DMARC-Richtlinie wählen: None, Quarantine oder Reject

Eine DMARC-Richtlinie teilt Empfängern mit, wie Nachrichten mit Ihrer Absenderdomain bei fehlgeschlagener DMARC-Prüfung behandelt werden sollen. Der Empfänger entscheidet letztlich nach seinen eigenen Regeln. Eine zu frühe Durchsetzung kann auch Rechnungen, Supportantworten und weitergeleitete Nachrichten beeinträchtigen. Eine sorgfältige Einrichtung kann direktes Domain-Spoofing erschweren. Den Gesamtüberblick bietet unser Leitfaden zu geschäftlichen E-Mail-Adressen.

Probleme entstehen oft durch fehlende Bestandsaufnahme. Ein Eintrag bleibt dauerhaft bei p=none, ohne dass jemand die Ergebnisse auswertet. Oder man aktiviert p=reject, bevor alle legitimen Sender erfolgreich authentifiziert und ausgerichtet sind. Dadurch kann gewünschte Mail abgelehnt werden.

Ein praktikabler Ablauf beginnt mit p=none zur Erfassung der tatsächlichen Sender. Nach erfolgreicher Authentifizierung und Ausrichtung folgt gegebenenfalls p=quarantine. p=reject kommt erst nach belastbarer Prüfung der verbleibenden Fehler infrage. Nicht jeder Fehler ist Spoofing; der richtige Übergang hängt vom Versandbetrieb ab.

Was ist eine DMARC-Richtlinie?

Die DMARC-Richtlinie formuliert eine Behandlungsempfehlung für Nachrichten, die mit Ihrer Domain im From-Feld DMARC nicht bestehen. Die Optionen sind none, quarantine und reject. Entscheidend ist, ob alle legitimen Sender über erfolgreiches und ausgerichtetes SPF oder DKIM verfügen.

Der Empfänger prüft SPF und DKIM sowie die Ausrichtung zur sichtbaren From-Domain. Erfolgreiche Authentifizierung und Ausrichtung müssen bei mindestens einem dieser Verfahren zusammen vorliegen.

Besteht SPF und ist seine Domain ausgerichtet, besteht DMARC.

Besteht DKIM und ist seine Domain ausgerichtet, besteht DMARC.

Gibt es keinen erfolgreichen ausgerichteten Pfad, wird die DMARC-Richtlinie berücksichtigt.

Welche DMARC-Richtlinie eignet sich für den Einstieg?

Beginnen Sie mit p=none, sofern erfolgreiche ausgerichtete Authentifizierung aller Sender noch nicht nachgewiesen ist. Berichte über den tatsächlichen Versand helfen, bevor Sie strengere Behandlung anfordern.

Ein möglicher Einstiegseintrag:

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Dieser Modus fordert selbst keine Sperrung von Spoofing an. Er kann Einblick geben, soweit Empfänger Berichte senden. Viele Domains nutzen mehr Versandsysteme, als zunächst bekannt ist.

Häufig übersehene Quellen:

1. Buchhaltungssoftware für Rechnungen.
2. Personal- und Recruitingwerkzeuge für Vertragsangebote.
3. CRM- und Marketingplattformen für Kampagnen.
4. Helpdesk-Systeme mit Ihrer Hauptdomain als Absender.
5. Individuelle Weiterleitungsregeln, die SPF am nächsten Knoten beeinträchtigen.

Ohne Beobachtung kann die Richtlinie legitime Geschäftsabläufe treffen. Deshalb sollten Sie tatsächliche Nachrichtenströme prüfen, nicht nur die DNS-Syntax.

Für Massenversender gehört ein DMARC-Eintrag bereits zu wichtigen Absenderanforderungen. Googles Vorgaben behandeln Domainauthentifizierung und Ausrichtung. Das hier erläuterte Verfahren ist in RFC 7489 beschrieben.

Wie lange sollte DMARC auf none bleiben?

Eine Beobachtungsphase mit none von zwei bis vier Wochen kann ein Ausgangspunkt sein, deckt aber nicht automatisch alle Versandzyklen ab. Monatliche oder seltene Abläufe können eine längere Beobachtung oder gezielte Tests benötigen.

