Schlage den DMARC-TXT-Eintrag nach, der unter _dmarc.<domain> veröffentlicht ist, und validiere ihn, und lies dann deine Richtlinie, Ausrichtung und Reporting-Tags in klaren Worten. Kostenlos, sofort und läuft vollständig in deinem Browser, ohne Anmeldung und ohne dass Daten gespeichert werden.
Erstelle ein kostenloses Unspam-Konto, um deine Ergebnisse zu speichern und diese Checks jederzeit zu wiederholen. So fällt dir ein kaputtes Setup auf, bevor es dich etwas kostet. Ohne Kreditkarte.
DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein TXT-Eintrag, der im DNS unter _dmarc.deinedomain.de veröffentlicht wird. Er sagt empfangenden Mailservern, was zu tun ist, wenn eine Nachricht, die angeblich von deiner Domain stammt, die SPF- und DKIM-Ausrichtung verfehlt, und wohin Berichte über diese Prüfungen gehen sollen. DMARC baut auf SPF und DKIM auf: eine Nachricht besteht DMARC, wenn mindestens eines davon besteht und die authentifizierte Domain mit der Domain im sichtbaren From-Header übereinstimmt. Ohne DMARC können Angreifer deine exakte Domain in der From-Adresse fälschen, und du hast keinen Einblick, wer in deinem Namen Mail versendet. Gmail, Yahoo, Outlook.com und Apple verlangen von Massenversendern, einen DMARC-Eintrag zu veröffentlichen, ein gültiger Eintrag gehört also inzwischen zur grundlegenden Zustellbarkeit, nicht nur zur Sicherheit.
Das Versions-Tag. Es muss exakt v=DMARC1 lauten und an erster Stelle stehen, sonst ignorieren Empfänger den Eintrag komplett. Das kennzeichnet den TXT-Eintrag als DMARC-Richtlinie und nicht als beliebigen String.
Die Durchsetzungsrichtlinie für deine Hauptdomain. p=none überwacht nur und sammelt Berichte, p=quarantine schickt fehlschlagende Mail in den Spam-Ordner, und p=reject blockiert sie ganz. Google und Yahoo verlangen von Massenversendern mindestens p=none, aber reject bietet den stärksten Schutz vor Spoofing.
sp= legt eine separate Richtlinie für Subdomains fest (fehlt es, erbt es p=), und pct= wendet die Richtlinie für einen stufenweisen Rollout nur auf einen Prozentsatz der Mail an. Beachte, dass pct in der neuesten DMARC-Spezifikation (RFC 9989, veröffentlicht 2026) entfernt wurde, die es durch ein einfacheres t-Flag für den Testmodus ersetzt, sodass neuere Empfehlungen dafür sprechen, direkt zur vollen Durchsetzung überzugehen.
rua= ist das Postfach (zum Beispiel mailto:dmarc@deinedomain.de), das tägliche aggregierte Berichte erhält, die jede Quelle zeigen, die als deine Domain sendet. ruf= erhält Fehlerberichte pro Nachricht. Aggregierte Berichte sind der Weg, um sicher von p=none zur Durchsetzung überzugehen.
Diese legen die Strenge der Ausrichtung für SPF und DKIM fest. Der Standardwert r (relaxed) erlaubt Subdomains deiner Organisationsdomain, sich auszurichten, während s (strict) eine exakte Übereinstimmung verlangt. Relaxed ist der richtige Standard für die meisten Versender, die Subdomains oder Drittanbieterdienste nutzen.
Die Abfrage gibt unter _dmarc.deinedomain.de nichts zurück und keine übergeordnete Domain deckt den Namen ab, sodass Empfänger keine Richtlinie anwenden und deine Domain frei gefälscht werden kann. Veröffentliche unter diesem Host einen TXT-Eintrag, der mit v=DMARC1; p=none; rua=mailto:du@deinedomain.de beginnt, um mit der Überwachung zu beginnen, ohne die Zustellung zu gefährden.
p=none überwacht nur und blockiert gefälschte Mail nie, dennoch belassen viele Domains es jahrelang dabei. Nutze die aggregierten Berichte von deiner rua=-Adresse, um zu bestätigen, dass deine legitimen Absender bestehen, und wechsle dann für echten Schutz zu p=quarantine und schließlich p=reject.
Ohne ein rua=-Berichtspostfach bist du blind dafür, wer als deine Domain sendet, was die Durchsetzung unsicher macht. Füge rua=mailto: hinzu, das auf einen Posteingang oder einen DMARC-Berichtsverarbeiter verweist, den du tatsächlich liest, bevor du die Richtlinie verschärfst.
Zwei TXT-Einträge unter _dmarc zu veröffentlichen oder v= an eine andere Stelle als die erste zu setzen, macht den Eintrag ungültig und Empfänger ignorieren ihn. Behalte genau einen Eintrag, beginne ihn mit v=DMARC1 und trenne jedes Tag mit einem Semikolon.
