Beispiel für einen DMARC-Eintrag: Vorlagen für jede Richtlinie

Hier ist der einfachste funktionierende DMARC-Eintrag:

Veröffentlichen Sie ihn als TXT-Eintrag unter _dmarc.yourdomain.com. Das war’s schon. Ihre Domain verfügt nun über einen gültigen DMARC-Eintrag, der die Mindestanforderungen von Google, Yahoo und Microsoft erfüllt.

Wenn Sie es eilig haben, ist dieser Eintrag im Moment alles, was Sie brauchen. Kehren Sie zum Rest dieses Leitfadens zurück, wenn Sie bereit sind, zu verstehen, welche Funktion die einzelnen Tags haben, wie Sie zu strengeren Richtlinien übergehen können, ohne dass Ihre E-Mails nicht mehr zugestellt werden, und warum DMARC auch dann noch fehlschlagen kann, wenn sowohl SPF als auch DKIM erfolgreich sind.

Für alle anderen: Lassen Sie uns gemeinsam einen Blick darauf werfen, was der DMARC-Eintrag eigentlich bedeutet, welche Auswirkungen die einzelnen Richtlinienstufen haben, welcher Fehler bei der Konfiguration die meisten Absender zu Fall bringt und wie sich DMARC als B2B-Absender in Ihre allgemeine Zustellbarkeitsstrategie einfügt.

Der einfachste DMARC-Eintrag (und was die einzelnen Teile bewirken)

Ein DMARC-Eintrag ist ein einzelner DNS-TXT-Eintrag, der unter einer bestimmten Subdomain Ihrer Domain veröffentlicht wird:

Der einfachste brauchbare Datensatz sieht folgendermaßen aus:

Drei Teile. Mehr braucht man nicht, um loszulegen.

v=DMARC1

Hiermit wird die Version festgelegt. Jeder DMARC-Eintrag muss damit beginnen. Er muss an erster Stelle stehen, genau wie hier angegeben. Davor darf nichts stehen.

p=none

Dies ist die Richtlinie. Sie legt fest, wie empfangende Mailserver mit Nachrichten verfahren sollen, die die DMARC-Prüfung nicht bestehen. Bei „p=none“ lautet die Antwort: gar nichts. Die E-Mails werden wie gewohnt weitergeleitet. Sie sammeln Daten. Aufgrund dieses Eintrags werden keine E-Mails blockiert oder gefiltert.

Genau deshalb ist das der richtige Ausgangspunkt. Du aktivierst die Überwachung, ohne die Bereitstellung zu beeinflussen.

rua=mailto:dmarc@yourdomain.com

Dadurch wird den E-Mail-Anbietern mitgeteilt, wohin sie Ihre aggregierten DMARC-Berichte senden sollen – tägliche XML-Zusammenfassungen, aus denen hervorgeht, welche Systeme E-Mails unter Verwendung Ihrer Domain versenden und ob sie die Authentifizierung bestehen. Ersetzen Sie die Adresse durch eine, die Sie tatsächlich überprüfen.

Ohne „rua=” hast du keine Sicht. Der Datensatz funktioniert zwar, aber du bewegst dich im Blindflug.

Beispiele für DMARC-Einträge nach Richtlinien

Jeder DMARC-Eintrag enthält ein Policy-Tag (p=), das den empfangenden Servern mitteilt, wie sie vorgehen sollen, wenn eine E-Mail die Authentifizierung nicht besteht. Es gibt drei Optionen. Im Folgenden erfahren Sie, wie die einzelnen Optionen aussehen und wann sie zum Einsatz kommen. Einen tieferen Einblick in das Zusammenspiel von SPF, DKIM und DMARC erhalten Sie in unserem Leitfaden zur Implementierung von SPF, DKIM und DMARC.

p=none – Überwachungsmodus

Bei fehlgeschlagenen Nachrichten werden keine Maßnahmen ergriffen. Der E-Mail-Verkehr läuft weiterhin normal. Sie erhalten tägliche Berichte, aus denen hervorgeht, welche Systeme E-Mails über Ihre Domain versenden, ob sie die Authentifizierung bestehen und wo Fehler auftreten.

