Wir haben den DMARC-Record von 180 großen versendenden Domains aufgelöst und gelesen, wohin jede davon ihre Reports schickt. Valimail taucht bei 27 davon auf, Proofpoint bei 26, Dmarcian bei 16. Weitere 36 schicken die Reports nur an sich selbst und kaufen gar nichts. Die meisten Produkte, die für diese Frage ranken, tauchen einmal auf oder überhaupt nicht.
Dieser Abstand ist eine Stichprobe und kein Skandal. Das sind große Versender, und ein großer Versender kauft anders ein als das Team, das diese Woche seinen ersten DMARC-Record veröffentlicht. Was das Korpus dafür beantwortet, ist die Frage, die eine Übersicht nicht beantworten kann, weil die Antwort im DNS steht und nicht auf einer Preisseite: wie ein funktionierendes Reporting-Setup aussieht, und was leise kaputtgeht, wenn man ihm ein zweites Tool hinzufügt.
DMARC-Monitoring wertet Reports aus, die Mailbox-Provider ohnehin kostenlos schicken
Mailbox-Provider erzeugen DMARC-Aggregate-Reports, egal ob du jemanden dafür bezahlst. Veröffentliche eine rua-Adresse in deinem DMARC-Record, und Google, Microsoft, Yahoo und mehrere hundert kleinere Empfänger fangen an, dir XML zu schicken, meist einmal täglich, mit jeder IP-Adresse, die Mail unter deiner Domain versendet hat, und ob sie das SPF- und DKIM-Alignment bestanden hat. Die Reports kosten nichts. Sie sind auch fast unlesbar: Ein einziger Tag eines mittelgroßen Versenders sind Dutzende XML-Dateien, jede mit IP-Adressen ohne jeden Namen daran.
Ein DMARC-Monitoring-Tool bringt dir vier Dinge über diesem Rohdatenstrom. Es aggregiert das XML über alle Reporter und Tage hinweg. Es löst IP-Adressen zu benannten Versanddiensten auf, sodass aus 209.85.220.41 Google Workspace wird. Es verfolgt das Alignment über die Zeit, damit du siehst, ob eine Korrektur gewirkt hat. Und es sagt dir, wann deine Policy gefahrlos verschärft werden kann, und genau dafür existiert die ganze Kategorie: von p=none über p=quarantine zu p=reject, ohne still Mail zu blockieren, die du senden wolltest.
Nichts davon setzt im Prinzip ein Abo voraus. Du kannst das XML selbst auswerten, und ein nennenswerter Teil der großen Versender tut genau das. Was du kaufst, sind die Aggregation, die Namen und das Urteil darüber, wann die Policy steigen darf.
An wen 166 große Domains ihre DMARC-Reports tatsächlich schicken
Von 180 Domains, die wir am 15. August 2026 aufgelöst haben, veröffentlichen 173 einen DMARC-Record und 166 davon mindestens eine rua-Adresse. Hier steht, wohin diese Reports gehen, gezählt nach Domain und nicht nach Adresse, sodass eine Domain, die zwei Plattformen nennt, unter beiden auftaucht.
| Report-Ziel | Domains |
|---|---|
| Valimail | 27 |
| Proofpoint | 26 |
| Dmarcian | 16 |
| Agari (Fortra) | 12 |
| DMARC Analyzer (Mimecast) | 9 |
| Red Sift OnDMARC | 8 |
| Validity | 8 |
| DMARC Digests | 6 |
| Cloudflare | 5 |
| Postmark DMARC Digests | 5 |
| Intern, Reports an die versendende Domain selbst | 36 |
Lies das als das, was große Versender tun, und nicht als Marktanteil. Das Korpus ist eine Menge bekannter versendender Domains, die wir als Kontrolle für unseren eigenen DMARC-Parser verfolgen, also kippt es stark Richtung Großunternehmen, und Großunternehmen kaufen DMARC-Monitoring gebündelt in einer Security-Suite. Proofpoint, Agari, Mimecast und Validity stehen alle deshalb in dieser Spalte, weil der Käufer sie ohnehin schon für etwas anderes bezahlt hat.
