Die DMARC-Einrichtung gehört zur sorgfältigen Verwaltung einer eigenen Maildomain. Sie hilft bei der Prüfung von Absenderauthentifizierung und beim Anfordern einer Behandlung für fehlgeschlagene Nachrichten. Damit lassen sich bestimmte Formen von Domain-Spoofing begrenzen, ohne dass daraus eine allgemeine Zustellgarantie entsteht.
Das gilt für ein einzelnes Postfach genauso wie für zahlreiche Kundendomains. Für die gesamte Umgebung beginnen Sie mit geschäftlicher E-Mail für kleine Unternehmen und prüfen anschließend die DNS-Konfiguration.
Die Schritte sind überschaubar, erfordern aber genaue Abstimmung mit SPF, DKIM, Weiterleitung und externen Sendern. Dieser Leitfaden erläutert erste Einträge, wichtige Tags, die Vorbereitung strengerer Richtlinien und typische Fehler.
Was die DMARC-Einrichtung bewirkt
Ein TXT-Eintrag unter _dmarc.yourdomain.com nennt Empfängern die gewünschte Behandlung bei fehlgeschlagener DMARC-Prüfung. Entscheidend ist, ob SPF oder DKIM erfolgreich ist und der erfolgreich authentifizierte Domainname zur sichtbaren From-Domain ausgerichtet ist.
DMARC ersetzt SPF und DKIM nicht. Nach RFC 7489 genügt mindestens eines dieser Verfahren mit erfolgreicher Prüfung und Ausrichtung zur From-Domain. Beide Eigenschaften müssen zusammen vorliegen.
Google behandelt Authentifizierung und Ausrichtung ebenfalls in seinen Absenderrichtlinien. Die Anforderungen unterscheiden gewöhnliche Sender und Massenversender; berücksichtigen Sie die für Ihren Versand geltenden Vorgaben.
DMARC prüft die Nutzung einer Absenderdomain und formuliert eine Behandlungsempfehlung. Es bestätigt weder die Sicherheit des Inhalts noch die persönliche Identität des Absenders. Die endgültige Annahme und Filterung entscheidet der Empfänger.
Mit welchem DNS-Eintrag beginnen?
Bei noch ungeprüftem Versand bietet sich zunächst Beobachtung mit p=none an. Werten Sie verfügbare Berichte aus, erfassen Sie legitime Sender und testen Sie wichtige Nachrichten. Zu frühes Reject kann auch Passwortzurücksetzungen, Rechnungen und Formulare beeinträchtigen.
Das folgende Beispiel für den Host _dmarc verwendet optionale strikte Ausrichtung:
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=s; aspf=s; pct=100Wenn exakte Domainübereinstimmung nicht zu Ihren Sendern passt, können Sie statt adkim=s und aspf=s gelockerte Ausrichtung wählen. Der folgende Eintrag ist eine Alternative, nicht gleichzeitig zu veröffentlichen:
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100Gelockerte Ausrichtung ist für viele Umgebungen praktikabel. Sie verlangt dieselbe Organisationsdomain und erlaubt damit entsprechende Subdomain-Konfigurationen, nicht beliebige Beziehungen zwischen über- und untergeordneten Namen.
Bei TrekMail können DNS-Prüfungen den Eintrag und die übrige Domainkonfiguration untersuchen. Einzelheiten erläutern erforderliche DNS-Einträge, Domain hinzufügen und DNS-Status prüfen. Ein Dokumentationsbeispiel mit p=quarantine ist keine pauschale Empfehlung für eine ungeprüfte produktive Domain. Beobachtung und Tests sollten der Durchsetzung vorausgehen.
