DMARC-Check: DMARC-Eintrag prüfen und verstehen
Prüfe, ob deine Domain einen gültigen DMARC-Eintrag hat, welche Richtlinie gilt und wohin die Berichte gehen – mit Erklärung jedes einzelnen Tags.
DMARC-Eintrag prüfen
Gib die Domain ein, die im Absender deiner E-Mails steht, zum Beispiel deine-domain.de.
Die Abfrage läuft über den DNS-Resolver Quad9 (Schweiz). Wir speichern die geprüfte Domain und eine anonymisierte IP-Adresse höchstens 30 Tage.
So funktioniert DMARC
Was ist DMARC?
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Der Eintrag liegt als TXT unter _dmarc.deine-domain.de und beginnt mit v=DMARC1. Er verbindet SPF und DKIM mit der Absenderadresse, die der Empfänger sieht, und legt fest, was mit Mails passiert, die diese Prüfung nicht bestehen.
Die drei Richtlinien
Mit p=none passiert nichts, du bekommst nur Berichte. p=quarantine schickt verdächtige Mails in den Spam-Ordner, p=reject lässt sie gar nicht erst zu. Seit 2024 verlangen Gmail und Yahoo von Massenversendern einen DMARC-Eintrag. Wer seine Domain wirklich schützen will, landet am Ende bei quarantine oder reject.
Berichte und der Weg zu reject
Über rua=mailto:… schicken dir Empfänger täglich zusammengefasste Berichte: welche Server in deinem Namen gesendet haben und ob SPF und DKIM gepasst haben. Starte mit p=none und Berichten, ergänze fehlende Absender in SPF und DKIM und erhöhe dann schrittweise, zum Beispiel über quarantine mit pct=25 bis zu reject.
Typische DMARC-Fehler
Dauerhaft p=none
Viele setzen DMARC einmal auf none und vergessen es. Dann schützt der Eintrag nicht vor gefälschten Mails. Werte die Berichte aus und verschärfe die Richtlinie.
Keine Berichtsadresse
Ohne rua erfährst du nie, wer in deinem Namen sendet, und kannst nicht sicher auf reject umstellen. Trag eine Adresse oder einen DMARC-Dienst ein.
Berichte an eine fremde Domain ohne Freigabe
Gehen Berichte an eine andere Domain, muss diese mit einem Eintrag deine-domain.de._report._dmarc.andere-domain.de zustimmen. Fehlt er, verwerfen Empfänger die Berichte.
Eintrag an der falschen Stelle
Der DMARC-Eintrag gehört auf _dmarc.deine-domain.de, nicht auf die Domain selbst. Und es darf nur einen geben.
Häufige Fragen
Gib oben deine Domain ein. Der DMARC-Check liest den Eintrag unter _dmarc, erklärt jedes Tag und prüft die Berichtsadressen sowie den SPF-Eintrag.
Starte mit p=none und einer Berichtsadresse, um zu sehen, wer in deinem Namen sendet. Bestehen alle legitimen Absender SPF oder DKIM, wechsle zu quarantine und später zu reject.
Ja. Hat eine Subdomain keinen eigenen Eintrag, gilt der Eintrag der Hauptdomain. Mit sp= kannst du für Subdomains eine eigene Richtlinie festlegen.
rua erhält täglich zusammengefasste Berichte, ruf Berichte zu einzelnen fehlgeschlagenen Mails. Viele große Anbieter verschicken aus Datenschutzgründen keine ruf-Berichte mehr. Wichtig ist vor allem rua.
DMARC verlangt, dass SPF oder DKIM besteht und zur Absenderdomain passt. Formal reicht eins davon, aber DKIM ist robuster, weil es Weiterleitungen übersteht. Richte beides ein. DKIM-Schlüssel liegen unter einem Selector, den nur dein Mailanbieter kennt, deshalb prüfen wir DKIM hier nicht.
Mit pct wendest du die Richtlinie nur auf einen Teil der Mails an, etwa pct=25 für ein Viertel. Das ist praktisch, um quarantine oder reject vorsichtig einzuführen. Ohne Angabe gilt 100.
