So funktioniert die DMARC-Prüfung
Unser Server fragt den öffentlichen Resolver von Cloudflare nach den TXT-Einträgen bei _dmarc.<domain> und wählt den, der mit v=DMARC1 beginnt. Hat eine Subdomain keinen, fragt er ihre übergeordneten Domains, weil Empfänger dann die Richtlinie der übergeordneten Domain verwenden. Für Berichtsadressen bei einer anderen Domain sucht er den Eintrag, den diese Domain veröffentlichen muss, um die Berichte anzunehmen. Er verbindet sich nie mit einem Mailserver, und jedes Tag wird nach den Regeln von RFC 7489 gelesen.
Ein Empfänger prüft DMARC bei jeder Nachricht: Sie besteht, wenn SPF für eine Bounce-Adresse in derselben Domain wie die From-Zeile besteht oder wenn eine DKIM-Signatur dieser Domain verifiziert wird (dieser Abgleich heißt Alignment). Schlagen beide fehl, wendet der Empfänger p an: none stellt zu, quarantine sortiert in den Spam, reject lehnt ab. In beiden Fällen sendet er täglich eine Zusammenfassung an die rua-Adresse.
Der sichere Weg: p=none mit einer rua-Adresse veröffentlichen, einige Wochen die Berichte lesen, bis jeder Dienst, der in Ihrem Namen sendet, besteht, dann zu quarantine und schließlich zu reject wechseln. Der Checker schlägt den nächsten Eintrag auf diesem Weg vor.
DMARC-Tags
Die Tags, die ein DMARC-Eintrag enthalten kann, durch Semikolons getrennt. Nur v und p sind Pflicht.
| Tag | Was es festlegt | Standard |
|---|---|---|
v | Die Version. Immer DMARC1 und immer an erster Stelle. | — |
p | Die Richtlinie für E-Mails, die durchfallen: none, quarantine oder reject. | erforderlich |
sp | Die Richtlinie für Subdomains, wenn sie von p abweichen soll. | wie p |
pct | Der Anteil der durchfallenden E-Mails, für den die Richtlinie gilt, von 0 bis 100. | 100 |
rua | Wohin die täglichen Aggregatberichte gehen: eine oder mehrere mailto:-Adressen, durch Kommas getrennt. | keiner |
ruf | Wohin Berichte zu einzelnen durchfallenden Nachrichten gehen. Nur wenige Empfänger senden sie. | keiner |
adkim | DKIM-Alignment: r (relaxed, Subdomains passen) oder s (strict, genau die Domain). | r |
aspf | SPF-Alignment: r (relaxed) oder s (strict). | r |
fo | Wann Fehlerberichte gesendet werden: 0 beide Prüfungen schlagen fehl, 1 eine schlägt fehl, d DKIM schlägt fehl, s SPF schlägt fehl. | 0 |
ri | Wie oft Aggregatberichte angefordert werden, in Sekunden. | 86400 |
Beispiel
example.com veröffentlicht bei _dmarc.example.com: „v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected]; adkim=s“. Eine Nachricht mit From: example.com, die beide Prüfungen nicht besteht, landet im Spam-Ordner; eine von news.example.com, die durchfällt, wird abgelehnt, wegen sp=reject. Mit adkim=s zählt eine DKIM-Signatur von mail.example.com nicht für example.com, aber SPF bleibt relaxed, daher passt eine Bounce-Adresse bei bounce.example.com weiterhin. Jeden Tag senden Empfänger eine Zusammenfassung an [email protected]. pct ist nicht gesetzt, daher gilt die Richtlinie für 100 % der durchfallenden E-Mails.
Fragen
Wie prüfe ich meinen DMARC-Eintrag?
Geben Sie oben Ihre Domain ein und klicken Sie auf „DMARC prüfen“. Der Checker liest den TXT-Eintrag bei _dmarc.ihredomain, zeigt die Richtlinie und jedes Tag in einfachen Worten und weist auf Fehlendes hin. Um einen Eintrag vor der Veröffentlichung zu prüfen, wechseln Sie in den Modus „Ein eingefügter Eintrag“; er läuft in Ihrem Browser.
Was bedeuten p=none, p=quarantine und p=reject?
Sie sagen Empfängern, was sie mit E-Mails tun sollen, die vorgeben, von Ihrer Domain zu stammen, aber DMARC nicht bestehen. none: wie gewohnt zustellen und nur Berichte senden. quarantine: in den Spam-Ordner legen. reject: ablehnen. Beginnen Sie mit none, um Berichte zu sammeln, und wechseln Sie zu quarantine und reject, sobald alle Ihre eigenen E-Mails bestehen.
Brauche ich DMARC für Gmail, Yahoo und Outlook?
Wenn Sie viele E-Mails senden, ja. Seit Februar 2024 verlangen Gmail und Yahoo von Absendern von mehr als 5.000 Nachrichten pro Tag einen DMARC-Eintrag (p=none genügt), und Outlook.com verlangt dasselbe seit Mai 2025. Kleinere Absender müssen das nicht, aber E-Mails mit DMARC wird mehr vertraut, und in Ihrem Namen gefälschte E-Mails lassen sich leichter stoppen.
Was sind rua und ruf in DMARC?
rua ist die Adresse für Aggregatberichte: eine tägliche XML-Zusammenfassung jedes Empfängers, die auflistet, welche Server E-Mails als Ihre Domain gesendet haben und ob SPF und DKIM bestanden haben. ruf ist für Fehlerberichte zu einzelnen Nachrichten, die nur noch wenige Empfänger senden. Eine Adresse bei einer anderen Domain erhält nur dann Berichte, wenn diese Domain einen Eintrag veröffentlicht, der besagt, dass sie sie annimmt.
Warum fällt DMARC durch, obwohl SPF besteht?
Weil SPF für eine andere Domain bestanden hat. SPF prüft die Bounce-Adresse (Return-Path), die ein Mail-Dienst oft auf seine eigene Domain setzt; DMARC verlangt, dass sie zur Domain in der From-Zeile passt. Beheben Sie das, indem Sie beim Dienst eine eigene Bounce-Domain einrichten oder mit DKIM für Ihre eigene Domain signieren: Ein bestandener Check mit Alignment genügt.