So implementieren Sie DMARC: Eine Schritt-für-Schritt-Anleitung zur Implementierung
von
Zuletzt aktualisiert: 9 Lesezeit: 9 Minuten
Wichtigste Erkenntnisse
- Die Implementierung von DMARC setzt funktionierende SPF- und DKIM-Einstellungen voraus, da DMARC auf beiden aufbaut und ohne diese nicht durchgesetzt werden kann.
- Sie implementieren DMARC, indem Sie einen einzigen TXT-Eintrag mit dem Namen _dmarc in Ihrem DNS veröffentlichen; dieser Eintrag ist bei allen Anbietern identisch.
- Wo Sie den Eintrag hinzufügen und DMARC konfigurieren, hängt von der jeweiligen Plattform ab. Daher sind bei Google Workspace, Microsoft 365, GoDaddy und Cloudflare jeweils leicht unterschiedliche Schritte erforderlich.
- Führen Sie DMARC schrittweise ein, indem Sie von „p=none“ über „quarantine“ zu „reject“ übergehen, damit Sie eine vollständige Durchsetzung erreichen, ohne legitime E-Mails zu blockieren.
- Nach der Implementierung können Sie anhand Ihrer DMARC-Berichte erkennen, wer im Namen Ihrer Domain E-Mails versendet, und sich vergewissern, dass eine Verschärfung der Richtlinien unbedenklich ist.
- Ein automatisiertes Tool wie PowerDMARC beschleunigt die Implementierung, indem es die Erstellung von Datensätzen, die Auswertung von Berichten und die geführte DMARC-Verwaltung übernimmt, sodass Sie die XML-Rohdaten nicht manuell auswerten müssen.
E-Mails sind nach wie vor das erste Mittel der Wahl für die meisten Angreifer, wenn sie sich als eine Marke ausgeben wollen. Wenn Ihre Domain nicht geschützt ist, kann jeder E-Mails versenden, die so aussehen, als kämen sie von Ihnen, und Ihre Kunden haben keine zuverlässige Möglichkeit, den Unterschied zu erkennen. Das Erlernen der DMARC-Implementierung ist der direkteste Weg, diese Lücke zu schließen. Dieser Leitfaden führt Sie Schritt für Schritt durch die Implementierung von DMARC, einschließlich der DNS-Einrichtung für Google Workspace, Microsoft 365, GoDaddy und Cloudflare, und erklärt, wie Sie sicher von der Überwachung zur vollständigen Durchsetzung übergehen können.
Sie können DMARC manuell implementieren, indem Sie Ihre DNS-Einträge selbst bearbeiten, oder Sie können den gesamten Prozess mit PowerDMARC automatisieren und alle Richtlinien über ein einziges Dashboard verwalten. Dieser Leitfaden behandelt die manuelle Vorgehensweise ausführlich und zeigt auf, wo Sie durch die Automatisierung Zeit sparen können.
Weiterführende Lektüre: Leitfaden zur DMARC-Einrichtung
Was Sie vor der Implementierung von DMARC benötigen
DMARC führt selbst keine Authentifizierung von E-Mails durch. Es baut auf SPF und DKIM auf und überprüft, ob mindestens eines dieser Verfahren erfolgreich ist und mit der Domain in Ihrer Absenderadresse übereinstimmt. Aus diesem Grund müssen drei Voraussetzungen erfüllt sein, bevor Sie eine Richtlinie veröffentlichen können.
- Zugriff auf Ihr DNS: Sie veröffentlichen den DMARC-Eintrag als DNS-TXT-Eintrag. Daher benötigen Sie einen Login-Zugang zu dem Ort, an dem Ihr DNS verwaltet wird – sei es bei Ihrem Registrar, einem Hosting-Anbieter oder einem Dienst wie Cloudflare.
- Ein funktionierender SPF-Eintrag: Im SPF-Eintrag sind die Server und Dienste aufgeführt, die E-Mails für Ihre Domain versenden dürfen. Wenn Sie beispielsweise über Google Workspace versenden, enthält Ihr Eintrag „_spf.google.com“.
- DKIM-Signatur aktiviert: DKIM fügt Ihren ausgehenden E-Mails eine kryptografische Signatur hinzu, sodass Empfänger überprüfen können, ob die E-Mail während der Übertragung nicht verändert wurde und tatsächlich von Ihrer Domain stammt.
Zusammen ermöglichen diese Ihnen die Implementierung von SPF, DKIM und DMARC als vollständigen Authentifizierungsstack. Sobald SPF und DKIM Ihre E-Mails einige Tage lang fehlerfrei signiert haben, können Sie DMARC hinzufügen.
