DMARC einrichten: Schritt für Schritt sicher zu p=reject

DMARC einzurichten bedeutet, dass Sie Ihre Domain damit vor E-Mails mit gefälschten Absendern schützen. Der Weg führt über eine durchgesetzte DMARC Richtlinie (p=reject), ohne dabei legitime E-Mails zu beeinträchtigen. Diese Anleitung führt Sie in vier Schritten durch diesen Prozess: 1) DMARC-Record anlegen, 2) Reports auswerten, 3) legitime Dienste autorisieren und 4) die Richtlinie schrittweise verschärfen. verschärfen.

Beratungstermin vereinbaren

Inhalte

Basis und Voraussetzung: SPF und DKIM zuerst

DMARC baut auf SPF und DKIM auf — beide sollten eingerichtet sein, bevor Sie DMARC scharf schalten. Kurz:

SPF legt fest, welche Server für Ihre Domain senden dürfen.
DKIM signiert Ihre E-Mails kryptografisch.

Schritt 1: DMARC-Record anlegen (Start bei p=none)

Ein DMARC-Eintrag ist ein TXT-Record im DNS, veröffentlicht unter dem Namen

include:

. Sie starten damit im Beobachtungsmodus:

				
					_dmarc.ihredomain.de.  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de; fo=1"

p=none

blockiert nichts. Sie erhalten aber ab sofort Reports an die unter

rua

hinterlegte E-Mail-Adresse.

Der DMARC-Record im Detail

Tag

sp

rua

ruf

adkim

aspf

pct

fo

Bedeutung

Version — immer

DMARC1

Richtlinie für die Domain:

none

quarantine

oder

reject

Eigene Richtlinie für Subdomains (sonst gilt

auch für Subdomains)

Adresse für die aggregierten Reports (Regelfall)

Adresse für Forensic-/Failure-Reports (optional, heute selten)

DKIM-Ausrichtung:

(relaxed) oder

(strict)

SPF-Ausrichtung:

(relaxed) oder

(strict)

Prozentsatz der Nachrichten, auf die die Richtlinie angewendet wird

Optionen für Forensic-Reports

Für die meisten Unternehmen genügen zu Beginn

rua

(und optional

sp

Schritt 2: Reports sammeln und auswerten

Lassen Sie DMARC einige Wochen im Modus

p=none

laufen. Das hilft, auch selten sendende Services (wie z.B. monatliche Mailings) zu erfassen. Um alle legitimen Sender zu erkennen, müssen Sie die Reports auswerten und Fehlkonfigurationen zu finden. Wie Sie Reports lesen, erklärt DMARC-Report verstehen; das übernimmt der LEMARIT DMARC Analyzer automatisch und kategorisiert die vier Fälle.

Schritt 3: Legitime Dienste autorisieren

Wichtig: Legitime Dienste werden nicht im DMARC-Eintrag freigeschaltet — DMARC kennt keine Absender-Whitelist. Sie autorisieren jeden Service über SPF und/oder DKIM, sodass er den DMARC-Check besteht:

Über SPF: den vom Anbieter genannten SPF-Eintrag in Ihren SPF-Record aufnehmen (per
```
include:
```
). Beispiele: Google Workspace
```
include:_spf.google.com
```
, Microsoft 365
```
include:spf.protection.outlook.com
```
.

Über DKIM: DKIM beim Dienst aktivieren und die vom Anbieter bereitgestellten Schlüssel als DNS-Einträge (meist CNAME) veröffentlichen. (Erfahren Sie mehr, wie Sie DKIM einrichten).

Ausrichtung (Alignment) sicherstellen: DMARC verlangt, dass die Domain, die von SPF/DKIM geprüft wird, zu der sichtbaren Absender-Domain passt. Versendet zum Beispiel ein Dienst mit
```
Von: news@ihredomain.de
```
, dann prüft SPF die dienst-eigene Domain (z. B.
```
…@mail.dienstleister.com
```
). In diesem Fall ist SPF zwar gültig, aber „nicht ausgerichtet“ und DMARC scheitert. Die Lösung ist, den Dienst so einzurichten, dass er über Ihre eigene (Sub-)Domain sendet und DKIM mit
```
d=ihredomain.de
```
signiert (per CNAME, den der Anbieter bereitstellt). Dann stimmt die geprüfte Domain mit der Absender-Domain überein. (Der Standard „relaxed“ lässt Subdomains zu:
```
mail.ihredomain.de
```
passt zu
```
ihredomain.de
```
.)

Nach der Autorisierung erscheint der Dienst in den Reports als „voll konform“.

Schritt 4: Richtlinie verschärfen — von none über quarantine zu reject

Wenn alle legitimen Sender erfasst und autorisiert sind, heben Sie die Richtlinie an:

				
					_dmarc.ihredomain.de.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@ihredomain.de"

Anschließend auf

p=reject

. Optional können Sie mit

pct

schrittweise ausrollen (z. B.

p=quarantine; pct=25

→ schrittweise auf 100), um den Effekt kontrolliert zu beobachten. Ziel ist:

				
					_dmarc.ihredomain.de.  IN  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@ihredomain.de"

Häufige Fehler

Zu früh auf
```
p=reject
```
: bevor alle legitimen Sender erfasst sind. Folge: legitime Mails werden blockiert.
SPF-Limit überschritten: ein SPF-Record darf maximal 10 DNS-Lookups auslösen. Viele
```
include:
```
sprengen das; dann ist eine Konsolidierung/„SPF-Flattening“ nötig.
Weiterleitungen als Angriff fehlgedeutet: Weiterleitungen brechen SPF, DKIM trägt hier die Authentifizierung.
Subdomains vergessen: ohne
```
sp
```
gilt
```
p
```
auch für Subdomains; separate Sende-Subdomains gesondert prüfen.
Reports nie ausgewertet:
```
p=none
```
ohne Auswertung bringt keinen Schutz.

Häufige Fragen (FAQ)

Wie richte ich DMARC ein?

In vier Schritten: DMARC-Record mit

p=none

als TXT-Eintrag unter

_dmarc.ihredomain.de

anlegen, Reports auswerten, alle legitimen Dienste über SPF/DKIM autorisieren und die Richtlinie schrittweise auf

p=quarantine

und

_p=reject

anheben.

Wo trage ich den DMARC-Record ein?

Als TXT-Eintrag in der DNS-Verwaltung Ihrer Domain, unter dem Hostnamen

_dmarc

Sollte ich direkt mit p=reject starten?

Nein. Beginnen Sie mit

p=none

, werten Sie die Reports aus und verschärfen Sie erst, wenn alle legitimen Sender erfasst sind.

Wie lange dauert die Einführung bis p=reject?

Das hängt von der Zahl Ihrer Sende-Dienste ab. Beobachten Sie das Setup einige Wochen, so stellen Sie sicher, dass auch selten sendende Systeme erfasst werden.

Unterstützung durch LEMARIT

Sie möchten DMARC nicht selbst aufsetzen oder den Sprung auf

p=reject

absichern? LEMARIT hilft Ihnen dabei, die DMARC Records einzurichten, Reports auszuwerten und Ihre Richtlinie schrittweise zu verschärfen; mit persönlichem Ansprechpartner und dem DMARC Analyzer für die laufende Überwachung.

LEMARIT DMARC Analyzer ansehen

Weiterführende Inhalte

Was ist DMARC?

DMARC-Report verstehen

SPF-Record erstellen & erklärt

DKIM einrichten & erklärt

SPF vs. DKIM vs. DMARC

E-Mail-Security

LEMARIT DMARC Analyzer