DMARC-Pflicht 2025/2026: Was Google, Yahoo, Microsoft und das BSI jetzt von Ihrer Domain verlangen
Jahrelang galt DMARC als die Kür der E-Mail-Sicherheit: empfohlen, aber selten erzwungen. Das hat sich grundlegend geändert. Seit Februar 2024 machen Google und Yahoo eine korrekte E-Mail-Authentifizierung zur Voraussetzung für die Zustellung an ihre Postfächer, Microsoft ist 2025 nachgezogen. Aus einer Empfehlung ist damit eine faktische Pflicht geworden, an der heute jede Domäne hängt, die geschäftliche E-Mails verschickt.
Dieser Guide bündelt zwei Perspektiven, die sonst selten zusammen betrachtet werden: die konkreten Absender-Anforderungen der großen Mailbox-Provider und die Empfehlung des BSI. Er zeigt, was SPF, DKIM und DMARC gemeinsam leisten, warum p=reject das Zielbild ist und wie der Weg von p=none über quarantine zu reject ohne Zustellausfälle gelingt.
Was DMARC heute zur Pflicht macht
TL;DR: DMARC ist kein Gesetz, aber faktisch verpflichtend. Seit Februar 2024 fordern Google und Yahoo für Massenversender SPF, DKIM und einen veröffentlichten DMARC-Eintrag, Microsoft hat für Outlook.com mit Wirkung zum 5. Mai 2025 nachgezogen, und Google hat eine härtere Ablehnung nicht authentifizierter Massenmails ab November 2025 angekündigt. Das BSI empfiehlt parallel SPF, DKIM und DMARC und sieht in der TR-03182 eine durchsetzende Richtlinie mit
p=rejectals Ziel. Beide Treiber führen zum selben Schritt: vonp=noneüberquarantinezureject, abgesichert durch die laufende Auswertung der DMARC-Berichte.
Der Auslöser dieser Entwicklung sind nicht neue Vorschriften, sondern die Anforderungen der großen Bulk-Sender-Programme. Die Postfachanbieter haben erkannt, dass sich Phishing und gefälschte Absenderadressen nur dann eindämmen lassen, wenn jede Domäne ihre Echtheit nachweisbar belegt. Statt auf Freiwilligkeit zu setzen, koppeln sie die Zustellung an genau diesen Nachweis. Wer keine korrekte E-Mail-Authentifizierung betreibt, sieht seine Nachrichten herabgestuft, im Spam oder abgewiesen.
Die Zeitleiste der Anforderungen
Die Entwicklung lässt sich an wenigen Stichdaten festmachen. Sie zeigt, wie aus einer einzelnen Vorgabe ein branchenweiter Standard wurde.
| Zeitpunkt | Anbieter | Anforderung |
|---|---|---|
| Februar 2024 | Google und Yahoo | Für Massenversender werden SPF, DKIM und ein veröffentlichter DMARC-Eintrag mit mindestens p=none Pflicht, dazu Ausrichtung, einfaches Abmelden und eine niedrige Spam-Beschwerderate |
| Microsoft Outlook.com und Hotmail | Massenmails ohne gültige Authentifizierung werden in den Junk-Ordner einsortiert, dieselben Grundregeln wie bei Google und Yahoo gelten |
| November 2025 | Google Gmail | Angekündigte härtere Ablehnung nicht authentifizierter Massenmails, statt bloßer Einordnung in den Spam |
Wichtig ist die Einordnung: Diese Regeln richten sich primär an Massenversender, also an Domänen, die hohe Volumina an Newslettern, Rechnungen oder Transaktionsmails verschicken. In der Praxis betrifft das jedoch nahezu jedes Unternehmen, denn schon Buchungsbestätigungen, Passwort-Resets oder automatisierte Benachrichtigungen fallen in diese Kategorie. Wer auf der sicheren Seite stehen will, behandelt die Anforderungen als allgemeingültig.
Was SPF, DKIM und DMARC zusammen leisten
DMARC funktioniert nicht allein. Es ist die Klammer um zwei ältere Verfahren, die jeweils einen Teil des Echtheitsnachweises liefern. Erst im Zusammenspiel entsteht ein belastbarer Schutz.
SPF prüft den sendenden Server
SPF, das Sender Policy Framework, hinterlegt im DNS, welche Server für eine Domäne senden dürfen. Der empfangende Server gleicht die IP-Adresse des Absenders mit dieser Liste ab. Stimmt sie überein, gilt der Transportweg als legitim. SPF sagt aber nichts über den Inhalt aus und bricht, sobald eine Mail weitergeleitet wird.
DKIM signiert die Nachricht
DKIM, DomainKeys Identified Mail, versieht jede ausgehende Nachricht mit einer kryptografischen Signatur. Der zugehörige öffentliche Schlüssel liegt im DNS. Der empfangende Server prüft damit, ob die Nachricht unverändert von der angegebenen Domäne stammt. Anders als SPF übersteht DKIM viele Weiterleitungen.