So implementieren Sie DMARC Schritt für Schritt
Der Kernprozess ist auf jeder Plattform derselbe. Dies sind die sieben Schritte, die Sie von Null zu einer überwachten und durchgesetzten Richtlinie führen.
Schritt 1: Überprüfen Sie, ob SPF und DKIM aktiv sind
Stellen Sie sicher, dass Ihr SPF-Eintrag vorhanden ist und alle Dienste enthält, die E-Mails in Ihrem Namen versenden, und dass DKIM aktiviert ist und Signaturen erstellt. Beides können Sie mit unseren Tools „SPF Checker“ und „DKIM Checker“ überprüfen. Lassen Sie die Signaturen mindestens 48 Stunden lang einwandfrei laufen, bevor Sie DMARC aktivieren, damit die Empfänger E-Mails auswerten, die bereits authentifiziert sind, und nicht Einträge, von denen sie gerade erst erfahren haben.
Schritt 2: Legen Sie fest, wohin die Berichte gesendet werden sollen
DMARC sendet Ihnen Sammelberichte als XML-Dateien. Wählen Sie ein spezielles Postfach oder eine Gruppe zum Speichern dieser Berichte aus, beispielsweise [email protected], anstatt sie an einen persönlichen Posteingang weiterzuleiten, wo sie ungelesen liegen bleiben. Diese Adresse geben Sie im „rua“-Tag Ihres Eintrags an.
Schritt 3: Erstellen Sie Ihren DMARC-Eintrag
Erstellen Sie den Eintrag mit unserem kostenlosen DMARC-Eintragsgenerator.
Ein Anfänger-Datensatz sieht folgendermaßen aus:
v=DMARC1; p=none; rua=mailto:[email protected]; adkim=r; aspf=r
Die einzelnen Tags haben folgende Funktionen:
- v=DMARC1 gibt die Version an und muss immer an erster Stelle stehen.
- „p=none“ weist die Empfänger an, vorerst keine Maßnahmen zu ergreifen und lediglich Berichte zu senden. Dies ist Ihre Überwachungsrichtlinie.
- Unter „rua=“ werden die aggregierten Berichte bereitgestellt.
- adkim=r und aspf=r legen eine lockere Zuordnung fest, wodurch Subdomains mit Ihrer Hauptdomain abgeglichen werden können. Die Einstellung „relaxed“ eignet sich für die meisten Konfigurationen; „strict“ (s) erfordert eine exakte Übereinstimmung und führt häufig zu Problemen bei Absendern von Drittanbietern.
Ein Hinweis zu neueren Datensätzen
The pct, rf and ri tags that older guides show have been deprecated by RFC 9989, the updated DMARC standard published in May 2026. Existing records that still use them keep working, because receivers ignore unknown tags, but you should leave them out of new records. To roll out a policy gradually under the new standard, use test mode (t=y) instead of pct. More on that in the roadmap section below.
Schritt 4: Veröffentlichen Sie den Eintrag in Ihrem DNS
Fügen Sie den generierten Eintrag als TXT-Eintrag mit dem Hostnamen _dmarc hinzu (sodass er auf _dmarc.yourdomain.com aufgelöst wird). Fügen Sie die vollständige Richtlinienzeichenfolge in das Feld „Wert“ oder „Inhalt“ ein und speichern Sie die Eingabe. Anbieterspezifische Anweisungen finden Sie im nächsten Abschnitt.
Schritt 5: Überprüfen Sie, ob der Eintrag live ist
Es kann zwischen einigen Minuten und 48 Stunden dauern, bis sich DNS-Änderungen durchgesetzt haben. Sobald dies der Fall ist, führen Sie unseren DMARC-Checker aus, um sicherzustellen, dass der Eintrag korrekt veröffentlicht wurde und keine Syntaxfehler aufweist.
Schritt 6: Überwachen Sie Ihre Berichte und lesen Sie sie durch
Sobald „p=none“ eingerichtet ist, treffen die aggregierten Berichte an Ihrer RUA-Adresse ein. Darin erfahren Sie, welche Absender E-Mails unter Ihrer Domain versenden und ob diese jeweils die SPF- und DKIM-Prüfung bestehen. Da das Roh-XML schwer lesbar ist, wandelt PowerDMARC die Daten in übersichtliche Tabellen und Diagramme auf dem Dashboard des DMARC Report Analyzer um, wodurch sich Probleme bei der Zustellbarkeit und Authentifizierungsfehler wesentlich leichter erkennen lassen.
