DMARC einrichten Unternehmen ist ein wichtiges Thema für IT-Verantwortliche, Geschäftsführung und technische Teams. Dieser ausführliche GORTNET-Fachbeitrag erklärt die Hintergründe, konkrete Maßnahmen, typische Fehlentscheidungen und einen umsetzbaren Weg für mittelständische Unternehmen.
Stand: 21. Oktober 2026 · GORTNET Fachredaktion
Warum DMARC für Unternehmensdomains wichtig ist
Kriminelle können sichtbare Absenderadressen nachahmen, um Rechnungen zu manipulieren oder angebliche Anweisungen der Geschäftsführung zu versenden. Domain Message Authentication, Reporting and Conformance – kurz DMARC – verknüpft die Ergebnisse von SPF und DKIM mit der sichtbaren From-Domain. Das erschwert direkte Domain-Fälschungen und liefert Berichte über missbräuchliche oder falsch konfigurierte Absender.
DMARC ist kein Ersatz für einen Spamfilter, keine Ende-zu-Ende-Verschlüsselung und verhindert nicht jede Täuschung mit ähnlich geschriebenen Domains. Es löst ein konkretes Problem: die Authentifizierung der Domain im sichtbaren Absender.
SPF und DKIM vor dem DMARC-Rollout prüfen
SPF erlaubt definierten Mailservern, im Namen der Envelope-Domain E-Mails zu versenden. DKIM fügt eine kryptografische Signatur mit einer Domainkennung hinzu. Ein einzelner erfolgreicher SPF- oder DKIM-Test genügt für DMARC nur dann, wenn die betreffende Domain zur sichtbaren Absenderdomain ausgerichtet ist – das sogenannte Alignment.
Inventarisieren Sie Microsoft 365, Newsletter-Dienste, CRM-Systeme, Helpdesk, Website-Formulare, Scanner und Drucker. Häufig entstehen Probleme, weil externe SaaS-Anbieter ohne DKIM-Konfiguration oder über fremde Envelope-Domains versenden.
DMARC Record korrekt veröffentlichen
Ein vorsichtiger Start ist ein TXT-Eintrag unter _dmarc.ihredomain.de mit einer beobachtenden Richtlinie. Ein vereinfachtes Beispiel lautet v=DMARC1; p=none; rua=mailto:dmarc-reports@ihredomain.de. Die Adresse muss existieren, Berichte müssen geschützt verarbeitet werden und bei externen Report-Empfängern sind zusätzliche Autorisierungsanforderungen zu beachten.
Passen Sie Beispielwerte niemals ungeprüft an eine produktive Domain an. Prüfen Sie DNS-Syntax, vorhandene Records und die Auswirkungen auf legitime E-Mail-Flüsse. Ein überhastetes p=reject kann Rechnungen, Bewerbungen oder Ticket-Benachrichtigungen blockieren.
Berichte lesen und unbekannte Sender erkennen
Aggregierte DMARC-Berichte zeigen empfangende Systeme, sendende IP-Adressen und Prüfergebnisse. Sie müssen nicht automatisch auf Angriffe hindeuten: Weiterleitungen, Mailinglisten oder falsch eingerichtete SaaS-Anbieter können legitime Abweichungen verursachen. Korrelieren Sie daher die Ergebnisse mit Ihrer dokumentierten Versandlandschaft.
Bilden Sie für jeden gefundenen Versanddienst einen Verantwortlichen ab. Bei unbekannten Quellen prüfen Sie Herkunft und Volumen, statt jede IP sofort als bösartig einzustufen.
Von p=none zu quarantine und reject
Nach der Beobachtungsphase sollten alle legitimen Systeme entweder korrekt ausgerichtete DKIM-Signaturen oder geeignetes SPF-Alignment liefern. Stellen Sie die Richtlinie schrittweise auf quarantine und danach auf reject um. Überwachen Sie dabei Bounces, Helpdesk-Tickets und Zustellprobleme besonders aufmerksam.
Schützen Sie zusätzlich bislang nicht verwendete Subdomains mit einer passenden Subdomain-Richtlinie. Für rein empfangende Domains sowie geparkte Domains sollten Versandanwendungen grundsätzlich ausgeschlossen und restriktive Policies geprüft werden.
