DMARC schützt Ihre E-Mail-Domain davor, dass Betrüger in Ihrem Namen E-Mails versenden. Dieser Beitrag erklärt verständlich, was DMARC ist, wie es mit SPF und DKIM zusammenspielt und wie ein DMARC-Eintrag aussieht - ohne unnötigen Fachjargon.
Was ist DMARC einfach erklärt?
DMARC steht für „Domain-based Message Authentication, Reporting and Conformance". Es ist ein E-Mail-Standard, der festlegt, wie Empfänger mit E-Mails umgehen sollen, die vorgeben, von Ihrer Domain zu stammen, die Prüfung per SPF und DKIM aber nicht bestehen.
Vereinfacht: DMARC ist die Regel, die dem empfangenden Mailserver sagt „Wenn eine E-Mail behauptet, von mir zu kommen, aber die Echtheitsprüfung nicht besteht - dann lehne sie ab oder markiere sie als Spam." Zusätzlich schickt der Empfänger Berichte zurück, sodass Sie sehen, wer in Ihrem Namen versendet.
DMARC beantwortet die Frage: Was soll mit einer gefälschten E-Mail in meinem Namen passieren?
Ohne DMARC bleibt diese Entscheidung dem Zufall überlassen - und Angreifer nutzen genau diese Lücke.
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF, DKIM und DMARC sind drei aufeinander aufbauende Mechanismen: SPF prüft den versendenden Server, DKIM prüft die Unversehrtheit der Nachricht, und DMARC verbindet beide zu einer durchsetzbaren Richtlinie mit Berichtsfunktion.
| Mechanismus | Was er prüft | Schützt vor |
|---|---|---|
| SPF | Welche Server für die Domain versenden dürfen | Versand von nicht autorisierten Servern |
| DKIM | Kryptografische Signatur der E-Mail | Manipulation der Nachricht unterwegs |
| DMARC | Richtlinie + Ausrichtung von SPF/DKIM | Spoofing der sichtbaren Absenderadresse |
Wichtig: SPF und DKIM allein reichen nicht. Erst DMARC prüft, ob die sichtbare Absenderadresse (die der Empfänger sieht) zur authentifizierten Domain passt - die sogenannte Ausrichtung („Alignment"). Eine vollständige Einrichtungsanleitung finden Sie im Beitrag SPF, DKIM und DMARC einrichten: Schritt für Schritt.
Wie sieht ein DMARC-Eintrag aus?
Ein DMARC-Eintrag ist ein TXT-Eintrag im DNS Ihrer Domain unter _dmarc.ihre-domain.de. Ein
einfaches Beispiel:
_dmarc.ihre-domain.de. IN TXT "v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de"
Die drei wichtigsten Bestandteile: v=DMARC1 kennzeichnet die Version, p= legt die
Richtlinie fest (siehe unten), und rua= gibt an, wohin die Aggregatberichte gesendet werden. Wie
Sie diese Berichte lesen, erklärt der Beitrag
DMARC-Berichte verstehen: RUA und RUF.
Welche DMARC-Richtlinien gibt es?
DMARC kennt drei Richtlinien-Stufen, die schrittweise strenger werden:
p=none: Nur beobachten. Es werden Berichte gesammelt, aber keine E-Mails abgewiesen. Der sichere Einstieg.p=quarantine: Verdächtige E-Mails landen im Spam-Ordner.p=reject: Nicht authentifizierte E-Mails werden vollständig abgewiesen. Der stärkste Schutz.
Der empfohlene Weg führt von none über quarantine zu reject. Wann und
wie Sie sicher auf die strengste Stufe wechseln, ohne legitime E-Mails zu verlieren, behandelt der Beitrag
DMARC p=reject: wann und wie sicher aktivieren.
Braucht mein Unternehmen DMARC?
Ja, DMARC ist für jedes Unternehmen sinnvoll, das per E-Mail kommuniziert. Ohne DMARC können Angreifer Ihre Domain als Absender fälschen und in Ihrem Namen Phishing-Mails versenden.
Hinzu kommt der praktische Druck: Große Anbieter wie Google und Microsoft verlangen von Massenversendern inzwischen eine gültige DMARC-Richtlinie, sonst landen E-Mails im Spam oder werden abgewiesen. DMARC ist damit nicht nur Schutz, sondern zunehmend Voraussetzung für zuverlässige Zustellung.
DMARC einrichten und überwachen mit DMARCFlow
DMARCFlow nimmt Ihnen die Komplexität ab: Berichte
automatisch auswerten, den Weg von p=none zu p=reject sicher begleiten und
Fehlkonfigurationen früh erkennen. Prüfen Sie Ihre Domain sofort mit dem
DMARC-Checker.