Verwenden Sie „p=none“, wenn:

• Sie richten DMARC zum ersten Mal ein
• Sie haben noch nicht alle Dienste identifiziert, die in Ihrem Namen E-Mails versenden.
• Sie möchten den Überblick behalten, bevor Sie den E-Mail-Fluss beeinflussen

Dies ist auch die von Google und Yahoo für Massenversender (5.000+ E-Mails/Tag) geforderte Mindestanzahl sowie die von Microsoft ab Mai 2025 für E-Mails an Outlook-, Hotmail- und Live-Adressen geforderte Mindestanzahl.

p=Quarantäne – Vorsichtige Durchsetzung

Fehlerhafte Nachrichten werden als verdächtig eingestuft. Die meisten empfangenden Server leiten sie in den Spam- oder Junk-Ordner weiter, anstatt sie direkt zu blockieren.

Verwenden Sie „p=quarantine“, wenn:

• SPF und DKIM sind auf allen Ihren Versandplattformen korrekt konfiguriert.
• DMARC-Berichte zeigen, dass legitime Absender die Authentifizierung durchweg bestehen
• Sie möchten Schutz vor Spoofing, ohne dass die Gefahr einer direkten Ablehnung besteht

p=Ablehnung – Vollständige Durchsetzung

Fehlerhafte Nachrichten werden zurückgewiesen, bevor sie den Empfänger erreichen. Dies ist der wirksamste Schutz vor Spoofing, der es gibt.

Verwenden Sie „p=reject“ nur, wenn:

• Sie haben die DMARC-Berichte seit Wochen oder Monaten überwacht
• Jede legitime Absenderquelle wird identifiziert und authentifiziert
• Die SPF-, DKIM- und DMARC-Übereinstimmung wird bei allen Ihren Absendern durchgängig geprüft
• Sie verfügen über einen laufenden Prozess zur Überprüfung neuer Tools, bevor diese versendet werden

Warum DMARC scheitert, selbst wenn SPF und DKIM beide erfolgreich sind

Das ist das häufigste DMARC-Problem, das wir beobachten, und es ist genau das, das Wettbewerber entweder im Anhang verstecken oder ganz auslassen. Lassen Sie uns das Thema also direkt ansprechen.

Ein positiver SPF- und DKIM-Check reicht nicht aus. Damit DMARC bestanden wird, muss mindestens eines dieser Ergebnisse auch mit der Domain übereinstimmen, die Ihre Empfänger in der „Von:“-Adresse sehen.

So sieht „Ausrichtung“ in der Praxis aus:

• SPF-Abgleich: Die Domain im „Return-Path“ der E-Mail (dem Absender des Umschlags) muss mit der Domain in der sichtbaren „From:“-Adresse übereinstimmen.
• DKIM-Abgleich: Die in der DKIM-Signatur angegebene Domain (d=Tag) muss mit der Domain in der sichtbaren „From:“-Adresse übereinstimmen.

Der häufigste Auslöser: Sie verbinden ein CRM-System, ein Helpdesk, ein Tool für Kaltakquise oder eine Marketingplattform. Diese Plattform versendet E-Mails unter Verwendung Ihrer Domain in der Absenderadresse, authentifiziert sich jedoch hinter den Kulissen unter ihrer eigenen Domain. SPF und DKIM werden für die Domain der Plattform erfolgreich geprüft. Sie stimmen jedoch nicht mit Ihrer Absenderdomain überein. DMARC schlägt fehl.

Das beobachten wir immer wieder, wenn Teams neue Tools einführen, ohne ihre DNS-Konfiguration anzupassen. Die Lösung besteht darin, jede versendende Plattform so zu konfigurieren, dass sie sich speziell unter Ihrer Domain authentifiziert – und nicht unter ihrer eigenen gemeinsam genutzten Infrastruktur.

Ein DKIM-Eintrag pro E-Mail-Dienstanbieter (ESP), nicht pro Tool. Wenn ein ESP E-Mails für mehrere Tools in Ihrem Stack versendet, benötigen Sie einen DKIM-Eintrag für diesen ESP, der so konfiguriert ist, dass er mit Ihrer Domain signiert wird.

So diagnostizieren Sie einen Ausrichtungsfehler:

• Öffnen Sie eine empfangene E-Mail und zeigen Sie die Kopfzeilen der Originalnachricht an
• Sehen Sie sich den Header „Authentication-Results“ an – dort werden die SPF-, DKIM- und DMARC-Ergebnisse sowie der Übereinstimmungsstatus angezeigt.
• Überprüfen Sie, ob die authentifizierte Domain mit Ihrer „From:“-Domain übereinstimmt.
• Überprüfen Sie Ihre DMARC-Gesamtberichte auf Muster von Konformitätsfehlern
• Führen Sie mit dem kostenlosen Spam-Test von MailReach einen echten Test zur Platzierung im Posteingang durch, um die Authentifizierungsergebnisse unter realen Empfangsbedingungen zu überprüfen.