Praxisbeispiel: Microsoft 365 und externer Newsletter
Ein Unternehmen versendet Standard-E-Mails über Microsoft 365 und Marketingkampagnen über einen Drittanbieter. Vor DMARC-reject konfigurieren Sie DKIM für beide Absenderwege mit der Unternehmensdomain, prüfen den SPF-Eintrag und testen reale Nachrichten an mehrere Empfänger. Newsletter-Anbieter brauchen oft eigene CNAME-Einträge oder zusätzliche DNS-Records.
Beachten Sie die SPF-Lookup-Grenzen und vermeiden Sie mehrere separate SPF-TXT-Records für dieselbe Domain. Verschiedene Dienste werden in einer logisch zusammenhängenden SPF-Policy integriert.
FAQ: Was DMARC nicht kann
Kann DMARC eine kompromittierte echte Mailbox stoppen? Nein, hier helfen MFA, Monitoring und Zugriffskontrollen. Verhindert DMARC Homograph-Domains? Nein, solche Angriffe benötigen eigene Kontrollen. Warum schlägt SPF nach Weiterleitung manchmal fehl? Weil Weiterleiter Envelope-Informationen verändern können; DKIM kann dennoch bestehen bleiben.
Fazit: DMARC einrichten ist ein iteratives Projekt aus DNS, Mailflussanalyse und Governance. GORTNET kann Maildomänen inventarisieren und technische E-Mail-Sicherheitsregeln begleiten.
DMARC einrichten Unternehmen: Validierung der DNS-Konfiguration
Vor der Änderung prüfen Sie die zuständigen Nameserver, TTL-Werte und den tatsächlich veröffentlichten TXT-Eintrag. Ein Domainrecord darf nicht versehentlich mehrfach oder syntaktisch fehlerhaft erscheinen. Senden Sie nach einer Änderung Testnachrichten über jedes bekannte System. Sehen Sie sich die Authentication-Results-Header an und kontrollieren Sie, ob SPF oder DKIM mit der sichtbaren From-Domain ausgerichtet ist. Erst reale Versandtests zeigen, ob der gewünschte Schutz im Tagesgeschäft greift.
Domain-Spoofing und Lookalike-Domains unterscheiden
DMARC-reject kann eine Nachricht zurückweisen, die eine geschützte Domain unberechtigt als sichtbaren Absender verwendet. Eine E-Mail von einer täuschend ähnlichen anderen Domain kann aber korrekt authentifiziert sein und trotzdem betrügerisch sein. Daher gehören Domain-Monitoring, interne Freigaben für Zahlungsänderungen, Schulungen und Meldewege für verdächtige Nachrichten weiterhin zu einem vollständigen Sicherheitskonzept. Technische Authentifizierung beantwortet die Frage nach der Absenderdomain, nicht nach der ehrlichen Absicht des Absenders.
DMARC-Rollout ohne Zustellungsverlust organisieren
Planen Sie einen Verantwortlichen für jeden Versanddienst und ein abgesichertes Zeitfenster für die Umstellung. Überprüfen Sie bei auffälligen Berichtszahlen zunächst das echte Geschäftsvolumen und die Funktionsfähigkeit der Quelle. Beschreiben Sie für Helpdesk und Marketing, wie Zustellprobleme gemeldet werden. Nach der Einführung von reject sollten Änderungen an CRM-, Ticket- und Marketingplattformen eine erneute Authentifizierungsprüfung auslösen, denn neue Versandwege sind der häufigste Grund für späteres Konfigurationsdrift.
Weiterführende Informationen und Beratung
Passende GORTNET-Leistungen: Technische Umsetzung sowie Weitere IT-Beratung. Nutzen Sie eine strukturierte Bestandsaufnahme, bevor Sie technische und organisatorische Maßnahmen priorisieren. Kontakt zu GORTNET aufnehmen.
Quellen: Fachquelle 1 · Fachquelle 2. Externe Quellen dienen der Orientierung; produktspezifische Vorgaben sind anhand der aktuellen Herstellerunterlagen zu prüfen.