DMARC-Record-Generator

So wählst du die richtige DMARC-Policy

DMARC wird als TXT-Record veröffentlicht unter _dmarc.example.com. Es ersetzt weder SPF noch DKIM. Stattdessen prüft es, ob SPF oder DKIM zur sichtbaren From-Domain passt, und wendet dann die von dir veröffentlichte Policy an. Eine neue Domain startet meist mit p=none damit du Reports sammeln kannst, ohne Mail zu blockieren. Sobald du weißt, dass alle legitimen Absender authentifiziert sind, kannst du wechseln zu p=quarantine und schließlich zu p=reject.

Die Reporting-Adresse in rua erhält Aggregate-Reports von teilnehmenden Mailbox-Providern. Diese Reports zeigen dir, welche Dienste für die Domain versenden, welche die Authentifizierung bestehen und welche SPF- oder DKIM-Korrekturen brauchen. Forensische Reports in ruf sind optional und werden nicht von jedem Provider zuverlässig unterstützt, deshalb verlassen sich viele Teams vor allem auf Aggregate-Reporting.

Mit der Prozenteinstellung kannst du die Durchsetzung schrittweise ausrollen. Eine Domain kann zum Beispiel für einen kleinen Anteil der fehlschlagenden Mail von Monitoring auf Quarantäne wechseln, bevor die Policy für die gesamte Mail gilt. Das ist praktisch, wenn mehrere Teams oder Plattformen von einer Domain aus versenden.

DMARC-Setup für Kampagnen- und Produktversand

Bei Marketing-, Sales- und Produkt-Mails sollte DMARC mit Listenhygiene und Absender-Monitoring kombiniert werden. Die Authentifizierung senkt das Risiko von Identitätsmissbrauch und hilft Mailbox-Providern, deine Absenderidentität zu verstehen. Ungültige Adressen macht sie dadurch nicht zustellbar. Bevor du an eine große CSV versendest, verifiziere die Liste mit bulk verification oder teste einzelne Adressen mit dem E-Mail-Verifier.

Wenn du eine neue Domain einrichtest, nutze den SPF-Generator and DKIM-Generator zuerst. Erzeuge dann DMARC, veröffentliche es und führe den DMARC checker aus. Eine Bounce-Rate unter 3 % ist gesund; 3 bis 5 % brauchen Aufräumen und Aufmerksamkeit; über 5 % ist ein hohes Risiko für die Absender-Reputation.

DMARC-Rollout-Checkliste

Spring nicht direkt zu einer strikten Policy, es sei denn, die Domain hat einen einfachen Versand-Footprint und jeder Absender ist bereits verifiziert. Die meisten Teams sollten erst überwachen, Aggregate-Reports prüfen, die Quellen reparieren, die am Alignment scheitern, und die Policy dann in Stufen verschärfen. So blockierst du keine legitimen Rechnungen, Support-Antworten, Passwort-Resets oder Kampagnen-Mails, die noch nicht vollständig authentifiziert waren.

Nutze ein Reporting-Postfach, das auch wirklich jemand prüft, oder leite die Reports in einen Monitoring-Dienst. Der Wert von DMARC-Reporting liegt in der Sichtbarkeit: Es zeigt, welche Systeme die Domain nutzen und ob sie das SPF- oder DKIM-Alignment bestehen. Diese Info ist besonders nützlich, wenn mehrere Teams unterschiedliche E-Mail-Plattformen verwalten.

Entscheide bei Subdomains, ob die Root-Policy gelten soll oder die Subdomain eine eigene Policy braucht. Viele Teams halten Outreach, Newsletter und Produkt-Mail auf getrennten Subdomains, damit DNS-Änderungen und Reputationssignale leichter zu steuern sind.