DMARC-Reports sind Ihr Frühwarnsystem gegen E-Mail-Betrug und helfen, die Zustellbarkeit Ihrer E-Mails zu verbessern.

Im letzten Blog-Artikel vom 1. Juni 2025 habe ich mich mit der DNS-Sicherheit befasst. In diesem Blog-Artikel geht es nun um DMARC-Einträge und DMARC-Reports.

Stellen Sie sich vor, Sie versenden einen wichtigen Brief. SPF ist wie eine Liste, die jedem Postamt sagt: "Nur diese Personen dürfen Briefe in meinem Namen verschicken." DKIM ist wie Ihr persönliches Siegel auf dem Brief, das beweist: "Dieser Brief ist wirklich von mir und wurde nicht unterwegs verändert."

DMARC ist der Chef, der auf SPF und DKIM aufbaut. Es sagt den Postämtern: "Wenn ein Brief in meinem Namen kommt, aber weder auf meiner Liste steht (SPF) noch ein intaktes Siegel von mir trägt (DKIM), dann macht Folgendes damit: Liefert ihn nicht aus, schickt ihn in den Spam-Ordner oder gebt mir einfach nur Bescheid." Diese Anweisungen speichern Sie öffentlich in den Einstellungen der Internetadresse (DNS-Zone der Domain), sodass jeder Mailserver weiss, wie er mit "Ihren" E-Mails umgehen soll. So wird sichergestellt, dass nur echte E-Mails von Ihnen ankommen und Betrüger keine Chancen haben.

Mit dem folgenden Tool können Sie sehr einfach testen, ob DMARC für Ihre E-Mail-Adresse korrekt konfiguriert ist:

https://dmarcchecker.app/

In den nachfolgenden Abschnitten beschreibe ich kurz, wer die DMARC-Regeln bestimmt, wie Sie diese für Ihre Domain einbinden und wie man Rückmeldungen der empfangenden Mailserver überwachen kann.

Internet Engineering Task Force (IETF)

Die Internet Engineering Task Force (IETF) ist im Grunde eine grosse, internationale Gemeinschaft von Fachexperten. Ihre Hauptaufgabe ist es, die technischen Standards zu entwickeln und zu verbessern, die das Internet am Laufen halten. Das sind zum Beispiel die Regeln, wie E-Mails verschickt werden, wie Webseiten übertragen werden (HTTP) oder wie Datenpakete durchs Netz geleitet werden (IP).

Die IETF arbeitet in offenen Gruppen, um sicherzustellen, dass das Internet stabil, sicher und funktionsfähig bleibt - für uns alle.

Website der IETF: https://www.ietf.org/.

Requests for Comments (RFC)

RFCs (Requests for Comments) sind die zentralen Dokumente, in denen die technischen Spezifikationen und Standards für das Internet veröffentlicht werden. Obwohl die RFC-Reihe selbst schon vor der IETF existierte (sie begann 1969 mit dem ARPANET-Projekt), sind heute die meisten RFCs, insbesondere die, die Internet-Standards definieren, das Ergebnis der Arbeit der IETF.

Alle RFCs: https://www.rfc-editor.org/.

Vom Independent Submission zum IETF-Standard: RFC 9989

Die erste DMARC-Spezifikation, RFC 7489 aus dem Jahr 2015, wurde zwar von Personen aus dem IETF-Umfeld geschrieben, aber über den "Independent Submission" Stream der RFC-Reihe als informatives Dokument veröffentlicht. Den formalen IETF-Standardisierungsprozess hat sie nie durchlaufen. Trotzdem wurde DMARC von der E-Mail-Branche weitgehend übernommen und zum De-facto-Standard für die E-Mail-Authentifizierung.

Im Mai 2026 hat die IETF diese Lücke geschlossen: DMARC ist seither in RFC 9989 als offizieller Standard (Standards Track) spezifiziert und ersetzt RFC 7489. Die Berichte sind neu in eigenen Standards beschrieben: RFC 9990 für aggregierte Berichte und RFC 9991 für Fehlerberichte.

Die wichtigsten Änderungen für Domaininhaber:

• Die Tags pct, rf und ri entfallen. Für die schrittweise Einführung gibt es neu den Testmodus t=y.
• Mit dem neuen Tag np lässt sich eine eigene Richtlinie für nicht existierende Subdomains festlegen.
• Welche Richtlinie für eine Subdomain gilt, ermitteln Mailserver neu direkt über das DNS (DNS Tree Walk) statt über eine externe Liste öffentlicher Domain-Endungen.

