DMARC einrichten: So schützt du deine Domain vor E-Mail-Betrug

Warum deine Domain DMARC braucht

Dass jemand deine Domain missbraucht, merkst du oft erst spät. Betrüger können E-Mails verschicken, die scheinbar von deiner Adresse kommen, etwa Phishing oder gefälschte Rechnungen. Deine Kunden fallen darauf herein, und im schlimmsten Fall landen danach auch deine echten E-Mails im Spam-Ordner, weil deine Domain einen schlechten Ruf bekommen hat.

Eine Domain ohne diesen Schutz lädt Betrüger geradezu ein. Seit 2024 verlangen Google und Yahoo von Absendern, die viele E-Mails verschicken, einen DMARC-Eintrag. Aber auch mit wenig Versand lohnt er sich.

DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Damit legst du fest, was mit E-Mails passiert, die sich fälschlich als deine ausgeben. In diesem Beitrag zeige ich dir, wie du DMARC Schritt für Schritt einrichtest, ohne dass dabei deine eigenen E-Mails verloren gehen.

Warum SPF und DKIM allein nicht reichen

DMARC baut auf zwei Verfahren auf: SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail). Viele glauben, diese beiden reichen. Ohne DMARC bleibt aber eine Lücke, die ich dir gleich zeige.

SPF: Die Gästeliste für deine E-Mails

SPF funktioniert wie eine Gästeliste. In einem DNS-Eintrag legst du fest, welche Mailserver (IP-Adressen) E-Mails für deine Domain versenden dürfen. Mails von allen anderen Servern werden je nach Einstellung abgewiesen oder als verdächtig markiert.

Ein typischer SPF-Eintrag sieht so aus:

• v=spf1: Definiert die SPF-Version.
• mx und a: Erlauben den Mailservern, die in deinen MX- und A-Records definiert sind, den Versand.
• include:_spf.google.com: Erlaubt zusätzlich den Servern von Google Workspace den Versand.
• ~all: Markiert alle anderen Quellen als „Soft Fail“. Die Mails werden angenommen, landen aber wahrscheinlich im Spam. Strenger ist -all (Hard Fail), dann lehnt der Empfänger die Mail ab.

Der Haken: SPF prüft nur die technische Absenderadresse (Return-Path), nicht die Adresse im „From:“-Feld, die der Empfänger sieht. Ein Betrüger kann dort also weiterhin deinen Namen eintragen.

DKIM: Das Siegel für deine Nachrichten

DKIM ist wie ein Siegel auf jeder einzelnen E-Mail. Dein Mailserver erstellt mit einem privaten Schlüssel eine digitale Signatur und fügt sie in den E-Mail-Header ein. Der empfangende Server prüft diese Signatur mit dem öffentlichen Schlüssel, der in deinem DNS hinterlegt ist.

Stimmt die Signatur, wurde die E-Mail seit dem Versand nicht verändert. Aber auch hier gibt es eine Lücke: Ein Angreifer kann eine Mail mit gültiger DKIM-Signatur seiner eigenen Domain verschicken und im sichtbaren „From:“-Feld deine Domain angeben. Der Empfänger sieht deinen Namen, obwohl die Mail technisch von woanders kommt.

DMARC: Wie es SPF und DKIM verbindet

DMARC prüft, ob die Domain, die SPF oder DKIM bestätigt haben, mit der sichtbaren „From:“-Domain übereinstimmt. Das nennt man Alignment. Außerdem legst du fest, was mit Mails passieren soll, die diese Prüfung nicht bestehen.

Damit ist die Lücke geschlossen: Die technische Prüfung hängt jetzt an der Adresse, die dein Kunde tatsächlich sieht.

So arbeitet DMARC

1. Alignment-Prüfung: DMARC prüft, ob die Domain im „From:“-Header zu der Domain passt, die SPF oder DKIM bestätigt haben. Dieser Schritt verhindert, dass jemand deine Absenderadresse fälscht.
2. Richtlinie (Policy): Du legst fest, was mit E-Mails passiert, die die DMARC-Prüfung nicht bestehen. Dafür gibt es drei Stufen:
   • p=none: Die Beobachtungsphase. E-Mails werden normal zugestellt, du bekommst aber Berichte darüber, wer in deinem Namen versendet. Damit fängst du an.
   • p=quarantine: E-Mails, die durchfallen, landen im Spam-Ordner des Empfängers.
   • p=reject: Die strengste Stufe. Der empfangende Server lehnt Mails, die durchfallen, sofort ab.
3. Berichte: Du bekommst regelmäßig Berichte (Reports) darüber, welche E-Mails in deinem Namen verschickt wurden, echte wie gefälschte. Du siehst, welche Server für deine Domain senden und welche die Prüfung bestehen.

