Erstellen Sie einen DMARC-Eintrag nach RFC 9989, mit jedem Tag erklärt, einem Stufenplan mit Datum von p=none bis p=reject und dem Zusatzeintrag, den ein Berichtspostfach auf einer anderen Domain braucht. Laden und prüfen Sie Ihren veröffentlichten Eintrag. Kostenlos, ohne Anmeldung.
Ein DMARC-Eintrag ist ein TXT-Eintrag unter _dmarc. vor Ihrer Domain. Er sagt empfangenden Mailservern, was mit einer Nachricht geschehen soll, deren Absenderdomain weder SPF noch DKIM bestätigt: zustellen, in den Spam-Ordner legen oder ablehnen. Außerdem nennt er eine Adresse, an die täglich Berichte gehen, wer mit Ihrer Domain E-Mails versendet. DMARC beginnt mit v=DMARC1 und ist in RFC 9989 definiert, das im Mai 2026 RFC 7489 abgelöst hat.
DMARC ist der einzige der drei Maileinträge, der die Adresse schützt, die ein Leser tatsächlich sieht. SPF und DKIM prüfen jeweils etwas, DMARC entscheidet.
1. Starten Sie mit p=none und einer Berichtsadresse. Für Ihre Empfänger ändert sich noch nichts. Die empfangenden Server schicken Ihnen Sammelberichte: welche Server mit Ihrer Domain versendet haben und ob SPF und DKIM für sie bestanden. Ohne rua-Adresse ist dieser Schritt wertlos, denn niemand sieht das Ergebnis.
2. Bringen Sie jeden legitimen Absender in Ordnung, dann verschärfen Sie. Die Berichte zeigen das Newsletter-Tool, das in SPF fehlt, und den Helpdesk, der nicht mit DKIM signiert. Zeigen die Berichte zwei Wochen lang keine legitime E-Mail mehr, die scheitert, wechseln Sie zu quarantine, erst mit t=y, dann ohne.
3. Enden Sie bei reject. Bei p=reject wird eine gefälschte Nachricht mit Ihrer Domain im Absender abgewiesen, bevor sie irgendwen erreicht. Das ist das Ziel; p=none allein dokumentiert das Problem nur.
Der Generator macht aus dem Startdatum, das Sie eingeben, einen Zeitplan mit einem fertigen Eintrag für jede Stufe: vier Wochen beobachten, zwei Wochen quarantine im Testmodus, vier Wochen quarantine, dann reject. Verkürzen Sie die Stufen, wenn die Berichte früher sauber sind, und verlängern Sie sie, wenn nicht.
| Feld | Wert |
|---|---|
| Typ | TXT |
| Name / Host | _dmarc (die Oberfläche ergänzt die Domain), oder _dmarc.example.com., wo der vollständige Name verlangt wird |
| Wert | der Eintrag aus dem Generator, ohne Anführungszeichen |
| TTL | der Standardwert; 3600 Sekunden passen |
Der häufigste Fehler ist der Name: Ein DMARC-Eintrag auf der Domain selbst statt auf _dmarc wird nie gefunden. Der zweite ist ein Duplikat. Unter _dmarc darf genau ein TXT-Eintrag stehen, der mit v=DMARC1 beginnt; bei zweien ignorieren Empfänger DMARC vollständig. „Veröffentlichten Eintrag laden“ zeigt jeden Eintrag, der unter diesem Namen liegt.
Liegt die Berichtsadresse auf einer anderen Domain, zum Beispiel bei einem Berichtsdienst, muss diese Domain einen Eintrag veröffentlichen, der zustimmt, Ihre Berichte anzunehmen. Der Generator schreibt ihn für Sie: einen TXT-Eintrag unter example.com._report._dmarc.reports-provider.net mit dem Wert v=DMARC1. Fehlt er, verwerfen die meisten Empfänger die Berichte stillschweigend.
| Tag | Bedeutung | Vorgabe im Generator |
|---|---|---|
p |
Richtlinie für die Domain: none, quarantine oder reject. Pflicht. | none |
rua |
Wohin Sammelberichte gehen, als mailto:-Adressen, durch Kommas getrennt. | Ihre Eingabe |
sp |
Richtlinie für bestehende Subdomains. Ohne sp folgen Subdomains p. | weggelassen |
np |
Richtlinie für Subdomains, die es gar nicht gibt. Neu in RFC 9989. | reject |
adkim |
DKIM-Abgleich: r (relaxed, Subdomains zählen) oder s (strict, exakte Übereinstimmung). | r |
aspf |
SPF-Abgleich, dieselben Werte. | r |
t |
Testmodus: t=y wendet die Richtlinie eine Stufe schwächer an. Neu in RFC 9989. | aus |
ruf |
Wohin Fehlerberichte gehen. Optional, siehe unten. | weggelassen |
fo |
Wann Fehlerberichte entstehen: 0, 1, d oder s. | nur mit ruf |
np schließt eine Lücke, die Angreifer gern nutzten: E-Mails von erfundenen Subdomains wie billing.example.com, die es nie gab und die deshalb keine eigene Richtlinie hatten. Von einem Namen, der nicht existiert, verschickt niemand legitime E-Mails, darum ist np=reject vom ersten Tag an sicher, auch wenn p noch auf none steht. t=y ist der neue Testschalter. psd ist ebenfalls neu, aber für Betreiber öffentlicher Suffixe gedacht, nicht für normale Domains.
