Was ist DMARC?

Definition

Domain-based Message Authentication, Reporting, and Conformance ist die Richtlinienebene der E-Mail-Authentifizierung. SPF und DKIM führen jeweils für sich eine nützliche Prüfung durch, aber keiner von beiden betrachtet für sich genommen die From-Adresse, die ein Empfänger tatsächlich sieht, und keiner sagt einem empfangenden Server, was zu tun ist, wenn eine Prüfung fehlschlägt. DMARC füllt beide Lücken. Es weist Empfänger an, wie sie nicht authentifizierte Mail behandeln sollen, und es erzeugt Reports, die dem Domain-Inhaber Einblick geben, wie die Domain genutzt wird.

Der Name selbst beschreibt die drei Aufgaben, die es erfüllt. Der Authentifizierungsteil bedeutet, dass DMARC direkt auf den Ergebnissen von SPF und DKIM aufbaut. Der Reporting-Teil bedeutet, dass Empfänger dem Domain-Inhaber aggregierte Daten über Nachrichten schicken, die vorgeben, von der Domain zu stammen, einschließlich wie viele bestanden und wie viele durchgefallen sind. Der Conformance-Teil bedeutet, dass der Domain-Inhaber eine Richtlinie deklarieren kann, an die sich Empfänger halten sollen, die von keine Maßnahme über an Spam zustellen bis hin zu rundweg ablehnen reicht. Zusammen verwandeln diese SPF und DKIM von isolierten Prüfungen in eine durchsetzbare, beobachtbare Verteidigung der Identität der Domain.

So funktioniert es

Eine DMARC-Richtlinie wird als einzelner DNS-TXT-Record auf der Subdomain _dmarc.yourdomain.com veröffentlicht. Der Record beginnt mit v=DMARC1, gibt die gewünschte Richtlinie in einem p=-Tag an und enthält in der Regel ein rua=-Tag mit einer Adresse, an die aggregierte Reports gesendet werden sollen. Wenn eine Nachricht eintrifft, führt der empfangende Server SPF und DKIM wie gewohnt aus und nimmt dann die DMARC-Auswertung auf Basis dieser Ergebnisse vor.

Das Herzstück von DMARC ist die Ausrichtung (Alignment). Es reicht nicht aus, dass SPF oder DKIM einfach bestehen. Die Domain, die diese Prüfungen validiert haben, muss außerdem mit der Domain übereinstimmen, die im sichtbaren From-Header steht – denn genau diese sichtbare Absenderadresse zu schützen, ist der eigentliche Sinn von DMARC. Es gibt zwei Alignment-Modi. Relaxed Alignment, die Voreinstellung, akzeptiert eine Übereinstimmung auf Ebene der organisatorischen Domain, sodass eine Subdomain mit ihrer übergeordneten Domain übereinstimmen kann. Strict Alignment verlangt eine exakte Domain-Übereinstimmung. DMARC besteht, wenn mindestens eine der beiden Prüfungen – SPF oder DKIM – besteht und gleichzeitig mit der From-Domain übereinstimmt. Deshalb kann eine Nachricht SPF oder DKIM für sich genommen bestehen und bei DMARC trotzdem durchfallen, wenn die validierte Domain nicht zur From-Adresse passt – eine häufige Überraschung, wenn Absender ihre Richtlinie zum ersten Mal verschärfen.

Wenn eine Nachricht DMARC nicht besteht, wendet der Empfänger die veröffentlichte Richtlinie an. Eine Richtlinie mit p=none bittet den Empfänger, keine besondere Maßnahme zu ergreifen und die Nachricht lediglich in den Reports zu erfassen – das ist die Monitoring-Einstellung. Eine Richtlinie mit p=quarantine bittet den Empfänger, fehlgeschlagene Mails mit Misstrauen zu behandeln, in der Regel indem er sie in den Spam-Ordner verschiebt. Eine Richtlinie mit p=reject bittet den Empfänger, fehlgeschlagene Mails vollständig zu blockieren, sodass sie weder ins Postfach noch in den Spam-Ordner gelangen. Empfohlen ist ein schrittweises Vorgehen: Starte mit none, werte die Aggregate-Reports aus, um sicherzustellen, dass jede legitime Versandquelle authentifiziert und ausgerichtet ist, gehe dann zu quarantine über und schließlich zu reject, sobald die Daten zeigen, dass es sicher ist. Eine strenge Richtlinie durchzusetzen, bevor das Setup vollständig ist, kann dazu führen, dass eine Domain ihre eigene legitime Mail blockiert.