Falls Sie DMARC-Fehler feststellen, die Ihnen unverständlich erscheinen, finden Sie in unserem Leitfaden zur Behebung von DMARC-Fehlern eine Übersicht über die jeweiligen Ursachen und Lösungsansätze.

Beispiele für DMARC-Einträge in Sonderfällen

Bei den meisten Domänen kann man mit dem oben genannten grundlegenden Beispiel „p=none“ beginnen. In einigen wenigen Fällen ist jedoch ein anderer Ansatz erforderlich.

Geparkte Domains und Domains, von denen keine E-Mails versendet werden

Wenn eine Domain niemals E-Mails versendet – geparkte Domains, defensive Registrierungen, Domains zum Markenschutz –, ist der richtige DMARC-Eintrag ein „Hard Reject“, für den keine Berichtsadresse erforderlich ist:

Dadurch wird jedem E-Mail-Anbieter mitgeteilt, dass er alle E-Mails zurückweisen soll, die angeblich von dieser Domain stammen. Da von dieser Domain niemals legitime E-Mails versendet werden sollten, besteht keine Gefahr, dass echte E-Mails davon betroffen sind.

Sekundäre Zielbereiche für B2B-Kaltakquise per E-Mail

Dies ist der Anwendungsfall, den die meisten DMARC-Anleitungen gänzlich außer Acht lassen.

Wenn Sie B2B-Kaltakquise betreiben, sollten Sie Sekundärdomains verwenden und keine Subdomains Ihrer Hauptdomain. Subdomains teilen sich die Reputation mit der übergeordneten Domain. Ein Problem mit der Zustellbarkeit auf einer Subdomain wirkt sich auch auf Ihre Hauptdomain aus. Sekundärdomains (IhrUnternehmen.co, IhrUnternehmen.io) sind völlig eigenständig und bauen unabhängig voneinander eine eigene Reputation auf.

Halten Sie sich an bekannte Endungen: .com, .co, .io. Vermeiden Sie exotische TLDs. Diese wecken bereits Misstrauen, noch bevor Ihre E-Mail überhaupt ankommt.

Jede Sekundärdomäne benötigt eine eigene vollständige Authentifizierungskonfiguration:

• Ein spezieller SPF-Eintrag, in dem die autorisierten Absender aufgeführt sind
• Pro ESP für diese Domain konfigurierte DKIM-Schlüssel
• Ein eigener DMARC-Eintrag
• Ein eigener Aufbauprozess, um die Absenderreputation von Grund auf aufzubauen

Bei der B2B-Kaltakquise ist DMARC lediglich die Authentifizierungsebene. Erst die Reputations-Ebene sorgt dafür, dass E-Mails tatsächlich vom Spam-Ordner in den Posteingang gelangen. Erfahren Sie, wie „email warmup “ die Absender-Reputation aufbaut, die Ihre sekundären Domains benötigen.

Schutz von Subdomains mit dem sp=-Tag

Standardmäßig übernehmen Subdomains die DMARC-Richtlinie der übergeordneten Domain. Wenn Sie eine explizite Steuerung wünschen, verwenden Sie das `sp=`-Tag:

p= gilt für Ihre Organisationsdomain. sp= gilt für alle Subdomains. Wenn Sie ungenutzte Subdomains haben, von denen niemals E-Mails versendet werden sollen, können Sie diese durch die Einstellung „sp=reject“ sperren und so verhindern, dass sie für Spoofing missbraucht werden.

So wechseln Sie von „p=none“ zu „Enforcement“, ohne dass Ihre E-Mails nicht mehr zugestellt werden

Die Veröffentlichung des DMARC-Eintrags dauert nur wenige Minuten. Die Einführung erstreckt sich jedoch über mehrere Wochen. Die Teams, die dabei auf Probleme stoßen, sind fast immer diejenigen, die die Überwachungsphase überspringen und fehlende Absender erst dann entdecken, wenn legitime E-Mails zurückgewiesen werden.

Hier ist die Abfolge, die funktioniert:

Schritt 1: „p=none“ veröffentlichen und mit der Erfassung von Berichten beginnen

Lassen Sie dies mindestens zwei bis vier Wochen lang so stehen. Vergewissern Sie sich, dass die Berichte eintreffen. Prüfen Sie diese.

