DMARC-Generator

So veröffentlichen Sie Ihren DMARC-Eintrag

1. Gehen Sie die drei Schritte oben durch. Haben Sie schon einen Eintrag, fügen Sie ihn unter "Sie haben schon einen DMARC-Eintrag?" ein, um ihn zu bereinigen.
2. Legen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag mit dem Hostnamen _dmarc an. Manche Anbieter wollen den vollständigen Namen, _dmarc.ihredomain.de.
3. Fügen Sie den Wert ein und speichern Sie. Achten Sie darauf, dass es der einzige DMARC-Eintrag der Domain ist. Empfänger, die zwei finden, ignorieren beide.
4. Warten Sie, bis das DNS aktualisiert ist. Beobachten Sie dann das Postfach für Ihre Berichte (die rua-Adresse). Anbieter, die Sammelberichte senden, sollen das mindestens alle 24 Stunden tun.

Was sich 2026 für DMARC-Einträge geändert hat

Im Mai 2026 hat RFC 9989 den RFC 7489 ersetzt. DMARC ist damit Teil des Standards Track. Einträge beginnen weiterhin mit v=DMARC1. Bestehende Einträge funktionieren also weiter. Drei Tags sind abgeschafft: pct, rf und ri. Zwei sind neu: t, ein Testmodus, und np, eine Richtlinie für Subdomains, die es nicht gibt. Dieser DMARC-Generator schreibt die abgeschafften Tags nie, und die Prüfung bestehender Einträge entfernt sie. Alle Tags finden Sie in Was ist ein DMARC-Eintrag?.

Welche DMARC-Richtlinie Sie wählen sollten

Beginnen Sie mit p=none und einer rua-Adresse. Für Ihre E-Mails ändert sich nichts. Die Berichte zeigen Ihnen, welche Dienste unter Ihrer Domain senden. Der Standard sagt, dass es viele Monate dauern kann, bis jede legitime Quelle authentifiziert ist. Für Domains, deren Nutzer an Mailinglisten schreiben, schlägt er mindestens einen Monat p=none vor. Danach folgt quarantine für einen ebenso langen Zeitraum. Vergleichen Sie die Ergebnisse, bevor Sie zu reject wechseln.

Die Option t=y hilft beim letzten Schritt. Wenn Sie p=reject mit t=y veröffentlichen, wenden Empfänger stattdessen quarantine an. So sehen Sie, was abgelehnt worden wäre, ohne E-Mails zu verlieren. Entfernen Sie t=y, wenn Sie bereit sind.

Bevor Sie reject veröffentlichen, sollten alle Ihre E-Mails eine DKIM-Signatur tragen. Laut Standard darf sich eine Domain mit p=reject nicht allein auf SPF verlassen, weil SPF bei Weiterleitungen fehlschlägt. Wenn Sie einen eigenen Mailserver betreiben, erstellt der DKIM-Generator einen Schlüssel.

Adressen für Berichte

An die rua-Adresse gehen die Sammelberichte. Das sind XML-Dateien, die meist je einen Tag abdecken. Sie zeigen, welche IP-Adressen unter Ihrer Domain gesendet haben und ob diese E-Mails die Prüfung bestanden haben. An die ruf-Adresse gehen Fehlerberichte zu einzelnen Nachrichten. Viele Empfänger schwärzen diese aus Datenschutzgründen stark oder senden sie gar nicht. Verlassen Sie sich deshalb nicht darauf.

Liegt eine Berichtsadresse auf einer anderen Domain als der, die Sie schützen? Das ist zum Beispiel bei einem Berichtsdienst der Fall. Dann muss diese Domain einen Freigabe-Eintrag veröffentlichen, bevor Empfänger Berichte dorthin senden. Das Tool oben schreibt diesen Eintrag für Sie. Senden Sie ihn an die Person, die die Berichtsdomain verwaltet. Die Regel steht in Abschnitt 4 von RFC 9990.

Fehler, die dieser DMARC-Generator verhindert

Der Generator setzt v=DMARC1 immer an den Anfang, denn Empfänger ignorieren einen Eintrag, der anders beginnt. Er ergänzt das Präfix mailto:, das rua- und ruf-Adressen brauchen, und markiert Adressen, die falsch aussehen. Er schreibt nie pct. Wenn Sie einen alten Eintrag mit pct unter 100 prüfen, schlägt er stattdessen t=y vor. Er warnt Sie, wenn Sie reject wählen, denn das ist erst sicher, wenn alle Ihre E-Mails DKIM-signiert sind. Er warnt auch, wenn striktes Alignment E-Mails von Ihren Subdomains durchfallen ließe.

Nur Ihr DNS kann er nicht prüfen. Veröffentlichen Sie das Ergebnis als einzigen DMARC-Eintrag der Domain. Wie DMARC mit SPF und DKIM zusammenarbeitet, lesen Sie in SPF, DKIM und DMARC erklärt.