Drei Tage reichen häufig nicht. Monatliche Rechnungen, vierteljährliche Mitteilungen oder selten genutzte Anwendungen mit Passwortzurücksetzungen bleiben dabei leicht unentdeckt.

Berücksichtigen Sie:

1. Regelmäßige Geschäftskorrespondenz.
2. Marketingversand.
3. Abrechnungszyklen.
4. Supporteskalationen.
5. Weitergeleitete Nachrichten.
6. Automatisierungen externer Dienste.

Werten Sie verfügbare aggregierte Berichte aus und unterscheiden Sie bekannte legitime Sender, verdächtige Quellen und noch ungeklärte Fehler. Nicht alle Empfänger berichten, und nicht jeder Fehler ist eine Fälschung.

Beispiel: Die Newsletterplattform signiert mit ihrer eigenen Domain. SPF besteht ebenfalls nur für eine nicht ausgerichtete Plattformdomain. Dann fehlt ein erfolgreicher ausgerichteter Pfad und DMARC scheitert. Beheben Sie die Ausrichtung, bevor Sie Reject aktivieren.

Bei TrekMail zeigt der DNS-Einrichtungsablauf benötigte Einträge und unterstützt deren Prüfung. Er ersetzt keine vollständige Bestandsaufnahme sämtlicher Sender. Einzelheiten finden Sie unter Domain hinzufügen und erforderliche DNS-Einträge.

Warum kann Weiterleitung DMARC beeinträchtigen?

Bei Weiterleitungen ändert sich der sendende Server, wodurch ursprüngliches SPF scheitern kann. Erfolgreiches ausgerichtetes DKIM ist deshalb häufig besonders wichtig. Die Richtlinie selbst ändert nicht die Prüfung; ohne einen erfolgreichen ausgerichteten Pfad kann DMARC scheitern.

Diese Unterscheidung ist auch für erfahrene Administratoren wichtig.

E-Mail verwendet verschiedene Absenderidentitäten. Nutzer sehen From, während der Envelope-Absender Rückmeldungen steuert. SPF prüft die zugehörige Domain und Versand-IP. DMARC prüft zusätzlich die Ausrichtung dieser authentifizierten Domain zur sichtbaren From-Domain.

Bei der Weiterleitung gilt die ursprüngliche SPF-Freigabe häufig nicht für die neue Versand-IP. DKIM kann bestehen bleiben, sofern signierte Inhalte unter den Kanonisierungsregeln erhalten bleiben.

Beides ist daher möglich:

1. SPF scheitert nach der Weiterleitung.
2. DMARC besteht, weil DKIM erfolgreich und ausgerichtet ist.

Wenn Weiterleitungen wichtig sind, testen Sie vor der Durchsetzung die tatsächlichen Versandwege und erfolgreiches ausgerichtetes DKIM der legitimen Sender. Für Gmail hilft Domain-E-Mails an Gmail weiterleiten, für allgemeine Probleme E-Mail-Weiterleitung.

ARC übermittelt Authentifizierungskontext über Zwischenstationen und Mailinglisten. Es ersetzt die eigene Ausrichtung nicht; wie diese Informationen berücksichtigt werden, entscheidet der Empfänger. Das Protokoll beschreibt RFC 8617.

Wann ist quarantine sinnvoll?

Wechseln Sie zu quarantine, wenn Berichte und gezielte Tests erfolgreiche ausgerichtete SPF- oder DKIM-Prüfungen für legitime Sender bestätigen. Quarantine fordert eine verdächtige Behandlung an, garantiert aber weder Spamablage noch eine spätere Wiederherstellung.

Ein möglicher Eintrag:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Eine übersehene Quelle kann dadurch auffallen, etwa durch Nachrichten im Spamordner. Empfänger können jedoch lokal anders entscheiden; planen Sie deshalb eigene Kontrollen und Rückmeldungen.

