> For the complete documentation index, see [llms.txt](https://one-loop.gitbook.io/help/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://one-loop.gitbook.io/help/plattform/one-loop-plattform/kommunikation/e-mail/dmarc-fur-deine-versanddomain-einrichten.md). # DMARC für deine Versanddomain einrichten Richte DMARC als DNS-Regel ein, prüfe die Absenderausrichtung und steigere den Schutz schrittweise, ohne eigene E-Mails versehentlich auszuschließen. ## Was DMARC macht DMARC ist eine DNS-Regel für deine Absenderdomain. Sie legt fest, wie empfangende E-Mail-Systeme mit Nachrichten umgehen sollen, die scheinbar von deiner Domain stammen, deren Absenderprüfung aber nicht besteht. DMARC verbindet zwei bereits vorhandene Prüfungen: * **SPF** bestätigt, welche Systeme im Namen deiner Domain versenden dürfen. * **DKIM** versieht eine Nachricht mit einer prüfbaren Signatur. Eine Nachricht besteht die DMARC-Prüfung, wenn **SPF oder DKIM** erfolgreich sind **und** die dabei bestätigte Domain zur sichtbaren Absenderdomain passt. Dieses passende Zusammenwirken heißt *Ausrichtung*. DMARC ersetzt SPF und DKIM nicht. Richte diese Grundlagen zuerst für alle Systeme ein, die mit deiner Domain E-Mails versenden. ## Bevor du etwas änderst Erstelle zunächst eine vollständige Liste aller legitimen Versandwege. Dazu können zum Beispiel Kampagnen, Terminbestätigungen, persönliche Nachrichten aus einem verbundenen Postfach oder andere Dienste gehören. Du brauchst außerdem: * Zugriff auf die DNS-Verwaltung deiner Domain. * Ein Postfach für die eingehenden DMARC-Berichte, falls du Berichte aktivierst. * Eine bestätigte Versanddomain für die E-Mails aus ONE LOOP. * Zeit für Tests und die DNS-Aktualisierung. Änderungen sind oft nach 15 bis 60 Minuten sichtbar, können aber bis zu 48 Stunden benötigen. > **Wichtig:** Setze keine strenge DMARC-Regel, bevor du weißt, dass alle berechtigten Versandwege bestehen. Sonst können auch gewünschte E-Mails im Spam landen oder abgewiesen werden. ## Mit Beobachtung starten Lege bei deinem Domain-Anbieter einen DNS-Eintrag mit diesen Werten an: | Feld beim DNS-Anbieter | Wert | | ---------------------- | ------------------- | | **Typ** | `TXT` | | **Name/Host** | `_dmarc` | | **Wert** | `v=DMARC1; p=none;` | Der Name `_dmarc` wird von vielen Anbietern automatisch um deine Hauptdomain ergänzt. Daraus entsteht zum Beispiel `_dmarc.deinedomain.de`. Die Richtlinie `p=none` bedeutet: beobachten, aber keine Nachrichten wegen einer fehlgeschlagenen DMARC-Prüfung anders behandeln. Das ist der sichere Startpunkt. Wenn du zusammengefasste Berichte erhalten möchtest, ergänze eine Adresse, die du tatsächlich abrufen kannst: `v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de;` Diese Berichte kommen in einem technischen XML-Format. Sie zeigen, welche Systeme mit deiner Domain versenden und ob die Prüfungen bestehen. ## Die Richtlinie verstehen | Richtlinie | Wirkung bei einer nicht bestandenen Prüfung | Einsatz | | -------------- | ----------------------------------------------------------------------------------------- | --------------------------------------------------------- | | `p=none` | Nur beobachten; die Richtlinie verlangt keine Sperre. | Der richtige Anfang für neue DMARC-Einträge. | | `p=quarantine` | Empfangende Systeme sollen die Nachricht als verdächtig behandeln, häufig im Spam-Ordner. | Erst nach einer stabilen Beobachtungsphase. | | `p=reject` | Empfangende Systeme sollen die Nachricht ablehnen. | Erst wenn alle legitimen Versandwege sicher geprüft sind. | Die Richtlinie ist eine Anweisung an den empfangenden Maildienst. Wie genau dieser sie umsetzt, kann je nach Empfänger unterschiedlich sein. ## Alle sichtbaren Angaben im DMARC-Eintrag Für den Einstieg brauchst du nur `v` und `p`. Die weiteren Angaben löst du erst aus, wenn sie einen klaren Zweck erfüllen: | Angabe | Standard | Wofür sie da ist | | ------- | ------------ | ------------------------------------------------------------------------------------------------------- | | `v` | `DMARC1` | Kennzeichnet den Eintrag als DMARC-Regel. Dieser Wert muss genau so geschrieben sein. | | `p` | `none` | Bestimmt Beobachten, Spam-Behandlung oder Ablehnung für die Hauptdomain. | | `rua` | keine | Empfangsadresse für zusammengefasste Berichte. | | `ruf` | keine | Empfangsadresse für einzelne Fehlerberichte. Viele Anbieter schicken solche Berichte nur eingeschränkt. | | `ri` | `86400` | Gewünschter Abstand für zusammengefasste Berichte in Sekunden; `86400` entspricht 24 Stunden. | | `aspf` | `r` | Vergleichsmodus für SPF: `r` erlaubt passende Subdomains, `s` verlangt eine exakt gleiche Domain. | | `adkim` | `r` | Vergleichsmodus für DKIM: `r` erlaubt passende Subdomains, `s` verlangt eine exakt gleiche Domain. | | `sp` | Wert von `p` | Separate Richtlinie für Subdomains. Ohne diese Angabe gilt dort die Hauptregel. | | `pct` | `100` | Anteil der fehlgeschlagenen Nachrichten, für die `quarantine` oder `reject` gelten soll. | | `fo` | `0` | Legt fest, wann Fehlerberichte angefordert werden. | Lass die erweiterten Angaben weg, wenn du ihre Auswirkung nicht bewusst benötigst. Ein kurzer, korrekt funktionierender Eintrag ist besser als ein langer Eintrag mit widersprüchlichen Werten. ## Schrittweise zu einer strengeren Regel 1. Speichere den Eintrag mit `p=none`. 2. Warte auf die DNS-Aktualisierung und prüfe, ob der Eintrag öffentlich auffindbar ist. 3. Beobachte die Berichte über einen ausreichend langen Zeitraum. 4. Kläre jede unbekannte Versandquelle und jeden Fehler bei SPF, DKIM oder der Ausrichtung. 5. Wenn alle gewünschten Quellen zuverlässig bestehen, teste `p=quarantine` zunächst mit einem kleineren Anteil, zum Beispiel `pct=25`. 6. Erhöhe den Anteil nur nach weiteren stabilen Ergebnissen. 7. Prüfe eine Umstellung auf `p=reject` erst, wenn alle legitimen E-Mails weiterhin sicher zugestellt werden. Ändere immer nur eine Sache gleichzeitig. So erkennst du später, welche Änderung ein Problem verursacht oder gelöst hat. ## Häufige Fehler und ihre Ursache | Beobachtung | Wahrscheinliche Ursache | Sicherer nächster Schritt | | --------------------------------------------------------- | ---------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------- | | DMARC schlägt fehl, obwohl SPF oder DKIM vorhanden sind | Die bestätigte Domain passt nicht zur sichtbaren Absenderdomain. | Prüfe die Ausrichtung: Absenderadresse, SPF-Rücklaufadresse und DKIM-Domain müssen zueinander passen. | | Eine gewünschte E-Mail landet nach der Umstellung im Spam | Ein Versandweg wurde in der Beobachtungsphase übersehen. | Gehe zurück zur Berichtsprüfung und korrigiere SPF, DKIM oder die Absenderdomain. | | Berichte kommen nicht an | Die `rua`-Adresse ist falsch oder nicht erreichbar. | Prüfe die Schreibweise und den Empfang des angegebenen Postfachs. | | Der Eintrag wirkt nicht sofort | DNS ist noch nicht überall aktualisiert. | Warte mindestens 15–60 Minuten und kontrolliere erneut; manche Anbieter benötigen bis zu 48 Stunden. | | Die Absenderadresse gehört nicht zu deiner Domain | Die Mailadresse wird von einem anderen Domain-Inhaber verwaltet. | Verwende eine Domain, die du selbst kontrollierst, als sichtbare Absenderadresse. | ## Ergebnis mit einem Praxistest prüfen 1. Sende Test-E-Mails aus jedem bekannten Versandweg an mindestens zwei unterschiedliche Testpostfächer. 2. Prüfe die sichtbare Absenderadresse. 3. Kontrolliere die Kopfzeilen der Testmail, wenn dein Postfach die Prüfungsergebnisse anzeigt. 4. Beobachte, ob Nachrichten nach der Änderung im Posteingang, Spam oder gar nicht ankommen. 5. Lies die eingehenden Berichte und ergänze fehlende Versandquellen nur nach eindeutiger Prüfung. 6. Dokumentiere jede Änderung am DMARC-Eintrag mit Datum und Wirkung. > **Praxisbeispiel:** Ein Unternehmen versendet Kampagnen, Terminbestätigungen und persönliche Nachrichten. Es startet mit `v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de;`. Nach der Beobachtungsphase findet das Team in den Berichten eine weitere berechtigte Versandquelle und richtet deren SPF- oder DKIM-Prüfung korrekt ein. Erst nachdem alle drei Versandwege bestehen, testet es schrittweise eine strengere Richtlinie. > DMARC ist eine technische Schutzmaßnahme, keine Rechtsberatung. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://one-loop.gitbook.io/help/plattform/one-loop-plattform/kommunikation/e-mail/dmarc-fur-deine-versanddomain-einrichten.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.