DMARC-Eintrag prüfen

Prüfen Sie den DMARC-Eintrag einer Domain: Hält seine Richtlinie gefälschte E-Mails auf, wohin gehen seine Berichte und nehmen diese Adressen sie an, und wie genau müssen SPF und DKIM zur Absenderadresse (From) passen?

Die DNS-Abfragen gehen direkt von Ihrem Browser an öffentliche Resolver (Cloudflare, Google): Wir sehen nichts.

Was der DMARC-Check prüft

Wo der Eintrag liegt: DMARC liegt unter _dmarc.<domain>. Eine Subdomain ohne eigenen Eintrag erbt den ihrer Organisationsdomain, mit sp= statt p=: Der Check folgt derselben Regel wie die Empfänger.
Die Richtlinie (p): none beobachtet nur, quarantine verschiebt durchgefallene E-Mails in den Spam, reject weist sie ab. Nur quarantine und reject schützen die Domain.
Subdomains (sp) und pct: sp=none lässt alle Subdomains offen, auch wenn die Domain auf reject steht. pct ist seit RFC 9989 (Mai 2026) veraltet, wird aber von manchen Empfängern, die noch RFC 7489 folgen, gelesen, die die Richtlinie dann nur auf einen Teil der E-Mails anwenden; t=y ist der Testmodus, der es ersetzt.
Berichte (rua und ruf): rua= erhält die täglichen aggregierten Berichte, ruf= die Fehlerberichte. Jede Adresse muss mit mailto: beginnen. Ohne rua sehen Sie nicht, wer in Ihrem Namen E-Mails sendet.
Freigabe externer Berichte: Gehen Berichte an eine andere Domain (einen DMARC-Dienst, Ihre Agentur), muss diese <Ihre Domain>._report._dmarc.<deren Domain> veröffentlichen. Der Check fragt das für jede solche Adresse ab.
Alignment und Syntax: adkim und aspf legen fest, wie genau die SPF- und DKIM-Domain zum From passen muss: r (relaxed) akzeptiert eine Subdomain, s (strict) nur die exakte Domain. Ungültige Werte und doppelte Einträge werden gemeldet.

So lesen Sie das Ergebnis

Grün: durchgesetzt: p=quarantine oder p=reject für alle E-Mails, mit Berichten, die ankommen. In Ihrem Namen gefälschte E-Mails landen im Spam oder werden abgewiesen.
Orange: nur Beobachtung: p=none, pct unter 100, sp=none oder Berichte, die nicht zugestellt werden. Nichts ist kaputt, aber gefälschte E-Mails werden weiter zugestellt.
Rot: fehlt oder ungültig: Kein Eintrag, zwei Einträge, eine ungültige Richtlinie oder Berichtsadresse: Empfänger wenden DMARC nicht oder nur teilweise an.
Die Tabelle der Einstellungen: Jedes Tag des Eintrags mit seiner Bedeutung. Ein fehlendes Tag hat seinen Standardwert: adkim=r, aspf=r, t=n, und sp wie p (pct=100 für Empfänger, die noch RFC 7489 folgen).

Häufige DMARC-Fehler und ihre Behebung

Diese Meldungen zeigen andere Tools, Unzustellbarkeitsnachrichten und der Header Authentication-Results, wenn DMARC fehlt, zu schwach ist oder scheitert, mit dem, was zu ändern ist.

`DMARC policy not enabled`

Ursache. Der Eintrag existiert, aber seine Richtlinie ist p=none: Empfänger senden Berichte und stellen gefälschte E-Mails trotzdem zu.

Behebung. Lesen Sie zwei bis vier Wochen lang die aggregierten Berichte, sorgen Sie dafür, dass jeder legitime Absender SPF oder DKIM mit Ihrer Domain besteht, wechseln Sie dann zu p=quarantine und einige Wochen später zu p=reject.

`No DMARC record found`

Ursache. Unter _dmarc.<domain> ist nichts veröffentlicht. Der Eintrag liegt auf der Domain selbst, oder die DNS-Oberfläche hat die Zone doppelt angehängt (_dmarc.beispiel.de.beispiel.de).

Behebung. Legen Sie einen TXT-Eintrag mit dem Namen _dmarc an (die Oberfläche ergänzt die Domain), zum Start mit v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain. Der DMARC-Generator schreibt ihn für Sie.

`550 5.7.26 Unauthenticated email from example.com is not accepted due to domain's DMARC policy`

Ursache. Gmail hat eine Nachricht abgewiesen, die bei einer Domain mit p=reject an DMARC gescheitert ist (bei quarantine landet sie im Spam). War es Ihre eigene E-Mail, ist einer Ihrer Absender nicht aligned, etwa ein Newsletter-Tool, das mit seiner eigenen Domain signiert.

