DMARC ist eine im DNS hinterlegte Richtlinie, die die beiden Authentifizierungsverfahren SPF und DKIM miteinander verknüpft und festlegt, wie empfangende Mailprovider mit Nachrichten umgehen sollen, die diese Prüfungen nicht bestehen. Gleichzeitig liefert DMARC dem Domaininhaber Berichte über die gesamte Versandaktivität seiner Domain.
Im Outbound und in der Kaltakquise ist DMARC die dritte Säule der E-Mail-Authentifizierung und der entscheidende Baustein, der SPF und DKIM zu einem durchsetzbaren Regelwerk zusammenführt. Ohne eine gültige DMARC-Richtlinie bleibt die Authentifizierung wirkungslos, weil Provider keine Anweisung erhalten, wie sie mit Verstößen verfahren sollen.
Wofür DMARC steht und was es regelt
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Der Name nennt die drei Funktionen des Verfahrens: Es authentifiziert Mails über SPF und DKIM, es berichtet über die Ergebnisse, und es stellt die Konformität durch eine durchsetzbare Richtlinie her.
Der Kern von DMARC ist die Verbindung der beiden Vorgängerverfahren mit dem Konzept des Alignment. Eine Mail besteht DMARC nur dann, wenn entweder SPF oder DKIM nicht nur technisch gültig ist, sondern die geprüfte Domain auch zur sichtbaren Absenderadresse passt. Dadurch verhindert DMARC, dass Angreifer eine fremde Domain im sichtbaren Absender vortäuschen, obwohl SPF oder DKIM formal bestanden werden.
Diese Lücke bestand vor DMARC, weil SPF die Envelope-From-Adresse prüft und DKIM die signierende Domain, während der Empfänger nur die From-Zeile sieht. Ein Angreifer konnte daher eine eigene Domain authentifizieren und gleichzeitig im sichtbaren Absender eine fremde Marke vortäuschen. DMARC schließt diese Lücke, indem es verlangt, dass die authentifizierte Domain mit der sichtbaren übereinstimmt. Erst dadurch wird die Authentifizierung für den Schutz von Markenidentität wirksam.
Die drei Richtlinienstufen
Eine DMARC-Richtlinie legt über den Parameter p fest, wie mit Mails verfahren wird, die die Prüfung nicht bestehen. Die folgende Tabelle stellt die drei Stufen gegenüber.
| Richtlinie | Wirkung | Einsatz |
|---|---|---|
| p=none | nur Überwachung, kein Eingriff | Einstieg und Datensammlung |
| p=quarantine | verdächtige Mails in den Spam | Übergangsphase |
| p=reject | nicht bestandene Mails abweisen | Zielzustand für vollen Schutz |
Der empfohlene Weg führt schrittweise durch diese Stufen. Zunächst wird mit none überwacht, ohne legitime Mails zu gefährden. Anhand der zurückfließenden Berichte lassen sich alle eigenen Versandquellen identifizieren und korrekt authentifizieren. Erst wenn alle legitimen Mails sauber bestehen, wird auf quarantine und schließlich auf reject verschärft.
Die Bedeutung der DMARC-Berichte
Ein oft unterschätzter Vorteil von DMARC sind die Reporting-Funktionen. Über die Parameter rua und ruf erhält der Domaininhaber regelmäßig Berichte darüber, welche Server in seinem Namen Mails versenden und wie die Authentifizierung ausfällt. Diese Daten machen sichtbar, ob unbekannte Quellen die Domain missbrauchen oder ob legitime Dienste noch nicht korrekt eingebunden sind.
Für den Outbound sind diese Berichte ein wertvolles Diagnosewerkzeug. Sie zeigen, ob die Versandinfrastruktur lückenlos authentifiziert ist, und decken Konfigurationsfehler auf, bevor sie die Zustellrate beschädigen. Wer seine B2B-Neukundengewinnung über E-Mail ernst nimmt, wertet diese Berichte regelmäßig aus.
