Wir haben den DMARC-Record von 180 großen versendenden Domains aufgelöst und gelesen, wohin jede davon ihre Reports schickt. Valimail taucht bei 27 davon auf, Proofpoint bei 26, Dmarcian bei 16. Weitere 36 schicken die Reports nur an sich selbst und kaufen gar nichts. Die meisten Produkte, die für diese Frage ranken, tauchen einmal auf oder überhaupt nicht.
Dieser Abstand ist eine Stichprobe und kein Skandal. Das sind große Versender, und ein großer Versender kauft anders ein als das Team, das diese Woche seinen ersten DMARC-Record veröffentlicht. Was das Korpus dafür beantwortet, ist die Frage, die eine Übersicht nicht beantworten kann, weil die Antwort im DNS steht und nicht auf einer Preisseite: wie ein funktionierendes Reporting-Setup aussieht, und was leise kaputtgeht, wenn man ihm ein zweites Tool hinzufügt.
DMARC-Monitoring wertet Reports aus, die Mailbox-Provider ohnehin kostenlos schicken
Mailbox-Provider erzeugen DMARC-Aggregate-Reports, egal ob Sie jemanden dafür bezahlen. Veröffentlichen Sie eine rua-Adresse in Ihrem DMARC-Record, und Google, Microsoft, Yahoo und mehrere hundert kleinere Empfänger fangen an, Ihnen XML zu schicken, meist einmal täglich, mit jeder IP-Adresse, die Mail unter Ihrer Domain versendet hat, und ob sie das SPF- und DKIM-Alignment bestanden hat. Die Reports kosten nichts. Sie sind auch fast unlesbar: Ein einziger Tag eines mittelgroßen Versenders sind Dutzende XML-Dateien, jede mit IP-Adressen ohne jeden Namen daran.
Ein DMARC-Monitoring-Tool bringt Ihnen vier Dinge über diesem Rohdatenstrom. Es aggregiert das XML über alle Reporter und Tage hinweg. Es löst IP-Adressen zu benannten Versanddiensten auf, sodass aus 209.85.220.41 Google Workspace wird. Es verfolgt das Alignment über die Zeit, damit Sie sehen, ob eine Korrektur gewirkt hat. Und es sagt Ihnen, wann Ihre Policy gefahrlos verschärft werden kann, und genau dafür existiert die ganze Kategorie: von p=none über p=quarantine zu p=reject, ohne still Mail zu blockieren, die Sie senden wollten.
Nichts davon setzt im Prinzip ein Abo voraus. Sie können das XML selbst auswerten, und ein nennenswerter Teil der großen Versender tut genau das. Was Sie kaufen, sind die Aggregation, die Namen und das Urteil darüber, wann die Policy steigen darf.
An wen 166 große Domains ihre DMARC-Reports tatsächlich schicken
Von 180 Domains, die wir am 15. August 2026 aufgelöst haben, veröffentlichen 173 einen DMARC-Record und 166 davon mindestens eine rua-Adresse. Hier steht, wohin diese Reports gehen, gezählt nach Domain und nicht nach Adresse, sodass eine Domain, die zwei Plattformen nennt, unter beiden auftaucht.
| Report-Ziel | Domains |
|---|---|
| Valimail | 27 |
| Proofpoint | 26 |
| Dmarcian | 16 |
| Agari (Fortra) | 12 |
| DMARC Analyzer (Mimecast) | 9 |
| Red Sift OnDMARC | 8 |
| Validity | 8 |
| DMARC Digests | 6 |
| Cloudflare | 5 |
| Postmark DMARC Digests | 5 |
| Intern, Reports an die versendende Domain selbst | 36 |
Lesen Sie das als das, was große Versender tun, und nicht als Marktanteil. Das Korpus ist eine Menge bekannter versendender Domains, die wir als Kontrolle für unseren eigenen DMARC-Parser verfolgen, also kippt es stark Richtung Großunternehmen, und Großunternehmen kaufen DMARC-Monitoring gebündelt in einer Security-Suite. Proofpoint, Agari, Mimecast und Validity stehen alle deshalb in dieser Spalte, weil der Käufer sie ohnehin schon für etwas anderes bezahlt hat.