DMARC verbindet beides und macht es prüfbar
DMARC, Domain-based Message Authentication, Reporting and Conformance, verknüpft SPF und DKIM mit der sichtbaren Absenderadresse, der sogenannten Ausrichtung. Erst dadurch lässt sich verhindern, dass ein Angreifer eine fremde Adresse im Anzeigenamen fälscht, während technisch eine ganz andere Domäne authentifiziert wird. DMARC legt zusätzlich fest, was bei einem Fehlschlag geschehen soll, und schickt dem Domäneninhaber Berichte über alle Versandquellen.
Die BSI-Empfehlung und die TR-03182
Die Postfachanbieter steuern die Zustellung. Das BSI verfolgt ein anderes, ergänzendes Ziel: den Schutz der eigenen Domäne und Marke vor Missbrauch. Das Bundesamt empfiehlt seit Langem den kombinierten Einsatz von SPF, DKIM und DMARC. Die Technische Richtlinie TR-03182 zur E-Mail-Authentifizierung beschreibt diese Verfahren als Bausteine einer vertrauenswürdigen Domäne und benennt eine durchsetzende DMARC-Richtlinie mit p=reject als Zielbild.
Dieser Blickwinkel ist deshalb so wertvoll, weil er die Anforderungen vom reinen Zustellungsthema löst. Eine Domäne, die nur p=none betreibt, mag bei Google und Yahoo zunächst durchkommen, schützt sich aber nicht gegen Fälschungen. Erst p=reject weist empfangende Server an, gefälschte Mails aktiv abzulehnen. Genau hier verbinden sich die beiden Treiber: Was die Mailbox-Provider als Eintrittskarte fordern, führt das BSI konsequent zu Ende.
Für viele Organisationen ist diese Konsequenz auch regulatorisch relevant. Im Rahmen der NIS2-Richtlinie werden Maßnahmen zur Kommunikationssicherheit für eine wachsende Zahl von Unternehmen verpflichtend. Eine nachweisbare E-Mail-Authentifizierung mit DMARC ist eine konkrete, dokumentierbare Maßnahme, die auf diese Anforderungen einzahlt und zugleich den Stand der Technik nach Artikel 32 DSGVO belegt.
Der Weg zur konformen Domäne im Überblick
Der häufigste Fehler beim Einstieg ist es, sofort auf p=reject zu schalten. Das wirkt gründlich, riskiert aber, legitime Mails aus vergessenen Versandquellen wie Newsletter-Tools, CRM-Systemen oder Buchhaltungssoftware abzuweisen. Der sichere Weg führt schrittweise über die Auswertung der DMARC-Berichte: erst beobachten mit p=none, dann aussortieren mit p=quarantine, zuletzt durchsetzen mit p=reject. Entscheidend ist in jeder Stufe die Report-Auswertung, denn nur die Aggregatberichte zeigen, welche Quellen unter Ihrer Domäne senden und ob SPF und DKIM ausgerichtet sind.
Wie sich diese Umstellung anhand der Berichte konkret steuern lässt, welche Werte in der XML zählen und woran die meisten Domänen scheitern, ist Thema eines eigenen Report-Guides. Die einzelnen DNS-Werte für den Eintrag selbst beschreibt die Anleitung zum DMARC-Record erstellen.
DMARC mit Conbool: Berichte bündeln, Umstellung steuern
Der eigentliche Aufwand bei DMARC liegt nicht im Setzen des ersten DNS-Eintrags, sondern in der laufenden Auswertung der Berichte. Die rohen XML-Aggregatberichte mehrerer Versandquellen sind ohne Aufbereitung kaum lesbar, und genau diese Lesbarkeit entscheidet darüber, ob der Sprung auf quarantine und reject ohne Zustellausfall gelingt.
Conbool DMARC setzt an dieser Stelle an. Die eingehenden Aggregatberichte werden gesammelt, ausgewertet und so aufbereitet, dass alle Versandquellen einer Domäne übersichtlich sichtbar werden. Auf dieser Grundlage lässt sich die Richtlinie geführt von p=none über quarantine bis reject verschärfen, ohne legitime Absender zu verlieren. Die Details zur verwalteten E-Mail-Authentifizierung zeigen, wie sich die drei Provider-Anforderungen und das BSI-Zielbild in einem Schritt erfüllen lassen.
Sinnvoll ergänzt wird DMARC durch ein vorgeschaltetes Gateway. Während DMARC die ausgehende Domäne schützt, sichert Conbool MailGuard den eingehenden Verkehr gegen Phishing, CEO-Fraud und Schadanhänge. Den aktuellen Authentifizierungsstatus Ihrer Domäne können Sie zuvor mit dem kostenlosen Domain-Check prüfen.
