DMARC-Check: DMARC-Record prüfen und erstellen

Was der DMARC-Check prüft

DMARC (Domain-based Message Authentication, Reporting and Conformance, beschrieben in RFC 7489) legt fest, wie empfangende Mailserver mit Nachrichten umgehen sollen, die im sichtbaren Absender Ihre Domain tragen, die Authentifizierung aber nicht bestehen. Die Richtlinie steht als TXT-Record unter dem Hostnamen _dmarc.beispiel.de und beginnt immer mit v=DMARC1. Die Grundlagen erklärt der Glossar-Eintrag DMARC.

Nach Eingabe einer Domain fragt das Tool diesen Eintrag per DNS-over-HTTPS direkt in Ihrem Browser ab, zunächst über Cloudflare, ersatzweise über Google. Anschließend zerlegt es den Record in seine Tags p, sp, np, rua, ruf, pct, adkim, aspf, fo und ri und bewertet jede Angabe einzeln. Prüfen Sie eine Subdomain ohne eigenen Record, sucht das Tool zusätzlich bei der übergeordneten Organisationsdomain, denn deren Richtlinie gilt dann auch für die Subdomain.

Eine Mail besteht DMARC, wenn SPF oder DKIM erfolgreich ist und die dabei geprüfte Domain zur Domain im From-Header passt. Dieses Zusammenpassen heißt Alignment. DMARC ersetzt SPF und DKIM also nicht, sondern baut auf beiden auf.

So lesen Sie das Ergebnis

Oben steht der gefundene Roh-Record, darunter die Ampel-Bewertung. Grün bedeutet: korrekt und wirksam. Gelb markiert Einstellungen, die gültig sind, aber Schutz oder Transparenz kosten. Rot heißt, dass DMARC für die Domain in dieser Form nicht greift.

• Kein Record (Fehler): Empfänger finden keine Richtlinie, die Domain ist gegen Spoofing ungeschützt, und Sie erhalten keine Berichte.
• Mehrere Records (Fehler): Laut RFC 7489 wird DMARC dann überhaupt nicht angewendet. Das Ergebnis entspricht einem fehlenden Eintrag.
• p=none (Warnung): Die Domain wird nur beobachtet. Mails, die durchfallen, werden normal zugestellt.
• p=quarantine (ok): Nicht bestandene Mails landen in der Regel im Spamordner. Das Tool weist auf die nächste Stufe hin.
• p=reject (ok): Nicht bestandene Mails werden abgewiesen. Das ist der volle Schutz.
• pct unter 100 (Warnung): Die Richtlinie gilt nur für einen Teil der durchgefallenen Mails, der Rest wird nach der nächstmilderen Stufe behandelt.
• Kein rua (Warnung): Ohne Report-Adresse sehen Sie nicht, welche Server in Ihrem Namen versenden.
• rua auf fremder Domain (Hinweis): Die Zieldomain muss dem Empfang per DNS zustimmen, sonst verwerfen Empfänger die Berichte.
• sp=none bei strengerer p (Warnung): Die Hauptdomain ist geschützt, Subdomains bleiben offen.

Die DMARC-Tags im Überblick

Tag	Bedeutung	Standard ohne Angabe	Empfehlung
v	Version, muss als erstes Tag stehen	Pflichtangabe	DMARC1
p	Policy für die Domain	Pflichtangabe	Start mit none, Ziel reject
sp	Policy für Subdomains	Wert von p	gleich streng wie p
np	Policy für nicht existierende Subdomains (Erweiterung aus RFC 9091)	Wert von sp bzw. p	reject, sobald p greift
rua	Adresse für Aggregate-Reports	keine Berichte	immer setzen
ruf	Adresse für Failure-Reports zu einzelnen Mails	keine Berichte	optional
pct	Anteil der Mails, auf den p angewendet wird	100	nur übergangsweise senken
adkim	DKIM-Alignment: r (relaxed) oder s (strict)	r	r
aspf	SPF-Alignment: r (relaxed) oder s (strict)	r	r
fo	wann Failure-Reports entstehen (0, 1, d, s)	0	1, wenn ruf genutzt wird
ri	gewünschtes Report-Intervall in Sekunden	86400	Standard belassen

Failure-Reports über ruf versenden viele große Postfachanbieter nicht. Entscheidend sind die Aggregate-Reports über rua.

Alignment: relaxed oder strict

Bei relaxed genügt es, wenn die Organisationsdomain übereinstimmt. Eine Mail mit dem Absender vertrieb@beispiel.de, die mit der Domain mail.beispiel.de DKIM-signiert ist, besteht. Bei strict muss die Domain exakt gleich sein, dieselbe Mail fällt durch. Für die meisten Unternehmen ist relaxed richtig, weil Newsletter-Systeme, CRM und Outreach-Tools häufig über Subdomains signieren oder eine eigene Return-Path-Subdomain verwenden.

DMARC-Record erstellen mit dem Generator

Unter dem Prüfergebnis finden Sie den DMARC-Generator. Sie wählen Policy und Subdomain-Policy, tragen die Adressen für rua und ruf ein, legen pct, das Alignment für DKIM und SPF sowie fo fest. Das Tool erzeugt daraus den fertigen Record und zeigt den Hostnamen _dmarc.beispiel.de zum Kopieren an. Im DNS-Verwaltungsportal legen Sie einen Eintrag vom Typ TXT an. Viele Anbieter ergänzen die Domain automatisch, dann tragen Sie als Host nur _dmarc ein.

