DMARC einrichten 2026: in 5 Schritten bis p=reject

Gefälschte Rechnungen mit Ihrer echten Absenderadresse sind ein Klassiker beim Rechnungsbetrug. Ohne DMARC kann jeder Server der Welt Mails mit Ihrer Domain verschicken, und viele Empfänger stellen sie trotzdem zu. Wer jetzt hastig p=reject setzt, blockiert dafür womöglich die eigenen Rechnungen aus dem ERP oder den Newsletter-Dienst. So lässt sich DMARC einrichten, ohne legitime Mails zu verlieren: SPF und DKIM für alle Dienste setzen, mit p=none starten. Erst nach sauberen Berichten folgt p=reject. Die passenden Werkzeuge finden Sie in unserer Kategorie E-Mail-Security für Unternehmen.

Was DMARC, SPF und DKIM jeweils prüfen

SPF (Sender Policy Framework) legt fest, welche Server für Ihre Domain senden dürfen. DKIM (DomainKeys Identified Mail) signiert jede Mail kryptografisch. DMARC verknüpft beide mit der sichtbaren Absenderadresse im From-Feld und sagt dem Empfänger, was bei einem Fehlschlag passieren soll.

Entscheidend ist die Ausrichtung, englisch Alignment. Eine Mail besteht DMARC nur, wenn SPF oder DKIM für genau die Domain gültig ist, die im From-Feld steht. Ein Newsletter-Dienst, der mit seiner eigenen Domain signiert, besteht DKIM zwar, aber nicht DMARC.

Seit Mai 2026 beschreibt RFC 9989 DMARC als Standard der IETF und löst RFC 7489 ab, der nur informativ war.

Wie richte ich DMARC für meine Firmendomain ein?

Sie erfassen als Erstes alle Dienste, die in Ihrem Namen senden, und richten für jeden SPF und DKIM mit Ihrer Domain ein. Danach veröffentlichen Sie einen DMARC-Eintrag mit p=none und einer Berichtsadresse. Erst wenn die Berichte wochenlang sauber sind, schalten Sie über p=quarantine auf p=reject um.

Die fünf Schritte im Überblick:

1. Alle Absender der Domain erfassen
2. SPF-Eintrag bereinigen und vervollständigen
3. DKIM für jeden Dienst mit eigener Domain aktivieren
4. DMARC mit p=none veröffentlichen und Berichte auswerten
5. Schrittweise auf p=quarantine und p=reject umstellen

Schritt 1 bis 3: Absender erfassen, SPF und DKIM sauber setzen

Die meisten Probleme entstehen nicht im DNS, sondern bei vergessenen Absendern. Typisch sind neben Microsoft 365 oder Google Workspace auch Newsletter-Tools, Ticketsystem, Buchhaltung, Scanner, Webshop und Bewerbermanagement. Fragen Sie jede Fachabteilung, welche Systeme Mails mit der Firmendomain verschicken.

Beim SPF-Eintrag gilt eine harte Grenze: RFC 7208 erlaubt höchstens 10 DNS-Abfragen pro Prüfung. Jedes include, a, mx, exists oder redirect zählt mit, ip4, ip6 und all nicht. Verschachtelte Einträge der Dienste zählen ebenfalls. Wird die Grenze überschritten, liefert SPF den Fehler permerror und gilt als nicht bestanden. DMARC hängt dann allein an DKIM. Entfernen Sie deshalb Altlasten früherer Anbieter, bevor Sie neue hinzufügen.

Für DKIM erzeugt jeder Dienst ein eigenes Schlüsselpaar unter einem Selector, einem frei gewählten Namen wie s1. RFC 8301 verlangt mindestens 1.024 Bit und empfiehlt 2.048 Bit. Achten Sie darauf, dass der Dienst mit Ihrer Domain signiert, nicht mit seiner eigenen.

Schritt 4: DMARC mit p=none starten und Berichte lesen

Der erste Eintrag beobachtet nur. Er ändert nichts an der Zustellung, liefert aber Berichte. Ein Beispiel für die Domain beispiel.de:

_dmarc.beispiel.de  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@beispiel.de"

Beim DNS-Anbieter tragen Sie als Host meist nur _dmarc ein, als Typ TXT und als Wert den Text zwischen den Anführungszeichen. Das Postfach unter rua muss existieren.

Über rua schicken große Empfänger wie Google, Microsoft oder Web.de täglich Sammelberichte im XML-Format. Sie zeigen, welche IP-Adressen in Ihrem Namen gesendet haben und ob SPF und DKIM ausgerichtet waren. Ein Postfach mit diesen Dateien ist ohne Auswertungswerkzeug kaum lesbar. Schon bei wenigen Diensten kommen Dutzende Berichte pro Woche zusammen.

Hier hilft ein Auswertungsdienst. Der Sophos DMARC Manager verwaltet laut Produktbeschreibung SPF, DKIM, DMARC, BIMI (Firmenlogo im Posteingang) und MTA-STS (erzwungene Verschlüsselung beim Transport) in Sophos Central. Ein Dashboard zeigt alle Absender Ihrer Domain. Er ist bei uns ab 11,51 € netto erhältlich (Stand 06.11.2026, Preis je nach Lizenzmenge und Laufzeit). Wer zusätzlich einen Filter für eingehende Mails sucht: Barracuda Email Protection Advanced enthält laut Hersteller in allen Plänen DMARC-Reporting.