Behebung. Richten Sie DKIM für diesen Dienst mit Ihrer eigenen Domain ein (die CNAME-Einträge, die er Ihnen gibt) oder einen eigenen Return-Path, damit SPF aligned ist. Der DMARC-Berichtsleser zeigt, welche Quellen scheitern.

`550 5.7.509 Access denied, sending domain does not pass DMARC verification and has a DMARC policy of reject`

Ursache. Dieselbe Ablehnung bei Outlook.com und Microsoft 365: Die Nachricht ist an DMARC gescheitert, und die Domain verlangt reject.

Behebung. Bringen Sie den gescheiterten Absender ins Alignment, wie oben. Weiterleitungen und Mailinglisten sind die übliche Ausnahme: Behalten Sie die DKIM-Signatur, damit sie die Weiterleitung übersteht.

`External domains in your DMARC are not giving permission for your reports to be sent to them`

Ursache. rua oder ruf zeigt auf eine Adresse einer anderen Domain, die den Autorisierungseintrag nicht veröffentlicht hat: Empfänger senden nichts dorthin.

Behebung. Bitten Sie den Berichtsdienst, <Ihre Domain>._report._dmarc.<deren Domain> mit v=DMARC1 zu veröffentlichen (die meisten tun das für ihre Kunden), oder verwenden Sie eine Adresse Ihrer eigenen Domain.

`Multiple DMARC records found`

Ursache. Zwei TXT-Einträge unter _dmarc beginnen mit v=DMARC1. Empfänger wenden dann keine DMARC-Richtlinie an, als hätte die Domain keine.

Behebung. Behalten Sie einen einzigen Eintrag, der mit v=DMARC1; und dann p= beginnt, die Tags durch Semikolons getrennt.

`DMARC record does not start with v=DMARC1`

Ursache. Ein TXT-Eintrag unter _dmarc, der nicht mit v=DMARC1 beginnt (Text davor, ein Tippfehler, ein übrig gebliebenes Anführungszeichen), ist kein DMARC-Eintrag: Empfänger überspringen ihn. Ist er der einzige, hat die Domain kein DMARC.

Behebung. Machen Sie v=DMARC1; zu den allerersten Zeichen des Werts, dann p=. Der Check liest nur Einträge, die so beginnen.

Fragen

Welche DMARC-Richtlinie soll ich verwenden?

Beginnen Sie mit p=none und einer rua-Adresse, um zu sehen, wer in Ihrem Namen sendet. Wenn alle legitimen Quellen bestehen, wechseln Sie zu quarantine, dann zu reject. Gmail und Yahoo verlangen seit 2024 von Massenversendern mindestens p=none; erst reject stoppt Spoofing wirklich.

Was bedeutet DMARC-Alignment?

DMARC besteht, wenn SPF oder DKIM für eine Domain besteht, die zur From-Adresse passt. Relaxed Alignment (r, Standard) akzeptiert dieselbe Organisationsdomain, mail.beispiel.de passt also zu beispiel.de; strict (s) verlangt den exakten Namen.

Warum kommen meine DMARC-Berichte nicht an?

Meist aus einem von drei Gründen: kein rua-Tag, eine Adresse ohne mailto: oder eine Adresse einer anderen Domain, die den Autorisierungseintrag nicht veröffentlicht hat. Berichte kommen einmal am Tag und nur von den größeren Empfängern.

Brauchen Subdomains einen eigenen DMARC-Eintrag?

Nein. Eine Subdomain ohne Eintrag folgt dem der Organisationsdomain, mit sp= als Richtlinie. Lassen Sie sp weg (dann gilt p) oder setzen Sie sp=reject, außer eine Subdomain braucht eine eigene Einführung.

Lohnt sich pct noch?

pct wandte die Richtlinie während einer Einführung auf einen Teil der E-Mails an. RFC 9989 (Mai 2026), der RFC 7489 ablöst, streicht es zugunsten eines Test-Flags, t=y. Mit t=y wird die Richtlinie nicht ausgesetzt, sondern eine Stufe niedriger angewendet: reject wie quarantine und quarantine wie none (RFC 9989, Abschnitt 4.7). Empfänger, die noch RFC 7489 folgen, ignorieren t= und wenden die volle Richtlinie an, und manche lesen noch pct. Setzen Sie für einen Versuch t=y und entfernen Sie es, sobald die Berichte sauber sind.