DMARC einrichten — von p=none zu p=reject

Voraussetzungen

SPF und DKIM müssen vorher stehen. DMARC allein bewirkt nichts — es wertet nur aus, was die beiden liefern. Wichtiger noch als die Existenz ist das Alignment: Die von SPF geprüfte Envelope-Domain beziehungsweise die von DKIM signierende d=-Domain muss zur Domain im sichtbaren From-Header passen. Genau eines von beiden reicht.

Phase 1 — Record anlegen und beobachten

Starte grundsätzlich mit p=none. Diese Policy verändert nichts an der Zustellung, sorgt aber dafür, dass du Berichte bekommst.

Die wichtigsten Tags:

• v=DMARC1 — muss das erste Tag sein, sonst ist der Record ungültig
• p= — die Policy: none, quarantine oder reject
• rua= — Adresse für die täglichen Aggregate-Reports. Ohne dieses Tag fliegst du blind
• sp= — eigene Policy für Subdomains. Fehlt sie, gilt p= auch dort
• adkim= / aspf= — Alignment-Modus, r (relaxed, Standard) oder s (strict)
• pct= — Anteil der Nachrichten, auf die die Policy angewendet wird
• ruf= — Forensic-Reports. Aus Datenschutzgründen liefern die meisten Provider sie ohnehin nicht

Phase 2 — Reports auswerten

Nach ein bis zwei Tagen treffen die ersten Aggregate-Reports ein: XML-Dateien mit einer Übersicht, welche IPs mit deiner Domain gesendet haben und wie SPF und DKIM ausgefallen sind. Hier findest du die Systeme, an die niemand mehr gedacht hat — Monitoring-Skripte, das Rechnungsprogramm, ein altes Kontaktformular.

Zwei bis vier Wochen beobachten. Ziel ist, dass jeder legitime Absender entweder SPF- oder DKIM-Alignment erreicht. Nichts verschärfen, solange noch legitime Quellen fehlschlagen.

Zeigt rua auf eine fremde Domain, muss diese die Annahme autorisieren — sonst schicken korrekt arbeitende Empfänger keine Reports:

Phase 3 — auf quarantine verschärfen

Nicht authentifizierte Nachrichten landen jetzt im Spam-Ordner. Wer vorsichtig vorgehen will, nutzt pct=25 und erhöht schrittweise. Wieder zwei bis vier Wochen beobachten.

Phase 4 — p=reject

Erst hier entsteht echter Schutz: Nachrichten, die vorgeben von deiner Domain zu stammen und es nicht belegen können, werden abgelehnt. Alles darunter ist Beobachtung, keine Abwehr.

Strict Alignment (adkim=s, aspf=s) erst am Ende aktivieren und nur, wenn alle Systeme mit exakt der Hauptdomain arbeiten. Bei Subdomain-Nutzung im Envelope-From bricht aspf=s die Zustellung.

Auch für Domains ohne Mailversand

Domains, die gar keine E-Mails versenden, sind besonders beliebte Spoofing-Ziele — es gibt ja keine Reports, die auffallen würden. Für solche Domains setzt du die strengste Policy sofort, ohne Beobachtungsphase:

Häufige Fehler

• Dauerhaft bei p=none bleiben. Der mit Abstand häufigste Zustand — und er schützt vor nichts.
• pct=0 — sieht nach Policy aus, wirkt auf keine einzige Nachricht.
• sp=none bei strengem p= — öffnet Angreifern sämtliche Subdomains.
• rua auf ein Postfach, das niemand liest. Aggregate-Reports sind XML; nutze ein Auswertungstool oder eine dafür vorgesehene Adresse.
• Zu früh auf reject, bevor alle Versandsysteme erfasst sind. Der sichere Weg führt über die Reports.

Testen

Sende eine E-Mail an hello@analyzemy.email. Der Report zeigt Policy-Stärke, Alignment, alle Audit-Findings und prüft für externe Report-Ziele die Autorisierung real im DNS nach.