SPF oder DKIM können bestehen, während die authentifizierte Domain nicht zu deiner From-Domain passt, sodass DMARC trotzdem fehlschlägt. Stelle sicher, dass SPF deine eigene Return-Path-Domain nutzt oder dass DKIM mit einem d= signiert, das zu deiner From-Domain passt, und prüfe aspf/adkim, wenn du auf Subdomains setzt.
Ohne sp= erbt jede Subdomain deine Policy auf oberster Ebene. Wer sp=none veröffentlicht, um einen alten Absender freizuschalten, lässt jede ungenutzte Subdomain für Spoofing offen. Genau dort setzt ein Angreifer an.
Alle Daten und Zahlen, die Unspam zu den Absenderanforderungen veröffentlicht, stehen hier und werden gegen die Dokumentation des jeweiligen Anbieters geprüft. Zuletzt gelesen am 16. August 2026.
| Anbieter | Was | Wert | Gilt für |
|---|---|---|---|
| Regeln für Massenversender in Kraft seit Quelle | Februar 2024 erforderlich | Mails an persönliche Gmail-Adressen | |
| Verschärfung der Durchsetzung seit Quelle | November 2025 beobachtet Google beschreibt das als schrittweise und fortlaufend, nicht als Schalter, der an einem Datum umgelegt wurde. | Mails an persönliche Gmail-Adressen | |
| Gilt als Massenversender ab Quelle | 5.000 erforderlich Das ist die Zahl von Google. Yahoo veröffentlicht bewusst keine. | Mails an persönliche Gmail-Adressen | |
| Obergrenze der Spam-Beschwerdequote Quelle | 0,3 % erforderlich Google beschreibt die Wirkung als gestuft und nicht als Grenzwert: oberhalb des empfohlenen Werts leidet die Zustellung bereits, an der Obergrenze stärker. | alle Absender an Gmail, nicht nur Massenversender | |
| Angestrebte Spam-Beschwerdequote Quelle | 0,1 % empfohlen Postmaster Tools teilt Beschwerden nicht durch alles, was Sie gesendet haben. Gemessen wird gegen DKIM-signierte Nachrichten, die den Posteingang eines aktiven Empfängers erreicht haben, ein bereits gefilterter Absender sieht daher eine künstlich niedrige Quote. | alle Absender an Gmail, nicht nur Massenversender | |
| Yahoo | Regeln für Massenversender in Kraft seit Quelle | Februar 2024 erforderlich | Mails an Yahoo, AOL und die übrigen Yahoo-Postfächer |
| Gilt als Massenversender ab Quelle | nicht veröffentlicht Yahoo erklärt, keinen Volumenschwellenwert zu nennen, es lässt sich also keine Zahl zuschreiben. | Mails an Yahoo, AOL und die übrigen Yahoo-Postfächer | |
| Obergrenze der Spam-Beschwerdequote Quelle | 0,3 % erforderlich | Mails an Yahoo, AOL und die übrigen Yahoo-Postfächer | |
| Outlook.com | Regeln für Massenversender in Kraft seit Quelle | Mai 2025 erforderlich | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant |
| Gilt als Massenversender ab Quelle | 5.000 erforderlich Die Regel gilt für jede Domain, die den Schwellenwert jemals überschritten hat, sie greift also auch an einem ruhigeren Tag. | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant | |
| Was mit fehlschlagenden Mails passiert Quelle | 550 5.7.515 beobachtet Nicht konforme Mail wird während der SMTP-Verbindung abgewiesen, statt im Spam-Ordner abgelegt zu werden. Die Postmaster-Richtlinienseite von Microsoft beschreibt den Junk-Ordner weiterhin als ersten Schritt, ein Versender kann also beides erleben, planen sollte er aber mit der Abweisung. | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant | |
| SPF und DKIM müssen beide bestehen, nicht nur DMARC Quelle | erforderlich Strenger als DMARC allein. DMARC gilt als bestanden, sobald SPF oder DKIM ausgerichtet ist, und Outlook.com verlangt zusätzlich, dass beide Prüfungen bestehen. | Outlook.com und die übrigen Verbraucherpostfächer von Microsoft, nie ein Microsoft-365-Tenant | |
| Apple | Regeln für Massenversender in Kraft seit Quelle | Februar 2025 erforderlich | Mails an iCloud Mail, me.com und mac.com |
| ARC-Header bei weitergeleiteten Mails Quelle | erforderlich Apple ist der Einzige der vier, der das verlangt, und das ist der ehrliche Grund, sich ARC überhaupt anzusehen. | Mails an iCloud Mail, me.com und mac.com |
Unspam liest all das allein aus Ihrem Domainnamen.
Keine DNS-Abfrage erreicht das. Dafür braucht es eine echte Nachricht oder echte Sendehistorie, und genau dafür ist ein Inbox-Placement-Test da.