Schritt 7: Auf die Durchsetzung hinarbeiten
Sobald Ihre Berichte durchgängig zeigen, dass alle Ihre legitimen Absender die Authentifizierung bestehen, verschärfen Sie die Richtlinie von „Keine“ auf „Quarantäne“ und schließlich auf „Ablehnen“. Die Nutzung einer gehosteten DMARC-Lösung hilft dabei, den Weg zur Durchsetzung zu vereinfachen und zu automatisieren, ohne die Zustellbarkeit von E-Mails zu beeinträchtigen. Lassen Sie den DMARC Analyzer auch danach weiterlaufen, damit Sie neue Absenderquellen oder Spoofing-Versuche sofort erkennen, sobald sie auftreten.
So implementieren Sie DMARC bei den wichtigsten Anbietern
Der Eintrag selbst ist überall identisch. Was sich ändert, ist, wo man ihn einfügt und – bei einigen Anbietern – wo DKIM gespeichert wird. Hier ist die Kurzfassung für die vier gängigsten Plattformen.
Google Workspace (Gmail)
DMARC wird nicht in der Google Admin-Konsole konfiguriert. Dort aktivieren Sie zwar DKIM, der Eintrag selbst wird jedoch bei Ihrem Domain-Host veröffentlicht.
- Aktivieren Sie DKIM in der Verwaltungskonsole unter „Apps“ > „Google Workspace“ > „Gmail“ > „E-Mail-Authentifizierung“.
- Stellen Sie sicher, dass Ihr SPF-Eintrag „_spf.google.com“ enthält.
- Melden Sie sich bei Ihrem Domain-Host an und fügen Sie einen TXT-Eintrag mit dem Namen „_dmarc“ hinzu, dessen Wert Ihrer Policy-Zeichenfolge entspricht.
- Speichern Sie den Eintrag und überprüfen Sie ihn mit dem DMARC-Checker.
Eine ausführliche Anleitung finden Sie unter „So richten Sie DMARC für Google Workspace (Gmail) ein“.
Microsoft 365 / Outlook
Microsoft verwaltet DKIM über zwei CNAME-Einträge statt über einen TXT-Eintrag, daher ist die Reihenfolge der Schritte hier entscheidend.
- Stellen Sie sicher, dass Ihr SPF-Eintrag „spf.protection.outlook.com“ enthält.
- Veröffentlichen Sie die beiden DKIM-CNAME-Einträge und warten Sie, bis sie aufgelöst sind.
- Aktivieren Sie die DKIM-Signatur im Microsoft Defender-Portal unter „E-Mail und Zusammenarbeit“ > „Richtlinien und Regeln“ > „Bedrohungsrichtlinien“ > „DKIM“. Schalten Sie den Schalter erst um, nachdem die CNAME-Einträge übernommen wurden, da eine vorzeitige Aktivierung zu einem Verifizierungsfehler führt.
- Fügen Sie bei Ihrem DNS-Host den DMARC-TXT-Eintrag mit dem Namen _dmarc hinzu.
- Überprüfen Sie den Eintrag mit dem DMARC-Checker.
Eine ausführliche Anleitung finden Sie unter „So richten Sie DMARC für Microsoft 365 ein“.
GoDaddy
- Melden Sie sich bei GoDaddy an und öffnen Sie „Meine Produkte“.
- Wählen Sie „DNS“ oder „DNS verwalten“ für Ihre Domain aus.
- Klicken Sie im Abschnitt „Einträge“ auf „Hinzufügen“ und wählen Sie als Typ „TXT“ aus.
- Geben Sie _dmarc als Namen ein und fügen Sie Ihre Richtlinie in das Wertefeld ein.
- Speichern Sie die Änderungen und warten Sie bis zu 48 Stunden, bis sie übernommen sind.
Falls bereits ein DMARC-Eintrag vorhanden ist, bearbeiten Sie diesen, anstatt einen zweiten hinzuzufügen, da eine Domain genau einen Eintrag haben muss.
Eine detaillierte Anleitung finden Sie unter „So richten Sie DMARC für GoDaddy ein“.
Cloudflare
- Melden Sie sich im Cloudflare-Dashboard an und wählen Sie Ihre Domain aus.
- Öffnen Sie die Registerkarte „DNS“ und klicken Sie auf „Eintrag hinzufügen“.
- Wählen Sie als Typ „TXT“ aus und geben Sie als Namen „_dmarc“ ein.
- Fügen Sie Ihre Richtlinien in das Inhaltsfeld ein und speichern Sie sie.
Die Aktualisierung bei Cloudflare erfolgt in der Regel schnell, oft in weniger als fünf Minuten.
Eine detaillierte Anleitung finden Sie unter „So richten Sie DMARC für Cloudflare ein“.