Bewährt hat sich ein stufenweises Vorgehen:

1. Monitoring: Starten Sie mit p=none und einer rua-Adresse.
2. Auswerten: Prüfen Sie die Reports über mehrere Wochen. Jeder legitime Dienst, der in Ihrem Namen versendet, muss SPF oder DKIM mit Alignment bestehen. Die Berichte kommen als XML-Dateien, für die Auswertung gibt es spezialisierte Dienste.
3. Quarantäne: Wechseln Sie auf p=quarantine, bei vielen Versandquellen zunächst mit reduziertem pct, das Sie schrittweise auf 100 anheben.
4. Reject: Zeigen die Reports keine legitimen Fehlschläge mehr, stellen Sie auf p=reject um.

; Phase 1: Monitoring
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de"

; Phase 2: schrittweise Quarantäne
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@beispiel.de"

; Phase 3: voller Schutz
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@beispiel.de"

Typische DMARC-Fehler und ihre Lösung

Record am falschen Hostnamen

Der Eintrag gehört nicht auf die Domain selbst, sondern auf _dmarc.beispiel.de. Ebenso häufig ist der doppelte Name _dmarc.beispiel.de.beispiel.de, der entsteht, wenn im Portal der volle Hostname eingetragen wird, obwohl die Domain automatisch angehängt wird. Das Tool findet dann keinen Record.

Syntaxfehler

Tags werden durch Semikolons getrennt, v=DMARC1 steht immer am Anfang, und Report-Adressen brauchen das Präfix mailto:. Mehrere Adressen trennen Sie mit Komma.

; fehlerhaft
_dmarc.beispiel.de.  TXT  "p=reject v=DMARC1 rua=dmarc@beispiel.de"

; korrekt
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.de,mailto:it@beispiel.de"

Zwei Records nach Anbieterwechsel

Legt ein neuer Dienstleister einen eigenen Eintrag an, ohne den alten zu entfernen, wird DMARC ignoriert. Führen Sie die Angaben zu einem Eintrag zusammen.

Externe Report-Adresse ohne Freigabe

Liegt die rua-Adresse auf einer anderen Domain, etwa bei einem Auswertungsdienst, muss dessen Domain zustimmen. Fehlt diese Freigabe, verwerfen Empfänger die Berichte. Report-Dienste setzen den Eintrag für ihre Kunden meist selbst.

; Ihre Domain
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=none; rua=mailto:reports@report-anbieter.example"

; Freigabe in der DNS-Zone des Report-Anbieters
beispiel.de._report._dmarc.report-anbieter.example.  TXT  "v=DMARC1"

Zu früh auf reject

Wer ohne Auswertung direkt auf p=reject geht, blockiert oft eigene Mails: Rechnungssysteme, Bewerbermanagement oder Newsletter-Tools versenden mit eigener Return-Path-Domain und ohne DKIM-Signatur Ihrer Domain. SPF besteht dann für die Domain des Dienstleisters, aber ohne Alignment, und DMARC schlägt fehl. Richten Sie für jeden dieser Dienste DKIM mit Ihrer Domain ein, bevor Sie die Policy verschärfen.

DMARC in der Kaltakquise und im B2B-Outreach

Google und Yahoo verlangen seit Februar 2024 von Bulk-Sendern, also bei Google ab 5.000 Mails pro Tag an Gmail-Adressen, einen DMARC-Record mit mindestens p=none. Zusätzlich muss die Absenderdomain im From-Header mit der SPF- oder DKIM-Domain übereinstimmen. Auch unterhalb dieser Schwelle gehört DMARC zur Grundausstattung jeder Domain, die in der Kaltakquise und Outbound-Akquise eingesetzt wird, denn erst die Richtlinie macht SPF und DKIM für Empfänger verbindlich. Mehr zum Zusammenspiel mit der Zustellung lesen Sie unter E-Mail-Deliverability.

Für separate Outreach-Domains gilt: Jede eigenständig registrierte Domain braucht einen eigenen DMARC-Record, denn die Richtlinie der Hauptdomain wirkt nur auf deren Subdomains. Versendet eine Outreach-Domain ausschließlich über ein einziges Tool mit sauber eingerichtetem DKIM, ist der Weg von none zu quarantine oder reject kurz, sobald die Reports bestandenes Alignment zeigen. Eine strenge Policy schützt zudem Ihre Sender-Reputation: Wer Ihre Domain für gefälschte Mails missbraucht, wird abgewiesen, statt Beschwerden auf Ihren Namen zu erzeugen.

Nächste Schritte

1. Prüfen Sie mit dem SPF-Check, ob alle Versanddienste korrekt freigegeben sind und das Lookup-Limit eingehalten wird.
2. Kontrollieren Sie mit dem DKIM-Check, ob Ihre Mails mit einem gültigen Schlüssel der eigenen Domain signiert werden.
3. Stellen Sie mit dem MX-Check sicher, dass Antworten und Reports Ihre Domain überhaupt erreichen.
4. Testen Sie mit dem Blacklist-Check, ob Ihre Versand-IP oder Domain auf einer Sperrliste steht.