Die wichtigsten DMARC-Tags
Konzentrieren Sie sich zunächst auf Richtlinie, Berichtsziele und Ausrichtung. Weitere Einstellungen sollten zum tatsächlichen Versand passen, nachdem Sie die legitimen Sender geprüft haben.
| Tag | Aufgabe | Praktischer Ansatz |
|---|---|---|
v | Protokollversion | DMARC1 |
p | Richtlinie für die Domain | Zunächst none, nach Prüfung quarantine und gegebenenfalls reject |
rua | Ziel aggregierter Berichte | Erreichbares und ausgewertetes Berichtsziel |
adkim | DKIM-Ausrichtung | r oder s |
aspf | SPF-Ausrichtung | r oder s |
pct | Angeforderter Anteil fehlgeschlagener Nachrichten für die Durchsetzung | 100, Umsetzung durch Empfänger prüfen |
sp | Geerbte Richtlinie für Subdomains | Bei abweichendem Bedarf setzen |
Besonders wichtig sind p für die angeforderte Behandlung und rua für Rückmeldungen. Berichte kommen nur von teilnehmenden Empfängern. Ergänzen Sie sie durch Bestandsaufnahme und Tests; bei externen Zielen können DNS-Autorisierung und Datenschutzprüfung nötig sein.
Das Tag pct kann nach RFC 7489 eine schrittweise Einführung unterstützen, ist aber keine exakt kontrollierbare Stichprobe bei allen Empfängern. 100 fordert den vollen Anteil an; bei None entsteht dadurch keine Durchsetzung.
DMARC Schritt für Schritt einrichten
Prüfen Sie SPF und DKIM, veröffentlichen Sie eine Beobachtungsrichtlinie und werten Sie Berichte sowie tatsächliche Tests aus. Verschärfen Sie die Richtlinie erst nach einer ausreichend vollständigen Prüfung Ihrer Geschäftsvorgänge.
- Alle Dienste erfassen, die mit Ihrer Absenderdomain senden: Hoster, CRM, Abrechnung, Helpdesk, Formulare und Marketing.
- SPF am tatsächlich verwendeten Envelope-Domainnamen prüfen. Nur autorisierte Sender nach deren Vorgaben in einen passenden einzigen SPF-Eintrag aufnehmen; DNS-auslösende Mechanismen und Modifikatoren einschließlich verschachtelter Auswertung sind begrenzt.
- DKIM bei allen unterstützenden Sendern aktivieren und die tatsächliche Ausrichtung prüfen. Bei Weiterleitungen müssen signierte Daten unverändert bleiben.
- Eine erste DMARC-Richtlinie mit
p=noneveröffentlichen. - Berichte beispielsweise 2 bis 4 Wochen auswerten; seltene, monatliche und vierteljährliche Abläufe zusätzlich testen.
p=quarantinenach bestätigter erfolgreicher Ausrichtung legitimer Mail erwägen.p=rejecterst nach Prüfung kritischer Sender und verbleibender Fehler erwägen.
Nützliche DNS-Abfragen:
dig TXT _dmarc.example.com +short
dig TXT example.com +short
dig TXT dkim._domainkey.example.com +shortDas folgende Muster illustriert den Aufbau. SPF-Includes müssen tatsächlich autorisierte Sender beschreiben; Selektor und vollständiger öffentlicher DKIM-Schlüssel müssen vom jeweiligen Sender stammen. Der gekürzte Schlüssel ist nicht verwendbar:
; SPF
example.com. IN TXT "v=spf1 include:spf.trekmail.net include:_spf.google.com -all"
; DKIM
dkim._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkq..."
; DMARC
_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100"Für den Aufbau hilft E-Mail mit eigener Domain erstellen. Bei einem Hosterwechsel erläutert TrekMails IMAP-Migrationsübersicht den Nachrichtenimport. Dieser kopiert vorhandene Mail; DMARC prüft ausgehende Domainauthentifizierung und ersetzt keinen geplanten MX- oder Versandwechsel.
Wann DMARC besteht oder scheitert
DMARC besteht, wenn mindestens ein erfolgreiches SPF- oder DKIM-Ergebnis zur From-Domain ausgerichtet ist. Ohne solchen Pfad scheitert es, auch wenn Authentifizierung ohne Ausrichtung für andere Domains erfolgreich war.
Wichtige Fälle:
| SPF | DKIM | Erfolgreicher Pfad ausgerichtet? | DMARC-Ergebnis |
|---|---|---|---|
| Pass | Fail | Ja | Pass |
| Fail | Pass | Ja | Pass |
| Pass | Pass | Nein | Fail |
| Fail | Fail | Nein | Fail |
Weiterleitung zeigt den Unterschied: SPF kann am neuen Versandserver scheitern. DKIM kann bestehen bleiben, sofern signierte Inhalte unter den Kanonisierungsregeln erhalten bleiben. Deshalb ist getestetes ausgerichtetes DKIM besonders hilfreich.
Eine Nachricht kommt von
billing@example.comund wird an Gmail weitergeleitet. SPF kann scheitern. Bleibt die DKIM-Signatur mitd=example.comgültig und ausgerichtet, besteht DMARC.
SPF-Fehler sollten deshalb im Kontext untersucht werden. Bei Weiterleitung kann gültiges ausgerichtetes DKIM den erfolgreichen DMARC-Pfad liefern; das ist kein Grund, sämtliche SPF-Fehler ungeprüft zu ignorieren.
Prüfen Sie auch E-Mail-Weiterleitung. SRS kann die neue Envelope-SPF-Prüfung unterstützen, und ARC kann frühere Ergebnisse übermitteln. Weder Verfahren garantiert die ursprüngliche From-Ausrichtung oder eine bestimmte Zustellentscheidung.
Von None über Quarantine zu Reject
Eine schrittweise Einführung erlaubt Prüfung vor strengeren Anforderungen. Jeder Schritt kann legitime Fehlkonfigurationen sichtbar machen; Empfänger entscheiden aber weiterhin über die endgültige Behandlung.
Die Richtlinienstufen:
p=none: Keine DMARC-Durchsetzung angefordert. Andere lokale Filter können dennoch greifen.p=quarantine: Verdächtige Behandlung fehlgeschlagener Nachrichten anfordern, etwa im Spamordner.p=reject: Ablehnung fehlgeschlagener Nachrichten anfordern, häufig während SMTP.
Alternative Einträge für aufeinanderfolgende Phasen, nicht gemeinsam veröffentlichen:
; Phase 1
v=DMARC1; p=none; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100
; Phase 2
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100
; Phase 3
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; adkim=r; aspf=r; pct=100Für abweichende Subdomainbehandlung können Sie sp= ergänzen. RFC 7489 beschreibt die Vererbung von der Organisationsdomain, wenn kein eigener passender Subdomain-Eintrag vorliegt; ohne sp wird dabei die Hauptrichtlinie verwendet. Prüfen Sie dies bei getrennten Versand-Subdomains.
Typische Einrichtungsfehler
Häufig liegen die Ursachen in SPF, DKIM, falschen Hostnamen oder nicht ausgerichteten From-Domains externer Dienste. Beheben Sie den tatsächlichen Fehler statt nur die DMARC-Richtlinie zu ändern.
| Fehler | Mögliche Auswirkung | Korrektur |
|---|---|---|
| DMARC-Durchsetzung ohne geprüftes DKIM | Weitergeleitete Mail kann ohne anderen ausgerichteten Pfad scheitern | DKIM vor Durchsetzung aktivieren und testen |
| Mehrere SPF-Einträge | SPF ergibt PermError | Einen korrekt abgestimmten SPF-Eintrag verwenden |
| Falscher DMARC-Hostname | Der benötigte Eintrag wird nicht gefunden | Unter _dmarc statt an der Domainwurzel veröffentlichen |
| Zu frühes Reject | Legitime Mail kann abgelehnt werden | Mit p=none beobachten und testen |
| Ausrichtung übersehen | Authentifizierung besteht, DMARC kann dennoch scheitern | Erfolgreichen Pfad zur From-Domain ausrichten |
| Kein Berichtsziel | Diese Rückmeldungen fehlen | Erreichbare und ausgewertete rua-Adresse ergänzen |
Ein Alias kann über einen Anbieter senden, der nur mit seiner eigenen Domain signiert. Ohne ausgerichtetes erfolgreiches SPF kann DMARC trotz DKIM-Erfolg scheitern. Für die Wahl hilft Domain-E-Mail-Alias oder Postfach.
TrekMails DNS-Prüfungen können Konflikte der erwarteten Einträge erkennen. Prüfen Sie bei Warnungen den DNS-Status und anschließend tatsächliche Nachrichten; ein positiver Status ersetzt keine vollständige Authentifizierungsprüfung.
TrekMail und gemeinsame Mailverwaltung
Mehrere Hoster, Weiterleitungsregeln und drei SMTP-Anbieter erhöhen den Abstimmungsbedarf. TrekMail kann Domains, Postfächer, DNS-Prüfung, Weiterleitung und Migration in einer Oberfläche verbinden.
| Beispiel für verteilte Verwaltung | Möglicher Ablauf mit TrekMail |
|---|---|
| Nutzerbezogene Abrechnung bei einzelnen Domainwerkzeugen | Mehrdomain-Hosting mit Pauschaltarifen und Tarifgrenzen |
| Getrennte Postfachspeicher | Gemeinsamer Speicher nach Tarif; auch andere Anbieter können dieses Modell nutzen |
| Manuelle DNS-Konfiguration | DNS-Prüfungen und Einrichtungsassistent |
| Aufwendig koordinierte Migration | Serverseitiger IMAP-Import als Teil einer geplanten Umstellung |
| Ungeprüfte Weiterleitung erschwert die Diagnose | Weiterleitungswerkzeuge mit Berücksichtigung der Authentifizierung |
Das kann einzelne Betreiber und Agenturen unterstützen. Fünfzig Kundendomains benötigen besonders konsistente Abläufe, ohne dass dadurch eine bestimmte Kostenersparnis garantiert wäre.
Als Preisorientierung wird Starter ab $3.50/Monat genannt. Nano wird kostenlos ohne Karte für bis zu 10 Domains mit eigenem SMTP angeboten. Entsprechende kostenpflichtige Tarife bieten verwalteten SMTP; für eine angebotene 14-tägige Testphase ist eine Kreditkarte erforderlich. Prüfen Sie aktuelle Funktionen, Limits und Bedingungen unter TrekMail-Tarife.
Abschließende DMARC-Checkliste
Zur Einrichtung gehören erfolgreicher ausgerichteter SPF- oder DKIM-Versand, verfügbare Rückmeldungen und ein geprüfter Übergang zur Durchsetzung. Dies kann Domain-Spoofing begrenzen, bestätigt aber weder unbedenklichen Inhalt noch jede Zustellung.
- Alle bekannten Sender der Domain erfassen und bestätigen.
- Nur einen abgestimmten SPF-Eintrag verwenden.
- DKIM soweit unterstützt aktivieren und prüfen.
- Eine Beobachtungsrichtlinie veröffentlichen.
- Berichte beispielsweise 2 bis 4 Wochen auswerten und seltene kritische Abläufe zusätzlich testen.
- Nach Prüfung Quarantine erwägen.
- Reject erst nach Untersuchung der verbleibenden Fehler erwägen.
Entscheidend sind nachvollziehbare Prüfungen und die laufende Pflege, nicht nur ein vorhandener TXT-Eintrag.
TrekMail kann je nach Tarif Mehrdomain-Hosting, gemeinsamen Speicher, IMAP-Migration und DNS-Prüfungen mit Pauschalpreismodell bereitstellen. Einstieg und kostenlose Option finden Sie auf trekmail.net, Tarife mit verwaltetem Versand im Preisvergleich.
Das Ziel ist ein kontrollierter Umgang mit Ihrer Absenderdomain, bei möglichst geringem Risiko für legitime Mail. Authentifizierung, Tests und Empfängerregeln bleiben dabei gleichermaßen wichtig.
