So erstellen und veröffentlichen Sie einen DMARC-Eintrag

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein technisches Protokoll zur Authentifizierung ausgehender Nachrichten. DMARC dient als erste Verteidigungslinie gegen eine Vielzahl von E-Mail-basierten Bedrohungen, darunter Phishing und Spoofing. 

Um DMARC zu konfigurieren, müssen Sie einen DMARC-Eintrag erstellen. Der erstellte DMARC-Eintrag ist ein TXT-Eintrag, der dann in Ihrem DNS veröffentlicht wird. Damit wird Ihr E-Mail-Authentifizierungsprozess gestartet.

Durch die Einrichtung eines DMARC-Eintrags ermöglichen Sie Domain-Besitzern, Empfängern vorzuschreiben, wie sie auf E-Mails reagieren sollen, die von nicht autorisierten oder illegitimen Quellen gesendet wurden.

Expertentipp von Maitham Al Lawati: „Für Unternehmen im Gesundheitswesen oder im Finanzbereich geht es bei DMARC nicht nur um Sicherheit, sondern auch um die Einhaltung strenger Compliance-Anforderungen. Beginnen Sie mit der Überwachung und setzen Sie dann die Vorschriften durch.“

Dieser Leitfaden führt Sie durch die korrekte Erstellung und Veröffentlichung eines DMARC-DNS-TXT-Eintrags und erklärt Ihnen, wie Sie diesen überprüfen und häufige Fehler beheben können.

Was sind DMARC-Datensätze?

Ein DMARC-Eintrag ist ein DNS-TXT-Eintrag , der festlegt, wie E-Mail-Server mit Nachrichten umgehen sollen, die die Authentifizierungsprüfungen (SPF & DKIM) nicht bestehen.

Es hilft Domain-Besitzern E-Mail-Spoofing und Phishing zu verhindern, indem es den Servern der Empfänger mitteilt, ob sie nicht autorisierte E-Mails ablehnen, unter Quarantäne stellen oder zulassen sollen.

Aufbau eines DMARC-Eintrags

Für eine korrekte Konfiguration ist es unerlässlich, jedes DMARC-Tag zu verstehen. Hier finden Sie eine umfassende Übersicht über alle Komponenten eines DMARC-Eintrags:

Beispiele für DMARC-Einträge

Hier finden Sie Beispiele für DMARC-Einträge aus der Praxis für verschiedene Anwendungsfälle. Kopieren Sie diese und passen Sie sie für Ihre Domain an:

Grundlegender Überwachungsmodus (für Anfänger empfohlen)

• v=DMARC1; p=none; rua=mailto:[email protected]
• Anwendungsfall: Erste DMARC-Implementierung zur Überwachung des E-Mail-Verkehrs ohne Durchsetzung.

Quarantänepolitik mit Berichterstattung

• v=DMARC1; p=quarantine; rua=mailto:[email protected]; ruf=mailto:[email protected]; pct=25
• Anwendungsfall: Schrittweise Durchsetzung, die 25 % der E-Mails betrifft, mit aggregierten und forensischen Berichten.

Strenge Durchsetzungsrichtlinie

• v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]; adkim=s; aspf=s
• Anwendungsfall: Vollständiger Schutz mit strikter Ausrichtung für Domains und Subdomains.

Schutz vor nicht sendenden Domänen

• v=DMARC1; p=ablehnen; sp=ablehnen; adkim=s; aspf=s
• Anwendungsfall: Domains, die keine E-Mails versenden, aber vor Spoofing geschützt werden müssen.

DMARC-Datensatz-Tags erklärt

1. DMARC-Richtlinien-Modi

Die DMARC-Richtlinie legt fest, wie die Empfänger E-Mails behandeln sollen, die die DMARC-Authentifizierung nicht bestehen. Sie wird mit "p" bezeichnet. Sie kann einen der folgenden drei Werte annehmen: 

• p=none: Keine Maßnahmen gegen nicht autorisierte E-Mails ergreifen.
• p=Quarantäne: Um verdächtige E-Mails zu kennzeichnen. 
• p=reject: Um nicht autorisierte E-Mails abzulehnen, bevor sie Ihre Empfänger erreichen.