DMARC-Implementierung abgeschlossen. Wie geht es nun weiter?
Die Veröffentlichung des Eintrags ist der Anfang, nicht das Ende. Der sicherste Weg, den Status „p=reject“ zu erreichen, ist eine schrittweise Einführung, bei der Sie sich in jeder Phase genügend Zeit für die Überwachung nehmen, um legitime Absender zu erkennen, bevor sie blockiert werden.
| Phase | Richtlinie | Überwachen auf | Zweck |
|---|---|---|---|
| 1 – Monitor | p=kein | 2–4 Wochen | Berichte erfassen, jeden legitimen Absender identifizieren, keine Auswirkungen auf die Zustellung |
| 2 – Quarantäne | p=Quarantäne | 2–4 Wochen | Leiten Sie fehlerhafte E-Mails in den Spam-Ordner weiter, bis Sie sich vergewissert haben, dass keine legitimen E-Mails dabei sind |
| 3 – Durchsetzen | p=ablehnen | Laufend | Blockieren Sie gefälschte E-Mails vollständig, um umfassenden Schutz zu gewährleisten |
Gemäß RFC 9989 wurde der ältere Ansatz, das „pct“-Tag schrittweise von 25 auf 100 zu erhöhen, aufgegeben. Wenn Sie eine strengere Richtlinie testen möchten, ohne bei Verstößen sofort Maßnahmen zu ergreifen, veröffentlichen Sie Ihre Zielrichtlinie mit dem Testmodus-Tag „t=y“, überprüfen Sie die Berichte und entfernen Sie das Tag oder setzen Sie „t=n“, sobald Sie bereit sind, die Richtlinie tatsächlich durchzusetzen.
Bewährte Praktiken bei der DMARC-Implementierung
- Erst beobachten, dann durchsetzen: Lehnen Sie niemals sofort ab. Verbringen Sie ausreichend Zeit bei „p=none“, damit Sie zunächst alle legitimen Absender identifizieren können.
- Achten Sie auf die Übereinstimmung, nicht nur auf „bestanden“ oder „nicht bestanden“: Eine Quelle kann SPF oder DKIM bestehen und dennoch bei DMARC durchfallen, wenn die authentifizierte Domain nicht mit Ihrer „From“-Domain übereinstimmt. In den Berichten werden Ihnen beide Angaben angezeigt.
- Richtlinie für Subdomains festlegen: Verwenden Sie das „sp“-Tag, wenn Subdomains einer anderen Richtlinie als Ihre Hauptdomain unterliegen sollen. Ohne dieses Tag übernehmen sie die übergeordnete Richtlinie.
- Verwenden Sie eine spezielle Adresse für Meldungen: Leiten Sie Meldungen nicht an Ihren privaten Posteingang weiter, damit sie auch tatsächlich geprüft werden.
- Weiterführende Überwachung nach der Umsetzung: Im Laufe der Zeit kommen neue Marketing-Tools, CRM-Systeme und Anbieter hinzu, und jedes davon stellt eine neue Absenderquelle dar, die sich authentifizieren muss.
Häufige Herausforderungen bei der DMARC-Implementierung (und Lösungen)
Die Implementierung von DMARC garantiert nicht automatisch, dass künftig alles reibungslos funktioniert. Im Folgenden finden Sie einige häufige Herausforderungen bei der DMARC-Implementierung sowie einfache Lösungen, die auch ohne technisches Fachwissen umgesetzt werden können:
1. Überschreitung des Abfrage-Limits für SPF 10
Ursache: SPF erlaubt maximal 10 DNS-Abfragen, und durch die Verkettung mehrerer „include:“-Anweisungen wird diese Grenze überschritten, was zu einem PermError führt.
Lösung: Optimieren Sie Ihren Eintrag mit der Hosted-SPF-Lös ung von PowerDMARC, damit er dynamisch innerhalb des Limits aufgelöst wird.
2. Die Weiterleitung führt zu einem Verstoß gegen die SPF-Regeln
Ursache: Beim Weiterleiten von E-Mails ändert sich die Absender-IP-Adresse, wodurch die SPF-Prüfung auf der Empfängerseite fehlschlägt.
Lösung: Setzen Sie neben SPF auch auf DKIM, da eine gültige DKIM-Signatur in der Regel auch bei der Weiterleitung erhalten bleibt und dafür sorgt, dass DMARC weiterhin den Test besteht.
3. Abweichungen bei der DKIM-Zuordnung
Ursache: Ein Absender eines Drittanbieters signiert mit seiner eigenen Domain statt mit Ihrer, sodass die Signatur zwar gültig ist, aber nicht mit Ihrer „Von“-Domain übereinstimmt.
