DMARC einrichten

DMARC für eine E-Mail-Domain einrichten

Mit DMARC legen Sie fest, wie fremde Mailserver mit E-Mails umgehen sollen, die Ihre Domain als Absender tragen, aber die Prüfung per SPF und DKIM nicht bestehen. Große Anbieter wie Microsoft (Outlook.com, Hotmail), Google und Yahoo erwarten inzwischen einen DMARC-Eintrag. Fehlt er, landen E-Mails häufiger im Spam-Ordner oder werden ganz abgewiesen.

Was ist DMARC?

DMARC steht für "Domain-based Message Authentication, Reporting and Conformance". Das Verfahren baut auf zwei anderen auf:

SPF legt fest, welche Server im Namen Ihrer Domain E-Mails versenden dürfen.
DKIM versieht jede E-Mail mit einer digitalen Signatur Ihrer Domain.

DMARC ergänzt beides um zwei Dinge:

Eine Regel für den Empfänger. Sie bestimmen, ob E-Mails, die die Prüfung nicht bestehen, trotzdem zugestellt, in den Spam-Ordner verschoben oder abgewiesen werden.
Berichte. Empfangende Mailserver senden Ihnen auf Wunsch Auswertungen darüber, welche Server E-Mails mit Ihrer Domain als Absender verschickt haben.

Wann besteht eine E-Mail die DMARC-Prüfung?

Eine E-Mail besteht die DMARC-Prüfung, wenn SPF oder DKIM erfolgreich ist und die geprüfte Domain zur sichtbaren Absenderadresse passt. Sendet Ihr Onlineshop zum Beispiel als bestellung@example.com, muss auch SPF oder DKIM für example.com (oder eine Subdomain davon) bestanden sein. Eine gültige Signatur einer fremden Domain reicht nicht.

In dieser Schritt-für-Schritt-Anleitung zeigen wir Ihnen, wie Sie einen DMARC-Eintrag für Ihre Domain anlegen, prüfen und schrittweise verschärfen. Sie gilt für alle Domains, deren DNS-Zone Sie im Kundencenter von Timme Hosting verwalten.

Wichtiger Hinweis

Beginnen Sie immer mit der Regel p=none. Damit ändert sich an der Zustellung Ihrer E-Mails nichts, Sie erfüllen aber die Anforderung der großen Anbieter und erhalten Berichte. Die strengeren Regeln quarantine und reject setzen Sie erst, wenn alle Systeme, die für Ihre Domain versenden, korrekt eingerichtet sind. Andernfalls gehen auch erwünschte E-Mails verloren.

Voraussetzungen

Ein gültiger SPF-Eintrag, siehe SPF für eine E-Mail-Domain einrichten.
Eine aktive DKIM-Signatur, siehe DKIM für eine E-Mail-Domain einrichten.
Zugang zum Kundencenter unter cp.timmehosting.de.

Inhaltsverzeichnis

Absender Ihrer Domain erfassen
DMARC-Eintrag anlegen
DMARC-Eintrag prüfen
Berichte auswerten und Regel verschärfen

1. Absender Ihrer Domain erfassen

Notieren Sie alle Systeme, die E-Mails mit Ihrer Domain als Absender versenden. Typisch sind:

Ihre Postfächer bei Timme Hosting
Ihre Website oder Ihr Onlineshop (Kontaktformular, Bestellbestätigungen, Passwort-E-Mails)
externe Dienste wie Newsletter-Anbieter, CRM, Ticketsystem oder Microsoft 365

Ergebnis: Sie wissen, für welche Systeme SPF und DKIM stimmen müssen. E-Mails von Website und Onlineshop sollten per SMTP mit Authentifizierung über ein Postfach Ihrer Domain versendet werden, nicht über die PHP-Funktion mail().

2. DMARC-Eintrag anlegen

Loggen Sie sich bitte im Kundencenter ein: cp.timmehosting.de
Das gilt für alle Domains, deren DNS-Zone Sie bei Timme Hosting verwalten.

Wählen Sie im Hauptmenü den Punkt "DNS" aus.

Ergebnis: Die Übersicht aller DNS-Zonen wird angezeigt.

Klicken Sie auf das Bild, um es zu vergrößern.

Wählen Sie die DNS-Zone aus, für die Sie den Text Eintrag erstellen möchten.

Ergebnis: Sie gelangen in die Detailansicht des Reiters "Einträge" der ausgewählten Zone.

Klicken Sie auf den grünen Button "TXT".

Ergebnis: Sie gelangen in den Bereich "DNS-TXT-Eintrag".

Formular ausfüllen!

Hostname: Geben Sie _dmarc ein (ohne Domain und ohne Punkt am Ende).
Text: Geben Sie v=DMARC1; p=none; rua=mailto:dmarc@example.com ein. Ersetzen Sie dabei dmarc@example.com durch eine Adresse Ihrer eigenen Domain.
TTL: Lassen Sie den Wert 3600 stehen oder geben Sie Ihren gewünschten TTL-Wert als Ganzzahl in Sekunden ein.
Speichern: Klicken Sie auf die grüne Schaltfläche, um die Angaben zu bestätigen.

