DMARC-Eintrag erklärt: Beispiel zum Kopieren und was jeder Parameter bedeutet
Der DMARC-Eintrag ist ein TXT-Eintrag unter _dmarc.ihre-domain. Drei fertige Beispiele (Einstieg, Verschärfung, Ziel), jeder Parameter erklärt — p, rua, ruf, pct, sp, adkim, aspf, fo — und die Regeln, an denen Einträge scheitern.
Ein DMARC-Eintrag ist ein TXT-Eintrag im DNS Ihrer Domain unter dem Namen _dmarc.ihre-domain.at. Er sagt jedem empfangenden Mailserver, was mit Mails geschehen soll, die SPF- und DKIM-Prüfung nicht bestehen — und wohin Berichte darüber gehen. Der kleinste sinnvolle Eintrag hat drei Teile und ist in einer Minute gesetzt:
_dmarc.beispiel.atv=DMARC1; p=none; rua=mailto:dmarc@beispiel.atDie Parameter im Einzelnen
- v=DMARC1 — Pflicht, muss ganz vorn stehen. Es gibt nur diese Version.
- p= — Pflicht, die Richtlinie für die Hauptdomain: none (nur beobachten), quarantine (in den Spam-Ordner) oder reject (abweisen). Muss direkt nach v= stehen.
- rua= — Adresse(n) für die täglichen Sammelberichte (aggregate reports) als mailto:. Mehrere Adressen mit Komma trennen. Ohne rua sehen Sie nie, wer in Ihrem Namen sendet.
- ruf= — Adresse für Einzelberichte zu gescheiterten Mails (forensic reports). Die großen Empfänger (Google, Microsoft) verschicken sie aus Datenschutzgründen nicht — meist weglassbar.
- sp= — Richtlinie für Subdomains. Fehlt sp, gilt p auch für alle Subdomains ohne eigenen Eintrag.
- pct= — Prozentsatz der Mails, auf die quarantine/reject angewendet wird (Standard 100). Erlaubt schrittweises Verschärfen, etwa pct=25.
- adkim= und aspf= — wie streng die Domain der DKIM-Signatur bzw. des SPF zur Absenderadresse passen muss: r (relaxed, Subdomains zählen mit, Standard) oder s (strict, exakt gleich).
- fo= — wann Einzelberichte erzeugt werden: 0 (beides scheitert, Standard), 1 (eines von beiden), d (DKIM scheitert), s (SPF scheitert). Nur relevant mit ruf.
- ri= — gewünschter Berichtsabstand in Sekunden (Standard 86400 = täglich). rf= — Berichtsformat, praktisch immer afrf; weglassen.
Drei fertige Einträge für die drei Stufen
DMARC wird nicht auf einmal scharf gestellt, sondern in Stufen — wer sofort reject setzt, weist die eigene vergessene Post ab. Der Ablauf steht im Stufenplan; hier die Einträge dazu:
_dmarc.beispiel.atv=DMARC1; p=none; rua=mailto:dmarc@beispiel.at; sp=none_dmarc.beispiel.atv=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@beispiel.at_dmarc.beispiel.atv=DMARC1; p=reject; rua=mailto:dmarc@beispiel.at; adkim=s; aspf=sWoran DMARC-Einträge scheitern
- Zwei _dmarc-Einträge: Empfänger werten dann keinen von beiden. Es darf genau einen geben.
- Falscher Name: Der Eintrag gehört unter _dmarc.ihre-domain.at, nicht auf die Domain selbst. Manche DNS-Masken verschlucken den führenden Unterstrich — nach dem Setzen von außen prüfen.
- p fehlt oder steht nicht an zweiter Stelle: Der Eintrag ist ungültig, Empfänger behandeln die Domain wie ohne DMARC.
- rua auf eine fremde Domain ohne Freigabe: Sollen Berichte an eine andere Domain gehen (z. B. an einen Auswertungsdienst), muss diese unter ihre-domain.at._report._dmarc.andere-domain.tld einen TXT-Eintrag v=DMARC1 veröffentlichen — sonst werden die Berichte verworfen.
- Anführungszeichen und Leerzeichen: Tags mit Semikolon trennen, keine Zeilenumbrüche, keine typografischen Anführungszeichen aus Textverarbeitungen.
Den Eintrag prüfen
Von Hand mit nslookup -type=TXT _dmarc.ihre-domain.at (Windows) oder dig TXT _dmarc.ihre-domain.at. Die Domain-Prüfung von mailampel bewertet darüber hinaus Richtlinie, Berichtsadresse und Alignment und sagt, welche Stufe als Nächstes ansteht. Was in den Berichten steht, die dann eintreffen, erklärt DMARC-Berichte lesen.
Häufige Fragen
Was ist der Unterschied zwischen p=none, p=quarantine und p=reject?
none: Empfänger prüfen und berichten, stellen aber alles zu. quarantine: Mails, die die Prüfung nicht bestehen, landen im Spam-Ordner. reject: Sie werden gar nicht angenommen. Einstieg immer mit none, Ziel ist reject.
Muss ich eine rua-Adresse angeben?
Pflicht ist sie nicht, aber ohne sie erfahren Sie nie, welche Systeme in Ihrem Namen senden — und können deshalb nicht gefahrlos verschärfen. Eine eigene Adresse wie dmarc@ihre-domain.at genügt; die Berichte kommen als ZIP-Dateien mit XML.
Was passiert ohne DMARC-Eintrag?
Empfänger können SPF und DKIM zwar prüfen, wissen aber nicht, was sie bei Fehlern tun sollen, und schicken keine Berichte. Google und Yahoo verlangen für Massenversender seit 2024 mindestens p=none; ohne Eintrag wird Post dort schlechter behandelt.
Gilt der DMARC-Eintrag auch für Subdomains?
Ja — die Richtlinie der Hauptdomain gilt für jede Subdomain, die keinen eigenen _dmarc-Eintrag hat. Mit sp= lässt sich für Subdomains eine eigene Regel setzen, etwa sp=none, solange eine Subdomain noch nicht sauber ist.