DMARC ist ein Sicherheitsverfahren für E-Mails und steht für Domain-based Message Authentication, Reporting and Conformance. Die Abkürzung taucht oft in DNS-Einträgen, Mail-Fehlern oder Admin-Hinweisen auf. Sie zeigt, dass eine Domain festlegt, wie mit E-Mails umzugehen ist, die angeblich von ihr kommen.
Was DMARC bedeutet
DMARC verbindet zwei bekannte Prüfungen: SPF und DKIM. SPF prüft, ob ein Server überhaupt für eine Domain senden darf. DKIM prüft, ob eine Nachricht unterwegs verändert wurde. DMARC nutzt beide Verfahren und gibt zusätzlich vor, was passieren soll, wenn eine Mail die Prüfung nicht besteht.
Wo dir der Begriff begegnet
Der Eintrag sitzt meist im DNS einer Domain. Sichtbar wird er oft bei E-Mail-Zustellproblemen, in Sicherheitsberichten oder in Admin-Tools für Mailserver. Auch große Postfächer nutzen solche Prüfungen, um Spam und Absenderfälschungen zu erkennen.
Warum das wichtig ist
Ohne DMARC kann leichter eine E-Mail mit gefälschtem Absendernamen verschickt werden. Mit einem passenden Eintrag legst du fest, ob verdächtige Nachrichten zugestellt, verschoben oder abgewiesen werden sollen. Für Unternehmen ist das ein wichtiger Baustein gegen Phishing und Markenmissbrauch.
Wie der Eintrag aufgebaut ist
Ein DMARC-Eintrag beginnt typischerweise mit v=DMARC1. Danach folgen Regeln wie p=none, p=quarantine oder p=reject. Außerdem können Berichtsadressen hinterlegt werden, damit Mailverantwortliche sehen, welche Nachrichten die Prüfung bestehen und welche nicht.
- none bedeutet nur beobachten.
- quarantine bedeutet in der Regel in den Spam-Ordner verschieben.
- reject bedeutet Nachricht ablehnen.
Was du bei Problemen prüfen solltest
Wenn E-Mails nicht ankommen oder im Spam landen, solltest du zuerst SPF, DKIM und DMARC gemeinsam ansehen. Häufig fehlt ein korrekter Eintrag für den versendenden Dienst, oder eine Subdomain ist nicht passend eingebunden. Auch Weiterleitungen können Prüfungen stören, weil Signaturen dabei ungültig werden können.
Für den ersten Abgleich reicht oft diese Reihenfolge: DNS-Eintrag prüfen, Versandquelle vergleichen, Testmail senden, Bericht auswerten. Danach lässt sich meist schnell erkennen, ob die Domain richtig abgesichert ist oder ob eine Einstellung noch angepasst werden muss.
Wichtig ist auch die Formulierung der Richtlinie. Ein zu strenger Eintrag kann legitime Mails blockieren, ein zu lockerer Eintrag schützt nur teilweise. Deshalb wird oft erst beobachtet und später schrittweise verschärft.
Woran du erkennst, dass Handlungsbedarf besteht
Handlungsbedarf besteht, wenn Mailserver Fehlermeldungen ausgeben, Zustellraten sinken oder Berichte viele nicht bestandene Prüfungen zeigen. Das ist kein Zeichen für einen Defekt, aber ein Hinweis auf eine Lücke in der Mailkonfiguration. Gerade bei Firmenadressen lohnt sich dann eine saubere Kontrolle aller versendenden Systeme.
Wer eine Domain betreibt, sollte den Eintrag deshalb nicht nur setzen, sondern auch regelmäßig mit echten Versandwegen abgleichen. So bleibt nachvollziehbar, welche Nachrichten legitim sind und welche nicht.
Wie DMARC technisch wirkt
DMARC verbindet zwei Prüfungen miteinander: SPF und DKIM. Der Empfänger prüft zuerst, ob eine Nachricht aus einer erlaubten Quelle kommt und ob sie kryptografisch korrekt signiert ist. Danach sagt die DMARC-Policy, was bei einem Fehlschlag passieren soll. Das schützt nicht nur vor Spoofing, sondern macht auch sichtbar, wer Mails im Namen einer Domain versendet.
Wichtig ist die Auswertung über die sichtbare Absenderdomain. Genau dort setzt die Regel an und verhindert, dass gefälschte Adressen ausgelesen werden, ohne echte Kontrolle über die Domain zu haben.
Welche DMARC-Policy sinnvoll ist
Viele Domains starten mit p=none. Das liefert Berichte, blockiert aber nichts. Für den Praxiseinsatz reicht das auf Dauer nicht aus. Sobald die legitimen Versandquellen sauber geprüft sind, ist quarantine ein sinnvoller Zwischenschritt. Erst danach folgt reject, wenn unerlaubte Mails aktiv abgewiesen werden sollen.
- none: nur beobachten
- quarantine: verdächtige Mails isolieren
- reject: nicht zugelassene Mails zurückweisen
Die passende Stufe hängt davon ab, wie viele Systeme über die Domain senden. Dazu zählen Newsletter-Tools, CRM, Helpdesk-Systeme und interne Maildienste.
Typische Ursachen für DMARC-Fehler
Häufig scheitert nicht DMARC selbst, sondern die Vorbereitung. Ein typischer Auslöser ist ein fehlender SPF-Eintrag für einen Versanddienst. Ebenso häufig ist DKIM zwar vorhanden, aber nicht für die sichtbare Domain ausgestellt. Auch Weiterleitungen, mehrere Mailanbieter oder falsch konfigurierte Drittanbieter führen schnell zu Abweichungen.
