ihrer Domain. Signiert der Dienst stattdessen mit seiner eigenen Domain, fällt DMARC durch, obwohl beide Prüfungen „pass“ anzeigen.

DMARC-Eintrag einrichten: Schritt für Schritt

1. 1 Absender erfassen. Listen Sie jedes System auf, das Mails mit Ihrer Domain im From verschickt: Ihren Postfach-Anbieter, Ihr Versandkonto für Outreach, Ihr CRM, die Rechnungsstellung, den Support-Desk. Jeder vergessene Absender taucht später als Fehlschlag auf.
2. 2 SPF und DKIM je Absender bestätigen. Schicken Sie eine Testnachricht an ein Postfach, auf das Sie Zugriff haben. Öffnen Sie die Original-Header und suchen Sie die Zeile Authentication-Results. Gesucht ist spf=pass oder dkim=pass, wobei die angezeigte Domain zu Ihrer From-Domain passt.
3. 3 TXT-Eintrag anlegen. Legen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag auf dem Host _dmarc an (das ergibt _dmarc.ihredomain.de) mit dem Wert v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de. Das ist auch der Starteintrag, den die Google-KI-Übersicht für diese Suche zeigt.
4. 4 Auflösung prüfen. Führen Sie dig TXT _dmarc.ihredomain.de +short aus oder nutzen Sie einen DMARC-Lookup im Web. Sie sollten genau einen String sehen, der mit v=DMARC1 beginnt.
5. 5 Reports sammeln. Empfänger, die DMARC unterstützen, schicken Aggregate-Reports als XML an die rua-Adresse. Lesen Sie diese, bis jede legitime Quelle ausgerichtete Passes zeigt.
6. 6 Policy verschärfen. Stellen Sie p=none auf p=quarantine um, beobachten Sie die Reports und wechseln Sie zu p=reject, sobald nichts Legitimes mehr durchfällt.

Bei Schritt 3 passieren die meisten DNS-Fehler. Viele DNS-Oberflächen hängen Ihre Domain automatisch an das Host-Feld an. Tippen Sie dort das vollständige _dmarc.ihredomain.de ein, landen Sie leicht bei _dmarc.ihredomain.de.ihredomain.de, und die Empfänger finden den Eintrag nie.

Wie sollte mein DMARC-Eintrag aussehen?

Für eine Domain, die bisher kein DMARC hatte, beginnen Sie im Überwachungsmodus: v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de. Damit bitten Sie die Empfänger, ganz normal zuzustellen und Ihnen Reports zu schicken. Die Tags in der Tabelle stammen aus der DMARC-Spezifikation. Bis auf v und p sind alle optional.

Tag	Was er steuert	Typischer Startwert
v	Version. Muss der erste Tag sein, exakt DMARC1.	v=DMARC1
p	Policy für Mails, die auf der Organisationsdomain bei DMARC durchfallen: none, quarantine oder reject.	p=none
sp	Policy für Subdomains. Fehlt der Tag, erben Subdomains den Wert von p.	Anfangs weglassen
rua	Ziel für Aggregate-Reports (XML-Zusammenfassungen), als mailto:-URI.	rua=mailto:dmarc@ihredomain.de
ruf	Ziel für Failure-Reports (forensische Reports). Viele große Empfänger verschicken diese nicht.	Optional
adkim	Alignment-Modus für DKIM: r (relaxed, Subdomains passen) oder s (strict, exakte Übereinstimmung).	Beim Standard relaxed lassen
aspf	Alignment-Modus für SPF: r oder s, gleiche Bedeutung wie bei adkim.	Beim Standard relaxed lassen
pct	Anteil der durchgefallenen Mails, auf den die Policy angewendet wird, für eine gestufte Durchsetzung.	Bei p=none weglassen

Striktes Alignment (adkim=s oder aspf=s) ist eine typische Stolperfalle. Signiert Ihr Outreach-Tool DKIM mit einer Subdomain wie mail.ihredomain.de, während im From ihredomain.de steht, besteht die Prüfung im relaxed-Modus und fällt im strict-Modus durch. Wechseln Sie nur dann auf strict, wenn Sie sicher wissen, dass jeder Signierer exakt die From-Domain verwendet.

DMARC bei Network Solutions oder einem anderen DNS-Anbieter eintragen

Der Eintrag ist bei jedem DNS-Anbieter derselbe, ob Network Solutions, GoDaddy, Cloudflare oder die eigene Oberfläche Ihres Registrars. Sie legen einen Eintrag vom Typ TXT an. Ins Feld Host oder Name kommt _dmarc, ins Wertfeld Ihr v=DMARC1-String. Unterschiedlich ist nur, wie die jeweilige Oberfläche das Host-Feld behandelt. Prüfen Sie also, ob sie nur das Label _dmarc oder den vollständigen Namen erwartet. Fragen Sie nach dem Speichern _dmarc.ihredomain.de von außen ab, nicht in der Vorschau der Oberfläche selbst.