Schritt 5: Von p=quarantine zu p=reject ohne Zustellausfall

Stellen Sie erst um, wenn alle legitimen Quellen in den Berichten ausgerichtet bestehen. Eine feste Frist nennt RFC 9989 nicht. Für Domains mit normalen Nutzern empfiehlt er aber mindestens einen Monat p=none und danach ebenso lange p=quarantine. Vor p=reject muss jeder Dienst mit Ihrer Domain per DKIM signieren, SPF allein reicht nicht. Wird die Jahresabrechnung nur einmal im Jahr verschickt, braucht die Auswertung entsprechend länger.

Bisher wurde der Übergang oft mit pct=10 gestaffelt, also der Richtlinie für einen Teil der Mails. RFC 9989 führt pct nur noch als historisch. Stattdessen gibt es das Tag t=y für einen Testmodus. Empfänger, die RFC 9989 umsetzen, wenden bei p=quarantine; t=y eine Stufe milder an, also none. Wer noch nach RFC 7489 arbeitet, ignoriert das unbekannte Tag und wendet quarantine voll an. Setzen Sie t=y deshalb erst, wenn die Berichte unter p=none sauber sind. So sieht ein sinnvoller Ablauf aus:

• p=quarantine; t=y setzen und weiter Berichte prüfen
• t=y entfernen, verdächtige Mails landen jetzt im Spam
• p=reject setzen, Fälschungen werden abgewiesen
• Subdomains mit sp= (Richtlinie für Subdomains) gesondert regeln, falls dort andere Dienste senden

Die Endstufe sieht dann zum Beispiel so aus:

_dmarc.beispiel.de  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc-berichte@beispiel.de"

Zwei Sonderfälle sollten Sie kennen. Mailinglisten, die Betreff oder Text verändern, brechen die DKIM-Signatur. Weiterleitungen über fremde Server brechen SPF. Die meisten dieser Fälle zeigen die Berichte, bevor p=reject greift. Eine Ausnahme: Endet SPF mit -all, lehnen manche Empfänger schon vor der DMARC-Prüfung ab, und diese Mails fehlen im Bericht. Bis zur Umstellung ist ~all deshalb die sicherere Wahl.

Was Google und Microsoft von Absendern verlangen

Google verlangt seit dem 1. Februar 2024 von allen Absendern an Gmail-Konten SPF oder DKIM. Wer mehr als 5.000 Mails pro Tag sendet, braucht laut den Google-Absenderrichtlinien zusätzlich SPF und DKIM, einen DMARC-Eintrag und eine ausgerichtete From-Domain. Mindestrichtlinie ist p=none. Seit November 2025 kann Gmail Mails, die die Regeln verletzen, verzögern oder ablehnen.

Microsoft fordert für Outlook.com, Hotmail.com und Live.com dasselbe Niveau für Domains ab 5.000 Mails pro Tag. Mails ohne diese Einträge sortierte Microsoft ab dem 5. Mai 2025 zunächst in den Junk-Ordner. Heute beschreibt Microsoft die Abweisung mit dem Fehlercode 550 5.7.515. Auch unterhalb dieser Schwelle schützt ein sauberer DMARC-Eintrag vor Missbrauch und hilft, dass Ihre Mails im Posteingang landen.

Häufige Fragen zu DMARC einrichten

Ist DMARC für Unternehmen Pflicht?

Eine allgemeine gesetzliche Pflicht gibt es nicht. Google und Microsoft verlangen DMARC von Absendern mit mehr als 5.000 Mails pro Tag. Die BSI-Richtlinie TR-03182 „E-Mail-Authentifizierung“ beschreibt prüfbare Anforderungen für Betreiber von E-Mail-Diensten.

Wie lange braucht der Weg von p=none zu p=reject?

Das hängt von der Zahl Ihrer Absender ab. Mit wenigen Diensten sind zwei bis drei Monate realistisch, bei vielen Fachanwendungen eher länger.

Schützt DMARC vor CEO-Fraud und Business Email Compromise?

Nur teilweise. DMARC verhindert Mails mit exakt Ihrer Domain, nicht mit ähnlich geschriebenen Domains oder aus übernommenen Postfächern. Mehr dazu im Ratgeber zu Business Email Compromise.

Brauchen Domains ohne E-Mail-Versand einen DMARC-Eintrag?

Ja, gerade diese Domains werden gern missbraucht. Üblich sind v=spf1 -all als SPF-Eintrag und v=DMARC1; p=reject als DMARC-Eintrag, damit niemand in ihrem Namen senden kann. Dazu kommt ein Null-MX-Eintrag (MX 0 ., RFC 7505), der zeigt, dass die Domain keine Mails annimmt.

Was ändert RFC 9989 an bestehenden DMARC-Einträgen?

Bestehende Einträge mit v=DMARC1 funktionieren weiter. Das Tag pct gilt als historisch, neu ist t=y für den Testmodus. Die Organisationsdomain wird per DNS-Abfrage ermittelt statt über eine öffentliche Liste aller Domainendungen (Public Suffix List).

Fazit: Erst beobachten, dann durchsetzen

DMARC einrichten ist kein einzelner DNS-Eintrag, sondern ein Projekt über mehrere Wochen. Wer mit p=none beginnt und die Berichte ernst nimmt, kommt ohne Zustellausfälle bei p=reject an. DMARC schützt Ihre Domain nach außen, für eingehende Mails braucht es zusätzlich einen Filter wie Sophos Email Plus. Wie beides gegen CEO-Betrug zusammenspielt, zeigt unser Ratgeber Sophos Email Security gegen BEC. Weitere Lösungen zeigt unsere Sophos-Herstellerseite, Hintergründe der Ratgeber E-Mail-Sicherheit im Unternehmen.

Welche Dienste versenden bei Ihnen heute Mails mit der Firmendomain? Unser Produktberater hilft bei der Auswahl, für Fragen zu Ihrer Umgebung erreichen Sie uns über die Kontaktseite.