Was ist DMARC?
DMARC setzt auf zwei ältere Verfahren auf. `SPF` legt fest, welche Server für deine Domain versenden dürfen, `DKIM` signiert die Nachricht kryptografisch. Beide sagen für sich genommen nichts darüber, was ein Empfänger tun soll, wenn die Prüfung scheitert. Genau das ergänzt DMARC, und es fügt eine zweite Bedingung hinzu: Die Domain in der sichtbaren Absenderzeile muss zu der Domain passen, die SPF oder DKIM bestätigt hat. Diese Ausrichtung ist der Grund, warum eine formal gültige Signatur trotzdem durchfallen kann.
Der Eintrag kennt drei Stufen. `p=none` heißt melden und sonst nichts, `p=quarantine` schickt auffällige Nachrichten in den Spam-Ordner, `p=reject` lässt sie gar nicht erst annehmen. Wichtig für die Praxis: Die Anforderungen der großen Postfachanbieter sind bereits mit `p=none` erfüllt, geschützt ist damit aber niemand. Zwei weitere Bausteine entscheiden mit: Die Adresse hinter `rua` bekommt die täglichen Sammelberichte, und `sp` setzt eine eigene Stufe für Subdomains - wichtig, weil Versanddienste meist über eine Subdomain zustellen.
Die Reihenfolge in der Einführung ist entscheidend, und sie wird oft übersprungen. Zuerst den Eintrag mit `p=none` und einer `rua`-Adresse veröffentlichen, dann vier Wochen lang die Berichte lesen und alle Dienste finden, die in deinem Namen senden: Versandtool, Buchhaltung, Terminsystem, Ticketsystem, das Kontaktformular der Website. Erst wenn diese Liste vollständig ist und alle Dienste sauber signieren, geht der Sprung auf `quarantine` ohne Kollateralschaden. Wer sofort auf `reject` stellt, stoppt zuverlässig auch die eigenen Rechnungsmails.
Warum ist DMARC wichtig?
Seit dem 1. Februar 2024 verlangt Google einen DMARC-Eintrag von jedem Absender ab 5.000 Nachrichten am Tag an private Gmail-Konten, Microsoft zog am 5. Mai 2025 für outlook.com, hotmail.com und live.com nach und weist nicht konforme Nachrichten inzwischen mit einem eigenen Fehlercode ab. Wie weit Erfüllung und Wirkung auseinanderliegen, zeigt eine eigene DNS-Abfrage der 20 ATX-Domains vom 15. August 2026: 18 veröffentlichen einen Eintrag, aber nur 10 stehen auf einer Stufe, die den Empfänger überhaupt zu etwas anweist.
DMARC in der Praxis
- 01Eine Agentur veröffentlicht `p=none` mit einer Sammeladresse, liest vier Wochen Berichte und entdeckt dabei ein altes Buchhaltungswerkzeug, das seit Jahren unsigniert in ihrem Namen Rechnungen verschickt.
- 02Ein Betrieb steht auf `p=reject`, verschickt den Newsletter aber über `news.betrieb.at`. Weil kein `sp` gesetzt ist, erbt die Subdomain die strenge Stufe, und ein falsch konfigurierter Versanddienst führt sofort zu Ablehnungen statt zu einer Warnung.
- 03Ein Betrüger verschickt Rechnungen mit der Absenderadresse eines Lieferanten. Steht dessen Domain auf `quarantine` oder `reject`, sortiert der Empfänger diese Nachrichten aus, ohne dass jemand eingreifen muss.
