DMARC einrichten in fünf Schritten

Was DMARC macht

DMARC ist ein TXT-Eintrag im DNS deiner Domain unter dem Namen _dmarc. Er sagt den Postfächern zwei Dinge: was sie mit Mails tun sollen, die angeblich von deiner Domain kommen, aber die Prüfung nicht bestehen, und wohin sie Berichte darüber schicken sollen.

DMARC baut auf SPF und DKIM auf. Eine Mail besteht DMARC, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur Domain in der Absenderadresse passt. Das nennt man Ausrichtung (Alignment).

Schritt 1: SPF und DKIM prüfen

Bevor du DMARC anlegst, sollten alle Dienste, die in deinem Namen senden, per SPF erlaubt oder per DKIM signiert sein: dein Postfach, der Newsletter-Dienst, das Shopsystem, das Ticketsystem. Ob deine Domain die Einträge hat, zeigt der Absender-Check in wenigen Sekunden.

Schritt 2: Eintrag mit p=none anlegen

Lege bei deinem DNS-Anbieter einen TXT-Eintrag an:

Name:  _dmarc
Typ:   TXT
Wert:  v=DMARC1; p=none; rua=mailto:[email protected]

p=none heißt: nichts blockieren, nur berichten. Das ist die Mindestanforderung von Gmail und Yahoo und ein sicherer Start, weil keine echte Mail verloren geht. Die Adresse hinter rua bekommt täglich Sammelberichte als XML-Datei.

Schritt 3: Berichte auswerten

Die Berichte zeigen, welche Server in deinem Namen gesendet haben und ob SPF und DKIM gepasst haben. Die XML-Dateien sind schwer zu lesen. Es gibt Dienste, die sie aufbereiten, oder du nutzt eine eigene Adresse und schaust in den ersten Wochen regelmäßig hinein. Suche nach Absendern, die du kennst, aber die durchfallen. Die musst du per SPF oder DKIM nachtragen.

Schritt 4: Richtlinie verschärfen

Wenn alle bekannten Dienste bestehen, wechselst du auf p=quarantine. Gefälschte Mails landen dann im Spam-Ordner. Mit dem Wert pct kannst du langsam starten, etwa pct=25 für ein Viertel der Mails. Später folgt p=reject: Postfächer weisen gefälschte Mails dann ab.

v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]

Schritt 5: Regelmäßig nachsehen

Neue Dienste kommen dazu, alte fallen weg. Schau dir die Berichte auch später ab und zu an, vor allem nach einem Wechsel des Newsletter-Dienstes.

Die Regeln von Gmail und Yahoo

Laut Google gelten für Absender, die mehr als 5.000 Mails am Tag an Gmail-Adressen schicken, unter anderem:

• SPF und DKIM für die Absender-Domain
• ein DMARC-Eintrag, mindestens mit p=none
• Ausrichtung: die Domain der Absenderadresse passt zu SPF oder DKIM
• Abmeldung mit einem Klick nach RFC 8058 für Werbemails
• eine Spamrate in den Postmaster Tools unter 0,3 %

Yahoo hat vergleichbare Regeln veröffentlicht. Auch unter dieser Menge helfen die Einträge, im Posteingang zu landen.

Subdomains nicht vergessen

Ohne den Wert sp gilt die Richtlinie der Hauptdomain auch für Subdomains. Versendest du von einer Subdomain wie news.deinedomain.de, braucht sie eigene SPF- und DKIM-Einträge, der DMARC-Eintrag der Hauptdomain deckt sie dann mit ab.

Häufige Fehler

• Zwei DMARC-Einträge auf derselben Domain. Dann gilt keiner.
• Der Eintrag liegt auf der Domain selbst statt unter _dmarc.
• Sofort p=reject, bevor alle Dienste sauber signieren. Dann gehen echte Mails verloren.
• Die rua-Adresse liegt auf einer fremden Domain ohne Freigabe. Dann kommen keine Berichte an.

Bei Sendmora richtest du DKIM, SPF und Return-Path mit einer geführten Anleitung für deinen DNS-Anbieter ein. Den DMARC-Eintrag schlagen wir passend vor.