DMARC einrichten ohne legitime Mails zu blockieren
DMARC sicher einrichten: erst sehen, dann schützen.
Riskant ist nicht das Anlegen des TXT-Eintrags, sondern eine zu frühe Umstellung auf quarantine oder reject. Mit dieser Reihenfolge bleiben legitime Absender sichtbar und die Umstellung kontrollierbar.
Geprüft: 19. Juli 2026 · Primärquellen am Seitenende
Alle legitimen Absender erfassen
Listen Sie neben Microsoft 365 oder Google Workspace auch Newsletter, Rechnungssoftware, CRM, Ticketsysteme, Website-Formulare, Scanner und externe Dienstleister auf. Ein vergessener Dienst kann später an DMARC scheitern.
SPF und DKIM vor DMARC stabilisieren
Mindestens einer der beiden Mechanismen muss bestehen und mit der sichtbaren From-Domain ausgerichtet sein. Google empfiehlt, SPF und DKIM mindestens 48 Stunden vor DMARC einzurichten. Prüfen Sie echte gesendete Nachrichten, nicht nur DNS-Einträge.
Mit p=none und Sammelberichten starten
Veröffentlichen Sie zunächst eine DMARC-Richtlinie mit p=none und einer gültigen Adresse für Sammelberichte. Der Eintrag fordert Berichte an, lässt fehlgeschlagene Nachrichten aber noch nicht abweisen.
v=DMARC1; p=none; rua=mailto:dmarc@beispiel.chMindestens eine repräsentative Woche beobachten
Ordnen Sie jede relevante Sendequelle einem legitimen System oder möglichem Missbrauch zu. Google empfiehlt für typische Umgebungen mindestens eine Woche Beobachtung, damit die täglichen Berichte die üblichen E-Mail-Ströme abbilden.
Fehler beheben, nicht blind erlauben
Korrigieren Sie SPF, aktivieren Sie DKIM beim jeweiligen Dienst oder ändern Sie dessen sichtbare Absenderdomain. Eine zu breite Ausnahme versteckt das Problem und schwächt die spätere Schutzrichtlinie.
Die Richtlinie kontrolliert verschärfen
Wechseln Sie erst zu quarantine und danach zu reject, wenn die legitimen Quellen zuverlässig zur sichtbaren Absenderdomain passen. Werten Sie die Sammelberichte weiter aus; Empfänger behalten trotz veröffentlichter Richtlinie ihre eigene Zustellentscheidung.
Kostenloser RFC-9989-Generator
Den passenden DMARC-Eintrag sicher erstellen.
Erzeugen Sie eine Richtlinie für Beobachtung, Quarantäne oder Abweisung – mit Berichtsadresse, direkt verwendbarem DNS-Wert und Warnung bei externer Berichtszustellung. Ohne veralteten pct-Tag.
Wichtig
Ein hoher MX-Audit-Score ist kein Freigabesignal für p=reject.
Der Browser-Check sieht öffentliche DNS-Einträge, aber nicht jeden Dienst, der tatsächlich E-Mails für Ihre Domain versendet. Entscheidend sind echte Nachrichten-Header und DMARC-Sammelberichte. Verschärfen Sie die Richtlinie nur mit Zugriff auf DNS und einer vollständigen Absenderliste.
Wenn Sie den Schutz laufend überwachen wollen
Sehen Sie, wer wirklich in Ihrem Namen sendet.
DMARCTrust ist eine externe Plattform für DMARC-Berichte, Warnungen und Absender-Inventar. Die kostenlose Teststufe ist auf eine Domain begrenzt; bezahlte Business-Tarife starten bei $19 pro Monat für zwei Domains. Der MX-Audit-Score bleibt unabhängig.
Brauche ich SPF und DKIM gleichzeitig?
DMARC kann bestehen, wenn SPF oder DKIM erfolgreich ist und zur sichtbaren Absenderdomain passt. In professionellen Umgebungen sollten beide Verfahren korrekt eingerichtet sein, weil Weiterleitungen SPF unterbrechen können und einzelne Systeme unterschiedlich signieren.
Was bedeutet p=none?
Mit p=none sammeln Sie Berichte, ohne fehlgeschlagene Nachrichten abweisen zu lassen. Empfänger sehen die DMARC-Richtlinie und können Sammelberichte senden, ändern die Zustellung aufgrund dieser Richtlinie aber noch nicht.
Wie lange soll ich beobachten?
Google nennt mindestens eine Woche als typische Ausgangsbasis. Saisonale Rechnungs-, Newsletter- oder Kampagnensysteme können eine längere Beobachtung erfordern.
Wo wird der DMARC-Eintrag angelegt?
Als TXT-Eintrag unter _dmarc Ihrer Domain beim DNS-Host. Bei einer eigenen Domain geschieht das normalerweise nicht in der Microsoft- oder Google-Mailoberfläche, sondern beim DNS-Anbieter.