Details zum RFC: https://www.rfc-editor.org/info/rfc9989. Antworten auf die häufigsten Fragen finden Sie in unserer DMARC-FAQ.

DMARC einbinden

Wie auch bei SPF und DKIM, werden die DMARC-Richtlinien für Ihre Absender-Domain im DNS als TXT-Eintrag erfasst. In den durch uns verwalteten DNS-Zonen hinterlegen wir standardmässig den nachfolgenden DMARC-Eintrag:

v=DMARC1;p=quarantine;adkim=r;aspf=s;rua=mailto:name@example.com

Vollständige Liste: https://www.rfc-editor.org/rfc/rfc9989.html#section-4.7. Eine Übersicht aller Tags mit Erklärungen finden Sie in unserer DMARC-FAQ.

DMARC-Report

Ein DMARC-Report ist ein detaillierter Bericht von anderen E-Mail-Diensten darüber, was mit den E-Mails passiert, die angeblich von Ihnen stammen.

Aufbau und Inhalt dieser aggregierten Berichte sind seit Mai 2026 in RFC 9990 standardisiert. Mailserver, die Berichte versenden, sollen dies gemäss RFC 9989 mindestens alle 24 Stunden tun.

Diese Berichte zeigen Ihnen, welche E-Mails unter dem Namen Ihrer Domain versendet wurden und ob diese E-Mails die Sicherheitsprüfungen (wie SPF und DKIM) bestanden haben. Es ist wie ein Protokollbuch, das auflistet, wer Ihre Identität genutzt hat - ob es Ihr eigener E-Mail-Dienst war oder jemand, der versucht hat, sich als Sie auszugeben.

Mit einem DMARC-Report können Sie also Betrugsversuche erkennen, die Ihre Domain missbrauchen, und gleichzeitig sicherstellen, dass Ihre eigenen, legitimen E-Mails auch wirklich bei Ihren Empfängern ankommen. Kurz gesagt: Er gibt Ihnen Transparenz und Kontrolle über Ihren E-Mail-Versand.

DMARC-Report auswerten

DMARC-Reports sind extrem wertvoll, aber die Rohdaten, die Sie per E-Mail erhalten, sind im XML-Format und für die meisten Menschen kaum lesbar. Zum Glück gibt es verschiedene Möglichkeiten, diese Berichte auszuwerten und in verständliche Informationen zu verwandeln:

Kostenlose Online Tools (für einzelne Berichte)

Wenn Sie nur gelegentlich einen DMARC-Report erhalten und schnell einen Überblick benötigen, können kostenlose Online-Tools sehr nützlich sein. Viele DMARC-Anbieter haben solche kostenlosen "XML-to-Human" Konverter auf ihren Websites.

Kostenloser DMARC Analyzer: https://dmarcadvisor.com/dmarc-analyzer/

Dedizierte DMARC-Reporting-Services (kostenpflichtig)

Dies ist die beste und effizienteste Methode, um DMARC-Reports langfristig und umfassend auszuwerten. Diese Dienste übernehmen die gesamte Arbeit für Sie. Wenn Sie in Ihrem DMARC-DNS-Eintrag eine spezielle E-Mail-Adresse des Dienstes eintragen (rua=mailto:dmarc@example.net), werden alle eingehenden DMARC-Reports automatisch an diesen Dienst gesendet. Dieser sammelt, analysiert und visualisiert die Daten in einem benutzerfreundlichen Dashboard.

Wichtig: Da die Berichtsadresse in diesem Fall auf einer fremden Domain liegt, muss der Dienst den Empfang per DNS-Eintrag autorisieren, sonst werden keine Berichte zugestellt. Seriöse Anbieter richten das automatisch ein. Details dazu finden Sie in unserer DMARC-FAQ.

Bekannte Anbieter:

• Dmarcian
• EasyDMARC
• PowerDMARC
• Mimecast
• Valimail
• DMARC Advisor
• und viele mehr...

Selbst gehostete Lösungen / Open Source Tools

Für technisch versierte Nutzer oder Organisationen mit besonderen Datenschutzanforderungen gibt es Open-Source-Lösungen, die auf den eigenen Servern installiert werden können.

Beispiele:

• parsedmarc
• OpenDMARC
• Diverse GitHub-Projekte, die DMARC-Report-Visualizer auf Basis von Grafana/Elasticsearch anbieten

Kontaktieren Sie uns

Gerne unterstützen wir Sie bei der optimalen Konfiguration Ihrer DNS-Einträge.

Kontaktieren Sie uns noch heute für eine unverbindliche Beratung!