DMARC Setup

DMARC Record erstellen –Schritt für Schritt.

Der DMARC-Eintrag ist ein einzelner TXT-Record im DNS. Hier bauen Sie ihn korrekt auf, verstehen jeden Tag und schalten ohne Zustellausfälle bis p=reject scharf.

Conbool kostenlos testen Weiter mit DMARC

Ein DMARC-Record wird unter dem Hostnamen _dmarc.ihre-domain.de als TXT-Eintrag veröffentlicht. Er legt fest, wie empfangende Server mit nicht authentifizierten E-Mails umgehen – und an welche Adresse die Reports gesendet werden. Voraussetzung sind gültige SPF- und DKIM-Einträge.

Aufbau eines DMARC-Records

Ein minimaler, gültiger Record sieht so aus:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de; pct=100

Die wichtigsten Tags

v: Protokollversion, immer v=DMARC1. Muss zuerst stehen.
p: Policy für die Hauptdomain: none (nur beobachten), quarantine (in Spam) oder reject (ablehnen).
rua: Adresse für aggregierte Reports (täglich, im XML-Format). Pflicht für sinnvolles Monitoring.
ruf: Adresse für forensische Einzelreports. Datenschutz beachten, nicht alle Provider senden sie.
pct: Prozentsatz der Mails, auf die die Policy angewendet wird. Ideal zum stufenweisen Ausrollen.
sp: Eigene Policy für Subdomains. Ohne sp gilt der p-Wert auch für Subdomains.
adkim: DKIM-Ausrichtung: r (relaxed) oder s (strict).
aspf: SPF-Ausrichtung: r (relaxed) oder s (strict).

In vier Schritten zum aktiven DMARC

1
SPF & DKIM prüfen
Stellen Sie sicher, dass beide für alle legitimen Versandquellen gültig signieren bzw. ausgerichtet sind.
2
Record mit p=none veröffentlichen
Starten Sie im Monitoring-Modus und sammeln Sie über rua mehrere Wochen Reports.
3
Reports auswerten
Identifizieren Sie alle legitimen Quellen, die noch nicht korrekt authentifizieren – genau hier hilft Conbool DMARC automatisch.
4
Auf p=reject hochfahren
Über pct und sp schrittweise von quarantine zu reject, bis Spoofing zuverlässig blockiert wird.