Warum DMARC heute Pflicht ist
Große Mailprovider haben ihre Anforderungen an Absender deutlich verschärft. Wer in größerem Umfang versendet, muss SPF, DKIM und eine gültige DMARC-Richtlinie nachweisen, sonst sinkt die Zustellrate spürbar oder die Mails werden ganz abgewiesen. Diese Entwicklung trifft den Outbound besonders, weil hier hohe Volumina an neue Empfänger gehen.
Eine korrekte DMARC-Konfiguration ist damit kein optionaler Feinschliff, sondern Grundvoraussetzung für brauchbare Ergebnisse. Sie schützt zudem die eigene Domain vor Missbrauch durch Phishing, was wiederum die Sender Reputation stärkt. Eine missbrauchte Domain sammelt Spam-Beschwerden, die sich negativ auf alle künftigen Kampagnen auswirken.
DMARC im Zusammenspiel mit SPF und DKIM
DMARC ersetzt SPF und DKIM nicht, sondern setzt sie voraus. SPF prüft den versendenden Server, DKIM die Echtheit der Nachricht, und DMARC bringt beide Ergebnisse mit dem Alignment-Konzept zusammen. Erst diese Kombination erfüllt die Erwartungen moderner Spamfilter und schafft die Grundlage für zuverlässige Zustellung.
Für den praktischen Aufbau bedeutet das, alle drei Verfahren gemeinsam einzurichten und mit einer schrittweisen Verschärfung der Richtlinie abzusichern. Wie sich diese technische Basis in eine durchdachte Ansprache überträgt, beschreibt der Leitfaden zur B2B-Kaltakquise. Eine sauber konfigurierte Authentifizierung sorgt dafür, dass die investierte Arbeit in Recherche und Texte nicht an technischen Hürden scheitert.
Praktische Einrichtung im Outbound
Beim Aufsetzen einer Versanddomain für die Kaltakquise sollte DMARC von Anfang an mitgedacht werden. Sinnvoll ist der Start mit p=none und aktiviertem Reporting, um zunächst alle Versandquellen zu erfassen. Nach einer Beobachtungsphase und der vollständigen Authentifizierung aller legitimen Quellen folgt die Verschärfung auf quarantine und reject.
Hilfreich ist außerdem, die Berichte nicht nur zu empfangen, sondern systematisch auszuwerten. Da die Reports im technischen XML-Format vorliegen, lohnt sich ein Werkzeug, das sie aufbereitet und Trends sichtbar macht. So lässt sich auf einen Blick erkennen, ob alle legitimen Quellen sauber authentifiziert sind und ob unbekannte Absender die Domain missbrauchen. Diese Auswertung ist der Schlüssel, um den Übergang zu einer strengeren Richtlinie sicher zu vollziehen.
Wer mehrere Versanddomains betreibt, richtet für jede eine eigene DMARC-Richtlinie ein und überwacht die Berichte getrennt. So bleibt die geschäftskritische Hauptdomain geschützt, während die Outbound-Domains kontrolliert aufgebaut werden. Diese Trennung ist ein bewährter Standard, um die Zustellbarkeit dauerhaft hoch zu halten.
Ein häufiger Stolperstein ist das Verharren in der none-Stufe. Viele Versender richten DMARC mit p=none ein und belassen es dabei, weil die Mails scheinbar zugestellt werden. Doch erst quarantine und reject entfalten den vollen Schutz und das stärkste Vertrauenssignal an die Provider. Wer in none stehen bleibt, verschenkt einen erheblichen Teil des Nutzens. Die Auswertung der Berichte ist deshalb kein Selbstzweck, sondern der Weg, um sicher zur strengeren Richtlinie zu gelangen, ohne legitime Mails zu verlieren. Eine durchdachte DMARC-Strategie plant diesen Übergang von Anfang an mit ein.
DMARC in der Praxis: Zahlen aus dem Mittelstand
Wie weit DMARC verbreitet ist, zeigt unsere DMARC-Studie 2026: Von 1.000 untersuchten Mittelständlern haben 77,4 Prozent einen DMARC-Eintrag, durchgesetzt wird er aber nur bei 48,4 Prozent. Bei den DAX-40-Konzernen sind es 77,5 Prozent. Ihre eigene Domain prüfen Sie mit dem kostenlosen DMARC-Check.