DMARC Generator: DMARC-Eintrag erstellen

Anleitung

So trägst du den DMARC-Eintrag ein

1. DNS-Verwaltung öffnen. Sie liegt dort, wo die Domain registriert ist oder ihre Nameserver hat – meist im Kundenbereich des Hosters unter „Domains“, „DNS“ oder „Zone bearbeiten“. Nicht im Mailprogramm und nicht bei Microsoft 365 oder Google Workspace, außer die Domain liegt dort.
2. Neuen Eintrag vom Typ TXT anlegen. Als Name _dmarc eintragen. Manche Oberflächen wollen den vollständigen Namen _dmarc.deine-domain.at – steht die Domain neben dem Feld schon da, reicht _dmarc, sonst entsteht _dmarc.deine-domain.at.deine-domain.at.
3. Den Wert einfügen, ohne Anführungszeichen, wenn die Oberfläche sie selbst setzt. Die TTL auf der Vorgabe lassen; 3600 Sekunden sind üblich.
4. Prüfen, dass es nur einen DMARC-Eintrag gibt. Steht unter _dmarc schon einer, wird er ersetzt, nicht ergänzt. Zwei Einträge zählen wie keiner.
5. Warten und prüfen. Neue Einträge sind meist nach Minuten sichtbar, bei geänderten kann es so lange dauern wie die alte TTL. Dann mit dem E-Mail-Check nachsehen: Die DMARC-Zeile zeigt, welche Richtlinie die Welt jetzt sieht.

Erst erzeugen, dann prüfen – und erst dann verschärfen. Mit p=none und rua kommen täglich Sammelberichte der großen Postfachanbieter. Sie zeigen jeden Server, der in deinem Namen sendet. Erst wenn darin alle eigenen Versandwege – Postfach, Newsletter, Buchungssystem, Rechnungsprogramm – SPF oder DKIM bestehen, folgt quarantine und danach reject. Die Schritte im Detail stehen in DMARC einrichten: SPF, DKIM und der _dmarc-Eintrag.

Was die Tags im DMARC-Eintrag bedeuten

v=DMARC1 muss am Anfang stehen, genau so geschrieben – sonst ignorieren Empfänger den Eintrag. p ist die Richtlinie für die Domain selbst: none, quarantine oder reject. sp gilt für Subdomains, die keinen eigenen Eintrag haben; fehlt es, gilt p auch dort.

rua nennt die Adressen für die täglichen Sammelberichte, ruf die für Berichte zu einzelnen Mails. Liegt eine Berichtsadresse auf einer fremden Domain, muss diese der Annahme zustimmen – mit einem Eintrag deine-domain.at._report._dmarc.fremde-domain.at und dem Wert v=DMARC1 (eingeführt mit RFC 7489, Abschnitt 7.1). Auswertungsdienste haben das in der Regel schon eingerichtet.

adkim und aspf regeln, wie genau die Domain aus DKIM-Signatur und SPF-Prüfung zur sichtbaren Absenderadresse passen muss: r lässt Subdomains zu, s verlangt dieselbe Domain. Was der Generator nicht ausschreibt, gilt mit dem Standardwert: adkim=r, aspf=r, fo=0, t=n.

Seit Mai 2026 beschreibt RFC 9989 DMARC und löst RFC 7489 ab. Neu sind np für Subdomains, die es im DNS gar nicht gibt, und t=y als Testmodus. Entfallen ist pct: Ältere Empfänger werten es noch aus, neuere ignorieren es. Der Generator schreibt es deshalb nicht mehr; steht es in einem vorhandenen Eintrag, meldet der Prüfer es als Hinweis.

Wogegen das schützt und wogegen nicht, steht in E-Mail-Spoofing: gefälschte Absender erkennen und stoppen. DMARC wirkt nur zusammen mit SPF oder DKIM. Ohne SPF-Eintrag gibt es den SPF-Generator; DKIM schaltet der Mailanbieter frei, weil nur er den privaten Schlüssel hat.