DMARC einrichten: Unternehmensdomain vor E-Mail-Spoofing schützen

Wenn eine Rechnung, Angebotsmail oder Kontaktbestätigung unter der eigenen Domain verschickt wird, erwarten Empfänger, dass sie tatsächlich vom Unternehmen stammt. Genau diese Erwartung nutzen Angreifer beim E-Mail-Spoofing aus: Sie setzen eine vertraute Absenderadresse ein, obwohl die Nachricht von einem fremden System kommt.

DMARC gibt Empfängerservern eine Anweisung für solche Fälle. Unternehmen können damit festlegen, wie E-Mails behandelt werden sollen, die SPF oder DKIM nicht passend zur sichtbaren Absenderdomain bestehen – und sie erhalten Berichte darüber, wer ihre Domain im Absenderfeld verwendet. Dieser Beitrag erklärt, wie eine Einführung ohne Ausfall legitimer Versandwege gelingt.

DMARC einrichten: Was das Protokoll zusätzlich zu SPF und DKIM leistet

SPF und DKIM sind die technische Grundlage. Ein SPF-Record beschreibt, welche Server für eine Domain senden dürfen. DKIM versieht eine Nachricht mit einer kryptografischen Signatur. Beide Verfahren prüfen jedoch jeweils technische Absenderinformationen, die für Empfänger häufig nicht sichtbar sind.

DMARC schaut auf die Domain im sichtbaren From:-Feld und verlangt eine passende Verbindung zu SPF oder DKIM. Fachlich heißt das Alignment: Mindestens eine erfolgreiche SPF- oder DKIM-Prüfung muss zur sichtbaren Absenderdomain passen. Das verhindert nicht jede betrügerische E-Mail, erschwert aber das Fälschen der eigenen Domain erheblich.

Verfahren	Kernaufgabe	Was DMARC ergänzt
SPF	Erlaubte Versandserver per DNS veröffentlichen	Prüft, ob die bestätigte Domain zur sichtbaren Absenderdomain passt
DKIM	Nachricht mit einer Domain signieren	Nutzt eine gültige, passende Signatur als Nachweis
DMARC	Richtlinie und Reporting veröffentlichen	Steuert den Umgang mit Fehlprüfungen und zeigt unbekannte Absender auf

Die technische Grundlage beschreibt die DMARC-Spezifikation RFC 7489: Sie verbindet bestehende Authentifizierung mit einer Richtlinie und Rückmeldungen von Empfängern. Ein DMARC-Eintrag ist daher kein Ersatz für SPF oder DKIM, sondern die Klammer um beide Verfahren.

Warum DMARC für Unternehmen praktisch relevant ist

DMARC wird oft erst zum Thema, wenn Newsletter im Spam landen. Der größere Nutzen liegt im Schutz der Absenderidentität. Betrügerische Nachrichten mit einer vertrauten Domain können Geschäftspartner, Kunden oder Mitarbeitende zu falschen Zahlungen, Passwort-Resets oder Dateneingaben verleiten. Eine Domain ohne abgestimmte Authentifizierung lässt sich leichter glaubwürdig imitieren.

Auch die Zustellbarkeit profitiert von einer belastbaren Versandbasis. Google verlangt für alle Absender an private Gmail-Konten mindestens SPF oder DKIM. Wer mehr als 5.000 Nachrichten pro Tag an Gmail-Konten sendet, braucht laut den aktuellen Richtlinien für E-Mail-Absender von Gmail SPF, DKIM und DMARC; dabei darf die DMARC-Richtlinie zunächst auf Beobachtung stehen. Google empfiehlt die vollständige Kombination grundsätzlich für alle Versanddomains.

Das ist kein Grund, den schärfsten Schutz sofort zu aktivieren. DMARC ist dann wirksam, wenn die bekannten Versandwege vorher vollständig erfasst sind. Gerade bei KMU senden oft mehrere Systeme im Namen derselben Domain:

• das normale Postfachsystem, etwa für persönliche Korrespondenz;
• die Website, etwa für Kontaktbestätigungen oder Passwort-Zurücksetzungen;
• Rechnungs-, CRM- oder Ticketsysteme;
• Newsletter- und Event-Tools;
• Shop-, Buchungs- oder Bewerbungsplattformen;
• externe Dienstleister, die im Auftrag Nachrichten versenden.

Ein vergessenes System ist nicht nur ein Technikdetail. Fehlt ihm die passende SPF- oder DKIM-Konfiguration, können seine legitimen Nachrichten in Quarantäne landen oder abgewiesen werden.

Die drei Richtlinien: beobachten, isolieren, ablehnen

Der DMARC-Parameter p bestimmt, was ein empfangender Server bei einem Fehlschlag tun soll. Er ist eine Bitte an den Empfänger, keine Garantie für eine identische Umsetzung bei jedem Provider. Die Reihenfolge der Einführung ist wichtiger als ein möglichst strenger Wert am ersten Tag.

Richtlinie	Bedeutung	Sinnvoller Einsatz
p=none	Nur beobachten und Berichte anfordern	Zum Start, um Absender und Fehlkonfigurationen zu erkennen
p=quarantine	Fehlgeschlagene Nachrichten bevorzugt als verdächtig behandeln	Wenn legitime Versandwege geprüft sind
p=reject	Fehlgeschlagene Nachrichten ablehnen lassen	Wenn die Domain umfassend abgesichert und überwacht ist

Mit p=none wird keine gefälschte Nachricht blockiert. Diese Phase ist trotzdem wertvoll: Die aggregierten Berichte zeigen, welche Versandquellen die Domain verwenden und ob SPF, DKIM und Alignment bestehen. Die Dateien sind technisch und können viele Quellen enthalten. Für kleine Teams lohnt sich daher ein Verfahren oder Dienst, der sie verständlich aufbereitet und Zugriff sowie Aufbewahrung geregelt hält.