Die Liste ist außerdem schmaler als der Markt. EasyDMARC, DMARCLY, Report URI, Postmastery und Cyber Pilot tauchen jeweils genau einmal auf, und PowerDMARC, URIports, Fraudmarc, Skysnag und Sendmarc null Mal. Das sagt etwas darüber, welche Domains wir verfolgen, und nichts über diese Produkte. Wenn du an Großunternehmen verkaufst, ist diese Tabelle dein Wettbewerbsumfeld. Wenn du ein Unternehmen mit fünfzig Leuten bist, sagt sie dir vor allem, dass die teuren Optionen bei Leuten gut vertreten sind, die anders sind als du.
Der Befund, der über Unternehmensgrößen hinweg trägt, ist die letzte Zeile. Diese 36 Domains, mehr als eine von fünf, werten ihre Reports selbst aus und kaufen überhaupt nichts. Im Unspam 2026 Email Deliverability Benchmark veröffentlichen 48 % eine DMARC-Policy, die Population, die es überhaupt bis zu einer Policy geschafft hat, ist also bereits die Hälfte, die das ernst nimmt.
Das Wort kostenlos deckt in dieser Kategorie fünf verschiedene Angebote ab
Fast jedes Tool hier wirbt mit irgendetwas Kostenlosem, und das Wort deckt mindestens fünf verschiedene Arrangements ab. Sie zu sortieren ist der schnellste Weg, eine Shortlist zu kürzen, denn drei der fünf laufen aus oder schließen dich aus.
| Angebot | Was es bedeutet | Beispiele |
|---|---|---|
| Kostenloser Tarif | Ein dauerhaft kostenloser Plan, meist eine Domain mit weniger Historie | EasyDMARC, Valimail Monitor |
| Kostenloser Digest | Für immer kostenlos, aber das Produkt ist eine Mail-Zusammenfassung und kein Dashboard | Postmark DMARC Digests |
| Kostenlos mit dem DNS | Ohne Aufpreis enthalten, wenn dein DNS ohnehin dort liegt | Cloudflare DMARC Management |
| Kostenlose Testphase | Das volle Produkt, und dann hört es auf | Red Sift OnDMARC, URIports |
| Kostenlos für private Nutzung | Ein echter kostenloser Plan, dessen Bedingungen Firmendomains ausschließen | Dmarcian |
Die letzte Zeile sollte man zweimal lesen. Dmarcians kostenloser Account wird auf der eigenen Preisseite als für nicht geschäftliche private Nutzung gedacht beschrieben, was heißt, dass genau die Domain, die du überwachen musst, nicht qualifiziert. Ein großzügiges Angebot und ein verbreitetes Missverständnis.
Wir haben jedes Arrangement in dieser Tabelle am 21. September 2026 geprüft und Preise absichtlich weggelassen. Ein Preis ist die am schnellsten veränderliche Angabe auf der Website jedes Anbieters, eine Übersicht, die einen zitiert, liegt also binnen eines Quartals falsch und kann dir nicht sagen, ab wann. Die Form eines Angebots ändert sich weit langsamer als seine Zahl.
Deine rua-Liste hat eine Reihenfolge, und die dritte Adresse hat keine Garantie mehr unter sich
Die Position in einer rua-Liste entscheidet, ob eine Adresse überhaupt etwas erhält, und die Norm, die früher die zweite Position geschützt hat, wurde im Mai 2026 ersetzt. Du kannst in einem DMARC-Record mehrere Reporting-Adressen durch Kommas getrennt aufführen, und fast alle nehmen an, dass alle davon alles bekommen. Das stimmte nie ganz, und heute stimmt es weniger.
RFC 7489, das Dokument, auf dem DMARC acht Jahre lang lief, sagte, Empfänger „MAY impose a limit on the number of URIs to which they will send reports but MUST support the ability to send to at least two“. Dieser Satz erledigte zwei Aufgaben: Er ließ einen Empfänger den Aufwand deckeln, und er garantierte dir einen Boden von zwei.
