Was ist DMARC? Einfach erklärt

DMARC ist eine Einstellung für Ihren Domainnamen, die Empfängern mitteilt, was sie mit E-Mails tun sollen, die angeblich von Ihrer Domain stammen, aber nicht wirklich von Ihnen kommen. Es schützt Sie und die Menschen, denen Sie schreiben, vor gefälschten E-Mails in Ihrem Namen (Spoofing und Phishing) und sorgt dafür, dass Ihre echten E-Mails zuverlässiger ankommen.

Kurz zusammengefasst

• DMARC ist ein TXT-Record im DNS Ihrer Domain mit dem Namen _dmarc.
• Es baut auf zwei weiteren Prüfungen auf: SPF (welche Server im Namen Ihrer Domain E-Mails versenden dürfen) und DKIM (eine digitale Signatur auf jeder E-Mail).
• Im DMARC-Record wählen Sie eine Richtlinie: nichts tun, in den Spam verschieben oder ablehnen.
• Große E-Mail-Anbieter wie Gmail, Outlook und Yahoo erwarten heute einen DMARC-Record. Ohne DMARC landen Ihre E-Mails häufiger im Spam.

Warum ist DMARC nötig?

Jeder kann eine E-Mail mit einem Absender versenden, der wie Ihre Adresse aussieht, zum Beispiel info@ihredomain.nl. Der Empfänger erkennt dann nicht sofort, dass es sich um eine Fälschung handelt. Betrüger nutzen das, um Rechnungen zu fälschen oder Passwörter zu stehlen. Mit DMARC zeigen Sie, welche E-Mails wirklich von Ihnen stammen, und bitten den Empfänger, gefälschte E-Mails abzulehnen oder in den Spam zu verschieben.

Wie funktioniert es?

Geht eine E-Mail mit Ihrer Domain als Absender ein, prüft der empfangende Mailserver drei Dinge:

1. SPF: Wurde die E-Mail von einem Server versendet, der im SPF-Record Ihrer Domain steht?
2. DKIM: Stimmt die digitale Signatur, die Ihr Mailserver der E-Mail mitgegeben hat?
3. DMARC: Gehört die bestandene SPF- oder DKIM-Prüfung auch wirklich zur Domain in der Absenderadresse? Wenn ja, ist die E-Mail in Ordnung. Wenn nein, folgt der Empfänger der Richtlinie aus Ihrem DMARC-Record.

Wie sieht ein DMARC-Record aus?

Ein DMARC-Record ist ein TXT-Record auf _dmarc.ihredomain.nl, zum Beispiel:

v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.nl

Unsere Empfehlung: Schritt für Schritt strenger

• Läuft Ihr gesamter E-Mail-Verkehr über WebOké? Dann ist bei Ihrem Hostingpaket bereits ein DMARC-Record mit p=reject eingerichtet, und SPF und DKIM stimmen automatisch. Das können Sie so belassen.
• Versenden Sie E-Mails auch über andere Dienste, etwa Microsoft 365, Google Workspace, einen Newsletter-Dienst oder Ihre Buchhaltungssoftware, oder erstellen Sie selbst einen neuen DMARC-Record? Dann beginnen Sie mit p=none und einer Berichtsadresse. Prüfen Sie einige Wochen lang anhand der Berichte, ob alle Ihre eigenen E-Mails die Prüfung bestehen. Wechseln Sie danach zu p=quarantine und, wenn das gut funktioniert, zu p=reject.

Im Jahr 2026 wurde der DMARC-Standard erneuert (RFC 9989). Ihr bestehender Record funktioniert weiterhin. Der Bestandteil pct= (ein Prozentsatz) entfällt im neuen Standard: Verwenden Sie ihn nicht oder belassen Sie ihn bei 100.

Wie DMARC genau funktioniert und wie Sie die Berichte lesen, erfahren Sie in der Lektion DMARC: Was Empfänger mit gefälschten E-Mails tun sollen des kostenlosen DNS-Kurses.

Schritt für Schritt loslegen

1. Sorgen Sie dafür, dass SPF stimmt. Versenden Sie E-Mails auch über einen anderen Dienst, etwa ein Newsletter-Programm oder Microsoft 365, nehmen Sie diesen ebenfalls in Ihren SPF-Record auf. Lesen Sie SPF-Record in DirectAdmin hinzufügen oder ändern.
2. Sorgen Sie dafür, dass DKIM aktiviert ist. Bei einem Hostingpaket von WebOké ist DKIM für E-Mails, die über unsere Server laufen, standardmäßig aktiviert.
3. Erstellen Sie den DMARC-Record. Beginnen Sie mit p=none und einer Berichtsadresse, wechseln Sie nach einigen Wochen zu p=quarantine und danach zu p=reject. Wie Sie den Record erstellen, lesen Sie in DMARC-Record in DirectAdmin erstellen. Sie können dies auch in Mein WebOké erledigen, unter Meine Domains auf dem Reiter DNS.
4. Überprüfen Sie Ihre Einstellungen. Mit unserer kostenlosen Domain-Gesundheit sehen Sie sofort, ob SPF, DKIM und DMARC richtig eingerichtet sind. Auch die Internet.nl-Checkliste hilft Ihnen weiter.

Häufig gestellte Fragen

Werden meine eigenen E-Mails abgelehnt, wenn ich DMARC aktiviere?

Nicht, wenn SPF und DKIM richtig eingerichtet sind. Versenden Sie E-Mails über einen Dienst, der nicht in Ihrem SPF-Record steht und nicht mit Ihrer Domain signiert, können diese E-Mails bei p=quarantine oder p=reject im Spam landen oder abgelehnt werden. Beginnen Sie deshalb mit p=none und prüfen Sie in den Berichten, wer im Namen Ihrer Domain E-Mails versendet. Bei einem Hostingpaket steht der Record standardmäßig auf p=reject: Versenden Sie E-Mails auch über einen anderen Dienst, stellen Sie ihn vorübergehend auf p=none, bis dieser Dienst korrekt in SPF und DKIM eingerichtet ist.

Muss ich eine Berichtsadresse angeben?

Das ist nicht erforderlich. Die Berichte sind technisch und vor allem nützlich, wenn Sie wissen möchten, welche Dienste im Namen Ihrer Domain E-Mails versenden. Verwenden Sie dafür am besten eine separate Adresse, da Sie täglich mehrere Berichte erhalten können. Wie Sie einen solchen Bericht lesen, erfahren Sie in Einen DMARC-Bericht lesen.

Ich nutze Microsoft 365 oder Google Workspace. Funktioniert DMARC dann auch?

Ja. Nehmen Sie den Dienst in Ihren SPF-Record auf, aktivieren Sie DKIM in diesem Dienst und erstellen Sie anschließend den DMARC-Record bei WebOké oder passen Sie den bestehenden an. Die Reihenfolge ist entscheidend: zuerst SPF und DKIM, dann DMARC. Beginnen Sie auch hier mit p=none und wechseln Sie Schritt für Schritt zu p=reject.

Haben Sie einen DMARC-Record für mich vorbereitet?

Ja. Bei einem Hostingpaket ist standardmäßig bereits einer eingerichtet: v=DMARC1;p=reject. Erstellen Sie selbst einen Record, etwa bei einer Domain ohne Hostingpaket, beginnen Sie mit v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.nl und machen Sie ihn Schritt für Schritt strenger. Kommen Sie nicht weiter, schreiben Sie uns eine Nachricht: Wir helfen Ihnen gern.

Ausführliche Erklärung mit Screenshots: DMARC einrichten im DirectAdmin-Handbuch.