DMARC einführen: von p=none zu p=reject — ohne Mail-Verlust

DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein DNS-basiertes Protokoll, das festlegt, wie empfangende Mailserver mit E-Mails umgehen sollen, die vorgeben, von Ihrer Domain zu stammen, aber die Authentifizierung nicht bestehen. Es baut auf zwei älteren Verfahren auf — SPF und DKIM — und fügt zwei entscheidende Dinge hinzu: eine durchsetzbare Richtlinie und ein Reporting, das zeigt, wer in Ihrem Namen sendet.

Ohne DMARC ist der sichtbare Absender einer E-Mail (der From:-Header) ein frei beschreibbares Textfeld. Jeder Server der Welt kann eine Mail verschicken, die aussieht, als käme sie von rechnung@ihre-firma.ch. DMARC schliesst genau diese Lücke — aber nur, wenn es auf einer durchsetzenden Policy steht.

Die drei Bausteine: SPF, DKIM und DMARC

DMARC funktioniert nicht allein. Es ist die Klammer über zwei darunterliegenden Verfahren:

SPF — wer darf senden?

SPF veröffentlicht per DNS-TXT-Record eine Liste der Server, die im Namen Ihrer Domain senden dürfen. Der empfangende Server prüft die einliefernde IP gegen diese Liste. Die häufigste Fehlerquelle: das 10-Lookup-Limit. Zu viele include:-Einträge und der Record wird ungültig (PermError).

DKIM — ist die Mail unverändert?

DKIM versieht jede Mail mit einer kryptografischen Signatur. Der öffentliche Schlüssel liegt im DNS unter einem Selektor. Anders als SPF überlebt DKIM die Weiterleitung — ein wichtiger Vorteil.

DMARC — was tun bei Nichtbestehen?

DMARC verlangt zusätzlich Alignment: Die in SPF oder DKIM geprüfte Domain muss zur sichtbaren From:-Domain passen. Erst dieser Abgleich macht Spoofing unmöglich. Die Policy (p=) sagt dem Empfänger, was bei Nichtbestehen zu tun ist.

Warum p=none nichts schützt

Die grosse Mehrheit der Domains mit DMARC steht auf p=none — dem Beobachtungsmodus. Das ist der richtige Start, aber als Dauerzustand eine Scheinsicherheit: p=none weist Google an, Fälschungen trotzdem zuzustellen. Der Schutz beginnt erst bei p=quarantine (Spam-Ordner) und ist bei p=reject (Abweisung) vollständig.

Hinzu kommt: BIMI — Ihr Markenlogo im Posteingang — funktioniert ausschliesslich mit durchsetzender Policy. Wer auf p=none stehen bleibt, verzichtet sowohl auf den Schutz als auch auf den Marketing-Nutzen. Mehr dazu im BIMI-Leitfaden.

In 8 Schritten zu p=reject

Der Weg zur Durchsetzung ist kein Schalter, sondern ein datengetriebener Stufenplan. Jeder Übergang folgt Messwerten, nicht Mut:

Die häufigsten Fehler

• Zu früh auf reject: Ohne vollständiges Quellen-Inventar verschwinden legitime Mails. Immer erst die Daten, dann die Eskalation.
• SPF-Lookup-Limit ignoriert: Ein SPF-Record mit mehr als 10 DNS-Lookups fällt in PermError — SPF gilt dann als nicht bestanden.
• Nur SPF, kein DKIM: SPF bricht bei Weiterleitungen. Ohne DKIM scheitern weitergeleitete Mails am Alignment.
• Subdomains vergessen: Ohne sp=-Policy erben Subdomains die Hauptrichtlinie nicht immer wie erwartet.
• Reports niemand liest: Ein Tool zu abonnieren reicht nicht — die Reports müssen interpretiert und in Änderungen übersetzt werden.

DMARC-Reports richtig lesen

Es gibt zwei Report-Typen. RUA (Aggregate) sind tägliche XML-Zusammenfassungen aller Sendequellen mit Auth-Ergebnis — die Arbeitsgrundlage jeder Migration. RUF (Forensic) sind Einzelmeldungen fehlgeschlagener Mails; sie werden aus Datenschutzgründen von immer weniger Providern verschickt.

Die entscheidende Kennzahl ist die Alignment-Quote je Quelle: Welcher Anteil der Mails einer Quelle besteht DMARC? Liegt eine legitime Quelle dauerhaft unter 100 %, fehlt dort noch SPF-Include oder DKIM-Signatur. Fail-Volumen von unbekannten Quellen wiederum ist Ihr Missbrauchs-Indikator.

Selbst machen oder verwalten lassen?

Das Wissen aus diesem Leitfaden reicht, um DMARC selbst einzuführen. Woran Projekte in der Praxis scheitern, ist selten das Wissen — es ist die Kapazität: Reports Woche für Woche interpretieren, 15–30 Versandquellen ausrichten, Fachabteilungen koordinieren, und den Mut zur Eskalation datenbasiert absichern.

Genau dieses Arbeitspaket übernimmt Managed DMARC von Sentrust schlüsselfertig — mit Zustellbarkeits-Garantie während der gesamten Migration und dokumentierten Changes, bei denen Sie die Zonenhoheit behalten. Wie das für verschiedene Rollen aussieht, zeigen die Seiten für IT & Sicherheit und Geschäftsleitung.

Vertiefen & weiterlesen

Dieser Leitfaden bündelt die wichtigsten Bausteine des Themas. Vertiefen Sie einzelne Begriffe im Fachglossar oder sehen Sie sich den passenden Managed Service an:

Häufige Fragen