DMARC für kleine Firmen: Schritt für Schritt

SPF, DKIM und DMARC in einem Satz

• SPF ist ein TXT-Eintrag im DNS Ihrer Domain, der die Server auflistet, die E-Mails für die Domain versenden dürfen. RFC 7208 ↗
• DKIM versieht jede ausgehende Nachricht mit einer digitalen Signatur. Den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS unter einem Selektor, etwa selektor._domainkey.ihre-domain.de. RFC 6376 ↗
• DMARC verbindet beides mit der sichtbaren Absenderadresse: Eine Nachricht besteht, wenn SPF oder DKIM erfolgreich ist und zur Domain im Absender passt. Zusätzlich legen Sie fest, wie Empfänger mit durchgefallenen Nachrichten umgehen und wohin sie Berichte schicken. RFC 7489 ↗

Große Postfachanbieter wie Gmail und Yahoo verlangen seit 2024 von Absendern großer Mengen einen DMARC-Eintrag. Auch für kleine Firmen lohnt er sich: Er erschwert es, Rechnungen oder Zahlungsaufforderungen in Ihrem Namen zu fälschen.

Ein DMARC-Eintrag mit Platzhaltern

DMARC steht als TXT-Eintrag unter dem Namen _dmarc Ihrer Domain, nicht an der Domain selbst. Ein vorsichtiger Start sieht so aus:

Dazu gehört ein einziger SPF-Eintrag an der Domain selbst, zum Beispiel v=spf1 include:spf.ihr-mailanbieter.example -all. Welche include-Angaben richtig sind, nennt Ihr Mailanbieter. DKIM schalten Sie in der Verwaltung Ihres Mailanbieters ein; der Anbieter gibt den DNS-Eintrag vor.

Von none über quarantine zu reject

1. p=none: beobachten. Empfänger ändern nichts an der Zustellung, schicken aber Berichte. Sammeln Sie einige Wochen lang, welche Dienste in Ihrem Namen senden.
2. Lücken schließen. Newsletter-Tool, Webshop, Buchhaltung, Kontaktformular der Website: Jeder legitime Absender braucht SPF oder besser eine DKIM-Signatur mit Ihrer Domain.
3. p=quarantine: verdächtig einsortieren. Nachrichten, die DMARC nicht bestehen, landen beim Empfänger eher im Spam-Ordner. Beobachten Sie die Berichte weiter.
4. p=reject: ablehnen. Erst wenn die Berichte über längere Zeit nur noch fremde, unberechtigte Absender zeigen, weisen Empfänger durchgefallene Nachrichten ab.

Wie lange jede Stufe dauert, hängt davon ab, wie viele Dienste für Sie senden. Ein fester Zeitplan ist weniger wichtig als saubere Berichte.

Berichte per rua lesen

Die Adresse hinter rua= erhält Sammelberichte, meist täglich und als komprimierte XML-Datei. Sie zeigen, von welchen Servern Mails mit Ihrer Domain kamen und ob SPF, DKIM und DMARC bestanden haben. Lesbar werden sie mit einem Auswertungsdienst oder einem Werkzeug Ihres Mailanbieters.

Richten Sie für die Berichte ein eigenes Postfach ein, damit sie die normale Post nicht überfluten. Liegt die Adresse auf einer fremden Domain, etwa bei einem Auswertungsdienst, muss diese Domain den Empfang per DNS freigeben. Seriöse Dienste übernehmen das selbst.

Typische Fehler

• Zwei SPF-Einträge an derselben Domain. Dann ist SPF ungültig; alle Angaben gehören in einen Eintrag.
• Zu viele Verweise in SPF: Mehr als zehn DNS-Abfragen durch include und ähnliche Angaben lassen die Prüfung scheitern.
• Vergessene Absender wie Newsletter-Tool, CRM oder Webshop. Das fällt erst bei quarantine oder reject unangenehm auf.
• Direkt mit p=reject starten, ohne vorher Berichte gesehen zu haben.
• Eintrag am falschen Namen: DMARC an der Domain statt unter _dmarc.
• Berichte, die niemand liest. Ohne Auswertung bleibt p=none dauerhaft ein Zwischenstand.

Ihr nächster kleiner Schritt

Fragen Sie Ihren Mailanbieter nach dem passenden SPF-Eintrag und der DKIM-Einrichtung, und veröffentlichen Sie dann DMARC mit p=none und einer Berichtsadresse.

Der kostenlose Schnellcheck und die laufende Prüfung von DomainWache erkennen, ob für Ihre Domain ein SPF- und ein DMARC-Eintrag vorhanden ist. Ob die Einträge inhaltlich zu Ihren Absendern passen und ob DKIM eingerichtet ist, prüft DomainWache nicht. Dafür sind die DMARC-Berichte die richtige Quelle.