Ein möglicher Reaktionsablauf:

1. Ein Nutzer meldet fehlende Nachrichten.
2. Sie prüfen Sender, Authentifizierung und Ausrichtung.
3. Sie korrigieren SPF, DKIM oder beide.
4. Sie testen erneut, bevor Reject erwogen wird.

Manche Teams verwenden pct=25 oder pct=50 zur gestaffelten Einführung. Die Unterstützung und Umsetzung unterscheiden sich zwischen Empfängern; eine genau gesteuerte Stichprobe ist nicht garantiert. Auch ein Wechsel auf 100% sollte erst nach ausreichender Prüfung erfolgen.

Bei entsprechend eingerichtetem verwaltetem TrekMail SMTP können Nachrichten mit Ihrer Domain signiert werden. Prüfen Sie das anhand echter Header und der Ausrichtung. Die erwartbare Kombination aus SPF-Fehler und erfolgreichem DKIM bei Weiterleitungen erläutert Meine E-Mails landen im Spam.

Wann ist reject sinnvoll?

Wechseln Sie zu reject, wenn legitime Quellen geprüft sind und verbleibende Fehler untersucht wurden. Reject fordert eine Ablehnung nicht bestandener DMARC-Nachrichten an. Es garantiert keine einheitliche Umsetzung bei allen Empfängern.

Ein möglicher Eintrag:

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

Für viele Domains ist dies ein sinnvoller Zielzustand nach sorgfältiger Vorbereitung.

Mögliche Vorteile:

1. Kann direktes Spoofing der geschützten Domain begrenzen.
2. Kann bestimmte Phishingversuche und Missbrauch der Absenderdomain erschweren.
3. Macht die gewünschte Behandlung fehlgeschlagener Authentifizierung ausdrücklich.
4. Kann Teil eines umfassenderen Markenschutzkonzepts sein.

Google beschreibt in seinen Absender-FAQ Ablehnungen und Einschränkungen, darunter DMARC-bezogene Fehler wie 4.7.31 und Ausrichtungsprobleme wie 4.7.32. Rückmeldungen können auch 5.7.26 und die Domainrichtlinie nennen. Prüfen Sie jeweils den vollständigen Fehlertext in Googles FAQ zu den Absenderrichtlinien.

Achtung: Ein altes Buchhaltungssystem ohne erfolgreichen ausgerichteten Authentifizierungspfad kann bei Reject tatsächlich abgelehnt werden. Stellen Sie vorab sicher, dass diese Nachrichten geprüft wurden, und planen Sie einen Reaktionsweg.

Welcher DMARC-Eintrag gehört ins DNS?

Die Richtlinie gehört als TXT unter _dmarc.yourdomain.com. Veröffentlichen Sie dort nur einen DMARC-Richtlinieneintrag; mehrere widersprüchliche Einträge können die Auswertung verhindern.

Dies sind alternative Beispiele, nicht gemeinsam zu veröffentlichende Einträge:

_dmarc.example.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@example.com"
_dmarc.example.com  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
_dmarc.example.com  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Die DNS-Einrichtung bei TrekMail behandelt üblicherweise MX, SPF, DKIM und DMARC gemeinsam. Das folgende Muster ist nur eine Illustration: Quarantine ist kein pauschaler Einstieg, und SPF sowie DKIM müssen zum tatsächlichen Versanddienst passen.

@                MX   10 mail.trekmail.net.
@                TXT  "v=spf1 include:spf.trekmail.net -all"
dkim._domainkey  TXT  "<unique value from dashboard>"
_dmarc           TXT  "v=DMARC1; p=quarantine;"

Veröffentlichen Sie keine doppelten SPF-Einträge und erfinden Sie keine DKIM-Werte. Prüfen Sie auch alte MX-Einträge gezielt. Bei eigenem Versanddienst richten sich SPF und DKIM nach dessen Vorgaben; die Ausrichtung müssen Sie weiterhin prüfen. Siehe eigener SMTP (BYO).

Häufige Fehler bei DMARC-Richtlinien

Problematisch sind dauerhaft ungeprüftes p=none, zu frühe Durchsetzung, alleinige Abhängigkeit von SPF und übersehene Subdomains. Die Auswirkungen hängen vom jeweiligen Mailbetrieb ab.

