DMARC einrichten: Anleitung für Firmen-Domains

DMARC richtest Du ein, indem Du einen TXT-Eintrag mit dem Namen _dmarc in den DNS-Einstellungen Deiner Domain anlegst, der dem Empfänger sagt, wie er mit Mails umgehen soll, die SPF und DKIM nicht bestehen. Voraussetzung ist, dass SPF und DKIM für Deine Absender schon funktionieren, sonst riskierst Du, dass echte Mails aussortiert werden.

Hier erfährst Du, was DMARC leistet, wie Du Schritt für Schritt vorgehst und welche Fehler in der Praxis am häufigsten vorkommen.

Was DMARC macht

DMARC (Domain-based Message Authentication, Reporting and Conformance) baut auf zwei älteren Verfahren auf:

• SPF legt fest, welche Server im Namen Deiner Domain Mails versenden dürfen.
• DKIM signiert Mails kryptografisch, sodass der Empfänger prüfen kann, ob sie unterwegs verändert wurden.
• DMARC verlangt, dass mindestens eines von beiden besteht und zur Absenderdomain im „Von”-Feld passt (Alignment). Zusätzlich legst Du fest, was bei einem Fehlschlag passieren soll, und bekommst Berichte darüber.

Das schützt Dich davor, dass jemand Mails mit Deiner Domain als Absender fälscht, und verbessert die Chance, dass Deine echten Mails im Posteingang landen. Große Anbieter wie Google und Yahoo verlangen für Massenversender seit 2024 eine DMARC-Richtlinie. Auch für kleinere Absender gilt eine saubere Authentifizierung inzwischen als Standard. Die genauen Schwellen und Regeln liest Du am besten in den aktuellen Hilfeseiten der Anbieter nach.

Vorab: SPF und DKIM prüfen

Bevor Du DMARC einschaltest, brauchst Du eine Bestandsaufnahme. Frage Dich:

1. Wer versendet Mails mit meiner Domain? Dein Mail-Postfach, aber auch Newsletter-Tool, Online-Shop, Kontaktformular der Website, Buchungssystem, Rechnungsprogramm.
2. Ist für jeden dieser Dienste SPF oder DKIM eingerichtet? Die Anbieter nennen in ihrer Hilfe die nötigen DNS-Einträge.
3. Gibt es genau einen SPF-Eintrag? Mehrere SPF-Einträge für dieselbe Domain führen zu Fehlern. Alle Absender gehören in einen einzigen Eintrag.

Wie Du Domain, Postfächer und die zugehörigen Einträge grundsätzlich aufsetzt, steht in Geschäftliche E-Mail-Adresse erstellen. Wechselst Du gerade den Anbieter, beachte auch Domain umziehen ohne Ausfall, denn dabei gehen DNS-Einträge gern verloren.

DMARC in fünf Schritten einrichten

1. Berichts-Postfach festlegen

DMARC kann Dir Berichte schicken (Aggregate Reports als XML). Lege dafür eine eigene Adresse an, etwa dmarc@deinefirma.de, damit Dein normales Postfach nicht überläuft. Viele Betriebe werten die Berichte mit einem Auswertungsdienst aus, weil das Rohformat schwer lesbar ist.

2. Mit p=none starten

Der erste Eintrag beobachtet nur und greift nicht ein:

Name:  _dmarc.deinefirma.de
Typ:   TXT
Wert:  v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.de

p=none bedeutet: Mails werden normal zugestellt, Du bekommst aber Berichte. So erkennst Du, welche Absender Deine Domain nutzen und welche noch nicht sauber eingerichtet sind.

3. Berichte auswerten

Lass den Eintrag einige Wochen laufen. Prüfe in den Berichten:

• Welche Dienste senden Mails mit Deiner Domain?
• Bestehen SPF oder DKIM mit Alignment?
• Tauchen Absender auf, die Du nicht kennst? Das können Fälschungsversuche oder vergessene Altsysteme sein.

4. Absender nachbessern

Bei jedem legitimen Dienst, der durchfällt, richtest Du SPF und DKIM korrekt ein. Typische Kandidaten sind das Formular-Plugin der Website und Newsletter-Tools.

5. Richtlinie schrittweise verschärfen

Erst wenn alle echten Absender bestehen, wechselst Du die Richtlinie:

Richtlinie	Wirkung	Wann sinnvoll
p=none	Nur beobachten, Berichte erhalten	Startphase
p=quarantine	Verdächtige Mails landen im Spam	Wenn Berichte sauber aussehen
p=reject	Verdächtige Mails werden abgelehnt	Wenn Du sicher bist, dass alle Absender stimmen

Mit pct= kannst Du die Verschärfung zunächst auf einen Teil der Mails anwenden. Gehe nicht überstürzt auf reject, sonst lehnen Empfänger womöglich echte Mails ab.

Besonderheiten je nach Anbieter

Die Einrichtung unterscheidet sich im Detail, je nachdem, wo Deine DNS-Verwaltung und Dein Postfach liegen:

• Hosting- oder Domain-Anbieter mit eigener DNS-Verwaltung: Der TXT-Eintrag wird dort gesetzt. Manche Oberflächen fügen den Domainnamen automatisch an, dann trägst Du nur _dmarc ein.
• Microsoft 365 oder Google Workspace: DKIM musst Du meist in der Admin-Oberfläche aktivieren und den angezeigten Eintrag in den DNS übernehmen.
• Externe Dienste (Newsletter, Shop): Sie liefern eigene SPF- und DKIM-Einträge. Prüfe in deren Hilfe, ob ein Eintrag für Deine Domain nötig ist.