Die Liste ist außerdem schmaler als der Markt. EasyDMARC, DMARCLY, Report URI, Postmastery und Cyber Pilot tauchen jeweils genau einmal auf, und PowerDMARC, URIports, Fraudmarc, Skysnag und Sendmarc null Mal. Das sagt etwas darüber, welche Domains wir verfolgen, und nichts über diese Produkte. Wenn Sie an Großunternehmen verkaufen, ist diese Tabelle Ihr Wettbewerbsumfeld. Wenn Sie ein Unternehmen mit fünfzig Leuten sind, sagt sie Ihnen vor allem, dass die teuren Optionen bei Leuten gut vertreten sind, die nicht Sie sind.
Der Befund, der über Unternehmensgrößen hinweg trägt, ist die letzte Zeile. Diese 36 Domains, mehr als eine von fünf, werten ihre Reports selbst aus und kaufen überhaupt nichts. Im Unspam 2026 Email Deliverability Benchmark veröffentlichen 48 % eine DMARC-Policy, die Population, die es überhaupt bis zu einer Policy geschafft hat, ist also bereits die Hälfte, die das ernst nimmt.
Das Wort kostenlos deckt in dieser Kategorie fünf verschiedene Angebote ab
Fast jedes Tool hier wirbt mit irgendetwas Kostenlosem, und das Wort deckt mindestens fünf verschiedene Arrangements ab. Sie zu sortieren ist der schnellste Weg, eine Shortlist zu kürzen, denn drei der fünf laufen aus oder schließen Sie aus.
| Angebot | Was es bedeutet | Beispiele |
|---|---|---|
| Kostenloser Tarif | Ein dauerhaft kostenloser Plan, meist eine Domain mit weniger Historie | EasyDMARC, Valimail Monitor |
| Kostenloser Digest | Für immer kostenlos, aber das Produkt ist eine Mail-Zusammenfassung und kein Dashboard | Postmark DMARC Digests |
| Kostenlos mit dem DNS | Ohne Aufpreis enthalten, wenn Ihr DNS ohnehin dort liegt | Cloudflare DMARC Management |
| Kostenlose Testphase | Das volle Produkt, und dann hört es auf | Red Sift OnDMARC, URIports |
| Kostenlos für private Nutzung | Ein echter kostenloser Plan, dessen Bedingungen Firmendomains ausschließen | Dmarcian |
Die letzte Zeile sollte man zweimal lesen. Dmarcians kostenloser Account wird auf der eigenen Preisseite als für nicht geschäftliche private Nutzung gedacht beschrieben, was heißt, dass genau die Domain, die Sie überwachen müssen, nicht qualifiziert. Ein großzügiges Angebot und ein verbreitetes Missverständnis.
Wir haben jedes Arrangement in dieser Tabelle am 21. September 2026 geprüft und Preise absichtlich weggelassen. Ein Preis ist die am schnellsten veränderliche Angabe auf der Website jedes Anbieters, eine Übersicht, die einen zitiert, liegt also binnen eines Quartals falsch und kann Ihnen nicht sagen, ab wann. Die Form eines Angebots ändert sich weit langsamer als seine Zahl.
Ihre rua-Liste hat eine Reihenfolge, und die dritte Adresse hat keine Garantie mehr unter sich
Die Position in einer rua-Liste entscheidet, ob eine Adresse überhaupt etwas erhält, und die Norm, die früher die zweite Position geschützt hat, wurde im Mai 2026 ersetzt. Sie können in einem DMARC-Record mehrere Reporting-Adressen durch Kommas getrennt aufführen, und fast alle nehmen an, dass alle davon alles bekommen. Das stimmte nie ganz, und heute stimmt es weniger.
RFC 7489, das Dokument, auf dem DMARC acht Jahre lang lief, sagte, Empfänger "MAY impose a limit on the number of URIs to which they will send reports but MUST support the ability to send to at least two". Dieser Satz erledigte zwei Aufgaben: Er ließ einen Empfänger den Aufwand deckeln, und er garantierte Ihnen einen Boden von zwei.
RFC 9989 hat ihn durch einen schlichteren Satz in Abschnitt 4.6 ersetzt: "A report SHOULD be sent to each listed URI provided in the DMARC Policy Record". Das Begleitdokument zum Aggregate-Reporting, RFC 9990, liefert die Mechanik in Abschnitt 3.5. Ein Empfänger "MUST evaluate the provided reporting URIs in the order given", ignoriert fehlerhafte Adressen und versucht die Zustellung an jede verbleibende "up to the Receiver's limits on supported URIs".
