Was DMARC macht

So funktioniert es

DMARC prüft zwei Dinge: ob SPF oder DKIM bestanden wurde und ob die dabei geprüfte Domain zur Absender-Adresse im Feld „Von“ passt. Diese Übereinstimmung heißt Alignment. Fällt beides durch, greift deine Policy.

Der Record liegt als TXT unter _dmarc.<deine Domain>:

v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.example

Die Policy p hat drei Stufen:

1. p=none: Nichts ändert sich an der Zustellung. Über rua bekommst du tägliche Berichte, wer in deinem Namen sendet.
2. p=quarantine: Mails, die durchfallen, landen im Spam.
3. p=reject: Mails, die durchfallen, werden abgelehnt.

Worauf es ankommt

• Am Ende quarantine oder reject. Erst dann schützt DMARC deine Domain vor Fälschungen; p=none beobachtet nur.
• pct bei 100. Mit pct=25 gilt die Policy nur für einen Teil der Mails. Am Ende sollte pct bei 100 stehen oder fehlen.
• Berichte an eine fremde Domain. Die Zieldomain muss zustimmen, mit einem Record unter <deine Domain>._report._dmarc.<zieldomain>.
• Subdomains. Ohne sp= gilt die Policy auch für Subdomains. sp=none öffnet sie wieder.
• DKIM mit eigener Domain. Weiterleitungen und Mailinglisten brechen SPF; dann trägt nur noch DKIM.

So richtest du es ein

1. Lege den Record mit p=none und einer Adresse für Berichte in der DNS-Verwaltung deiner Domain an, selbst oder über deine Agentur.
2. Werte die Berichte zwei bis vier Wochen aus. Für jede legitime Quelle richtest du SPF und DKIM mit deiner Domain ein.
3. Stelle auf quarantine um, später auf reject. Mit pct kannst du die Umstellung in Schritten machen.