Eine DMARC-Prüfung ruft den _dmarc-TXT-Eintrag Ihrer Domain ab und schlüsselt auf, was er Empfängern vorgibt. So lesen Sie dieses Ergebnis und handeln bei den Teilen, die am wichtigsten sind.
So lesen Sie Ihre DMARC-Prüfergebnisse
Der Checker meldet vier Dinge: ob ein gültiger v=DMARC1-Eintrag existiert, die Durchsetzungsrichtlinie (p=), den Ausrichtungsmodus für SPF und DKIM und wohin Berichte gesendet werden (rua/ruf). Ein gesundes Ergebnis hat einen Eintrag, eine Richtlinie stärker als none und mindestens eine aggregierte Reporting-Adresse, sodass Sie Einblick haben, wer als Ihre Domain sendet.
Die drei DMARC-Richtlinien: none, quarantine, reject
p=none– nur überwachen. Fehlgeschlagene Mail wird weiterhin zugestellt; Sie sammeln lediglich Berichte. Das ist der Ausgangspunkt, nicht das Ziel.p=quarantine– fehlgeschlagene Mail wird in den Spam-/Junk-Ordner geleitet. Der erste echte Durchsetzungsschritt.p=reject– fehlgeschlagene Mail wird direkt blockiert. Das ist das Ziel und was Domain-Imitation stoppt.
Der richtige Ausrollpfad ist none → quarantine → reject, wobei Sie erst dann höher gehen, wenn Ihre Berichte zeigen, dass jeder legitime Absender besteht. Dauerhaft auf p=none zu bleiben, ist der häufigste DMARC-Fehler – er bietet überhaupt keinen Schutz.
SPF- und DKIM-Ausrichtung: Warum DMARC selbst dann fehlschlägt, wenn SPF besteht
DMARC prüft nicht nur, ob SPF oder DKIM bestanden hat – es prüft, ob sie mit der Domain in der sichtbaren From-Adresse ausgerichtet sind. Eine Nachricht kann SPF für die eigene Domain des sendenden Dienstes bestehen und dennoch DMARC nicht bestehen, weil diese Domain nicht mit Ihrem From-Header übereinstimmt. Die aspf- und adkim-Tags steuern, wie strikt diese Übereinstimmung sein muss: r (relaxed) erlaubt Subdomains, s (strict) erfordert eine exakte Übereinstimmung; unser Leitfaden zum Verständnis der SPF-Ausrichtung erklärt den Unterschied ausführlich. Wenn ein gültiger SPF-Eintrag dennoch DMARC nicht besteht, ist Fehlausrichtung fast immer der Grund – und ein bestehender, ausgerichteter SPF-Eintrag setzt voraus, dass Ihr SPF überhaupt erst korrekt ist.
Häufige DMARC-Fehlkonfigurationen
- Kein Eintrag oder falscher Host. Der Eintrag muss unter
_dmarc.yourdomain.comliegen, nicht am Apex. - Zwei DMARC-Einträge. Nur einer ist erlaubt; ein zweiter macht beide ungültig.
- Festhängen auf
p=none. Ewiges Überwachen bietet null Durchsetzung. - Keine
rua-Adresse. Ohne aggregierte Berichte setzen Sie blind durch.
Aggregierte vs. forensische Berichte
Aggregierte Berichte (rua) sind tägliche XML-Zusammenfassungen jeder Quelle, die als Ihre Domain sendet, und ob sie bestanden hat – hier finden Sie unautorisierte Absender und bestätigen, dass Ihre eigenen ausgerichtet sind. Forensische Berichte (ruf) erfassen einzelne fehlgeschlagene Nachrichten zur genaueren Untersuchung. Um das rohe XML in etwas Lesbares zu verwandeln, parst und visualisiert unser Schwesterprodukt DMARC Report es für Sie.
DMARC, SPF und DKIM arbeiten zusammen
DMARC ist die Richtlinienebene über zwei Prüfungen: SPF (der sendende Server) und DKIM (eine Signatur, die beweist, dass die Nachricht nicht verändert wurde). Da die DMARC-Durchsetzung ein bestehendes, ausgerichtetes SPF-Ergebnis erfordert, ist es grundlegend, Ihren SPF-Eintrag gültig und unter dem 10-Lookup-Limit zu halten – AutoSPF übernimmt das automatisch. Das vollständige Bild finden Sie in unserem DMARC-Leitfaden.