Domains & DNS
DMARC einrichten: Erst beobachten, dann gezielt verschärfen
Die sichtbare Absenderdomain prüfen und mit p=none beginnen, bevor echte Nachrichten versehentlich abgewiesen werden.
Auf dieser Seite
Was DMARC zusätzlich prüft
DMARC bezieht SPF beziehungsweise DKIM auf die im Nachrichtenkopf sichtbare Von-Domain. Ein erfolgreiches SPF- oder DKIM-Ergebnis allein genügt nicht immer: Es muss die erforderliche Zuordnung zur sichtbaren Domain passen. Der DMARC-Standard beschreibt diese Ausrichtung und die Richtlinien.
Vor dem ersten Eintrag
Erfassen Sie alle Versandquellen: Postfächer, Kontaktformulare, Shops, Rechnungen und Newsletter. Prüfen Sie deren SPF- und DKIM-Einrichtung. Wenn Sie diese Zuordnungen nicht sicher beurteilen können, lassen Sie sie zunächst prüfen.
Ein vorsichtiger Einstieg kann ein TXT-Eintrag unter _dmarc.example.com mit folgendem Inhalt sein:
v=DMARC1; p=none
Dieses Beispiel verlangt keine Ablehnung aufgrund der DMARC-Richtlinie. Es aktiviert aber ohne zusätzliche Berichtskonfiguration auch keinen automatischen Berichtseingang. Empfänger dürfen Nachrichten weiterhin aus anderen Gründen filtern.
Berichte bewusst einrichten
Für aggregierte Berichte wird zusätzlich eine geeignete Berichtadresse beziehungsweise ein Berichtdienst konfiguriert. Verwenden Sie kein erfundenes Postfach und keine fremde Adresse. Klären Sie Speicher, Zugriff und Auswertung. Bei einer Berichtadresse außerhalb Ihrer Domain kann eine zusätzliche DNS-Freigabe durch den Berichtempfänger nötig sein.
Schrittweise vorgehen
- Vorhandenen
_dmarc-Eintrag sichern und keinen zweiten unabhängigen DMARC-Datensatz anlegen. - Eine abgestimmte Beobachtungsrichtlinie veröffentlichen.
- Alle eigenen Versandwege mit neuen Testnachrichten kontrollieren.
- Berichte über einen geeigneten Zeitraum auswerten, soweit eingerichtet.
- Erst nach bereinigten legitimen Quellen eine strengere Richtlinie wie
quarantineoderrejectgezielt planen.
Nicht blind kopieren: Eine fremde strenge Richtlinie kann eigene Buchungsbestätigungen, Formulare oder Weiterleitungswege treffen. Eine fehlende Fehlermeldung beim Absender beweist nicht, dass alles korrekt zugestellt wird.
Bei Problemen
Vergleichen Sie sichtbare Von-Domain, SPF-Domain und DKIM-Signaturdomain einer neuen Testnachricht. Geben Sie vollständige Nachrichtenköpfe wegen möglicher personenbezogener Angaben nur über einen geeigneten vertraulichen Supportweg weiter.
Weiterführende Anleitungen
Offizielle Grundlagen
Hat Ihnen diese Anleitung geholfen?
Ihr Feedback hilft der Redaktion, die Anleitung zu verbessern. Für Fragen zu Ihrem Vertrag oder persönliche Unterstützung öffnen Sie bitte ein Ticket im Kundenportal.