Schritt-für-Schritt-Anleitung: So aktivierst du DMARC

Wir richten DMARC in drei Phasen ein. Nimm dir dafür Zeit. Ein Fehler kann dazu führen, dass deine eigenen E-Mails nicht mehr ankommen.

Phase 1: Beobachten (p=none)

Zuerst sammelst du nur Daten, ohne den E-Mail-Verkehr zu beeinflussen.

1. DMARC-Record anlegen: Melde dich in der DNS-Verwaltung deiner Domain an. Leg einen neuen TXT-Eintrag für die Subdomain _dmarc.deinedomain.com an (ersetze deinedomain.com durch deine Domain).
2. Inhalt eintragen:

• v=DMARC1: Die DMARC-Version.
• p=none: Die Richtlinie. Wir starten mit „none“, damit nichts blockiert wird.
• rua=mailto:dmarc-reports@deinedomain.com: Die E-Mail-Adresse, an die die zusammengefassten Berichte (RUA) gehen. Leg diese Adresse vorher an.

Warten und auswerten: Die ersten Berichte kommen nach 24 bis 48 Stunden, und zwar im XML-Format, das schwer zu lesen ist. Ein Auswertungsdienst wie dmarcian oder Postmark macht daraus eine lesbare Übersicht. Oft tauchen dabei Absender auf, mit denen du nicht gerechnet hast.

Prüf anhand der Berichte, ob alle deine echten Versandquellen (z. B. Webserver, Newsletter-Tool, CRM) per SPF oder DKIM authentifiziert sind und das Alignment passt.

Du willst dich nicht selbst durch die DNS-Einträge arbeiten? Wir prüfen deine Domain im Rahmen einer E-Mail-Sicherheits-Analyse und richten SPF, DKIM und DMARC für dich ein.

Phase 2: Quarantäne (p=quarantine)

Bestehen alle deine echten E-Mails die DMARC-Prüfung, gehst du einen Schritt weiter. Die empfangenden Server sollen verdächtige E-Mails jetzt in den Spam-Ordner verschieben.

Ändere deinen DMARC-Record:

• p=quarantine: Die neue Richtlinie.
• pct=10: Mit pct (Percentage) legst du fest, für wie viel Prozent deiner E-Mails die Richtlinie gilt. Du startest mit 10 % und erhöhst den Wert über mehrere Tage schrittweise (z. B. 25 %, 50 %, 75 %), während du die Berichte weiter beobachtest. So merkst du rechtzeitig, wenn echte Mails hängen bleiben.

Wenn alles passt, setzt du pct auf 100.

Phase 3: Ablehnen (p=reject)

Das ist das Ziel. E-Mails, die die Prüfung nicht bestehen, werden gar nicht erst angenommen. Gefälschte Mails mit deiner Domain erreichen deine Kunden dann kaum noch.

Ändere deinen DMARC-Record ein letztes Mal:

Auch hier kannst du mit pct schrittweise vorgehen. Mit p=reject und pct=100 ist deine Domain so gut geschützt, wie es mit DMARC geht.

Fazit

DMARC einzurichten ist kein großes Projekt. Du schützt damit deine Marke und bewahrst deine Kunden und Partner vor Phishing-Mails, die in deinem Namen kommen.

Wichtig ist die Reihenfolge: erst beobachten, dann langsam verschärfen. Wer gleich mit p=reject startet, riskiert, dass Rechnungen oder Newsletter nicht mehr ankommen. Schau auch nach der Umstellung ab und zu in die Berichte, vor allem wenn du ein neues Tool einführst, das E-Mails verschickt.

Du willst DMARC, SPF und DKIM lieber von uns einrichten lassen? Schick uns eine Projektanfrage, dann schauen wir uns deine Domain an.

Weiterführende Quelle

• DMARC.org: die offizielle Seite zum Standard.