2. DMARC-Berichtsoptionen

• Aggregierte Berichte (rua=): Dies sind zusammenfassende Berichte, die an die angegebene E-Mail-Adresse gesendet werden und die Authentifizierungsergebnisse für alle E-Mails aus der Domain enthalten.
• Forensische Berichte (ruf=): Dies sind detaillierte Fehlerberichte, die versendet werden, wenn eine E-Mail die DMARC-Authentifizierung nicht besteht.

3. DMARC-Ausrichtungsmodi

• SPF-Abgleich (aspf=): Legt fest, ob die Domäne des Absenders im „From:“-Header mit dem SPF-Eintrag übereinstimmt. Es gibt die Optionen „strict“ (s) für eine exakte Übereinstimmung oder „relaxed“ (r) für eine organisatorische Übereinstimmung. 
• DKIM-Abgleich (adkim=): Bestimmt, ob die DKIM-Signatur Domäne mit der Domäne im From: Header übereinstimmt. Es gibt die Option einer strengen (s) Übereinstimmung für eine exakte Übereinstimmung oder einer lockeren (r) Übereinstimmung für eine organisatorische Übereinstimmung. 

Wie DMARC mit Subdomains funktioniert

Das Tag „sp“ (Subdomain-Richtlinie) steuert, wie DMARC-Richtlinien auf Subdomains angewendet werden. Wenn nichts angegeben ist, übernehmen Subdomains die Richtlinie der Hauptdomain.

• Vererbung: Subdomains erben automatisch die DMARC-Richtlinie der übergeordneten Domain.
• Überschreiben: Verwenden Sie das Tag „sp=“, um unterschiedliche Richtlinien für Subdomains festzulegen.
• Bewährte Vorgehensweise: Legen Sie strengere Richtlinien für Subdomains fest, die keine E-Mails versenden.

Wie erstellt man einen DMARC-Eintrag?

Um einen DMARC-DNS-Eintrag für Ihre Domäne zu erstellen, stellen Sie sicher, dass Sie ihn haben: 

1. a) ein zuverlässiges Instrument zur Erstellung des Datensatzes
2. b) Zugang zu Ihrer DNS-Verwaltungskonsole, um den Eintrag zu veröffentlichen

Folgen Sie den nachstehenden Schritten, um Ihren Datensatz zu erstellen:

1. Erzeugen Sie Ihren DMARC-Datensatz 

Registrieren sich mit einer E-Mail-Adresse an, um auf unser Portal zuzugreifen, oder melden Sie sich mit Gmail/Office 365. Gehen Sie zu Analyse-Tools > PowerToolbox > Kostenloses DMARC-Datensatz-Generator-Tool , um mit der Erstellung Ihres DMARC-Eintrags zu beginnen.

2. Definieren Sie eine DMARC-Richtlinie für Ihren DMARC-Eintrag.

Entscheiden Sie sich für eine DMARC-Richtlinie abhängig von der gewünschten Durchsetzungsstufe (keine, Quarantäne oder Ablehnung). So wählen Sie Ihre DMARC-Datensatz-Richtlinie aus:

• Wenn Sie nicht möchten, dass gegen unerwünschte E-Mails, die von Ihrer Domain gesendet werden, vorgegangen wird, wählen Sie "keine".
• Wenn Sie E-Mails, die DMARC nicht bestehen, unter Quarantäne stellen möchten, wählen Sie "Quarantäne".
• Wenn Sie E-Mails ablehnen oder verwerfen möchten, die die Authentifizierung nicht bestehen, was Spoofing- und Phishing-Angriffe minimieren kann, wählen Sie "Ablehnen".

3. Konfigurieren Sie die empfohlenen optionalen Felder des DMARC-Datensatzes 

Obwohl nicht alle Felder obligatorisch sind, empfehlen wir Ihnen, einige nützliche optionale Felder in Ihrem DMARC-Datensatz zu konfigurieren. Lassen Sie uns herausfinden, welche das sind:

1. Aggregat (rua) Berichtsfeld: Wenn Sie das rua-Feld konfigurieren, erhalten Sie DMARC-Authentifizierungsdaten direkt an Ihre E-Mail-Adresse. 
2. Forensisches (ruf) Berichtsfeld: Gewinnen Sie Einblicke in forensische Vorfälle wie Cyberangriffe, indem Sie das ruf-Feld in Ihrem DMARC-Datensatz konfigurieren. 
3. DKIM/SPF-Ausrichtungsmodi" Wählen Sie aus, ob Sie sich für eine lockere oder eine strenge Ausrichtung für SPF und/oder DKIM entscheiden möchten. 

Wie veröffentlicht man einen DMARC-Datensatz?

Um einen DMARC-Datensatz zu veröffentlichen, müssen einige Voraussetzungen erfüllt sein: 

• Sie müssen Zugang zu Ihrer DNS-Verwaltungskonsole haben 
• Sie müssen die Berechtigung haben, DNS-Einträge für Ihre Domäne zu bearbeiten und neue hinzuzufügen

Veröffentlichung Ihres DMARC-Datensatzes mit cPanel

1. Greifen Sie auf Ihre cPanel DNS-Verwaltungskonsole zu

2. Klicken Sie unter dem Abschnitt Domains auf DNS Zone Editor oder Advanced Zone Editor 

3. Fügen Sie einen DMARC-Eintrag vom Typ TXT (tex) hinzu und geben Sie die unten aufgeführten Details ein. In das Feld „TXT-Daten“ oder „Wert“ müssen Sie Ihren zuvor erstellten DMARC-Eintrag einfügen.

Veröffentlichung eines DMARC-Datensatzes mit Godaddy

1. Melden Sie sich bei Ihrem GoDaddy Domain Portfolio an, um auf die DNS-Zone zuzugreifen
2. Suchen Sie unter Domainname Ihre E-Mail-Versanddomain und wählen Sie sie aus.
3. Klicken Sie unter Ihrem Domänennamen auf DNS
4. Wählen Sie nun Neuen Datensatz hinzufügen und beginnen Sie mit der Veröffentlichung Ihres Datensatzes mit den folgenden Details:

• Typ: TXT
• Name: _dmarc
• Wert: Fügen Sie den Wert Ihres DMARC-Eintrags ein. 

Veröffentlichung eines DMARC-Eintrags mit Cloudflare 

1. Melden Sie sich bei Ihrem Cloudflare-Konto an.  
2. Wählen Sie das gewünschte Konto und die Domäne aus.  
3. Navigieren Sie zu DNS und klicken Sie auf Eintrag hinzufügen  
4. Fügen Sie den generierten DMARC-Datensatz in den Abschnitt Datensatz hinzufügen ein, wie im folgenden Beispiel:

Überprüfen Ihres DMARC-Datensatzes

Um Ihren DMARC-Eintrag zu überprüfen und die häufige Fehlermeldung „Kein DMARC-Eintrag gefunden” verwenden Sie unser kostenloses Überprüfungstool.

1. Melden Sie sich kostenlos an und navigieren Sie zu Analyse-Tools > PowerToolbox > DMARC-Datensatz-Prüftool.

2. Überprüfen Sie den Status, die Syntax und die Tags Ihres DMARC-Datensatzes, um eventuelle Fehler aufzudecken

Sind Sie bereit, Ihren DMARC-Eintrag zu überprüfen? Nutzen Sie den kostenlosen DMARC-Checker von PowerDMARC.

Fehlerbehebung bei häufigen DMARC-Eintragsfehlern

Verwenden Sie diese Schritt-für-Schritt-Checkliste, um häufige Probleme mit DMARC-Einträgen zu beheben:

Häufige DMARC-Datensatz-Fehler

Sobald Sie Fehler in Ihrem Eintrag entdecken, müssen Sie die notwendigen Änderungen an Ihrem DNS vornehmen und die Änderungen speichern. Sie können Ihren Eintrag erneut überprüfen, sobald die Änderungen verarbeitet sind.

DMARC-Eintrag für nicht sendende Domains 

Die meisten Menschen beschränken sich darauf, ihre aktiven Domains zu sichern, aber Angreifer können sogar Ihre nicht sendenden Domains fälschen, um in Ihrem Namen gefälschte E-Mails zu versenden! Um dies zu verhindern, führen Sie die folgenden Schritte zur Implementierung von DMARC für Ihre nicht sendenden Domains: 

• Veröffentlichen Sie einen nicht zulassenden DMARC-Eintrag: Beginnen Sie damit, einen DMARC-Eintrag für die inaktive Domain mit einer durchgesetzten Richtlinie wie p=reject zu veröffentlichen. 
• Berichterstellung aktivieren (empfohlen): Auch wenn Ihre Domain keine E-Mails versendet, können Angreifer sie dennoch missbrauchen, um Phishing-Nachrichten zu versenden. DMARC-Berichte warnen Sie, wenn dies geschieht.
• Veröffentlichen Sie einen restriktiven SPF-Eintrag: Setzen Sie v=spf1 -all, um den Versand von E-Mails zu verhindern.
• Integrierte E-Mail-Dienste deaktivieren: Wenn die Domain noch mit externen E-Mail-Servern verknüpft ist, kann es sinnvoll sein, diese zu beschränken, wenn die Domain nicht mehr verwendet wird. 

Konsequenzen der Nichtabsicherung Ihrer inaktiven Domains 

Wenn Sie DMARC für Ihre nicht sendenden Domänen nicht implementieren, kann dies verschiedene Folgen haben, z. B: 

• Erhöhtes Risiko von Spoofing- und Phishing-Angriffen 
• Schädigung des Rufs der Marke und der Domäne 
• Domainmissbrauch bleibt über einen längeren Zeitraum unbemerkt

Ein DMARC-Eintrag pro Domäne

Bei der Konfiguration Ihres DMARC-Eintrags ist es wichtig, nur einen einzigen Eintrag pro Domain zu veröffentlichen. Mehrere DMARC-Einträge für eine einzelne Domain können zu Konflikten und ungerechtfertigten Authentifizierungsfehlern führen! 

Warum mehrere DMARC-Datensätze ein Problem sind

1. Fehler bei der E-Mail-Authentifizierung: E-Mail-Empfänger wissen möglicherweise nicht, welchem DMARC-Eintrag sie folgen sollen.
2. Fehlkonfigurationen und Inkonsistenzen: Widersprüchliche Richtlinien (z. B. ein Datensatz mit p=none und ein anderer mit p=reject) führen zu unvorhersehbarer Durchsetzung.
3. Ungenaue Berichterstattung: DMARC-Berichte können unvollständig oder unzuverlässig sein.

Best Practices für die korrekte DMARC-Implementierung

Um eine korrekte Konfiguration der DMARC-Einträge sicherzustellen, finden Sie hier die besten Vorgehensweisen für die Implementierung: 

• Veröffentlichen Sie einen einzigen DMARC-Eintrag pro Domäne.
• Vermeiden Sie die Konfiguration der DMARC sp Tag, es sei denn, Sie möchten, dass für Ihre Subdomänen eine andere Richtlinie gilt.
• Verwenden Sie ein DMARC-Überprüfungstool um Ihren Datensatz nach der Veröffentlichung zu validieren.
• Überwachen Sie Ihre DMARC-Berichte regelmäßig, um sicherzustellen, dass verdächtige Aktivitäten nicht unbemerkt bleiben. 

Nächste Schritte nach der Veröffentlichung eines DMARC-Datensatzes

Nachdem Sie Ihren DMARC-Eintrag veröffentlicht haben, sollten Sie sich im nächsten Schritt darauf konzentrieren, Ihre Domäne vor Betrügern und Nachahmern zu schützen. Das ist Ihre Hauptaufgabe, wenn Sie Sicherheitsprotokolle und E-Mail-Authentifizierungsdienste implementieren. 

Die bloße Veröffentlichung eines DMARC-Eintrags mit einer p=none-Richtlinie bietet keinen Schutz vor Domain-Spoofing -Angriffen und E-Mail-Betrug. Dazu müssen Sie auf DMARC-Durchsetzung.

Bei der Umstellung auf die DMARC-Durchsetzung ist ein schrittweises Vorgehen die beste Lösung, um optimale Ergebnisse ohne negative Auswirkungen auf Ihre Zustellbarkeit zu erzielen. Hier ist ein schrittweiser Prozess, dem Sie folgen können:

• Beginnen Sie mit einer p=none-Richtlinie, die Ihren Überwachungsmodus darstellt. 
• Aktivieren Sie DMARC-Berichte für Ihre Domain, um Ihre E-Mail-Kommunikation und die Zustellbarkeit zu analysieren. 
• Gehen Sie in Quarantäne, halten Sie pct (percentage) bei 10 und erhöhen Sie es schrittweise auf 100% über einen Zeitraum von einigen Wochen.
• Sobald Sie mit Ihrer Einrichtung zufrieden sind, gehen Sie zu p=reject über, wobei Sie pct auf dem niedrigsten Prozentsatz belassen und dann schrittweise bis zur vollen Durchsetzung für 100 % Ihres Postvolumens erhöhen. 

Wie PowerDMARC die DMARC-Datensatzverwaltung vereinfacht

Für Unternehmen, die mehrere Domains betreiben oder sich einfach nicht mit der mühsamen manuellen Konfiguration und Pflege von DMARC-Einträgen beschäftigen möchten, gibt es PowerDMARC. Eine einfache und kundenfreundliche Lösung, die die Verwaltung von DMARC-Einträgen unter einem Dach automatisiert. Dank KI-gestützter Threat-Intelligence-Technologie und detaillierter Berichterstellung hat PowerDMARC bereits mehr als 2000 Kunden weltweit dabei geholfen, ihre DMARC-Einführung zu vereinfachen. 

Es bietet:

• Verwaltung mehrerer Domänen und Mandanten über ein einziges Dashboard
• Erstklassige Einarbeitung und Unterstützung
• Zertifiziert für SOC2-, ISO27001- und DSGVO-Konformität

Um loszulegen, nutzen Sie eine kostenlose Starten Sie noch heute Ihre kostenlose 15-tägige DMARC-Schutz-Testversion der Plattform an! 

FAQs

1. Wie füge ich einen DMARC-Eintrag hinzu?

So fügen Sie einen DMARC-Eintrag hinzu: 1) Generieren Sie Ihren DMARC-Eintrag mit einem Tool wie dem Generator von PowerDMARC. 2) Rufen Sie Ihre DNS-Verwaltungskonsole auf. 3) Erstellen Sie einen neuen TXT-Eintrag mit dem Namen „_dmarc“ und fügen Sie Ihren DMARC-Eintrag als Wert ein. 4) Speichern Sie die Änderungen und warten Sie, bis die DNS-Propagierung abgeschlossen ist (bis zu 48 Stunden).

2. Was passiert, wenn ich keinen DMARC-Eintrag habe?

Ohne einen DMARC-Eintrag ist Ihre Domain anfällig für Spoofing- und Phishing-Angriffe. E-Mail-Anbieter wie Gmail und Yahoo können E-Mails von Massenversendern ohne DMARC ablehnen. Die Reputation Ihrer Domain kann durch unbefugte Nutzung Schaden nehmen, und Sie haben keinen Einblick in Fehler bei der E-Mail-Authentifizierung.

3. Wie sieht ein typischer DMARC-Eintrag aus?

Ein grundlegender DMARC-Eintrag wird als DNS-TXT-Eintrag unter _dmarc.yourdomain.com veröffentlicht und startet in der Regel im Überwachungsmodus. Ein gängiges Beispiel sieht wie folgt aus:

v=DMARC1; p=none; rua=mailto:[email protected]

Was dies bewirkt:

• v=DMARC1 identifiziert den Datensatz als DMARC-Richtlinie.
• p=none ermöglicht die Überwachung, ohne E-Mails zu blockieren.
• rua gibt an, wohin aggregierte DMARC-Berichte gesendet werden.

Mit dieser Konfiguration können Sie Authentifizierungsergebnisse beobachten und Spoofing-Versuche erkennen, ohne die E-Mail-Zustellung zu beeinträchtigen. Sobald Sie die Berichte überprüft und bestätigt haben, dass alle legitimen Absender übereinstimmen, können Sie schrittweise zu p=quarantine oder p=reject übergehen.

• Über
• Neueste Beiträge

Maitham Al Lawati

Cybersecurity-Experte, CEO bei PowerDMARC

Maitham ist ein Tech-Unternehmer, Cybersecurity-Experte, CEO und Gründer von PowerDMARC mit mehr als 15 Jahren Branchenerfahrung. Maitham hat einen Global MBA von der University of Manchester und verschiedene berufliche Zertifizierungen, darunter CISSP, CISM, CRISC und ISC2 CCSP.

Neueste Beiträge von Maitham Al Lawati (alle anzeigen)

• E-Mail-Phishing und DMARC-Statistiken: E-Mail-Sicherheitstrends für 2026 – 6. Januar 2026
• So beheben Sie „Kein SPF-Eintrag gefunden“ im Jahr 2026 – 3. Januar 2026
• SPF Permerror: So beheben Sie zu viele DNS-Lookups – 24. Dezember 2025