pct gibt es nicht mehr. Der Tag sollte die Richtlinie auf einen Anteil der E-Mails anwenden und wurde von Empfängern so unterschiedlich umgesetzt, dass niemand das Ergebnis vorhersagen konnte; an seine Stelle tritt t=y. Auch rf und ri wurden gestrichen. Einträge, die sie noch enthalten, funktionieren weiter, weil Empfänger unbekannte Tags ignorieren, aber sie bewirken nichts mehr. Importieren Sie einen solchen Eintrag, sagt der Generator, welche Tags er weggelassen hat und warum.
Berichte an die ruf-Adresse können Adressen, Betreffzeilen und Teile echter Nachrichten enthalten. Damit sind sie personenbezogene Daten im Sinne der DSGVO, und die meisten großen Postfachanbieter verschicken sie gar nicht. Der Generator lässt ruf deshalb standardmäßig leer, und die Prüfung auf dieser Website empfiehlt es nicht mehr. Die Sammelberichte unter rua enthalten nur Zahlen je sendendem Server, und genau die brauchen Sie.
Wir haben am 19. Oktober 2026 die DMARC-Einträge der 1.000 bestplatzierten .de-Domains der Tranco-Liste (Liste 467YX) gelesen.
| Befund | Domains |
|---|---|
| Kein DMARC-Eintrag | 214 |
p=none, also kein Schutz |
333 |
p=quarantine |
214 |
p=reject |
238 |
| DMARC ohne Berichtsadresse | 148 von 786 |
Noch mit dem entfallenen Tag pct |
250 von 786 |
Mit dem neuen Tag np |
4 von 786 |
| Zwei DMARC-Einträge gleichzeitig | 1 |
547 von 1.000 Domains haben entweder gar kein DMARC oder bleiben bei p=none stehen, ihre Absenderadresse ist damit für jeden offen. 148 veröffentlichen eine Richtlinie, aber keine Berichtsadresse, und können deshalb nicht wissen, wann sie gefahrlos verschärfen könnten. Und nur vier nutzen np, den billigsten Schutz, den RFC 9989 bietet.
quarantine bittet den Empfänger, durchgefallene E-Mails als verdächtig zu behandeln, in der Praxis heißt das: Spam-Ordner. Eine legitime Nachricht, die wegen eines vergessenen Absenders scheitert, lässt sich dort noch finden. reject bittet den Empfänger, die Nachricht schon bei der Zustellung abzuweisen; der Absender bekommt einen Rückläufer, der Empfänger sieht sie nie.
quarantine ist der sichere Zwischenschritt, reject der Endzustand. Große Postfachanbieter verlangen seit 2024 DMARC von Massenversendern, und eine Richtlinie auf reject ist für sie das deutlichste Signal, dass E-Mails in Ihrem Namen authentifiziert sind. Bleiben Sie nur so lange bei quarantine, wie die Berichte noch legitime Quellen zeigen, die Sie nicht in Ordnung gebracht haben.
DMARC besteht, wenn SPF oder DKIM für eine Domain besteht, die zur Absenderdomain passt. Es kann also nur so gut sein wie diese beiden. Bevor Sie p=none verlassen, sollte jeder Dienst, der mit Ihrer Domain versendet, entweder mit passender Envelope-Domain im SPF-Eintrag stehen oder mit einem DKIM-Schlüssel für Ihre Domain signieren. DKIM ist das robustere von beiden, weil eine Signatur Weiterleitungen übersteht und SPF nicht.
Steht DMARC auf quarantine oder reject, erfüllt die Domain außerdem die Voraussetzung für BIMI, den Eintrag, der Ihr Logo neben Ihren Nachrichten anzeigt.
Sammelberichte kommen als gepackte XML-Dateien, meist einmal täglich von jedem großen Postfachanbieter, der E-Mails mit Ihrer Domain empfangen hat. Jede Datei listet je sendender IP-Adresse, wie viele Nachrichten von dort kamen, ob SPF und DKIM bestanden und ob die Domains, für die sie bestanden, zu Ihrer Absenderdomain passten.
Drei Fragen klären fast alles:
Das XML ist nicht zum Lesen von Hand gedacht. Ein Berichtspostfach bei einem DMARC-Dienst oder ein selbst betriebener Parser wie parsedmarc macht daraus eine Tabelle. Liegt das Postfach auf einer anderen Domain als Ihrer eigenen, veröffentlichen Sie den Freigabe-Eintrag, den der Generator schreibt, sonst kommen die Berichte nie an.
