DMARC einrichten ohne legitime Mails zu blockieren
DMARC sicher einrichten: erst sehen, dann schützen.
Der gefährliche Schritt ist nicht das Anlegen des TXT-Records, sondern zu früh auf Quarantäne oder Reject zu wechseln. Diese Reihenfolge hält legitime Absender sichtbar und die Umstellung kontrollierbar.
Geprüft: 19. Juli 2026 · Primärquellen am Seitenende
Alle legitimen Absender erfassen
Listen Sie neben Microsoft 365 oder Google Workspace auch Newsletter, Rechnungssoftware, CRM, Ticketsysteme, Website-Formulare, Scanner und externe Dienstleister auf. Ein vergessener Dienst kann später an DMARC scheitern.
SPF und DKIM vor DMARC stabilisieren
Mindestens einer der beiden Mechanismen muss bestehen und mit der sichtbaren From-Domain ausgerichtet sein. Google empfiehlt, SPF und DKIM mindestens 48 Stunden vor DMARC einzurichten. Prüfen Sie echte gesendete Nachrichten, nicht nur DNS-Einträge.
Mit Monitoring starten
Veröffentlichen Sie zunächst eine p=none-Policy mit einer gültigen Adresse für Aggregate Reports. Der Record fordert Berichte an, weist empfangende Server aber noch nicht an, fehlgeschlagene Nachrichten abzuweisen.
v=DMARC1; p=none; rua=mailto:dmarc@beispiel.chMindestens eine repräsentative Woche beobachten
Ordnen Sie jede relevante Sendequelle einem legitimen System oder Missbrauch zu. Google empfiehlt bei typischen Umgebungen mindestens eine Woche Monitoring, damit tägliche Reports die üblichen Mailströme abbilden.
Fehler beheben, nicht blind erlauben
Korrigieren Sie SPF, aktivieren Sie DKIM beim jeweiligen Dienst oder ändern Sie dessen sichtbare Absenderdomain. Eine breite Ausnahme versteckt das Problem und schwächt die spätere Enforcement-Policy.
Kontrolliert auf Enforcement wechseln
Wechseln Sie erst zu Quarantäne und danach zu Reject, wenn die legitimen Quellen zuverlässig ausgerichtet sind. Beobachten Sie die Aggregate Reports weiter; Empfänger behalten trotz publizierter Policy ihre eigene Zustellentscheidung.
Kostenloser RFC-9989-Generator
Den exakten DMARC-DNS-Record sicher erstellen.
Erzeugen Sie eine Monitoring-, Quarantäne- oder Reject-Policy mit Reporting-Adresse, DNS-fertiger Ausgabe und Warnung bei externer Report-Zustellung. Ohne veralteten pct-Tag.
Wichtig
Ein hoher MX-Audit-Score ist kein Freigabesignal für p=reject.
Der Browser-Check sieht öffentliche DNS-Signale, aber nicht jeden Dienst, der tatsächlich E-Mails für Ihre Domain versendet. Entscheidend sind reale Header und Aggregate Reports. Ändern Sie Enforcement nur mit Zugriff auf DNS und dem vollständigen Absender-Inventar.
Wenn Sie den Schutz laufend überwachen wollen
Sehen Sie, wer wirklich in Ihrem Namen sendet.
DMARCTrust ist eine externe Plattform für DMARC-Berichte, Warnungen und Absender-Inventar. Die kostenlose Teststufe ist auf eine Domain begrenzt; bezahlte Business-Tarife starten bei $19 pro Monat für zwei Domains. Der MX-Audit-Score bleibt unabhängig.
Brauche ich SPF und DKIM gleichzeitig?
DMARC kann bestehen, wenn SPF oder DKIM besteht und zur sichtbaren From-Domain ausgerichtet ist. In der Praxis sollten professionelle Umgebungen beide korrekt betreiben, weil Weiterleitungen SPF brechen können und einzelne Systeme unterschiedlich signieren.
Was bedeutet p=none?
p=none ist Monitoring. Empfänger erhalten eine DMARC-Policy und können Reports senden, werden durch diese Policy aber nicht aufgefordert, fehlgeschlagene Nachrichten zu quarantänisieren oder abzuweisen.
Wie lange soll Monitoring dauern?
Google nennt mindestens eine Woche als typische Ausgangsbasis. Saisonale Rechnungs-, Newsletter- oder Kampagnensysteme können eine längere Beobachtung erfordern.
Wo wird der DMARC-Record angelegt?
Als TXT-Record unter _dmarc Ihrer Domain beim DNS-Host. Bei einer eigenen Domain geschieht das normalerweise nicht in der Microsoft- oder Google-Mailoberfläche, sondern beim DNS-Anbieter.