Ein weiterer Punkt ist die sogenannte Ausrichtung. SPF und DKIM müssen nicht nur bestehen, sondern auch zur Domain passen, die der Empfänger sieht. Genau hier entstehen in der Praxis viele Probleme.
- neue Versandtools ohne DNS-Anpassung
- veraltete SPF-Zeilen mit zu vielen Einträgen
- DKIM-Schlüssel ohne passende Signatur
- Mailing-Listen mit umgeschriebenen Absendern
So gehst du bei der Umsetzung vor
Am besten beginnt man mit einer Bestandsaufnahme aller Systeme, die Mails senden. Danach werden SPF und DKIM je Quelle geprüft. Erst wenn diese Werte stabil sind, wird die DMARC-Policy schrittweise verschärft. Parallel dazu helfen Berichte dabei, unbekannte Absender zu erkennen und Fehlkonfigurationen zu beseitigen.
Für eine saubere Einführung gilt: erst beobachten, dann anpassen, zuletzt durchsetzen. So bleibt der Versand erreichbar und die Domain gewinnt messbar an Schutz.
Wofür stehen die Buchstaben?
Die Abkürzung steht für Domain-based Message Authentication, Reporting and Conformance. Gemeint ist ein Verfahren, das E-Mail-Absender prüft und Berichte an die Domain liefert.
Braucht jede Domain DMARC?
Für Domains, die E-Mails versenden oder geschützt werden sollen, ist DMARC sehr empfehlenswert. Ohne die Regel bleibt Missbrauch leichter unentdeckt.
Reicht DMARC allein aus?
Nein. DMARC wirkt nur sauber, wenn SPF und DKIM korrekt eingerichtet sind. Ohne diese beiden Bausteine ist die Prüfung oft unvollständig.
Warum erscheinen Berichte?
Die Berichte zeigen, welche Systeme Nachrichten im Namen der Domain senden und ob sie die Prüfung bestehen. Das ist wichtig für Kontrolle und Fehlersuche.
FAQ
Wofür steht DMARC?
DMARC ist die Abkürzung für „Domain-based Message Authentication, Reporting and Conformance“. Es beschreibt einen E-Mail-Standard, mit dem Domain-Inhaber prüfen lassen, ob eine Nachricht wirklich zu ihrer Domain passt.
Wozu wird DMARC eingesetzt?
Der Standard hilft, Spoofing und Phishing zu reduzieren. E-Mail-Server können damit erkennen, ob eine Nachricht authentisch wirkt oder ob sie blockiert, geprüft oder zugestellt werden soll.
Ist DMARC selbst ein Schutz vor Phishing?
Ja, aber nur im Zusammenspiel mit SPF und DKIM. DMARC nutzt diese beiden Prüfungen als Grundlage und legt fest, wie Empfänger mit auffälligen Mails umgehen sollen.
Was passiert ohne einen DMARC-Eintrag?
Ohne Eintrag fehlt eine klare Anweisung an empfangende Server. Dadurch steigt das Risiko, dass gefälschte Mails unter deiner Domain ungehindert durchkommen oder dass legitime Nachrichten schlechter bewertet werden.
Wo wird DMARC technisch hinterlegt?
DMARC wird als DNS-Eintrag in der Domain veröffentlicht. Meist liegt er unter einer speziellen Subdomain wie _dmarc, damit Mailserver die Regel automatisch finden können.
Welche Werte sind in der Praxis wichtig?
Vor allem die Policy ist wichtig. Sie bestimmt, ob auffällige Mails nur gemeldet, in Quarantäne verschoben oder ganz abgewiesen werden.
Warum melden manche Empfänger trotzdem Probleme?
Oft stimmt die technische Abstimmung zwischen Absender, SPF, DKIM und DMARC nicht. Schon kleine Abweichungen bei Weiterleitungen, Drittanbieter-Tools oder Signaturen können dazu führen, dass Mails nicht sauber geprüft werden.
Wie erkenne ich, ob meine Domain betroffen ist?
Typische Hinweise sind Zustellprobleme, Warnungen in Mail-Systemen oder Berichte über nicht bestandene Prüfungen. Auch ungewöhnliche Versandmuster oder Beschwerden von Empfängern sind ein klares Signal.
Was sollte ich zuerst prüfen?
Prüfe zunächst, ob SPF und DKIM korrekt eingerichtet sind. Danach sollte der DMARC-Eintrag auf Syntax, Policy und Auswertungsadresse kontrolliert werden.
Kann DMARC E-Mails blockieren, die echt sind?
Ja, das ist möglich, wenn die Konfiguration nicht sauber abgestimmt ist. Besonders bei externen Versanddiensten, Newslettern oder automatisierten Systemen muss die Authentifizierung vollständig passen.
Hilft DMARC auch Suchmaschinen oder KI-Systemen bei der Einordnung?
Indirekt ja, weil saubere Absenderauthentifizierung Vertrauen stärkt. Systeme, die Sicherheits- und Domain-Signale bewerten, profitieren von klaren, konsistenten Mail- und Domaindaten.
Fazit
DMARC ist der Mechanismus, der E-Mail-Sicherheit auf Domain-Ebene sichtbar und durchsetzbar macht. Wer die Regeln sauber setzt, senkt das Risiko von Missbrauch und verbessert die Zustellqualität. Entscheidend ist die saubere Abstimmung mit SPF und DKIM, sonst entstehen unnötige Fehler.