Da sich Oberflächen und Namen ändern, nutze für die genauen Klickwege die Dokumentation Deines Anbieters.

Weitere DMARC-Angaben im Überblick

Neben p= kennt DMARC einige Parameter, die Du kennen solltest:

• rua= nennt die Adresse für die Aggregate-Berichte. Das ist der wichtigste Zusatz, weil Du ohne Berichte blind arbeitest.
• sp= legt die Richtlinie für Subdomains fest. Ohne Angabe gilt für Subdomains die Richtlinie der Hauptdomain. Das ist relevant, wenn Du etwa shop.deinefirma.de oder newsletter.deinefirma.de mit eigenen Absendern betreibst.
• pct= wendet die Richtlinie nur auf einen Prozentsatz der Mails an. Damit tastest Du Dich beim Verschärfen vorsichtig heran.
• adkim= und aspf= steuern, ob das Alignment locker (r) oder strikt (s) geprüft wird. Für die meisten kleinen Betriebe reicht der Standard.

Ein Eintrag für die Phase „Verschärfung” könnte dann zum Beispiel so aussehen:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@deinefirma.de

Erhöhe den Prozentwert in Etappen, solange die Berichte keine echten Absender als Fehler zeigen. Das ist nur ein Beispiel. Welche Werte für Dich passen, hängt von Deinen Absendern und Deinem Mailvolumen ab.

Was Du nach dem Setzen prüfst

Nach jeder Änderung lohnt sich ein kurzer Test. Sende eine Mail von jedem Absender, also Postfach, Kontaktformular und Newsletter, an ein Gmail- und ein Outlook-Konto. Öffne den Mail-Header und schau, ob dort bei SPF, DKIM und DMARC jeweils „pass” steht. Wartest Du nach einer DNS-Änderung, bedenke, dass sie je nach TTL einige Zeit braucht, bis sie überall sichtbar ist.

Häufige Fehler

• Sofort p=reject setzen. Ohne Beobachtungsphase fallen vergessene Absender durch.
• Mehrere SPF-Einträge. Es darf nur einer existieren.
• Formular-Mails übersehen. Kontaktformulare versenden oft über den Server der Website, der nicht im SPF steht. Siehe auch Website nicht erreichbar für verwandte DNS-Fehlerquellen.
• Berichte ignorieren. Ohne Auswertung weißt Du nicht, ob die Verschärfung sicher ist.
• DNS-Änderungen ohne Dokumentation. Spätere Umzüge oder Anbieterwechsel überschreiben dann Einträge.

Wer pflegt das dauerhaft?

Die Einrichtung ist einmalig, die Pflege nicht. Neue Tools, ein Anbieterwechsel oder ein Relaunch ändern die Absender. Wer das nicht selbst im Blick behalten will, kann es in eine regelmäßige Website-Wartung einbinden lassen. Das ist kein Muss, aber es verhindert, dass nach Änderungen plötzlich Mails im Spam landen.

Hinweis: Dieser Beitrag ist eine allgemeine Orientierung und keine Rechtsberatung. Das gilt auch für datenschutzrechtliche Fragen, etwa zu Mail-Anbietern, die Du mit einem AV-Vertrag einbindest.

Häufige Fragen

Brauche ich DMARC als kleines Unternehmen?

Es ist keine gesetzliche Pflicht, aber sehr empfehlenswert. Ohne DMARC kann jeder leichter Mails mit Deiner Domain fälschen, und Deine echten Mails werden eher als verdächtig eingestuft. Der Aufwand für den Start mit p=none ist gering.

Wie lange sollte ich bei p=none bleiben?

Das hängt davon ab, wie viele Absender Du hast. Oft sind einige Wochen sinnvoll, damit auch seltene Mails, etwa Quartalsrechnungen, in den Berichten auftauchen. Erst wenn alle legitimen Absender bestehen, solltest Du verschärfen.

Was ist der Unterschied zwischen SPF, DKIM und DMARC?

SPF prüft den sendenden Server, DKIM prüft die Signatur der Nachricht, DMARC verbindet beides mit dem sichtbaren Absender und legt die Reaktion bei Fehlern fest. Alle drei ergänzen sich, keines ersetzt die anderen.

Kann DMARC meine echten Mails blockieren?

Ja, wenn ein Absender nicht sauber konfiguriert ist und Du die Richtlinie auf quarantine oder reject stellst. Deshalb die Beobachtungsphase und die schrittweise Verschärfung.

Fazit

DMARC ist ein kleiner DNS-Eintrag mit großer Wirkung, wenn Du ihn in Ruhe vorbereitest: erst SPF und DKIM, dann p=none, Berichte lesen und erst danach verschärfen. Wenn Du Hilfe bei DNS, Mail-Einrichtung oder dem Umzug Deiner Domain möchtest, vereinbare ein unverbindliches Erstgespräch.