Lösung: Konfigurieren Sie gemeinsam mit dem Anbieter ein benutzerdefiniertes DKIM, sodass die signierende Domain mit Ihrer übereinstimmt.
4. Zu schnelles Durchsetzen
Grund: Wenn Sie die Option „Ablehnen“ aktivieren, bevor Ihre Berichte bereinigt sind, werden legitime Absender blockiert, die noch nicht bestätigt wurden.
Lösung: Halten Sie sich an den stufenweisen Zeitplan und verschärfen Sie die Richtlinien erst dann, wenn aus den Berichten hervorgeht, dass alle legitimen E-Mails durchgelassen werden.
5. Mehrere SPF- oder DMARC-Einträge
Ursache: Eine Domain darf nur einen SPF-Eintrag und einen DMARC-Eintrag haben; Duplikate führen dazu, dass die Authentifizierung fehlschlägt.
Lösung: Führen Sie mehrere SPF-Einträge zu einem zusammen und behalten Sie einen einzigen DMARC-Eintrag bei.
Schnellere DMARC-Implementierung mit PowerDMARC
Das Veröffentlichen eines Datensatzes ist nur der erste Schritt. Der Großteil der laufenden Arbeit besteht darin, den Überblick über Berichte zu behalten, neue Absender zu identifizieren und die zuständigen Behörden sicher zu erreichen – und genau das übernimmt PowerDMARC für Sie.
- Aggregierte Berichte werden aus komplexem XML in übersichtliche Tabellen und Diagramme umgewandelt, sodass Sie auf einen Blick erkennen können, was gerade vor sich geht.
- Die forensischen Berichte werden mit Ihrem eigenen privaten Schlüssel verschlüsselt, auf den nicht einmal wir Zugriff haben.
- Geplante PDF-Berichte können automatisch oder auf Abruf erstellt werden, um sie mit Ihrem Team zu teilen.
- Die Plattform vereint BIMI, MTA-STS und TLS-RPT neben der Standardauthentifizierung.
- Dank der SPF-Flattening-Funktion und der Fehlerbehandlung vermeiden Sie das Limit von 10 Lookups und andere häufige Konfigurationsfehler.
Sind Sie bereit, Ihre Domain zu schützen? Starten Sie eine kostenlose Testphase oder vereinbaren Sie eine Demo mit PowerDMARC und sorgen Sie für die Durchsetzung Ihrer Richtlinien, ohne auch nur eine einzige legitime E-Mail zu blockieren.
Häufig gestellte Fragen
Ist die Einrichtung und Verwaltung von DMARC schwierig?
Bei DMARC ist die Ersteinrichtung unkompliziert: SPF und DKIM bestätigen, einen Eintrag generieren und einen TXT-Eintrag in Ihrem DNS veröffentlichen. Der schwierigere Teil ist die laufende Verwaltung, das Auswerten von Berichten und die sichere Umsetzung der Durchsetzungsmaßnahmen – und genau hier übernimmt ein automatisiertes Tool den Großteil des manuellen Aufwands.
Wie funktioniert DMARC, einfach ausgedrückt?
DMARC überprüft, ob eine eingehende E-Mail die SPF- oder DKIM-Prüfung besteht und ob die authentifizierte Domain mit der in der Absenderadresse angegebenen übereinstimmt. Stimmt keine der beiden überein, weist DMARC den Empfänger an, die Nachricht entsprechend der von Ihnen festgelegten Richtlinie zu überwachen, unter Quarantäne zu stellen oder abzulehnen.
Wie lange dauert es, DMARC zu implementieren?
Das Veröffentlichen eines DMARC-Eintrags dauert nur wenige Minuten, allerdings kann die DNS-Propagierung bis zu 48 Stunden in Anspruch nehmen. Bis die vollständige Durchsetzung sicher erreicht ist, dauert es in der Regel vier bis zwölf Wochen, da Sie ausreichend Zeit für die Überwachung benötigen, um sicherzustellen, dass alle legitimen Absender die Überprüfung bestehen, bevor Sie zum Ablehnen übergehen.
Kann ich DMARC selbst implementieren?
Ja. Wenn Sie Zugriff auf das DNS haben und über funktionierende SPF- und DKIM-Einträge verfügen, können Sie einen DMARC-Eintrag selbst veröffentlichen, indem Sie die oben genannten Schritte befolgen. Viele Unternehmen beginnen zunächst mit der manuellen Verwaltung und wechseln später zu einem verwalteten Tool, sobald das Berichtsvolumen zunimmt.
Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC
Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.
Neueste Beiträge von Ahona Rudra (alle anzeigen)