Daraus folgen drei Dinge, und sie zeigen in verschiedene Richtungen:
- Die Reihenfolge ist normativ. Die Position in der Liste ist nicht kosmetisch. Ein Empfänger arbeitet Ihre Adressen von vorn nach hinten ab.
- Der Deckel blieb. Empfänger dürfen weiterhin begrenzen, wie viele Adressen sie bedienen, und der aktuelle Text sagt nicht, wo diese Grenze liegen darf.
- Der Boden von zwei ist weg. RFC 7489 versprach, dass Ihre zweite Adresse bedient wird. Weder RFC 9989 noch RFC 9990 versprechen das, und keines von beiden verspricht Ihre dritte.
Ausgerollte Empfänger haben RFC 7489 implementiert und werden sich nicht alle schnell ändern, zwei Adressen bleiben in der Praxis also die sichere Arbeitsannahme. Worauf es ankommt, ist die Richtung: Eine dritte Adresse hatte vorher eine schwache Garantie und hat jetzt gar keine.
Sechs der 166 Records, die wir gelesen haben, führen mehr als zwei Adressen, und unserer ist einer davon. unspam.email hat drei veröffentlicht, und die Reporting-Adresse, auf die es uns ankommt, stand an dritter Stelle. Das Muster bei den anderen fünf ist dasselbe und völlig nachvollziehbar: die Adresse einer Mailplattform, eingetragen, als jemand den Versand eingerichtet hat, plus die eines Monitoring-Anbieters, später von jemand anderem ergänzt. Niemand hat irgendwo einen Fehler gemacht. Die Liste ist schlicht über den Punkt hinausgewachsen, an dem die Norm sie schützt, und keine Oberfläche warnt Sie davor.
Sechs Tools für eine Shortlist, gruppiert nach dem, was sie sind
Das richtige Tool hängt davon ab, aus welcher Gruppe Sie kaufen, deshalb sind sie gruppiert und nicht sortiert. Eine wöchentliche Mail und eine Authentifizierungsplattform für Großunternehmen sind keine Wettbewerber, und eine Liste, die sie gegeneinander stellt, beantwortet eine Frage, die niemand gestellt hat.
Valimail
Das häufigste Ziel in diesem Korpus und eine der wenigen Plattformen für Großunternehmen mit einer dauerhaft kostenlosen Monitoring-Stufe. Valimails Versprechen ist Automatisierung: Es identifiziert Versanddienste namentlich und will zur Durchsetzung führen, ohne dass Sie DNS von Hand bearbeiten. Die kostenlose Stufe ist echt, die bezahlten werden angefragt statt ausgepreist.
Dmarcian
Eine der ältesten dedizierten DMARC-Plattformen und über ein Jahrzehnt lang eine Referenzimplementierung der Kategorie. Starke kostenlose Werkzeuge, die jeder ohne Account nutzen kann, darunter ein Record-Checker und ein XML-nach-Klartext-Konverter. Der kostenlose Plattform-Account ist auf nicht geschäftliche private Nutzung beschränkt, planen Sie also einen bezahlten Plan ein, wenn die Domain einem Unternehmen gehört.
Red Sift OnDMARC
Die beste Passung für ein Team, das mehr will als Reports. Das Unterscheidungsmerkmal ist dynamisches SPF, das Ihren Record serverseitig flach macht, damit Sie nicht mehr gegen das Limit von zehn Lookups laufen, dazu gehostetes DMARC und BIMI. Kostenlose Testphase statt kostenloser Stufe.
EasyDMARC
Der Platzhirsch im Mittelstand und das Produkt, dessen Inhalte Sie auf dem Weg hierher am ehesten gelesen haben. Kostenlose Stufe für eine einzelne Domain, bezahlte Pläne nach Mailvolumen und Domainzahl bepreist, und darunter eine breite Plattform: Sie wertet Failure-Reports zusätzlich zu den Aggregate-Reports aus, hostet Ihre DMARC-, SPF-, DKIM- und BIMI-Records und berichtet über TLS. Dazu ein großes Managed-Service-Geschäft für MSPs.