Ergebnis: Der Eintrag erscheint in der Tabelle Ihrer DNS-Zone.

Die Bestandteile des Eintrags:

v=DMARC1 kennzeichnet den Eintrag als DMARC-Eintrag. Die Angabe muss am Anfang stehen.
p=none ist die Regel für den Empfänger: nichts unternehmen, nur berichten.
rua=mailto:… ist die Adresse für die zusammengefassten Berichte. Die Angabe ist freiwillig.

Legen Sie für die Berichte am besten ein eigenes Postfach oder einen Alias an, denn je nach Versandmenge kommen täglich mehrere Berichte an. Möchten Sie keine Berichte erhalten, genügt als Text v=DMARC1; p=none.

Pro Domain darf es nur einen DMARC-Eintrag geben. Er gilt auch für alle Subdomains, sofern diese keinen eigenen Eintrag haben.

Geschafft! Sie haben einen DMARC-Eintrag für Ihre Domain hinterlegt.

3. DMARC-Eintrag prüfen

Warten Sie, bis der Eintrag weltweit abrufbar ist. Das dauert je nach TTL bis zu einer Stunde.
Prüfen Sie den Eintrag, zum Beispiel auf der Shell:
dig +short TXT _dmarc.example.com
Senden Sie eine E-Mail von einem Postfach Ihrer Domain an eine Adresse bei einem großen Anbieter und öffnen Sie dort den E-Mail-Header. In der Zeile Authentication-Results sollte dmarc=pass stehen. Wie Sie den Header aufrufen, zeigt die Anleitung E-Mail-Header auslesen.
Wiederholen Sie den Test mit einer E-Mail, die Ihre Website oder Ihr Onlineshop versendet, etwa über das Kontaktformular.

Ergebnis: Der Eintrag wird ausgegeben, und sowohl Ihre Postfächer als auch Ihre Website bestehen die DMARC-Prüfung. Steht im Header dmarc=fail, passt weder SPF noch DKIM zur Absenderdomain. Prüfen Sie dann zuerst diese beiden Einträge.

4. Berichte auswerten und Regel verschärfen

Die Berichte kommen als XML-Datei im Anhang einer E-Mail, meist einmal täglich je Anbieter. Sie zeigen, von welchen IP-Adressen E-Mails mit Ihrer Domain als Absender kamen und ob SPF und DKIM bestanden wurden. Für die Auswertung gibt es kostenlose und kostenpflichtige Werkzeuge von Drittanbietern.

Beobachten Sie die Berichte zwei bis vier Wochen.
Korrigieren Sie SPF und DKIM für jedes eigene System, das in den Berichten durchfällt.
Verschärfen Sie die Regel erst, wenn alle eigenen Systeme bestehen.

Die drei Stufen:

v=DMARC1; p=none; rua=mailto:dmarc@example.com
Nur beobachten.
v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com
Durchgefallene E-Mails landen im Spam-Ordner.
v=DMARC1; p=reject; rua=mailto:dmarc@example.com
Durchgefallene E-Mails werden abgewiesen.

Um die Stufe zu ändern, bearbeiten Sie den bestehenden Eintrag in der DNS-Zone. Legen Sie keinen zweiten an.

Ergebnis: Mit p=reject kann niemand mehr unbemerkt E-Mails mit Ihrer Domain als Absender zustellen, zum Beispiel für Phishing.

Geschafft! Sie haben DMARC für Ihre Domain eingerichtet.

Häufige Fragen

Garantiert DMARC, dass meine E-Mails ankommen?

Nein. DMARC ist eine Voraussetzung, aber kein Freifahrtschein. Empfänger bewerten weiterhin Inhalt und Reputation von Domain und Server. Mehr dazu lesen Sie in Verbessern Sie Ihre E-Mail-Reputation.

Was passiert mit weitergeleiteten E-Mails?

Bei einer Weiterleitung ändert sich der sendende Server, deshalb schlägt SPF oft fehl. Die DKIM-Signatur bleibt in der Regel gültig. Aus diesem Grund sollten Sie immer SPF und DKIM einrichten, nicht nur eines von beiden.

Kann ich die Berichte an eine Adresse einer anderen Domain senden lassen?

Ja, aber die andere Domain muss dem per eigenem DNS-Eintrag zustimmen. Einfacher ist eine Adresse der eigenen Domain.

Meine Domain versendet gar keine E-Mails. Brauche ich DMARC?

Es ist sinnvoll. Mit v=DMARC1; p=reject und dem SPF-Eintrag v=spf1 -all verhindern Sie, dass Dritte die Domain als Absender missbrauchen.

Finden Sie den passenden Tarif

Unser Tarifberater hilft Ihnen dabei, das passende Paket zu finden. Bei Fragen berät Sie unser Sales-Team sehr gerne unter +49 (0) 4131 / 22 78 1-25 oder sales@timmehosting.de.

Bitte beachten Sie: Der Tarifberater dient nur der groben Orientierung. Ihr tatsächlicher Bedarf kann durch den Ressourcenbedarf Ihrer Anwendung(en), tageszeitabhängige/saisonale/aktionsbedingte Schwankungen des Besucheraufkommens, geplantes Wachstum und weitere Faktoren von der Empfehlung abweichen.