Warum das für die E-Mail-Zustellbarkeit wichtig ist

DMARC ist aus zwei zusammenhängenden Gründen wichtig. Der erste ist Sicherheit. Ohne DMARC kann ein Angreifer Phishing-Mails versenden, die die exakte Domain eines vertrauenswürdigen Unternehmens in der From-Adresse anzeigen, denn SPF und DKIM allein überwachen dieses sichtbare Feld nicht. Eine DMARC-Richtlinie mit quarantine oder reject erlaubt es dem echten Domain-Inhaber, die Mailbox-Provider weltweit anzuweisen, diese gefälschte Mail zu stoppen, bevor sie jemanden erreicht. Der zweite Grund ist die Zustellbarkeit. Ein DMARC-Eintrag signalisiert Providern, dass eine Domain Authentifizierung ernst nimmt, was die Reputation der Domain und ihre Platzierung im Postfach unterstützt.

DMARC ist außerdem zu einer harten Voraussetzung geworden. Unter den Absenderanforderungen von Google und Yahoo aus dem Jahr 2024 müssen Massenversender einen DMARC-Eintrag mit einer Richtlinie von mindestens p=none veröffentlichen, und sie müssen sich so mit SPF und DKIM authentifizieren, dass sie unter DMARC ausgerichtet sind. Eine Domain ohne DMARC-Eintrag kann erleben, dass ihre Massenmails gedrosselt oder abgewiesen werden. Gleichzeitig sind die Reports, die DMARC liefert, für sich genommen wertvoll, denn sie offenbaren jeden Dienst, der unter der Domain Mail versendet. Diese Sichtbarkeit hilft einem Absender, zu bestätigen, dass alle seine legitimen Tools – von Marketing-Plattformen bis zu Support-Systemen – korrekt authentifizieren, bevor eine strengere Richtlinie durchgesetzt wird.

So geht VeriMails damit um

DMARC und E-Mail-Verifizierung schützen die Zustellbarkeit von zwei entgegengesetzten Enden der Nachricht aus. DMARC schützt deine Domain-Identität bei der Mail, die du versendest, und stellt sicher, dass Empfänger darauf vertrauen können, dass eine Nachricht, die angeblich von deiner Domain kommt, das auch wirklich tut. Die E-Mail-Verifizierung schützt die Qualität der Liste, an die du versendest, und stellt sicher, dass jede Adresse echt und erreichbar ist. Eine Domain kann eine makellose DMARC-Richtlinie haben und ihrer Reputation trotzdem schaden, indem sie an tote Adressen versendet – die beiden Praktiken ergänzen sich also, statt sich zu überschneiden.

VeriMails kümmert sich um die Empfängerseite. Jede Adresse, die du einreichst, wird durch Syntaxprüfung, einen MX- und DNS-Lookup, einen Live-SMTP-Handshake, Catch-All-Erkennung, Erkennung von Wegwerf-Adressen und Erkennung rollenbasierter Adressen geprüft. So werden die ungültigen Adressen entfernt, die zu Bounces führen und die Reputation untergraben würden, die deine DMARC-, SPF- und DKIM-Einträge schützen sollen. Auf der Authentifizierungsseite bietet VeriMails einen kostenlosen DMARC-Generator, der einen korrekt formatierten Eintrag erstellt, damit du im Monitoring-Modus starten und die Richtlinie verschärfen kannst, sobald deine Reports bestätigen, dass es sicher ist. Du kannst eine Liste über die REST-API oder einen CSV-Massenupload verifizieren – mit klaren Zustellbarkeits-Kategorien für deine Kampagnenentscheidungen. Die Verifizierung beginnt bei $0.0019 pro E-Mail, mit 10.000 Credits für $19 und Jahresplänen ab $12.50/month bei jährlicher Abrechnung. Jedes Konto startet mit 100 kostenlosen Credits, ohne Kreditkarte, die nie verfallen.

Häufig gestellte Fragen