Postmark DMARC Digests
Die richtige Antwort für eine Domain, die Beobachtung braucht und keine Arbeit. Es ist kostenlos, es ist eine wöchentliche Mail, und es zeigt Ihre wichtigsten Versandquellen mit einer kurzen Historie. Kein Dashboard, kein Policy-Workflow, keine Kosten, kein Ablauf. Für eine Domain, die schon auf p=reject steht und nur wissen muss, wann sich etwas ändert, ist eine wöchentliche Mail die richtige Menge Produkt.
Cloudflare DMARC Management
Kostenlos in jedem Cloudflare-Plan, wenn Ihr DNS ohnehin dort liegt, und mit einem Klick eingerichtet, weil Cloudflare den Record selbst schreiben kann. Weiterhin als Beta gekennzeichnet. Es prüft außerdem Ihren SPF-Record gegen das Limit von zehn Lookups. Zum Anheben der Policy steht nichts darin, behandeln Sie es also als Sichtbarkeit und nicht als Programm.
Eine Anmerkung zu den Security-Suites
Proofpoint, Mimecast, Agari und Validity nehmen zusammen 54 der 166 Records ein, und praktisch niemand kauft sie allein wegen des DMARC-Monitorings. Wenn Ihr Unternehmen schon eine davon betreibt, ist das DMARC-Modul wahrscheinlich enthalten und besser ausgestattet als alles, was Sie separat kaufen würden. Prüfen Sie, was Sie haben, bevor Sie einkaufen.
Wie Sie zwei DMARC-Tools gleichzeitig testen, ohne einen Monat an Daten zu verlieren
Zwei DMARC-Plattformen ehrlich zu vergleichen heißt, beide über dieselben Wochen mit denselben Reports zu füttern, und der naheliegende Weg dahin ist, beide Adressen in Ihre rua-Liste zu setzen. Für zwei funktioniert das. Genau dort beginnt das Problem mit der dritten Adresse, denn ein Test wird meist einem Record hinzugefügt, in dem schon etwas steht.
- Lesen Sie zuerst Ihren aktuellen Record. Schicken Sie die Domain durch einen DMARC-Checker und zählen Sie die Adressen, die schon in
ruastehen. Eine Mailplattform kann vor Jahren eine eingetragen haben, ohne es jemandem zu sagen. - Halten Sie die Liste für die Dauer bei zwei. Wenn Sie schon zwei haben, parken Sie eine, statt eine dritte anzuhängen. Ein Test, der still einen Bruchteil Ihrer Reports erhält, erzeugt einen Vergleich, der zugunsten oder zuungunsten des Anbieters falsch ist, und Sie können nicht erkennen, welches von beidem.
- Setzen Sie die Adresse, die Sie bewerten, an die erste Stelle. Die Reihenfolge ist das, was der Empfänger beachtet, der Kandidat gehört also auf Position eins, solange Sie ihn beurteilen, und nicht ans Ende.
- Geben Sie ihm mindestens zwei Wochen. Empfänger berichten nach ihrem eigenen Zeitplan, und die letzten ein bis zwei Tage sind immer unvollständig. Ein Wochenende ist keine Stichprobe.
- Vergleichen Sie die Benennung der Quellen, nicht die Zahl der Reports. Beide Tools erhalten dasselbe XML, die Nachrichtensummen sollten also grob übereinstimmen. Was sich unterscheidet, ist, wie viele IP-Adressen jedes davon in einen benannten Dienst verwandelt, und das ist das eigentliche Produkt.
Wenn Sie einen DMARC-Record zum ersten Mal veröffentlichen statt einen zu ersetzen, erzeugt ein DMARC-Record-Generator einen korrekten p=none-Startrecord, und unser Leitfaden dazu, was DMARC ist und wie es funktioniert, behandelt die Tags selbst.
