DMARC ist ein DNS-Eintrag, der SPF und DKIM zusammenführt. Er legt fest, welche Prüfung für deine Domain bestehen muss, und sagt empfangenden Servern, was sie tun sollen, wenn beide fehlschlagen: p=none (zustellen und berichten), p=quarantine (in den Spam verschieben) oder p=reject (direkt blockieren). Außerdem verlangt DMARC Alignment, und jede Nachricht erzeugt einen Bericht an die rua-Adresse in deinem Eintrag.

Was bedeutet DMARC p=reject?

p=reject weist empfangende Mailserver an, E-Mails direkt zu blockieren, wenn sie SPF und DKIM mit Alignment nicht bestehen. Es ist die strengste DMARC-Richtlinie und der Zielzustand, auf den die meisten Unternehmen hinarbeiten — bei p=reject kommen gefälschte E-Mails mit deiner exakten Domain bei großen Anbietern nicht mehr an.

Was ist DMARC Alignment?

Alignment bedeutet, dass die Domain im sichtbaren From-Header mit der Domain übereinstimmen muss, die SPF oder DKIM bestanden hat. Ohne Alignment könnte ein Phisher im Hintergrund SPF mit seiner eigenen Domain bestehen, während er in der From-Zeile deine Domain anzeigt. Alignment schließt diese Lücke.

Wissen · E-Mail-Authentifizierung

SPF, DKIM & DMARC erklärt

Wenn jemand E-Mails verschicken kann, die so aussehen, als kämen sie von dir, kann er im Namen deiner Marke die Geldbeutel deiner Kunden leeren. SPF, DKIM und DMARC sind die drei Standards, die genau das stoppen. Zusammen sagen sie empfangenden Mailservern zwei Dinge: Diese Nachricht kam wirklich von deiner Domain — und was damit passieren soll, wenn das nicht stimmt.

Was ist SPF?

SPF (Sender Policy Framework) ist ein DNS-Eintrag, der alle Server auflistet, die E-Mails für deine Domain senden dürfen. Empfangende Server prüfen ihn gegen den Envelope-Sender — den Return-Path — und markieren das Ergebnis als pass, fail oder softfail.

v=spf1 include:_spf.google.com ~all

Dieser Eintrag sagt: „Google darf für diese Domain senden; alle anderen sind verdächtig.“ SPF hat allerdings einen blinden Fleck: Es prüft nur die Envelope-Adresse, und Weiterleitungen machen es kaputt. Deshalb ist es allein der schwächste der drei Standards. Das ganze Bild findest du in SPF erklärt.

Was ist DKIM?

DKIM (DomainKeys Identified Mail) ist eine digitale Signatur. Dein Mailserver signiert jede ausgehende Nachricht mit einem privaten Schlüssel und veröffentlicht den passenden öffentlichen Schlüssel in DNS. Der empfangende Server prüft die Signatur gegen die From-Adresse — wenn sie gültig ist, stammt die E-Mail wirklich von deiner Domain, selbst wenn sie weitergeleitet wurde.

selector._domainkey.example.com v=DKIM1; k=rsa; p=MIGfMA0G...

DKIM beweist, dass die Nachricht unterwegs nicht verändert wurde und dass deine Domain sie gesendet hat — aber nur, wenn der Schlüssel zur Domain im From-Header passt. Wie Selektoren und Schlüssel funktionieren, erklären wir in DKIM erklärt.

Was ist DMARC?

DMARC verbindet SPF und DKIM miteinander. Der DNS-Eintrag legt fest, welche Prüfung bestehen muss und was empfangende Server tun sollen, wenn beide fehlschlagen:

p=none — beobachten, aber nicht blockieren (Monitoring-Modus)
p=quarantine — fehlgeschlagene Nachrichten in den Spam verschieben
p=reject — sie direkt blockieren

DMARC verlangt außerdem Alignment: Die Domain im From-Header muss zu der Domain passen, die SPF oder DKIM bestanden hat. Genau das ist der Teil, der wirklich verhindert, dass jemand deine Domain für Betrug missbraucht. Und jede Nachricht erzeugt einen Bericht an die Adresse in deinem Eintrag, damit du sehen kannst, wer alles als du sendet — wie du diese Berichte liest, erklären wir in DMARC-Berichte erklärt.

Eine Sache solltest du wissen, bevor du loslegst: Das Veröffentlichen von p=none blockiert noch nichts — es schaltet die Berichterstattung ein. Der Schutz beginnt, wenn du auf quarantine und danach auf reject verschärfst. Den Ablauf zeigen wir in DMARC-Richtlinien erklärt.

Wie SPF, DKIM und DMARC zusammenarbeiten

Stell es dir wie eine Kette vor: SPF prüft die Rücksendeadresse, DKIM prüft die Signatur, und DMARC entscheidet, was passiert, wenn eine der beiden Prüfungen fehlschlägt — und schickt dir anschließend einen Bericht dazu. Veröffentliche alle drei und setze p=reject durch, dann wird deine Domain nahezu unmöglich zu spoofen.

Warum DMARC heute wichtig ist

Mailbox-Anbieter verlangen es. Seit 2024 verlangen Gmail und Yahoo von Bulk-Sendern — 5.000 oder mehr Nachrichten pro Tag — die Umsetzung von DMARC, und Microsoft hat für Outlook nachgezogen. Ohne DMARC wird legitime E-Mail gedrosselt oder in den Spam verschoben, egal was darin steht.
Zustellbarkeit. Authentifizierung und sauberes DMARC Alignment sind auch für kleine Sender ein positives Reputationssignal. Wenn Authentifizierung fehlschlägt, verlierst du still und leise Platzierung im Posteingang, lange bevor es jemand merkt.
Betrugsprävention. Auf reject gesetzt, kommen gefälschte E-Mails mit deiner exakten Domain bei keinem großen Anbieter mehr an. Phisher weichen dann auf Lookalike-Domains aus — ein deutlich schwächerer Angriff, der nicht mehr das Vertrauen in deinen Namen mitbringt.
Sichtbarkeit. Die meisten Organisationen entdecken in ihrer ersten Berichtswoche vergessene Sender. Ein altes CRM. Ein Marketing-Tool, bei dem sich mal jemand angemeldet hat. Ein falsch konfigurierter Server.

Häufiges Missverständnis: Das Veröffentlichen von p=none schützt dich noch nicht — E-Mails, die fehlschlagen, werden weiterhin zugestellt. Es ist der wichtige erste Schritt, weil es Berichte einschaltet, damit du jeden Sender sicher korrigieren kannst. Der Schutz kommt aber erst, wenn du quarantine oder reject erreichst.

Loslegen

Die sichere Reihenfolge: Veröffentliche DMARC mit p=none und einer rua-Adresse, beobachte die Berichte, bis jeder legitime Sender (deine Mail-Plattform, deine ESPs, dein Abrechnungssystem) aligned besteht, und verschärfe dann auf quarantine und schließlich reject. Die Berichte kommen als XML-Dateien, gemacht für Maschinen, nicht für Menschen — und genau darin liegt der Wert eines Monitoring-Dienstes: Er verwandelt sie in ein Dashboard, erkennt Sender nach Namen und zeigt dir, was kaputtgehen würde, bevor du eine strengere Richtlinie durchsetzt.

Kostenlose Checks: DMARC-Checker SPF-Checker DKIM-Checker Spam-Checker