RFC 9989 hat ihn durch einen schlichteren Satz in Abschnitt 4.6 ersetzt: „A report SHOULD be sent to each listed URI provided in the DMARC Policy Record“. Das Begleitdokument zum Aggregate-Reporting, RFC 9990, liefert die Mechanik in Abschnitt 3.5. Ein Empfänger „MUST evaluate the provided reporting URIs in the order given“, ignoriert fehlerhafte Adressen und versucht die Zustellung an jede verbleibende „up to the Receiver's limits on supported URIs“.
Daraus folgen drei Dinge, und sie zeigen in verschiedene Richtungen:
- Die Reihenfolge ist normativ. Die Position in der Liste ist nicht kosmetisch. Ein Empfänger arbeitet deine Adressen von vorn nach hinten ab.
- Der Deckel blieb. Empfänger dürfen weiterhin begrenzen, wie viele Adressen sie bedienen, und der aktuelle Text sagt nicht, wo diese Grenze liegen darf.
- Der Boden von zwei ist weg. RFC 7489 versprach, dass deine zweite Adresse bedient wird. Weder RFC 9989 noch RFC 9990 versprechen das, und keines von beiden verspricht deine dritte.
Ausgerollte Empfänger haben RFC 7489 implementiert und werden sich nicht alle schnell ändern, zwei Adressen bleiben in der Praxis also die sichere Arbeitsannahme. Worauf es ankommt, ist die Richtung: Eine dritte Adresse hatte vorher eine schwache Garantie und hat jetzt gar keine.
Sechs der 166 Records, die wir gelesen haben, führen mehr als zwei Adressen, und unserer ist einer davon. unspam.email hat drei veröffentlicht, und die Reporting-Adresse, auf die es uns ankommt, stand an dritter Stelle. Das Muster bei den anderen fünf ist dasselbe und völlig nachvollziehbar: die Adresse einer Mailplattform, eingetragen, als jemand den Versand eingerichtet hat, plus die eines Monitoring-Anbieters, später von jemand anderem ergänzt. Niemand hat irgendwo einen Fehler gemacht. Die Liste ist schlicht über den Punkt hinausgewachsen, an dem die Norm sie schützt, und keine Oberfläche warnt dich davor.
Sechs Tools für eine Shortlist, gruppiert nach dem, was sie sind
Das richtige Tool hängt davon ab, aus welcher Gruppe du kaufst, deshalb sind sie gruppiert und nicht sortiert. Eine wöchentliche Mail und eine Authentifizierungsplattform für Großunternehmen sind keine Wettbewerber, und eine Liste, die sie gegeneinander stellt, beantwortet eine Frage, die niemand gestellt hat.
Valimail
Das häufigste Ziel in diesem Korpus und eine der wenigen Plattformen für Großunternehmen mit einer dauerhaft kostenlosen Monitoring-Stufe. Valimails Versprechen ist Automatisierung: Es identifiziert Versanddienste namentlich und will zur Durchsetzung führen, ohne dass du DNS von Hand bearbeitest. Die kostenlose Stufe ist echt, die bezahlten werden angefragt statt ausgepreist.
Dmarcian
Eine der ältesten dedizierten DMARC-Plattformen und über ein Jahrzehnt lang eine Referenzimplementierung der Kategorie. Starke kostenlose Werkzeuge, die jeder ohne Account nutzen kann, darunter ein Record-Checker und ein XML-nach-Klartext-Konverter. Der kostenlose Plattform-Account ist auf nicht geschäftliche private Nutzung beschränkt, plane also einen bezahlten Plan ein, wenn die Domain einem Unternehmen gehört.
Red Sift OnDMARC
Die beste Passung für ein Team, das mehr will als Reports. Das Unterscheidungsmerkmal ist dynamisches SPF, das deinen Record serverseitig flach macht, damit du nicht mehr gegen das Limit von zehn Lookups läufst, dazu gehostetes DMARC und BIMI. Kostenlose Testphase statt kostenloser Stufe.
EasyDMARC
Der Platzhirsch im Mittelstand und das Produkt, dessen Inhalte du auf dem Weg hierher am ehesten gelesen hast. Kostenlose Stufe für eine einzelne Domain, bezahlte Pläne nach Mailvolumen und Domainzahl bepreist, und darunter eine breite Plattform: Sie wertet Failure-Reports zusätzlich zu den Aggregate-Reports aus, hostet deine DMARC-, SPF-, DKIM- und BIMI-Records und berichtet über TLS. Dazu ein großes Managed-Service-Geschäft für MSPs.