Häufig gestellte Fragen zur DMARC-Pflicht
Ist DMARC seit 2024 Pflicht?
Es gibt kein Gesetz, das DMARC pauschal vorschreibt. Faktisch ist DMARC seit Februar 2024 jedoch verpflichtend geworden, weil Google und Yahoo seither für Massenversender einen gültigen DMARC-Eintrag zur Voraussetzung für die Zustellung machen. Wer Newsletter, Rechnungen oder Transaktionsmails an Postfächer dieser Anbieter sendet, ohne DMARC, SPF und DKIM korrekt einzurichten, riskiert verzögerte, im Spam landende oder gar nicht zugestellte Nachrichten. Aus einer Empfehlung ist damit eine geschäftskritische Anforderung geworden.
Was fordern Google, Yahoo und Microsoft konkret?
Die Anbieter verlangen im Kern dasselbe Fundament. Google und Yahoo fordern seit Februar 2024 für Massenversender SPF und DKIM für die Absender-Domäne, einen veröffentlichten DMARC-Eintrag mit mindestens p=none, eine Ausrichtung von SPF oder DKIM auf die sichtbare Absenderadresse, einfaches Abmelden mit einem Klick sowie eine niedrige Spam-Beschwerderate. Microsoft hat für Outlook.com und Hotmail dieselben Grundregeln übernommen, zunächst mit einer Einordnung verstoßender Massenmails in den Junk-Ordner zum 5. Mai 2025. Google hat angekündigt, nicht authentifizierte Massenmails ab November 2025 härter abzulehnen. Die Stoßrichtung ist einheitlich: ohne DMARC, SPF und DKIM keine verlässliche Zustellung.
Was empfiehlt das BSI zur E-Mail-Authentifizierung?
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt seit Langem den kombinierten Einsatz von SPF, DKIM und DMARC zum Schutz vor Spoofing und gefälschten Absenderadressen. Die Technische Richtlinie TR-03182 zur E-Mail-Authentifizierung beschreibt diese Verfahren als Bausteine für eine vertrauenswürdige Domäne und sieht eine durchsetzende DMARC-Richtlinie mit p=reject als Zielbild vor. Anders als die Mailbox-Provider, die vor allem die Zustellung steuern, adressiert das BSI den Schutz der eigenen Marke und Domäne vor Missbrauch. Beide Perspektiven führen zum selben Ergebnis.
Was passiert ohne DMARC, SPF und DKIM?
Ohne diese drei Verfahren fehlt der Absender-Domäne jeder Nachweis ihrer Echtheit. Das hat zwei Folgen. Erstens leidet die Zustellbarkeit: Google, Yahoo und Microsoft stufen nicht authentifizierte Massenmails herab, sortieren sie in den Spam oder lehnen sie ab. Zweitens bleibt die Domäne ungeschützt: Angreifer können die Absenderadresse fälschen und unter dem Namen des Unternehmens Phishing oder CEO-Fraud versenden, ohne dass empfangende Server dies erkennen. Ohne DMARC im Modus p=reject gibt es keine technische Instanz, die solche Fälschungen blockiert.
Wie wird eine Domäne sicher von p=none auf p=reject umgestellt?
Die Umstellung erfolgt in drei Stufen und stützt sich auf die DMARC-Berichte. Stufe eins ist p=none: Die Richtlinie greift noch nicht durch, sammelt aber über die rua-Adresse Aggregatberichte, aus denen sich alle legitimen Versandquellen ablesen lassen. Sind SPF und DKIM für alle echten Quellen sauber ausgerichtet, folgt Stufe zwei mit p=quarantine, gegebenenfalls schrittweise über den Parameter pct. Bleiben die Berichte stabil und werden keine legitimen Mails mehr abgewiesen, folgt Stufe drei mit p=reject. Erst dieser Modus blockiert Fälschungen wirksam. Ohne die laufende Auswertung der Berichte ist die Umstellung riskant.
Fazit
DMARC hat den Status der freiwilligen Empfehlung endgültig verlassen. Google, Yahoo und Microsoft machen SPF, DKIM und einen gültigen DMARC-Eintrag zur Bedingung für die Zustellung, das BSI führt diese Anforderung mit der TR-03182 bis zur durchsetzenden Richtlinie p=reject. Wer beide Treiber zusammen denkt, erkennt: Die Frage ist nicht mehr, ob DMARC eingeführt wird, sondern wie der Weg von p=none zu reject ohne Zustellausfall gelingt.
Der nächste Schritt liegt bei Ihnen: Prüfen Sie den Authentifizierungsstatus Ihrer Domäne mit dem kostenlosen Domain-Check und sehen Sie auf der Seite zu Conbool DMARC, wie die Report-Aggregation und die geführte Umstellung die Anforderungen von Mailbox-Providern und BSI in einem Schritt erfüllen.
Weiterführende Artikel:
