Warum schlägt DMARC fehl? Ursachen, Lösungen und wie man es überprüft

Warum schlägt DMARC bei Ihrer Domain fehl? In fast allen Fällen liegt es an einem von zwei Gründen: Entweder stimmen SPF oder DKIM nicht mit Ihrer sichtbaren Absenderadresse überein, oder ein Drittanbieter-Absender wurde noch nicht autorisiert. Dieser Leitfaden behandelt beide Fälle und erklärt außerdem, wie Sie feststellen können, ob die jüngsten Änderungen bei der Durchsetzung durch Google, Yahoo oder Microsoft der eigentliche Grund für Ihre DMARC-Fehler sind, und wie Sie einen Fehler selbst überprüfen können, bevor Sie Änderungen vornehmen.

Warum versagt DMARC? Die kurze Antwort

DMARC schlägt fehl, wenn weder SPF noch DKIM die Nachricht authentifizieren und mit der sichtbaren „From“-Domäne übereinstimmen. Damit DMARC erfolgreich ist, muss entweder SPF oder DKIM die Domänenübereinstimmung bestehen. Wenn keine der beiden Methoden übereinstimmt, löst dies automatisch einen DMARC-Fehler aus. In einigen Fällen, in denen eine Domäne nur mit SPF oder DKIM zusammen mit DMARC (und nicht mit beiden) konfiguriert ist, schlägt DMARC fehl, wenn die SPF-/DKIM-Übereinstimmung für diese Nachricht fehlschlägt, selbst wenn die Authentifizierung erfolgreich ist.

Was bedeutet ein DMARC-Fehler?

Ein DMARC-Fehler tritt auf, wenn eine E-Mail die DMARC-Prüfung selbst nicht besteht. Dies geschieht, wenn weder SPF noch DKIM auf abgestimmte Weise bestätigen können, dass die E-Mail tatsächlich von Ihrer Domain gesendet wurde. „Verifizieren“ und „abstemmen“ sind hier zwei unterschiedliche Vorgänge, und gerade die Verwechslung dieser beiden Begriffe sorgt meist für Verwirrung.

SPF kann bestehen, DMARC aber trotzdem fehlschlagen – hier ist der Grund dafür

Angenommen, Ihre Marketingplattform versendet E-Mails über ihre eigene Return-Path-Domain „mail.esp-provider.com“. SPF überprüft diese Domain und gibt sie frei; die sendende IP-Adresse ist berechtigt, im Namen von „mail.esp-provider.com“ zu versenden. Ihre sichtbare Absenderadresse lautet jedoch yourdomain.com. DMARC prüft nicht nur, ob die SPF-Prüfung irgendwo bestanden wurde, sondern auch, ob die Domain, die die SPF-Prüfung bestanden hat, mit der sichtbaren Absenderdomain übereinstimmt. mail.esp-provider.com stimmt nicht mit yourdomain.com überein . Die SPF-Prüfung wurde also bestanden, aber DMARC schlägt dennoch fehl.

Die gleiche Logik gilt auch für DKIM. Eine Nachricht kann eine gültige, kryptografisch verifizierte DKIM-Signatur enthalten, aber wenn die „d=“-Domäne in dieser Signatur (die signierende Domäne) nicht mit Ihrer sichtbaren „From“-Domäne übereinstimmt, behandelt DMARC sie als nicht abgeglichen, und die Prüfung schlägt fehl, obwohl die Signatur selbst vollkommen gültig ist. Dies ist die häufigste Ursache für die Verwirrung rund um die Aussage „SPF und DKIM geben beide ‚pass‘ an“, und deshalb ist der Abgleich – und nicht nur die Authentifizierung – das Erste, was überprüft werden muss.

Häufige Ursachen für DMARC-Fehler

Die meisten DMARC-Fehler sind eher auf eine Fehlkonfiguration irgendwo in Ihrer Versandinfrastruktur zurückzuführen als auf einen tatsächlichen Angriff. Hier finden Sie eine Übersicht darüber, wie sich SPF- und DKIM-Fehler auf DMARC auswirken:

1. SPF-Fehler

SPF versagt aus einer Handvoll spezifischer, gut dokumentierter Gründe:

• Überschreitung des Limits von 10 DNS-Abfragen: SPF ist auf 10 DNS-Abfragen pro Überprüfung begrenzt. Sobald eine Domain über mehrere Plattformen (z. B. ein CRM, ein E-Mail-Marketing-Tool und interne E-Mail-Server) versendet, von denen jede über einen eigenen Einbindungsmechanismus verfügt, ist dieses Limit schnell erreicht. Bei Überschreitung schlägt SPF sofort fehl, oft ohne erkennbare Warnung, bis E-Mails zurückkommen.
• Ein fehlender SPF-Eintrag für einen Versanddienst: Wenn Sie eine neue Versandplattform hinzufügen und vergessen, deren SPF-Eintrag hinzuzufügen, werden E-Mails von dieser Plattform jedes Mal die SPF-Prüfung nicht bestehen.
• Mehrere SPF-Einträge für eine Domain: Das DNS lässt nur einen SPF-Eintrag pro Domain zu. Sind zwei vorhanden, können die meisten empfangenden Server nicht entscheiden, welchem sie vertrauen sollen, und die Überprüfung schlägt fehl.
• Syntaxfehler: Überflüssige Leerzeichen, fehlerhafte Konstrukte oder eine falsch angeordnete Datensatzstruktur können das gesamte Ergebnis ungültig machen.

Erfahren Sie mehr darüber, warum SPF versagt.

2. DKIM-Fehler

DKIM-Fehler lassen sich in der Regel auf eine von drei Ursachen zurückführen:

• Abgelaufene oder rotierte Schlüssel, die nie im DNS aktualisiert wurden: DKIM-Schlüssel sind nicht dauerhaft gültig. Wenn ein Schlüssel auf der Senderseite rotiert wird, der neue öffentliche Schlüssel jedoch nicht im DNS veröffentlicht wird, wird jede Signatur anhand des falschen Schlüssels überprüft und schlägt fehl.
• Ein fehlender oder falscher Selektor: Der Selektor teilt den empfangenden Servern mit, in welchem DNS-Eintrag der öffentliche Schlüssel für eine bestimmte Signatur gespeichert ist. Wenn Sie den Selektor falsch angeben, schlägt die DKIM-Überprüfung fehl, selbst wenn der Schlüssel selbst korrekt ist.
• Signaturen werden ungültig, wenn die Nachricht nach der Signierung geändert wird: DKIM signiert bestimmte Header und den Inhalt des Nachrichtentextes. Wenn sich nach der Signierung etwas ändert, das von dieser Signatur abgedeckt ist, wird die Signatur ungültig.

Lesen Sie unsere Anleitung zur Einrichtung von DKIM sowie unsere ausführliche Erklärung, warum DKIM fehlschlägt, um spezifische DKIM-Fehler und -Szenarien zu beheben.

3. Nicht autorisierte Drittanbieter (CRMs, ESPs, Helpdesks)

Viele Unternehmen versenden E-Mails über Marketing-Automatisierungstools, CRM-Systeme, Helpdesk-Software und Transaktions-E-Mail-Dienste. Wenn diese Plattformen nicht ordnungsgemäß zum Versand im Namen Ihrer Domain autorisiert sind, kann jede von ihnen versendete Nachricht einen DMARC-Fehler auslösen.

Beispielsweise signieren sowohl Google Workspace als auch Microsoft 365 ausgehende E-Mails mit ihrem eigenen Standard-DKIM-Selektor, sofern Sie keinen benutzerdefinierten konfigurieren. Das bedeutet, dass E-Mails, die über diese Dienste versendet werden, bei den Empfängern möglicherweise mit dem Vermerk „via provider.com“ angezeigt werden. Diese Nachrichten können die Übereinstimmungsprüfung nicht bestehen, da die signierende Domain nicht mit Ihrer sichtbaren Absender-Domain übereinstimmt – es sei denn, Sie haben innerhalb dieser Plattform ausdrücklich eine benutzerdefinierte DKIM-Signatur für Ihre eigene Domain eingerichtet.

4. E-Mail-Weiterleitung und Mailinglisten

Wenn eine E-Mail weitergeleitet wird, ist die IP-Adresse des Weiterleitungsservers nicht im SPF-Eintrag des ursprünglichen Absenders enthalten, wodurch die SPF-Übereinstimmung nicht mehr gegeben ist. Auch die „Envelope-From“-Adresse oder die Header können dabei verändert werden.

Mailinglisten sind zwar verwandt, aber nicht dasselbe. Sie ändern häufig den Nachrichtentext oder die Kopfzeilen direkt, indem sie eine Fußzeile zum Abmelden hinzufügen oder die Betreffzeile umschreiben, was die DKIM-Signatur selbst in Situationen ungültig macht, in denen eine reine Weiterleitung dies nicht tun würde. ARC (Authenticated Received Chain) wurde speziell entwickelt, um dies zu verhindern, indem es Zwischenservern ermöglicht, einen überprüfbaren Datensatz der ursprünglichen Authentifizierungsergebnisse anzuhängen. Es könnte jedoch bald veraltet sein, da seine Funktionen in die kommende DKIM2-Spezifikation integriert werden.

5. Fehlausrichtung von Subdomains

Wenn Ihre DMARC-Richtlinie für „yourdomain.com“ gilt, E-Mails jedoch von „mail.yourdomain.com“ ohne eigene Zuordnung versendet werden, können diese E-Mails die DMARC-Prüfung nicht bestehen. Unternehmen, die E-Mail-Dienste über mehrere Subdomains hinweg betreiben, benötigen eine einheitliche Authentifizierung für alle Subdomains, nicht nur für die Root-Domain.

6. Verzögerungen bei der DNS-Propagierung (zeitweise Ausfälle)

Wenn ein DNS-Eintrag gerade geändert wurde, greifen einige empfangende Server möglicherweise noch auf die alte, zwischengespeicherte Version zurück, während andere bereits die neue Version übernommen haben. Diese Diskrepanz führt dazu, dass DMARC bei einigen Empfängern gleichzeitig als „bestanden“ und bei anderen als „nicht bestanden“ gewertet wird – ein wirklich verwirrendes Muster, wenn man nicht weiß, dass die Verzögerung bei der Weitergabe die Ursache ist. Wenn Sie kürzlich einen SPF-, DKIM- oder DMARC-Eintrag bearbeitet haben und die Fehler eher unregelmäßig als durchgängig auftreten, warten Sie etwas ab (oft bis zu 24–48 Stunden, abhängig von der TTL des Eintrags), bevor Sie davon ausgehen, dass etwas anderes nicht stimmt.

Überprüfen Sie die DNS-Verbreitung in Echtzeit unter https://powerdmarc.com/dns-propagation-checker/

7. Domain-Spoofing (DMARC funktioniert wie vorgesehen)

Wenn jemand Ihre Domain missbraucht, um Phishing- oder Spam-E-Mails zu versenden, werden diese Nachrichten natürlich die DMARC-Prüfung nicht bestehen, da die unbefugte Absenderquelle die für Ihre Domain festgelegten SPF- oder DKIM-Prüfungen nicht besteht. Dies ist der einzige Grund auf dieser Liste, der nicht auf eine Fehlkonfiguration zurückzuführen ist. DMARC erfüllt hier genau seinen Zweck, und es ist ein Hinweis darauf, dass Ihre Domain aktiv angegriffen wird. Es lohnt sich daher, dies in Ihren DMARC-Berichten genau im Auge zu behalten.

8. Wird eine bestimmte Bounce-Meldung oder ein Fehlercode angezeigt?

Falls Sie auf der Suche nach einer bestimmten Fehlermeldung hier gelandet sind: Bei allen folgenden Meldungen handelt es sich lediglich um DMARC- oder Abgleichfehler, die in der jeweiligen Plattformsprache angezeigt werden. Die zugrunde liegenden Ursachen und Lösungen wurden bereits oben ausführlich behandelt.

„DNS-Authentifizierung: DMARC-Fehler“ von Mimecast

Dies ist Mimecasts eigene Methode, um darauf hinzuweisen, dass eine eingehende oder ausgehende Nachricht die DMARC-Prüfung nicht bestanden hat, in der Regel aus denselben Gründen hinsichtlich der SPF-/DKIM-Übereinstimmung, wie sie oben beschrieben wurden.

SendGrid-Zustellungsfehler

Fehler im Zusammenhang mit DMARC deuten in der Regel darauf hin, dass die Sendedomäne von SendGrid selbst oder die über SendGrid versendete „From“-Domäne eines Kunden nicht ordnungsgemäß konfiguriert ist, was häufig daran liegt, dass die Einrichtung von DKIM/SPF für die Sendedomäne noch nicht abgeschlossen wurde.

Die SMTP-Codes von Gmail

421-4.7.26 ist ein vorübergehender Fehler, der bedeutet, dass die Nachricht nicht authentifiziert ist (keine übereinstimmende SPF- oder DKIM-Validierung), und Gmail stuft diese Fehler seit Ende 2025 bei anhaltender Nichteinhaltung der Richtlinien zunehmend als dauerhafte 550-5.7.26- Ablehnungen ein. Ein verwandter Code, 550-5.7.1, bedeutet konkret, dass die Nachricht gemäß der von der sendenden Domain selbst veröffentlichten DMARC-Richtlinie abgelehnt wurde.

Microsoft 550 5.7.515

Hierbei handelt es sich um eine strenge Ablehnung, die Microsoft für Absender mit hohem Versandvolumen (mehr als 5.000 E-Mails pro Tag an Outlook-, Hotmail- oder Live.com-Adressen) eingeführt hat, die seine Authentifizierungsanforderungen nicht erfüllen; diese Regelung tritt am 5. Mai 2025 in Kraft.

Warum hat DMARC plötzlich angefangen, Fehler zu verursachen?

Falls Ihre Domain zuvor die DMARC-Prüfung bestanden hat und seit Kurzem einen Fehler zurückgibt, gehen Sie diese Liste durch, bevor Sie davon ausgehen, dass etwas nicht funktioniert:

• Es wurde ein neues Marketing-Tool, ein CRM-System oder eine Helpdesk-Plattform hinzugefügt, ohne dass Ihre SPF- oder DKIM-Einstellungen aktualisiert wurden.
• Ein DNS-Eintrag wurde kürzlich bearbeitet und weist nun einen Syntaxfehler oder einen versehentlich doppelt vorhandenen SPF-Eintrag auf.
• Ein DKIM-Schlüssel wurde erneuert oder ist abgelaufen, ohne dass der neue Schlüssel im DNS veröffentlicht wurde.
• Eine Subdomain hat begonnen, E-Mails zu versenden, ohne dass eine SPF-, DKIM- oder DMARC-Konformität vorliegt.
• Google, Yahoo oder Microsoft haben die Durchsetzung auf ihrer Seite verschärft.

Google, Yahoo und Microsoft setzen DMARC strenger denn je durch

Die Anforderungen von Google und Yahoo für Massenversender wurden Ende 2023 bekannt gegeben und traten im Februar 2024 für Versender mit hohem Versandvolumen in Kraft, wobei die vollständige Durchsetzung bis April 2024 erfolgte. Seitdem hat Gmail die Vorgehensweise weiter verschärft, mit der vorübergehende Zurückhaltungen bei Domains, die weiterhin nicht konform sind, in dauerhafte Ablehnungen umgewandelt werden – ein Trend, der sich bis Ende 2025 deutlich verschärft hat.

Microsoft legte daraufhin eigene Anforderungen für Outlook-, Hotmail- und Live.com-Adressen fest. Die Durchsetzung dieser Anforderungen begann am 5. Mai 2025. Nicht konforme Massen-E-Mails (5.000+ E-Mails/Tag) werden nun mit dem Fehlercode 550 5.7.515 direkt abgelehnt, anstatt lediglich in den Spam-Ordner weitergeleitet zu werden.

Wenn Ihre Domain täglich 5.000 oder mehr E-Mails an einen dieser Anbieter versendet und DMARC in letzter Zeit häufiger Fehler meldet, könnte diese verschärfte Durchsetzung durchaus der Grund dafür sein. Die Lösung ist in beiden Fällen dieselbe: Ermitteln Sie alle Absenderquellen, stellen Sie sicher, dass SPF und DKIM korrekt aufeinander abgestimmt sind, und überprüfen Sie, ob Ihr DMARC-Eintrag korrekt ist. Die vollständigen Anforderungen der einzelnen Anbieter finden Sie in unserem Leitfaden zu den Anforderungen für Massen-E-Mail-Versender.

So überprüfen Sie einen DMARC-Fehler

Bevor Sie Änderungen vornehmen, vergewissern Sie sich, was tatsächlich vor sich geht:

1. Senden Sie eine Testnachricht an Gmail, Outlook und Yahoo und öffnen Sie anschließend den Header „Authentication-Results“.

Öffnen Sie in Gmail die Nachricht und wählen Sie „Original anzeigen“. In Outlook wählen Sie „Nachrichtendetails anzeigen“. Suchen Sie nach den Einträgen „spf=“, „dkim=“ und „dmarc=“ und überprüfen Sie, ob die als gültig erkannte Domain mit Ihrer sichtbaren Absenderadresse übereinstimmt.

2. Vergleichen Sie die IP-Adresse der fehlerhaften Quelle mit Ihren DMARC-Gesamtberichten (RUA).

Diese Berichte zeigen alle IP-Adressen an, von denen E-Mails im Namen Ihrer Domain versendet werden, sowie, ob die jeweilige Adresse die Überprüfung bestanden oder nicht bestanden hat. Dies ist in der Regel der schnellste Weg, um eine unbefugte oder falsch konfigurierte Quelle zu erkennen. Falls Ihnen das XML-Rohformat nicht geläufig ist, können Sie unseren Leitfaden zum Lesen von DMARC-Berichten zu Rate ziehen.

3. Führen Sie für die Domain einen kostenlosen DMARC-Check durch

Überprüfen Sie den aktuellen Status Ihrer Einträge, da bei einem Eintrag, der zum Zeitpunkt der Veröffentlichung korrekt erschien, im Laufe der Zeit Syntaxfehler, Duplikate oder Übertragungslücken auftreten können. Unser DMARC-Eintragsprüfer deckt dies in einem Durchgang ab.

Was passiert, wenn DMARC fehlschlägt?

Das Ergebnis hängt vollständig von der für Ihre Domain festgelegten DMARC-Richtlinie ab. Ihre Richtlinie legt fest, wie empfangende Mailserver mit E-Mails umgehen sollen, die die Authentifizierung nicht bestehen, wobei jede Stufe unterschiedliche Konsequenzen nach sich zieht.

p=none: Nur Überwachung

Bei einer DMARC-Richtlinie mit der Einstellung „p=none“ werden E-Mails, die die DMARC-Prüfung nicht bestehen, zwar weiterhin zugestellt, landen jedoch häufig im Spam-Ordner statt im Posteingang. Diese Richtlinie dient der Überwachung. Sie ermöglicht es Ihnen, DMARC-Berichte zu sammeln und Authentifizierungsprobleme zu identifizieren, ohne den E-Mail-Verkehr zu beeinträchtigen. Auch wenn dies ein sicherer Ausgangspunkt ist, macht die langfristige Beibehaltung von „p=none“ Ihre Domain anfällig, da unbefugte Absender dadurch nicht aktiv blockiert werden.

p=Quarantäne: An Spam gesendet

Bei einer DMARC-Richtlinie mit der Einstellung „p=quarantine“ werden abgelehnte E-Mails in den Spam-Ordner des Empfängers verschoben. Dies beeinträchtigt die Sichtbarkeit und die Nutzerinteraktion, da Ihre legitimen E-Mails möglicherweise unter den Spam-Mails untergehen. Diese Richtlinie bietet zwar mehr Schutz als „p=none“, kann Ihrem Unternehmen jedoch dennoch schaden, wenn legitime E-Mails aufgrund von Fehlkonfigurationen und nicht aufgrund tatsächlicher Spoofing-Angriffe abgelehnt werden.

p=reject: Vollständig blockiert

Eine DMARC-Richtlinie mit dem Wert „p=reject“ führt dazu, dass empfangende Server die E-Mail vollständig blockieren, sodass sie den Empfänger überhaupt nicht erreicht. Dies ist die strengste und sicherste Richtlinie. Sie unterbindet Phishing- und Spoofing-Versuche von vornherein. Sind Ihre SPF- und DKIM-Einstellungen jedoch nicht ordnungsgemäß konfiguriert, blockiert eine „p=reject“-Richtlinie auch Ihre eigenen legitimen E-Mails, was die geschäftliche Kommunikation erheblich beeinträchtigen kann.

Auswirkungen von DMARC-Fehlern auf Ihr Unternehmen

DMARC-Fehler stellen Unternehmen, die für ihre Kommunikation auf E-Mails angewiesen sind, vor erhebliche Herausforderungen. Hier erfahren Sie, wie sich ein DMARC-Fehler auf Ihr Unternehmen auswirken kann.

Reduzierte E-Mail-Zustellbarkeit

DMARC-Fehler können dazu führen, dass legitime E-Mails von E-Mail-Anbietern blockiert oder zurückgewiesen werden, was sich auf die geschäftliche Kommunikation auswirkt. Ganz gleich, ob Ihre E-Mails im Spam-Ordner landen oder gänzlich zurückgewiesen werden – das Ergebnis ist dasselbe: Ihre Nachrichten erreichen nicht die Personen, die sie sehen sollen. Für Unternehmen, die in den Bereichen Vertrieb, Marketing, Kundensupport oder Transaktionskommunikation auf E-Mails angewiesen sind, bedeutet dies unmittelbar entgangene Geschäftsmöglichkeiten.

Beschädigte Absenderreputation

Wiederholte DMARC-Fehler können den Absender-Ruf Ihrer Domain beeinträchtigen, wodurch es selbst für authentifizierte E-Mails schwieriger wird, den Posteingang zu erreichen. E-Mail-Anbieter wie Google und Microsoft verfolgen den Authentifizierungsverlauf Ihrer Domain. Wenn sie ein Muster von DMARC-Fehlern feststellen, stufen sie Ihre Domain als weniger vertrauenswürdig ein, was bedeutet, dass selbst korrekt konfigurierte E-Mails im Laufe der Zeit Probleme bei der Zustellbarkeit bekommen können.

Geringere Öffnungsraten und Kundenbindung

DMARC-Fehler können dazu führen, dass E-Mails im Spam-Ordner landen, was die Öffnungsraten und die Kundenbindung beeinträchtigt. Wenn Ihre Marketingkampagnen, Rechnungen, Bestellbestätigungen oder wichtige Unternehmensmitteilungen regelmäßig im Spam-Ordner landen, werden sie von Ihrer Zielgruppe einfach nicht gesehen, was zu Umsatzverlusten und unzufriedenen Kunden führt.

Erhöhtes Risiko durch Phishing und Spoofing

Eine hohe DMARC-Fehlerquote erhöht das Risiko von Phishing-Angriffen und Domain-Spoofing und untergräbt das Vertrauen Ihrer Kunden. Wenn Ihre Domain gefälscht wird, scheitern nicht autorisierte Absender bei den DMARC-Prüfungen; ohne eine strenge Durchsetzungsrichtlinie können diese gefälschten E-Mails jedoch dennoch die Empfänger erreichen, wodurch Ihre Kunden, Partner und Mitarbeiter Gefahr laufen, auf betrügerische Nachrichten hereinzufallen, die unter dem Namen Ihrer Marke versendet werden.

Langfristige Beeinträchtigung der Zustellbarkeit

DMARC-Fehler können Mailbox-Anbietern signalisieren, dass eine Domain nicht vertrauenswürdig ist, was langfristige Auswirkungen auf die Zustellbarkeit von E-Mails haben kann. Der Wiederaufbau einer beschädigten Absenderreputation erfordert viel Zeit und Mühe. Sobald die Authentifizierung wieder funktioniert, hängt die Geschwindigkeit, mit der sich die Zustellbarkeit tatsächlich erholt, oft davon ab, wie schrittweise das Vertrauen des Posteingangs wiederhergestellt wird – durch strukturiertes IP-Warmup, die schrittweise Erhöhung des ausgehenden Volumens in maßvollen täglichen Schritten und die Generierung positiver Interaktionssignale von echten Empfängern.

So beheben Sie einen DMARC-Fehler

Um einen DMARC-Fehler zu beheben, muss man verstehen, warum der Fehler aufgetreten ist, und die entsprechenden Anpassungen an Ihrer E-Mail-Authentifizierung vornehmen.

Schritt 1: Beginnen Sie mit einer lockeren DMARC-Richtlinie (p=none).

Ohne Richtlinie können Sie zunächst Ihre Domain mithilfe der DMARC (RUA)-Aggregatberichte überwachen und eingehende sowie ausgehende E-Mails genau im Auge behalten. So können Sie auf Zustellungsprobleme reagieren, bevor diese eskalieren.
Auf diese Weise erreichen legitime Nachrichten ihre Empfänger weiterhin, auch wenn DMARC bei ihnen fehlschlägt. Allerdings sind Sie dadurch in der Zwischenzeit anfällig für Phishing und Spoofing.

Schritt 2: Sicherstellen der korrekten SPF- und DKIM-Zuordnung

Überprüfen Sie Ihren DNS-Eintrag auf Fehler und stellen Sie sicher, dass die Domain, die die SPF- oder DKIM-Prüfung besteht, tatsächlich mit Ihrer sichtbaren Absenderadresse übereinstimmt – genau wie zuvor in dieser Anleitung beschrieben. Unser kostenloses DMARC-Prüftool kann Fehler in Ihrer DMARC-Syntax oder der Formatierung Ihres DNS-Eintrags aufspüren, darunter überflüssige Leerzeichen und Rechtschreibfehler.

Die gemeinsame Nutzung von DKIM und SPF bietet einen mehrschichtigen Ansatz: DKIM überprüft, ob die Nachricht nicht manipuliert wurde, während SPF die Identität des Absenderservers überprüft. Zusammen tragen sie dazu bei, Vertrauen in die Herkunft der E-Mail aufzubauen und das Risiko von Spoofing und unbefugten E-Mail-Aktivitäten zu verringern.

Schritt 3: Verstärken Sie Ihre Verteidigung mit Vollstreckung

Sobald legitime Absender bestätigt und abgeglichen sind, sollte auf eine strenge Richtlinie umgestellt werden (p = Quarantäne, anschließend p = Ablehnung), um einen wirksamen Schutz vor Domain-Spoofing und Phishing-Angriffen zu gewährleisten.

Schritt 4: Schutz mit KI-gesteuerter Bedrohungserkennung

Blockieren Sie bösartige IP-Adressen und melden Sie diese direkt über Ihre DMARC-Plattform, um künftige Identitätsbetrugsversuche zu verhindern. Nutzen Sie dabei, sofern verfügbar, Tools zur Bedrohungsanalyse.

Schritt 5: Kontinuierliche Optimierung anhand von Fehlerberichten

Aktivieren Sie DMARC (RUF)-Fehlerberichte, um detaillierte Informationen zu konkreten Fällen zu erhalten, in denen E-Mails die DMARC-Prüfung nicht bestanden haben. So können Sie die Ursache des Problems ermitteln und es schneller beheben.

Beheben Sie DMARC-Fehler mit PowerDMARC

Der Umgang mit DMARC-Fehlern kann komplex sein, insbesondere wenn Sie mehrere Versanddienste, Plattformen von Drittanbietern und eine sich ständig weiterentwickelnde E-Mail-Infrastruktur verwalten. PowerDMARC vereinfacht den gesamten Prozess, von der Ersteinrichtung bis zur laufenden Überwachung und Erkennung von Bedrohungen.

Wir helfen Unternehmen bei der korrekten Implementierung von DMARC, indem wir Schritt-für-Schritt-Anleitungen und Automatisierungstools bereitstellen, die sicherstellen, dass Ihre DMARC-Einträge, SPF- und DKIM-Authentifizierung vom ersten Tag an richtig konfiguriert und aufeinander abgestimmt sind. Dies verringert das Risiko von Fehlkonfigurationen, die zu DMARC-Fehlern führen, und bringt Ihre Domain schneller auf den Weg zur vollständigen Durchsetzung.

Sobald DMARC eingerichtet ist, überwacht PowerDMARC kontinuierlich Ihren E-Mail-Verkehr und erstellt Echtzeitberichte und Warnmeldungen, sobald ein DMARC-Fehler erkannt wird.

Das macht uns einzigartig:

• KI-gestützte Bedrohungsinformationen und automatisierte Warnmeldungen, die Phishing- und Spoofing-Versuche in Echtzeit erkennen
• Schrittweise Einarbeitung und Implementierungsunterstützung, damit DMARC, SPF und DKIM vom ersten Tag an richtig funktionieren
• Für Menschen lesbare, umsetzbare Berichte, die komplexe XML-Daten durch klare Erkenntnisse ersetzen
• Über 5.000 Organisationen weltweit vertrauen darauf, dass wir DMARC-Fehler beheben und verhindern.

Häufig gestellte Fragen

1. Wofür steht DMARC?

DMARC steht für „Domain-Based Message Authentication, Reporting, and Conformance” (domänenbasierte Nachrichtenauthentifizierung, Berichterstattung und Konformität). Es handelt sich um ein E-Mail-Authentifizierungsprotokoll, das Domänen vor E-Mail-Spoofing, Phishing und anderen Cyberangriffen schützt, indem es überprüft, ob E-Mails tatsächlich von autorisierten Absendern stammen.

2. Wie besteht man die DMARC-Authentifizierung?

Um die DMARC-Authentifizierung zu bestehen, müssen Ihre E-Mails entweder die SPF- oder die DKIM-Prüfung bestehen und mit der in der „Von“-Adresse angegebenen Domain übereinstimmen. Stellen Sie dazu sicher, dass Ihre Absender-IP-Adressen in der SPF-Eintragung autorisiert sind, DKIM ordnungsgemäß signiert ist und Ihr DMARC-Eintrag korrekt im DNS veröffentlicht ist.

3. Wie kann man fehlenden DMARC-Schutz beheben?

Um den fehlenden DMARC-Schutz zu beheben, veröffentlichen Sie einen DMARC-Eintrag im DNS Ihrer Domain. Beginnen Sie mit einer Überwachungsrichtlinie (p=none), um Berichte zu sammeln, und gehen Sie dann schrittweise zu einer strengeren Durchsetzung über (p=quarantine oder p=reject), sobald Sie sich vergewissert haben, dass alle legitimen E-Mail-Quellen authentifiziert sind.

4. Wie behebt man den DMARC-Fehler?

Um den DMARC-Fehler zu beheben, sollten Sie zunächst überprüfen, warum die Authentifizierung der Nachricht fehlgeschlagen ist. Stellen Sie sicher, dass SPF und DKIM korrekt eingerichtet sind und mit der Absenderdomain übereinstimmen. Überprüfen Sie anschließend, ob die DMARC-Richtlinie Ihrer Domain korrekt im DNS veröffentlicht ist und mit der tatsächlichen Versendungsweise Ihrer E-Mails übereinstimmt. Sobald alles abgestimmt ist, überwachen Sie die DMARC-Berichte, um sicherzustellen, dass das Problem behoben ist.

5. Was ist ein DMARC-Verstoß?

Ein DMARC-Verstoß ist eine andere Bezeichnung für eine Nachricht, die die DMARC-Prüfung nicht besteht – entweder, weil sie nicht autorisiert ist (jemand gibt sich als Ihre Domain aus) oder weil ein legitimer Absender nicht ordnungsgemäß zugeordnet ist. Was anschließend geschieht, hängt von Ihrer Richtlinie ab: Bei „p=none“ wird der Vorfall protokolliert, bei „p=quarantine“ wird die Nachricht in den Spam-Ordner verschoben und bei „p=reject“ wird sie sofort blockiert.

6. Kann DMARC auch dann fehlschlagen, wenn sowohl SPF als auch DKIM erfolgreich sind?

Ja, und das ist einer der häufigsten Punkte, die zu Verwirrung führen. SPF und DKIM können technisch gesehen beide ihre eigenen Prüfungen bestehen, während DMARC dennoch fehlschlägt, wenn die Domain, die die Prüfung besteht, nicht mit Ihrer sichtbaren „Von“-Adresse übereinstimmt. Eine Nachricht von mail.esp-provider.com kann die SPF-Prüfung problemlos bestehen und dennoch bei DMARC durchfallen, wenn Ihre sichtbare „Von“-Domain yourdomain.com lautet, da DMARC tatsächlich die Übereinstimmung und nicht nur die Authentifizierung überprüft.

• Über
• Neueste Beiträge

Maitham Al Lawati

Experte für Cybersicherheit, Geschäftsführer bei PowerDMARC

Maitham ist ein Tech-Unternehmer, Cybersecurity-Experte, CEO und Gründer von PowerDMARC mit mehr als 15 Jahren Branchenerfahrung. Maitham hat einen Global MBA von der University of Manchester und verschiedene berufliche Zertifizierungen, darunter CISSP, CISM, CRISC und ISC2 CCSP.

Neueste Beiträge von Maitham Al Lawati (alle anzeigen)

• So richten Sie DMARC ein: Vollständige Schritt-für-Schritt-Anleitung zur Konfiguration (2026) – 20. Juni 2026
• So lesen Sie DMARC-Berichte: Ein umfassender Leitfaden zu RUA und RUF – 10. Juni 2026
• Was ist DMARC? Definition, Funktionsweise und Bedeutung – 28. April 2026