Postmark DMARC Digests
Die richtige Antwort für eine Domain, die Beobachtung braucht und keine Arbeit. Es ist kostenlos, es ist eine wöchentliche Mail, und es zeigt deine wichtigsten Versandquellen mit einer kurzen Historie. Kein Dashboard, kein Policy-Workflow, keine Kosten, kein Ablauf. Für eine Domain, die schon auf p=reject steht und nur wissen muss, wann sich etwas ändert, ist eine wöchentliche Mail die richtige Menge Produkt.
Cloudflare DMARC Management
Kostenlos in jedem Cloudflare-Plan, wenn dein DNS ohnehin dort liegt, und mit einem Klick eingerichtet, weil Cloudflare den Record selbst schreiben kann. Weiterhin als Beta gekennzeichnet. Es prüft außerdem deinen SPF-Record gegen das Limit von zehn Lookups. Zum Anheben der Policy steht nichts darin, behandle es also als Sichtbarkeit und nicht als Programm.
Eine Anmerkung zu den Security-Suites
Proofpoint, Mimecast, Agari und Validity nehmen zusammen 54 der 166 Records ein, und praktisch niemand kauft sie allein wegen des DMARC-Monitorings. Wenn dein Unternehmen schon eine davon betreibt, ist das DMARC-Modul wahrscheinlich enthalten und besser ausgestattet als alles, was du separat kaufen würdest. Prüfe, was du hast, bevor du einkaufst.
Wie du zwei DMARC-Tools gleichzeitig testest, ohne einen Monat an Daten zu verlieren
Zwei DMARC-Plattformen ehrlich zu vergleichen heißt, beide über dieselben Wochen mit denselben Reports zu füttern, und der naheliegende Weg dahin ist, beide Adressen in deine rua-Liste zu setzen. Für zwei funktioniert das. Genau dort beginnt das Problem mit der dritten Adresse, denn ein Test wird meist einem Record hinzugefügt, in dem schon etwas steht.
- Lies zuerst deinen aktuellen Record. Schick die Domain durch einen DMARC-Checker und zähl die Adressen, die schon in
ruastehen. Eine Mailplattform kann vor Jahren eine eingetragen haben, ohne es jemandem zu sagen. - Halte die Liste für die Dauer bei zwei. Wenn du schon zwei hast, parke eine, statt eine dritte anzuhängen. Ein Test, der still einen Bruchteil deiner Reports erhält, erzeugt einen Vergleich, der zugunsten oder zuungunsten des Anbieters falsch ist, und du kannst nicht erkennen, welches von beidem.
- Setz die Adresse, die du bewertest, an die erste Stelle. Die Reihenfolge ist das, was der Empfänger beachtet, der Kandidat gehört also auf Position eins, solange du ihn beurteilst, und nicht ans Ende.
- Gib ihm mindestens zwei Wochen. Empfänger berichten nach ihrem eigenen Zeitplan, und die letzten ein bis zwei Tage sind immer unvollständig. Ein Wochenende ist keine Stichprobe.
- Vergleiche die Benennung der Quellen, nicht die Zahl der Reports. Beide Tools erhalten dasselbe XML, die Nachrichtensummen sollten also grob übereinstimmen. Was sich unterscheidet, ist, wie viele IP-Adressen jedes davon in einen benannten Dienst verwandelt, und das ist das eigentliche Produkt.
Wenn du einen DMARC-Record zum ersten Mal veröffentlichst statt einen zu ersetzen, erzeugt ein DMARC-Record-Generator einen korrekten p=none-Startrecord, und unser Leitfaden dazu, was DMARC ist und wie es funktioniert, behandelt die Tags selbst.