So gelingt die Einführung ohne verlorene E-Mails

Ein praxistauglicher DMARC-Rollout beginnt mit einer Inventur, nicht mit einem DNS-Record. Wer die folgenden Schritte dokumentiert, reduziert das Risiko, dass wichtige Transaktionsmails ausfallen.

1. Absender erfassen. Alle Systeme sammeln, die mit der eigenen Domain im sichtbaren Absenderfeld senden. Dazu gehören auch Formulare, Scanner, ERP-Software und getrennte Marketing-Tools.
2. SPF und DKIM je Sender prüfen. Für jeden Weg klären, welche Domain SPF bestätigt und mit welcher Domain DKIM signiert. Die sichtbare From:-Domain muss dabei passend ausgerichtet sein.
3. DMARC zunächst auf Beobachtung stellen. Einen gültigen DNS-Eintrag mit p=none und einer Empfangsadresse für Berichte veröffentlichen. Die konkrete Syntax hängt von Domain, Berichtsweg und eingesetzten Subdomains ab.
4. Berichte über mehrere Versandzyklen auswerten. Nicht nur den Newsletter betrachten: Monatsabrechnung, Recruiting, Support, Website-Formulare und seltene Systemmails müssen vorkommen können.
5. Unbekannte Quellen einordnen. Manche Einträge zeigen Fehlkonfigurationen, andere können Missbrauchsversuche sein. Erst prüfen, dann aufnehmen oder ignorieren.
6. Schrittweise verschärfen. Nach der Bereinigung zunächst quarantine, bei stabiler Lage als Endstufe reject einsetzen. Bei vielen Domains oder komplexen Versandwegen kann eine schrittweise Quote sinnvoll sein.
7. Änderungen im Betrieb verankern. Ein neues CRM, ein neues Newsletter-Tool oder ein Website-Relaunch braucht vor dem Versand einen SPF-/DKIM- und DMARC-Check.

Der entscheidende Punkt ist nicht die Länge des DNS-Records, sondern die Zuordnung: Welche Anwendung darf unter welcher Domain senden? Ein Dienst kann zwar technisch erfolgreich signieren, aber dennoch bei DMARC scheitern, wenn seine Signatur zu einer fremden Domain gehört.

Häufige Stolperfallen bei SPF, DKIM und DMARC

Die meisten Probleme entstehen an Schnittstellen zwischen mehreren Anbietern. Diese Fälle sollten Teams vor einer Verschärfung gezielt testen:

Stolperfalle	Folge	Was hilft
Website-Formular nutzt den Besucher als Absender	SPF/DKIM können nicht zur eigenen Absenderdomain passen	Eigene Domain im From: setzen und die Besucheradresse als Reply-To verwenden
Newsletter-Tool signiert nur mit seiner eigenen Domain	DKIM kann für DMARC nicht ausgerichtet sein	Eigene Versanddomain beim Anbieter einrichten und testen
SPF enthält nicht alle Versanddienste	Legitimer Versand scheitert oder wird als Spam behandelt	Senderinventar pflegen und DNS-Änderungen kontrollieren
Weiterleitungen verändern Nachrichten	SPF oder DKIM können unterwegs brechen	Kritische Weiterleitungen testen und DKIM bevorzugt mitdenken
Subdomain wird für Marketing genutzt	Richtlinien greifen möglicherweise anders als erwartet	Hauptdomain und Subdomains als klar dokumentiertes Versandmodell planen

Wer Website- und Formularmails selbst betreibt, sollte diese Konfiguration bei Hosting-Wechseln nicht als Randthema behandeln. Webhosting & WordPress-Hosting umfasst bei Bajorat Media auch die technische Grundlage für zuverlässigen Website-Betrieb. Die konkrete E-Mail- und DNS-Konfiguration muss dabei immer zum eingesetzten Provider und den vorhandenen Systemen passen.

DMARC ist kein Freifahrtschein für den Posteingang

DMARC hebt den Ruf einer Domain nicht automatisch an und garantiert nicht, dass jede Nachricht im Posteingang landet. Empfänger bewerten zusätzlich Inhalt, Versandverhalten, Beschwerden, technische Infrastruktur und weitere Signale. Google nennt für große Absender zum Beispiel auch TLS, gültige DNS-Auflösung, geringe Spamraten und eine einfache Abmeldung bei Marketingmails.

Umgekehrt ersetzt DMARC keine Sensibilisierung gegen Phishing. Angreifer können andere Domains, ähnlich aussehende Schreibweisen oder kompromittierte Konten verwenden. Die beste Wirkung entsteht aus authentifizierten Versandwegen, nachvollziehbaren Prozessen und aufmerksamen Empfängern.

Fazit: Erst Transparenz schaffen, dann schützen

DMARC ist für Unternehmen ein sinnvoller Schritt, um die eigene Domain als Absender besser abzusichern und die E-Mail-Infrastruktur zu verstehen. Der risikoärmste Weg führt über eine vollständige Senderinventur, eine Beobachtungsphase mit Berichten und eine abgestufte Richtlinie.

Wer vor allem wissen möchte, wie autorisierte Server im DNS hinterlegt werden, findet die Grundlagen im Beitrag Was ist ein SPF-Record?. Für DMARC selbst gilt: Nicht den Record möglichst schnell veröffentlichen, sondern die E-Mail-Landschaft so weit prüfen, dass jede legitime Nachricht ihren passenden Authentifizierungsweg hat.