DMARC einfach erklärt
Das E-Mail-Protokoll prüft von sich aus nicht, ob die Absenderadresse stimmt, die im Postfach angezeigt wird. Beim Versand lässt sich dort im Grunde eine beliebige Adresse eintragen. Betrüger nutzen das, um Rechnungen, Zahlungsaufforderungen oder Links auf gefälschte Anmeldeseiten mit einer vertrauten Firmenadresse zu versehen.
DMARC baut auf zwei älteren Verfahren auf. Mit SPF (Sender Policy Framework) veröffentlicht eine Domain im DNS, welche Server Mails für sie versenden dürfen. Mit DKIM (DomainKeys Identified Mail) erhält eine Nachricht eine digitale Signatur, die der Empfänger mit einem öffentlichen Schlüssel der Domain nachprüft. Beide Verfahren haben eine Lücke: Sie prüfen eine Domain, die nicht zwingend mit der sichtbaren Absenderadresse übereinstimmt.
Diese Lücke schließt DMARC. Es verlangt, dass die per SPF oder DKIM bestätigte Domain zur Domain in der Von-Zeile passt. Außerdem teilt der Domaininhaber den Empfängern mit, was mit Nachrichten geschehen soll, die durchfallen, und bittet um Rückmeldung in Form von Berichten.
Wie ein Mailserver die Prüfung durchführt
Erhält ein Mailserver eine Nachricht, läuft die DMARC-Prüfung vereinfacht so ab:
- Er liest die Domain aus der sichtbaren Absenderadresse.
- Er fragt im DNS nach, ob diese Domain einen DMARC-Eintrag veröffentlicht hat.
- Er wertet SPF und DKIM aus und vergleicht die dabei bestätigten Domains mit der Absenderdomain.
- Passt mindestens eines der beiden Verfahren, gilt die Nachricht als DMARC-konform.
- Andernfalls wendet er die Richtlinie der Domain an. Sie ist eine Bitte; die letzte Entscheidung trifft das empfangende System.
Die drei Stufen der DMARC-Richtlinie
Im DMARC-Eintrag steht eine von drei Richtlinien:
- none: Der Empfänger soll nichts unternehmen und nur berichten. Diese Stufe dient dem Kennenlernen der eigenen Mailwege.
- quarantine: Durchgefallene Nachrichten sollen als verdächtig behandelt werden, etwa durch Ablage im Spam-Ordner.
- reject: Der Empfänger soll solche Nachrichten gar nicht erst annehmen.
Schutz für die Empfänger bieten nur die beiden strengeren Stufen. Das BSI erwartet in seiner Technischen Richtlinie TR-03182 zur E-Mail-Authentifizierung (Version 1.0 vom Januar 2024) mindestens quarantine und nennt reject als langfristiges Ziel. Wie der Weg von der Beobachtung zur strengen Richtlinie in der Umsetzung aussieht, beschreibt unsere Seite zur E-Mail-Sicherheit.
Was die Berichte zeigen
Empfangende Systeme schicken auf Wunsch zusammengefasste Berichte an eine Adresse, die im DMARC-Eintrag steht. Daraus geht hervor, welche Server wie viele Nachrichten unter Ihrer Domain verschickt haben und ob SPF und DKIM dabei gepasst haben. Die Berichte kommen als maschinenlesbare XML-Dateien und werden in der Regel mit einem Auswertungswerkzeug lesbar gemacht. Weil sie Rückschlüsse auf Personen zulassen, sieht die genannte Richtlinie des BSI ihre Verarbeitung innerhalb der EU vor.
Lange galt DMARC nur als informatives Dokument der Internet-Normungsorganisation IETF (RFC 7489 aus dem Jahr 2015). 2026 erschien die überarbeitete Fassung auf dem Standardisierungspfad der IETF (Proposed Standard): RFC 9989 beschreibt das Verfahren, RFC 9990 die Sammelberichte und RFC 9991 die Fehlerberichte (Stand: Oktober 2026).
Was DMARC nicht abdeckt
DMARC schützt genau die Domain, für die der Eintrag gilt, und ihre Unterdomains, soweit für diese keine eigene Richtlinie gesetzt ist. Eine Adresse, die Ihrer nur ähnelt, etwa mit Bindestrich oder anderer Endung, ist aus Sicht des Verfahrens eine fremde Domain. Auch ein vertrauter Anzeigename wie „Geschäftsführung“ vor einer fremden Adresse fällt nicht auf, ein Muster, das beim CEO-Fraud vorkommt. Und wird ein echtes Postfach übernommen, bestehen die Nachrichten daraus die Prüfung.
DMARC ist deshalb ein Baustein gegen Phishing, kein vollständiger Schutz. Welche Merkmale Ihr Team zusätzlich beachten sollte, zeigt unser Ratgeber Phishing erkennen.
Gefälschte Mahnungen im Namen eines Fachhandels
Ein denkbarer Fall: Ein Fachhandel für Haustechnik mit 25 Arbeitsplätzen erfährt von Kunden, dass Mahnungen mit seiner Buchhaltungsadresse im Umlauf sind. Die Mails enthalten einen Link auf Schadsoftware. Die Domain hat zwar einen SPF-Eintrag, aber keinen DMARC-Eintrag.
Im Modus none zeigen die ersten Berichte drei Absender: das Postfachsystem in Exchange Online, die Cloud-Telefonanlage, die Sprachnachrichten per E-Mail zustellt, und mehrere unbekannte Server mit Tausenden Nachrichten. Die Telefonanlage wird in den SPF-Eintrag aufgenommen und erhält eine DKIM-Signatur. Danach geht die Domain auf quarantine und einige Wochen später auf reject. Mailsysteme, die DMARC auswerten, können die gefälschten Mahnungen nun abweisen, und an den weiteren Berichten lässt sich ablesen, ob die Fälscher es weiter versuchen.
Wie ProNet unterstützt
Wir ermitteln mit Ihnen, welche Dienste unter Ihrer Domain versenden, und werten die Berichte aus. Die nötigen SPF-, DKIM- und DMARC-Angaben hinterlegen wir in der DNS-Zone oder stimmen sie mit der Stelle ab, die Ihre Domain verwaltet. Die Richtlinie verschärfen wir erst, wenn alle echten Absender sauber erkannt werden. Betreuen wir auch Ihr Postfachsystem, stimmen wir die Einstellungen im Rahmen unserer Exchange-Betreuung ab, damit DKIM-Schlüssel und DNS-Einträge auch nach Änderungen zusammenpassen.