Achten Sie auf:

1. none ohne Auswertung und weiteren Plan. Berichte allein stellen keine DMARC-Durchsetzung dar.
2. Fehlende DKIM-Ausrichtung trotz positivem SPF-Status. Weiterleitungen können die Abhängigkeit von SPF sichtbar machen.
3. Subdomain-Vererbung. Mit sp= können Sie eine abweichende Richtlinie vorgeben.
4. SPF-Grenzen: Mehr als 10 ausgewertete DNS-auslösende Terme können PermError ergeben; das ist nicht einfach die Zahl aller DNS-Abfragen.
5. Versand als Ihre Domain ohne Prüfung der tatsächlichen Signierung.

Ein Beispiel für abweichende Subdomainbehandlung:

v=DMARC1; p=reject; sp=none; rua=mailto:dmarc@yourdomain.com

Die Hauptdomain fordert Reject an, während erbende Subdomains None erhalten. Dies gilt nicht nur für eine ausgewählte Testsubdomain; eigene spezifische DMARC-Einträge können die geerbte Richtlinie überschreiben.

Wie TrekMail die DMARC-Einrichtung unterstützt

TrekMail verbindet Domainverwaltung, DNS-Prüfungen und Versandkonfiguration in einem Mehrdomain-Dashboard mit gemeinsamem Speicher. Das kann die Administration erleichtern, ersetzt aber keine Prüfung externer Sender oder vollständige DMARC-Beobachtung.

Als Preisorientierung nennt TrekMail Starter ab $3.50/Monat mit verwaltetem SMTP; Nano wird kostenlos mit eigenem SMTP angeboten. IMAP-Postfächer, eigene Domains, Catch-all, Weiterleitungen, Migration und API-Zugang richten sich nach den aktuellen Tarifen und Voraussetzungen. Prüfen Sie Funktionen und Preise vor der Auswahl.

Für DMARC ist besonders wichtig, sämtliche Systeme zu kennen, die Nachrichten mit Ihrer Domain senden. Der TXT-Eintrag allein löst diese Aufgabe nicht.

Je nach Tarif und Einrichtung können Sie:

1. Mehrere Domains gemeinsam verwalten.
2. Benötigte DNS-Einträge vor dem Start prüfen.
3. Verwalteten SMTP in entsprechenden kostenpflichtigen Tarifen oder eigenen SMTP wie SES/SendGrid bei Nano nutzen.
4. Postfachhosting vom gewählten Versanddienst trennen.
5. Alte Nachrichten über die integrierte IMAP-Migration importieren, soweit der Quellzugriff dies erlaubt.

Den gesamten Einrichtungsablauf erklärt E-Mail auf meiner Domain einrichten. Für mehrere Marken und Kundendomains hilft E-Mail-Hosting für mehrere Domains.

Fazit: DMARC schrittweise durchsetzen

Ein sinnvoller Weg beginnt mit none, erfolgreicher Authentifizierung und Ausrichtung, führt nach Prüfung zu quarantine und gegebenenfalls zu reject. Jeder Schritt benötigt belastbare Daten aus Ihrem tatsächlichen Versandbetrieb.

Die Kurzfassung:

1. p=none beispielsweise 2 bis 4 Wochen beobachten; seltene Versandzyklen zusätzlich berücksichtigen.
2. Für jeden legitimen Sender erfolgreiches ausgerichtetes SPF oder möglichst DKIM sicherstellen.
3. Nach Prüfung zu p=quarantine wechseln.
4. p=reject erst aktivieren, wenn verbleibende Fehler untersucht und legitime Quellen abgesichert sind.

So können Sie das Risiko für gewünschte Nachrichten begrenzen und eine strengere Behandlung von Domain-Spoofing anfordern. Eine Zustell- oder Sicherheitsgarantie ergibt sich daraus nicht. Für gemeinsame Verwaltung von Hosting, Weiterleitung und Migration finden Sie Informationen in TrekMails Dokumentation oder im Tarifvergleich unter https://trekmail.net/pricing.