E-Mail-Authentifizierung

Was ist DMARC? Domain-based Message Authentication, Reporting and Conformance erklärt

DMARC verknüpft SPF und DKIM mit der sichtbaren Absenderadresse und legt fest, was mit gefälschten E-Mails passiert: nichts (none), Spam-Ordner (quarantine) oder Ablehnung (reject).

So funktioniert DMARC

SPF und DKIM allein sagen nichts über die From-Adresse, die der Empfänger sieht. DMARC schließt diese Lücke: Eine Mail besteht DMARC nur, wenn SPF oder DKIM erfolgreich sind und die geprüfte Domain zur From-Domain passt (Alignment).

Der DMARC-Record liegt als TXT-Eintrag unter _dmarc.<domain>. Die Richtlinie p= gilt für die Domain, sp= für ihre Subdomains. Mit rua= gibst du eine Adresse für tägliche Sammelberichte an; daraus siehst du, welche Server in deinem Namen senden und ob sie SPF und DKIM bestehen.

Bewährt ist eine schrittweise Einführung: mit p=none und Berichten starten, alle legitimen Absender korrekt einrichten, dann auf quarantine und schließlich reject erhöhen. Gmail und Yahoo verlangen seit Februar 2024 von Massenversendern einen DMARC-Record.

Beispiel

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@example.com"

Gefälschte Mails werden abgelehnt, auch für Subdomains; Sammelberichte gehen an dmarc@example.com.

Typische Fehler

Dauerhaft p=none – das ist nur Beobachtung und schützt nicht vor Spoofing.
Keine Berichtsadresse (rua), dadurch bleiben Fehlkonfigurationen unbemerkt.
Berichte an eine fremde Domain ohne Autorisierungs-Eintrag (<domain>._report._dmarc.<empfänger>) – sie werden dann nicht zugestellt.
Mehrere DMARC-Records oder Tippfehler wie „v=DMARC1;p=“ ohne gültigen Wert.

So bewertet der Domain Trust Check DMARC

Kriterium „DMARC“ (Gewicht 5 von 5): DMARC-Record unter _dmarc, Richtlinie p=none/quarantine/reject, Anteil (pct), Aggregat-Reports (rua) inkl. Autorisierung externer Empfänger, Subdomain-Richtlinie (sp) und Alignment (adkim/aspf).

Standard: RFC 7489