Leitfaden: Authentifizierung
DMARC einrichten
DMARC verknüpft SPF und DKIM mit der From-Adresse, die Ihre Empfänger sehen, sagt Empfängern, was mit fehlschlagenden E-Mails geschehen soll, und bittet sie um Berichte an Sie.
Zuletzt geprüft am 4. November 2026
Was DMARC hinzufügt
SPF prüft die Umschlagdomain und DKIM die signierende Domain, aber keine von beiden muss zur From-Adresse passen. DMARC (RFC 9989, das im Mai 2026 RFC 7489 ersetzt hat) verlangt genau das: Eine Nachricht besteht DMARC nur, wenn SPF oder DKIM für eine Domain besteht, die zur From-Domain passt.
Die Richtlinie ist ein TXT-Eintrag unter _dmarc.yourdomain. Empfänger lesen ihn, um zu entscheiden, was mit fehlschlagenden E-Mails in Ihrem Namen geschieht und wohin sie Berichte über ihre Beobachtungen senden.
Alignment
Beim Relaxed-Alignment (adkim=r, aspf=r, die Voreinstellung) müssen die Domains dieselbe Organisationsdomain haben: mail.example.com passt zu example.com. Beim Strict-Alignment (s) müssen sie identisch sein.
Praktisch heißt das: Ihr Versanddienst muss DKIM mit Ihrer Domain signieren und, damit SPF zählt, einen Return-Path auf Ihrer Domain verwenden. Ein passendes Pass genügt.
Der Eintrag und seine Richtlinien
Ein Eintrag beginnt mit v=DMARC1. RFC 9989 behandelt einen Eintrag ohne p=-Tag wie p=none, veröffentlichen Sie p= aber ausdrücklich, damit Ihre Absicht klar ist. Weitere Tags sind optional: rua= für Sammelberichte, sp= für Subdomains und t=y, um eine Richtlinie zu testen, ohne Empfänger um ihre Anwendung zu bitten. Der Tag pct= aus RFC 7489 wurde entfernt.
- p=none: bittet Empfänger, keine DMARC-Maßnahme zu ergreifen und nur zu berichten. Damit sehen Sie, wer in Ihrem Namen sendet; die normale Spamfilterung gilt weiter.
- p=quarantine: bittet Empfänger, fehlschlagende E-Mails als verdächtig zu behandeln, meist durch Zustellung in den Spam.
- p=reject: bittet Empfänger, fehlschlagende E-Mails abzulehnen. Der stärkste Schutz gegen das Fälschen Ihrer Domain, auch wenn jeder Empfänger die letzte Entscheidung behält.
v=DMARC1; p=none; rua=mailto:[email protected]Eine sichere Reihenfolge zum Verschärfen
Beginnen Sie mit p=none und einer rua-Adresse, deren Berichte Sie lesen. Sammelberichte sind XML-Dateien, die jeder Empfänger etwa einmal täglich sendet; sie nennen die Quellen, die in Ihrem Namen gesendet haben, und ob diese bestanden.
Korrigieren Sie jede legitime Quelle, die scheitert: ein vergessenes Newsletter-Tool, ein Abrechnungssystem, ein Support-Desk. Wechseln Sie dann zu p=quarantine, beobachten Sie die Berichte erneut und gehen Sie zu p=reject, sobald nur noch unbefugte Absender scheitern.
Was Postfachanbieter verlangen
Google verlangt von Absendern mit annähernd 5.000 oder mehr Nachrichten pro Tag an private Gmail-Konten einen DMARC-Eintrag und dass die From-Domain zur SPF- oder DKIM-Domain passt. Yahoo verlangt von Massenversendern eine gültige DMARC-Richtlinie mit mindestens p=none, und DMARC muss bestehen.
So setzt Mail.Land DMARC um
DMARC ist bei Mail.Land Pflicht: Eine Domain wird nur mit einem _dmarc-Eintrag verifiziert, der mit v=DMARC1 beginnt und einen p=-Tag hat, und SPF, DKIM und DMARC müssen alle verifiziert sein, bevor sie senden kann. Das Dashboard schlägt einen Wert mit p=quarantine und Relaxed-Alignment vor; Sie können stattdessen Ihre eigene Richtlinie veröffentlichen.
Mail.Land signiert DKIM mit Ihrer Domain und bringt, sobald der standardmäßig aktive eigene Return-Path verifiziert ist, auch SPF mit Relaxed-Alignment ins Alignment. Mail.Land empfängt die DMARC-Sammelberichte an der rua-Adresse, die es Ihnen gibt, und stellt ihre Bestehensquote, sendenden Quellen und angewandten Maßnahmen über die API bereit; tragen Sie eine eigene rua-Adresse ein, wenn Sie zusätzlich die Rohberichte möchten.
Quellen
- RFC 9989, Domain-based Message Authentication, Reporting, and Conformance (DMARC) (abgerufen am 4. November 2026)
- RFC 9990, DMARC-Sammelberichte (abgerufen am 4. November 2026)
- Google, Richtlinien für E-Mail-Absender (abgerufen am 4. November 2026)
- Yahoo, Best Practices für Absender (abgerufen am 4. November 2026)
Setzen Sie es in die Praxis um
Fügen Sie Ihre Domain in Mail.Land hinzu, und das Dashboard zeigt genau die SPF-, DKIM- und DMARC-Einträge, die Sie veröffentlichen müssen.