Was das DMARC-Monitoring von Unspam tut, und wo es aufhört
Das DMARC-Monitoring von Unspam sammelt Aggregate-Reports, löst sie in benannte Versandquellen mit Kategorie und Vertrauensstufe auf und führt eine Policy-Reifeprüfung durch: eine benannte Liste dessen, was eine strengere Policy blockiert, statt einer Punktzahl. Die Blocker sind konkret. Noch nicht genug Reporting-Tage, Compliance unter dem Schwellenwert, eine benannte Quelle scheitert weiterhin, oder Traffic, den niemand geprüft hat. Es liest außerdem deinen veröffentlichten Record regelmäßig erneut und meldet dir, wenn deine Reporting-Adresse daraus verschwindet, ein Fehlerbild, das ein reines Report-Tool nicht sehen kann, weil es immer nur auf angekommene Reports schauen kann.
Zwei Details kommen direkt daher, wie die rua-Reihenfolge funktioniert. Wenn Unspam deinen Record erzeugt, setzt es seine Reporting-Adresse an die erste Stelle der Liste und sagt dir, an welcher Position diese Adresse vorher stand. Wenn dein bestehender Record die Liste vor einer Adresse beendet, sodass diese Adresse nichts erhält, repariert es die Liste, statt hinten anzuhängen.
Wo es aufhört, zählt genauso. Unspam liest Aggregate-Reports und keine Failure-Reports. Es hostet deine DMARC-, SPF-, DKIM- und BIMI-Records nicht und hat zum TLS-Reporting nichts zu sagen. Wenn du eine vollständige Authentifizierungsplattform willst, sind EasyDMARC und Red Sift OnDMARC das richtige Regal. Wenn du wissen willst, wer als deine Domain versendet und wann du die Policy gefahrlos anheben kannst, ist das genau das.
Zum Preis: DMARC-Monitoring liegt im individuellen Plan von Unspam, der ein Minimum von $5 im Monat hat. Die erste Domain fügt dieser Rechnung nichts hinzu, und jede weitere Domain kostet $6 im Monat. Das ist eine wirklich kostenlose erste Domain und kein kostenloser Plan, und der Unterschied ist derselbe, der einen kostenlosen Tarif von einer kostenlosen Testphase trennt: Du musst schon $5 für irgendetwas ausgeben, bevor die kostenlose Domain kostenlos ist. Um einen einzelnen Report zu lesen, den du schon hast, ohne Account, nimmt der DMARC-Report-Analyzer eine XML-Datei und gibt ihren Inhalt in Klartext zurück.
Wie du eines auswählst
Beginne damit, in welcher von vier Situationen du bist, denn sie haben verschiedene Antworten und nur eine davon ist ein Einkaufsproblem.
Du hast überhaupt keinen DMARC-Record. Veröffentliche p=none mit einer Reporting-Adresse und warte zwei Wochen. Jede kostenlose Option reicht, auch die auslaufenden, denn du sammelst eine Basislinie und wählst kein Tool.
Du hast einen Record und eine Policy, die du dich nicht zu verschärfen traust. Das ist die eigentliche Kategorie. Du willst benannte Quellen und eine ausdrückliche Blockerliste, und du solltest mit Kosten rechnen. Beurteile Kandidaten danach, wie viele deiner versendenden IP-Adressen jeder davon zu Namen auflöst, denn diese Zahl entscheidet, wie lange das Projekt dauert.
Du betreibst schon eine E-Mail-Security-Suite für Großunternehmen. Prüfe, was du besitzt, bevor du etwas kaufst. Rund ein Drittel der Records, die wir gelesen haben, berichtet an eine Plattform, die das Unternehmen aus einem völlig anderen Grund gekauft hat.
Du stehst auf p=reject und willst nur wissen, wann sich etwas ändert. Ein wöchentlicher Digest genügt, und für ein Dashboard zu zahlen, das du zweimal im Jahr öffnest, ist zu keinem Preis ein Schnäppchen.
Was immer du wählst, veröffentliche den Record, bevor du die Wahl abschließt. Reports sammeln sich erst an, wenn eine Adresse im DNS steht, und jede Woche ohne sie ist eine Woche an Belegen, die du nicht zurückholen kannst. Wenn du zusätzlich wissen willst, wie eine bestimmte Nachricht ankommt, bevor du sie sendest, mach einen kostenlosen Spam-Test und lies die Authentifizierungsergebnisse neben den inhaltlichen.
