Von p=none zu p=reject — DMARC schrittweise durchsetzen

Die Stufen

1. p=none mit rua — mindestens zwei, besser vier Wochen. Ziel ist eine vollständige Liste aller Systeme, die in deinem Namen senden. Erst wenn in den Reports vier Wochen lang nichts Unbekanntes mit nennenswerten Zahlen mehr auftaucht, ist die Bestandsaufnahme fertig.
2. p=quarantine — zwei Wochen. Fehlgeschlagene Nachrichten landen im Spam-Ordner statt im Nichts. Das ist die Stufe, auf der Fehler noch reparabel sind, weil der Empfänger die Mail findet.
3. p=reject — Dauerzustand. Fehlgeschlagene Nachrichten werden im SMTP-Dialog abgelehnt; der Absender bekommt eine Unzustellbarkeitsmeldung, der Empfänger sieht nichts.

Was vor jeder Stufe erledigt sein muss

• Jeder legitime Absender besteht ausgerichtet. Nicht „SPF pass“ genügt, sondern pass in der Spalte policy_evaluated der Reports. Ein Dienstleister, der mit eigener Domain signiert, besteht SPF und fällt trotzdem durch DMARC.
• Möglichst beide Nachweise stehen. Wer nur SPF hat, verliert bei jeder Weiterleitung. DKIM überlebt sie — die Kombination ist der eigentliche Grund, warum Verschärfen ohne Ausfälle funktioniert.
• Subdomains sind bedacht. sp= legt die Policy für Subdomains fest. Ohne die Angabe erben sie p= — auch die, von denen niemand mehr weiß, dass sie senden.

Der Umgang mit pct

pct= wendet die Policy nur auf einen Anteil der Nachrichten an und wirkt wie ein sanfter Regler. In der Praxis ist er weniger nützlich, als er klingt: Empfänger runden unterschiedlich, manche ignorieren den Wert, und bei kleinen Volumina ist die Stichprobe bedeutungslos. Der Wechsel auf die nächste Stufe für alle Nachrichten, dafür mit kurzer Beobachtung, ist meist der ehrlichere Weg. In der Überarbeitung des DMARC-Standards ist pct zur Abschaffung vorgesehen.

Woran du merkst, dass es zu früh war

Nach jeder Verschärfung gilt zwei Tage lang erhöhte Aufmerksamkeit — so lange dauert es, bis die Reports den neuen Zustand zeigen. Warnzeichen:

• In policy_evaluated steht plötzlich disposition: quarantine bei einer IP, die zu einem bekannten eigenen System gehört.
• Kollegen melden, dass Antworten auf Newsletter oder Ticket-Mails ausbleiben.
• Eine Mailingliste, auf der die Domain schreibt, meldet Zustellprobleme — Listen brechen DKIM regelmäßig, indem sie Betreff oder Fußzeile ändern.

Der Rückweg ist billig: Policy zurücksetzen, TTL abwarten, Ursache beheben, erneut verschärfen. Deshalb lohnt es sich, die TTL des _dmarc-Records vor einer Umstellung auf 300 Sekunden zu senken.

Was danach möglich wird

Eine durchgesetzte Policy ist Voraussetzung für BIMI — das Logo im Posteingang gibt es nur bei quarantine oder reject. Und sie ist der Punkt, ab dem Missbrauch deiner Domain tatsächlich aufhört, statt nur beobachtet zu werden.