Es gibt eine zweite Falle. Zeigen die Nameserver Ihrer Domain nicht auf den Registrar, sondern etwa auf Cloudflare oder einen Hoster, gehen Einträge, die Sie in der Oberfläche des Registrars anlegen, nicht live. Sie müssen das DNS dort bearbeiten, wohin die NS-Einträge zeigen. Die Anleitung zu GoDaddy DKIM für Brevo-Versender geht dasselbe Nameserver-Problem für einen DKIM-Schlüssel durch.

DMARC für Google Workspace

Bei einer Google-Workspace-Domain veröffentlichen Sie DMARC an derselben Stelle wie jeden anderen Eintrag: bei Ihrem DNS-Anbieter, nicht in der Admin-Konsole. Googles eigener Hilfeartikel zur Einrichtung von DMARC (knowledge.workspace.google.com) nennt SPF und DKIM als Voraussetzungen. Workspace signiert erst dann mit DKIM, wenn Sie den Schlüssel erzeugt, den TXT-Eintrag google._domainkey veröffentlicht und die Authentifizierung in der Admin-Konsole aktiviert haben. Bis dahin kann Workspace-Mail SPF bestehen, trägt aber keine ausgerichtete DKIM-Signatur.

Versenden Sie von derselben Domain zusätzlich über Brevo, braucht Brevo einen eigenen DKIM-Eintrag neben dem von Google. Beide Signaturen können auf dieselbe From-Domain ausgerichtet sein, und ein einziger DMARC-Eintrag deckt beide ab. Der Leitfaden zum DMARC-Rollout in Google Workspace behandelt den Eintrag und den Schritt weg von p=none, die Schritte zur G Suite DKIM-Einrichtung decken die Schlüsselaktivierung ab, die oft übersprungen wird.

DMARC-Einträge und Reports prüfen

„DMARC prüfen“ kann zweierlei heißen: den veröffentlichten Eintrag kontrollieren oder die Reports lesen, die Empfänger zurückschicken. Dafür braucht es jeweils andere Werkzeuge. Die Tabelle vergleicht die realistischen Optionen anhand derselben zwei Fragen: Was zeigt das Werkzeug, und wo hört es auf?

Option	Was es zeigt	Wo es aufhört
dig oder nslookup (Kommandozeile)	Den rohen TXT-String unter _dmarc, direkt aus dem DNS. Zeigt Duplikate und Tippfehler.	Liest nur den Eintrag. Keine Reports, keine Erklärung der Tags.
MXToolbox DMARC Lookup (Web)	Den veröffentlichten Eintrag mit aufgeschlüsselten Tags. MXToolbox gehört zu den Quellen, die Googles KI-Übersicht für diese Suche anführt.	Eine Eintragsprüfung. Aggregate-Reports kommen weiterhin als XML in Ihrem rua-Postfach an.
Nachrichten-Header in Gmail oder Outlook (Original anzeigen / Quelltext anzeigen)	Die Zeile Authentication-Results einer einzelnen Nachricht: dmarc=pass oder fail, dazu die SPF- und DKIM-Domains.	Immer nur eine Nachricht. Mails, die andere in Ihrem Namen gefälscht verschicken, sehen Sie damit nicht.
DMARC-Report-Dienste wie Sendmarc, dmarcly oder PowerDMARC	Gesammelte Aggregate-Reports, sortiert nach Versandquelle. Die Ranking-Seite von Sendmarc beschreibt zum Beispiel eine geführte Eintragserstellung und ein Monitoring.	Ein zusätzlicher Dienst, den Sie betreiben. Sie richten rua auf eine Adresse des Dienstes, damit empfängt eine fremde Domain Ihre Reports.

Zeigt rua auf ein Postfach unter einer anderen Domain, verlangt die DMARC-Spezifikation, dass diese Domain einen Autorisierungseintrag unter ihredomain.de._report._dmarc.reportdomain.de veröffentlicht. Report-Dienste richten das auf ihrer Seite ein. Schicken Sie die Reports an eine eigene zweite Domain, müssen Sie den Eintrag selbst veröffentlichen. Sonst verwerfen Empfänger die Reports unter Umständen kommentarlos.

DMARC-Fehler bei E-Mails beheben

Beginnen Sie mit dem Header Authentication-Results einer durchgefallenen Nachricht. Er zeigt, welche Prüfung für welche Domain fehlgeschlagen ist. Die meisten Fehlschläge haben eine dieser Ursachen:

• Zwei DMARC-Einträge unter _dmarc. Die DMARC-Spezifikation weist Empfänger an, die DMARC-Verarbeitung abzubrechen, wenn sie mehr als einen finden. Ihre Domain hat damit faktisch keine Policy. Führen Sie die Einträge zu einem zusammen.
• Syntaxfehler. v=DMARC1 steht nicht am Anfang, ein Semikolon fehlt oder bei rua fehlt mailto:. Einen Eintrag, den sie nicht parsen können, ignorieren Empfänger.
• DKIM mit der Domain des Anbieters signiert. Der d=-Wert im Header DKIM-Signature ist nicht Ihre Domain. Abhilfe: den DKIM-Eintrag des Anbieters für Ihre eigene Domain hinzufügen.
• SPF besteht, ist aber nicht ausgerichtet. Der Return-Path gehört dem Versanddienst. Sorgen Sie stattdessen für ausgerichtetes DKIM oder richten Sie eine eigene Bounce-Domain ein, sofern der Dienst das anbietet.
• Weiterleitungen und Mailinglisten. Weiterleitungen brechen SPF, Listen, die Betreff oder Fußzeile umschreiben, brechen DKIM. Diese Fehlschläge erscheinen in den Reports, sind aber keine Fehler in Ihrem eigenen Setup.
• Policy zu früh verschärft. Ein vergessener Absender, etwa Rechnungen aus Ihrem Buchhaltungstool, landet nach dem Wechsel auf p=quarantine in Quarantäne. Gehen Sie zurück auf p=none, ergänzen Sie SPF und DKIM für diesen Absender und verschärfen Sie danach erneut.

DMARC sagt Empfängern, wie sie mit durchgefallenen Mails umgehen sollen. Wo bestandene Mails landen, entscheidet es nicht. Das hängt davon ab, wie der empfangende Server Ihre Domain einschätzt und wie Sie versenden. Der Leitfaden dazu, wie Absenderreputation geprüft, aufgebaut und repariert wird, setzt genau dort an.

Wo EmailFlow OS mit Ihrem DMARC-Eintrag zusammenspielt

EmailFlow OS ist unser Produkt für personalisierte KI-Video-E-Mails in der B2B-Kaltakquise. Sie nehmen ein einziges Video auf, laden es in EmailFlow OS hoch, verbinden Ihr Brevo-Konto und Ihre Versanddomain und importieren Ihre Kontaktliste in EmailFlow OS. EmailFlow OS erstellt dann aus dieser einen Aufnahme eine personalisierte Version für jeden einzelnen Empfänger, nicht nur für jedes Unternehmen. Jede Version geht aus Ihrem eigenen Postfach raus, über Ihr eigenes Brevo-Konto und auf Ihrer eigenen Versanddomain. Einen geteilten Plattform-Absender gibt es nicht.

Für DMARC heißt das: Maßgeblich ist der Eintrag, den Sie unter _dmarc auf Ihrer eigenen Domain veröffentlichen. Ausgerichtet sein muss die DKIM-Signatur, die Sie in Brevo für diese Domain eingerichtet haben, und die Aggregate-Reports gehen an Ihre rua-Adresse. An den DMARC-Schritten oben ändert sich nichts. Sie richten alles einmal für die Domain ein, die Sie ohnehin kontrollieren. Wie der Versand abläuft, beschreibt die Seite zu EmailFlow OS für personalisiertes Video-Outreach.

Häufige Fragen

? Wie lange dauert es, bis ein DMARC-Eintrag greift?

Er greift, sobald Empfänger ihn auflösen können. Wie schnell das geht, hängt von der TTL des Eintrags und von eventuell zwischengespeicherten negativen Antworten bei den Resolvern ab. Die ersten Aggregate-Reports kommen später, weil Empfänger Zusammenfassungen für einen Berichtszeitraum schicken statt eines Reports pro Nachricht. Mit dem optionalen Tag ri können Sie einen Zeitraum anfragen, wie oft tatsächlich gesendet wird, entscheiden aber die Empfänger.

? Ist p=none eine gültige DMARC-Policy?

Ja. p=none ist laut DMARC-Spezifikation eine gültige Policy. Sie bittet Empfänger, keine DMARC-basierte Maßnahme anzuwenden und Reports zu schicken. Das ist der Überwachungsmodus: Sie sehen, wer im Namen Ihrer Domain versendet, aber gefälschte Mails werden wegen DMARC weder in Quarantäne geschoben noch abgewiesen. Nutzen Sie ihn, um alle legitimen Absender zu finden, bevor Sie auf p=quarantine oder p=reject wechseln.

? Brauche ich für jeden Versanddienst einen eigenen DMARC-Eintrag?

Nein. Eine Domain hat genau einen DMARC-Eintrag, unter _dmarc. Er gilt für jeden Dienst, der mit dieser Domain im From-Header versendet. Jeder Dienst braucht aber sein eigenes SPF-Include und seinen eigenen DKIM-Schlüssel. Ein zweiter v=DMARC1-Eintrag auf demselben Host erweitert die Abdeckung nicht, sondern führt dazu, dass Empfänger die DMARC-Verarbeitung für die Domain abbrechen.

? Was ist der Unterschied zwischen rua und ruf bei DMARC?

rua legt fest, wohin Aggregate-Reports gehen: XML-Zusammenfassungen pro sendender IP mit Nachrichtenzahlen und den Ergebnissen für SPF, DKIM und DMARC. ruf legt fest, wohin Failure-Reports gehen: Kopien oder Auszüge einzelner durchgefallener Nachrichten. Für die Einführung von DMARC arbeiten Sie mit den Aggregate-Reports. Viele große Postfach-Anbieter verschicken Failure-Reports überhaupt nicht.