DMARC sicher einführen: von p=none bis p=reject
DMARC schützt Ihre Domain vor gefälschten Absendern — wenn man es richtig einführt. Der gefahrlose Stufenplan: Berichte sammeln, auswerten, dann verschärfen.
SPF und DKIM prüfen Technik — aber erst DMARC verbindet beides mit der Absenderadresse, die der Empfänger tatsächlich sieht, und legt fest, was mit Fälschungen passieren soll. Ohne DMARC kann jeder eine Mail mit Ihrer Domain im Absender verschicken; mit p=reject wird genau das abgewiesen. Der Weg dorthin ist ungefährlich, wenn man ihn in Stufen geht — und riskant, wenn man ihn überspringt.
Stufe 1: Beobachten mit p=none
Der Einstieg ändert an der Zustellung noch gar nichts. Mit p=none sagen Sie den Empfängern nur: Prüft meine Mails und schickt mir Berichte darüber. Dafür braucht es ein Postfach, das die Berichte empfängt — am besten eine eigene Adresse:
_dmarc.beispiel.atv=DMARC1; p=none; rua=mailto:dmarc@beispiel.atStufe 2: Zwei bis vier Wochen Berichte lesen
In den Berichten tauchen jetzt alle Absender Ihrer Domain auf. Die entscheidende Frage je Quelle: legitim oder nicht? Legitime Quellen, die bei SPF oder DKIM durchfallen (der Newsletter-Dienst ohne DKIM, das Rechnungsprogramm ohne SPF-include), werden repariert, BEVOR es weitergeht. Wer diese Phase überspringt, riskiert, die eigene Post abzuweisen.
Stufe 3: Verschärfen — quarantine, dann reject
Sind die Berichte sauber, folgt p=quarantine (Fälschungen wandern in den Spam-Ordner), nach weiteren ruhigen Wochen p=reject (Fälschungen werden abgewiesen). Wer vorsichtig sein will, verschärft schrittweise über pct — etwa pct=25 für ein Viertel der Mails — und erhöht dann.
_dmarc.beispiel.atv=DMARC1; p=reject; rua=mailto:dmarc@beispiel.atWarum nicht gleich p=reject?
Weil fast jede Domain vergessene Absender hat: das Buchungstool von vor drei Jahren, der Scanner im Büro, der Web-Formular-Versand des Hosters. Mit sofortigem reject verschwindet deren Post kommentarlos. Die Stufenfolge kostet ein paar Wochen Geduld und erspart verlorene Rechnungen und Angebote.
Häufige Fragen
Was bedeutet „Ausrichtung“ (Alignment) bei DMARC?
DMARC verlangt, dass die Domain aus SPF oder DKIM zur sichtbaren Absenderadresse passt. Eine Mail kann SPF bestehen (etwa über die Domain des Versanddienstes) und trotzdem an DMARC scheitern, wenn diese Domain nicht Ihre ist. Deshalb signieren gute Versanddienste mit IHRER Domain (eigenes DKIM je Dienst).
Muss ich die XML-Berichte wirklich lesen?
In der Beobachtungsphase ja — sie sind der einzige Blick darauf, wer in Ihrem Namen sendet. Von Hand ist das mühsam (XML in ZIP-Dateien); Werkzeuge werten sie lesbar aus. Nach dem Umstieg auf reject reicht ein gelegentlicher Blick.
Was ist mit Subdomains?
Die Richtlinie der Hauptdomain gilt standardmäßig auch für Subdomains, solange diese keinen eigenen _dmarc-Eintrag haben. Mit sp= lässt sich für Subdomains eine eigene Regel setzen — sinnvoll etwa, wenn eine Subdomain-Altlast noch nicht sauber ist.