Ohne sp erbt jede Subdomain die Richtlinie der Hauptdomain. Das wollen die meisten Domains. Setzen Sie sp nur, wenn eine Subdomain eine andere Richtlinie braucht, typischerweise eine schwächere für eine Subdomain, deren Absender Sie noch nicht in Ordnung gebracht haben: p=reject; sp=quarantine.
np ist etwas anderes: Es gilt für Subdomains, die im DNS gar nicht existieren. Ein gefälschtes service.example.com, das nie angelegt wurde, bekommt die np-Richtlinie, ein echtes newsletter.example.com bekommt p oder sp. Weil ein nicht existierender Name keine legitimen E-Mails versenden kann, setzt der Generator np=reject von Anfang an, auch wenn die Hauptrichtlinie noch none ist.
Eine Subdomain kann auch einen eigenen _dmarc-Eintrag veröffentlichen, der dann Vorrang vor dem sp der übergeordneten Domain hat.
v=DMARC1; p=none; np=reject; rua=mailto: und eine Adresse, die Sie auch lesen. Das sammelt Berichte, ohne die Zustellung zu verändern, und sperrt E-Mails von Subdomains, die es nicht gibt. Gehen Sie zu quarantine, sobald die Berichte zeigen, dass Ihre eigenen Dienste SPF oder DKIM bestehen.
Als TXT-Eintrag unter dem Namen _dmarc vor Ihrer Domain, also _dmarc.example.com. In den meisten DNS-Oberflächen tragen Sie _dmarc als Namen ein, und die Oberfläche ergänzt die Domain. Einen DMARC-Eintrag auf der Domain selbst liest kein Empfänger.
Nein. Der Eintrag entsteht im Browser. „Veröffentlichten Eintrag laden“ liest den öffentlichen Eintrag unter _dmarc der Domain über unseren Resolver, und „Mit Live-DNS prüfen“ schickt den gebauten Eintrag an denselben Validator, den der Email Security Check nutzt. Keins von beiden speichert ihn.
Bei quarantine stellen Empfänger durchgefallene E-Mails in den Spam-Ordner zu; bei reject weisen sie sie schon bei der Zustellung ab, und der Absender bekommt einen Rückläufer. quarantine ist der sicherere Zwischenschritt, reject der Schutz, den Sie am Ende wollen.
DMARC mit p=none können Sie sofort veröffentlichen, seine Berichte sind der schnellste Weg herauszufinden, wer für Sie versendet. Vor quarantine oder reject braucht aber jeder legitime Absender SPF oder DKIM passend zu Ihrer Domain, sonst landen Ihre eigenen E-Mails im Spam oder werden abgewiesen.
RFC 9989 hat den Tag gestrichen. Empfänger wandten den Prozentsatz so unterschiedlich an, dass das Ergebnis nicht vorhersehbar war. Nutzen Sie t=y, während Sie eine strengere Richtlinie testen, und nehmen Sie es heraus, wenn die Berichte sauber sind. Alte Einträge mit pct funktionieren weiter; Empfänger nach dem neuen Standard ignorieren den Tag einfach.
Meist aus einem von drei Gründen: Der Eintrag hat keinen rua-Tag, die Adresse liegt auf einer anderen Domain, die den Freigabe-Eintrag nicht veröffentlicht hat, oder der Eintrag steht unter dem falschen Namen. Der Generator schreibt den Freigabe-Eintrag für externe Adressen, und „Veröffentlichten Eintrag laden“ zeigt, wo Ihr Eintrag wirklich liegt.
Der Eintrag wird im Browser nach RFC 9989 zusammengesetzt: Tags, die der Standard gestrichen hat, schreibt er nie, np und t bietet er an, Fehlerberichte gibt es nur auf Wunsch. Der Stufenplan ist reine Datumsrechnung ab dem Startdatum, das Sie eingeben; Ihre Berichte kann er nicht sehen, die Daten sind also ein Vorschlag, kein Versprechen.
„Veröffentlichten Eintrag laden“ fragt jeden TXT-Eintrag unter _dmarc der Domain ab und lässt den Validator des Email Security Check laufen, der Richtlinie, Berichtsadresse und Abgleich bewertet. „Mit Live-DNS prüfen“ lässt denselben Validator über den gebauten Eintrag laufen, ganz ohne DNS-Abfrage. Berichtsadressen werden auf ihre Form geprüft, nie angeschrieben, und der Freigabe-Eintrag für eine externe Adresse wird erzeugt, aber nicht abgefragt.
DMARC selbst kann Ihnen nicht sagen, welche Ihrer Absender durchfallen. Das können nur die Sammelberichte, und sie zu lesen ist die eigentliche Arbeit einer DMARC-Einführung.