Was das DMARC-Monitoring von Unspam tut, und wo es aufhört
Das DMARC-Monitoring von Unspam sammelt Aggregate-Reports, löst sie in benannte Versandquellen mit Kategorie und Vertrauensstufe auf und führt eine Policy-Reifeprüfung durch: eine benannte Liste dessen, was eine strengere Policy blockiert, statt einer Punktzahl. Die Blocker sind konkret. Noch nicht genug Reporting-Tage, Compliance unter dem Schwellenwert, eine benannte Quelle scheitert weiterhin, oder Traffic, den niemand geprüft hat. Es liest außerdem Ihren veröffentlichten Record regelmäßig erneut und meldet Ihnen, wenn Ihre Reporting-Adresse daraus verschwindet, ein Fehlerbild, das ein reines Report-Tool nicht sehen kann, weil es immer nur auf angekommene Reports schauen kann.
Zwei Details kommen direkt daher, wie die rua-Reihenfolge funktioniert. Wenn Unspam Ihren Record erzeugt, setzt es seine Reporting-Adresse an die erste Stelle der Liste und sagt Ihnen, an welcher Position diese Adresse vorher stand. Wenn Ihr bestehender Record die Liste vor einer Adresse beendet, sodass diese Adresse nichts erhält, repariert es die Liste, statt hinten anzuhängen.
Wo es aufhört, zählt genauso. Unspam liest Aggregate-Reports und keine Failure-Reports. Es hostet Ihre DMARC-, SPF-, DKIM- und BIMI-Records nicht und hat zum TLS-Reporting nichts zu sagen. Wenn Sie eine vollständige Authentifizierungsplattform wollen, sind EasyDMARC und Red Sift OnDMARC das richtige Regal. Wenn Sie wissen wollen, wer als Ihre Domain versendet und wann Sie die Policy gefahrlos anheben können, ist das genau das.
Zum Preis: DMARC-Monitoring liegt im Custom-Plan von Unspam, der ein Minimum von $5 im Monat hat. Die erste Domain fügt dieser Rechnung nichts hinzu, und jede weitere Domain kostet $6 im Monat. Das ist eine wirklich kostenlose erste Domain und kein kostenloser Plan, und der Unterschied ist derselbe, der einen kostenlosen Tarif von einer kostenlosen Testphase trennt: Sie müssen schon $5 für irgendetwas ausgeben, bevor die kostenlose Domain kostenlos ist. Um einen einzelnen Report zu lesen, den Sie schon haben, ohne Account, nimmt der DMARC-Report-Analyzer eine XML-Datei und gibt ihren Inhalt in Klartext zurück.
Wie Sie eines auswählen
Beginnen Sie damit, in welcher von vier Situationen Sie sind, denn sie haben verschiedene Antworten und nur eine davon ist ein Einkaufsproblem.
Sie haben überhaupt keinen DMARC-Record. Veröffentlichen Sie p=none mit einer Reporting-Adresse und warten Sie zwei Wochen. Jede kostenlose Option reicht, auch die auslaufenden, denn Sie sammeln eine Basislinie und wählen kein Tool.
Sie haben einen Record und eine Policy, die Sie sich nicht zu verschärfen trauen. Das ist die eigentliche Kategorie. Sie wollen benannte Quellen und eine ausdrückliche Blockerliste, und Sie sollten mit Kosten rechnen. Beurteilen Sie Kandidaten danach, wie viele Ihrer versendenden IP-Adressen jeder davon zu Namen auflöst, denn diese Zahl entscheidet, wie lange das Projekt dauert.
Sie betreiben schon eine E-Mail-Security-Suite für Großunternehmen. Prüfen Sie, was Sie besitzen, bevor Sie etwas kaufen. Rund ein Drittel der Records, die wir gelesen haben, berichtet an eine Plattform, die das Unternehmen aus einem völlig anderen Grund gekauft hat.
Sie stehen auf p=reject und wollen nur wissen, wann sich etwas ändert. Ein wöchentlicher Digest genügt, und für ein Dashboard zu zahlen, das Sie zweimal im Jahr öffnen, ist zu keinem Preis ein Schnäppchen.
Was immer Sie wählen, veröffentlichen Sie den Record, bevor Sie die Wahl abschließen. Reports sammeln sich erst an, wenn eine Adresse im DNS steht, und jede Woche ohne sie ist eine Woche an Belegen, die Sie nicht zurückholen können. Wenn Sie zusätzlich wissen wollen, wie eine bestimmte Nachricht ankommt, bevor Sie sie senden, machen Sie einen kostenlosen Spam-Test und lesen Sie die Authentifizierungsergebnisse neben den inhaltlichen.