Schritt 2: Ermitteln Sie alle Systeme, die E-Mails unter Ihrer Domain versenden

An dieser Stelle sind die meisten Unternehmen überrascht. Überprüfen Sie neben Ihrem Haupt-E-Mail-Anbieter auch Folgendes:

• CRM-Plattformen und Tools zur Vertriebsunterstützung
• Marketing-Automatisierungs- und Newsletter-Plattformen
• Helpdesk- und Ticket-Systeme
• Software für Abrechnung und Rechnungsstellung
• Interne Anwendungen und automatische Benachrichtigungen
• Tools für die Kaltakquise

DMARC-Berichte sind oft der erste Anhaltspunkt, anhand dessen Teams Versandsysteme entdecken, deren Existenz sie bereits vergessen hatten.

Schritt 3: Authentifizierung und Zuordnung für jeden Absender festlegen

Für jede Versandplattform finden Sie:

• Stellen Sie sicher, dass SPF konfiguriert ist und die Absender-IP autorisiert ist
• Veröffentlichen Sie DKIM-Einträge und aktivieren Sie die Signierung speziell für Ihre Domain
• Stellen Sie sicher, dass die authentifizierte Domain mit Ihrer „Von:“-Adresse übereinstimmt.
• Überprüfen Sie die Ergebnisse in Ihren DMARC-Berichten, bevor Sie fortfahren

Schritt 4: Verschieben nach p=Quarantäne

Ziehen Sie erst dann hierher um, wenn Ihre Berichte eine einwandfreie Authentifizierung aller Ihrer Absender anzeigen. Setzen Sie die Überwachung fort. Achten Sie darauf, ob legitime E-Mails im Spam-Ordner landen.

Schritt 5: Wechsel zu p=ablehnen (sofern die Beweislage dies rechtfertigt)

Wechseln Sie erst dann zu „p=reject“, wenn über Monate hinweg fehlerfreie Berichte vorliegen, jeder Absender verifiziert wurde, alle Probleme bei der Zuordnung behoben sind und ein Verfahren zur Überprüfung neuer Tools eingerichtet ist, bevor diese mit dem Versand beginnen.

Ein Hinweis zum „pct=“-Tag: Möglicherweise stoßen Sie auf DMARC-Einträge, die „pct=10“ oder „pct=25“ verwenden, um die Durchsetzung nur auf einen bestimmten Prozentsatz der Nachrichten anzuwenden. Aktuelle Empfehlungen raten davon ab, sich darauf zu verlassen – E-Mail-Anbieter setzen dies nicht einheitlich um. Eine schrittweise Umsetzung über „p=none“ über „p=quarantine“ bis hin zu „p=reject“ ist zuverlässiger.

DMARC-Berichtstags: Was „rua“ und „ruf“ eigentlich bewirken

Anhand von DMARC-Berichten können Sie nachvollziehen, was geschieht, nachdem Ihr Eintrag live geschaltet wurde. Auch ohne aktivierte Berichterstellung können Sie Richtlinien durchsetzen, wissen jedoch nicht, welche Systeme die Überprüfung bestehen, durchfallen oder versuchen, E-Mails unter Verwendung Ihrer Domain zu versenden.

rua= (Gesamtberichte)

Aggregierte Berichte sind tägliche XML-Zusammenfassungen, die von teilnehmenden E-Mail-Anbietern übermittelt werden. Sie zeigen Ihnen, wer E-Mails unter Verwendung Ihrer Domain versendet, welche IP-Adressen dabei eine Rolle spielen und ob diese die SPF-, DKIM- und DMARC-Prüfungen bestehen oder nicht.

Das ist genau das, was Sie brauchen. Für die meisten Organisationen reicht „rua=” allein aus.

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com

Richten Sie die Benachrichtigung auf ein spezielles Postfach ein, das Sie auch tatsächlich überwachen. Anbieter versenden Berichte in der Regel einmal täglich. Es handelt sich dabei um XML-Dateien, die entweder manuell ausgewertet werden müssen oder ein Auswertungsprogramm erfordern, um sie problemlos lesen zu können.

ruf= (Forensik / Fehlerberichte)

Forensische Berichte enthalten Details zu einzelnen Authentifizierungsfehlern. Sie sind optional, werden nicht von allen Anbietern regelmäßig übermittelt und werfen in einigen Regionen datenschutzrechtliche Bedenken auf. Für die meisten Absender ist „rua=“ allein die richtige Konfiguration.

Adressen für die externe Berichterstattung

Wenn Ihre „rua=“-Adresse eine andere Domain verwendet als Ihre Absender-Domain, muss die Empfänger-Domain einen DNS-Eintrag veröffentlichen, der sie zum Empfang von Berichten in Ihrem Namen berechtigt. Ohne diesen Eintrag werden Berichte möglicherweise nicht zugestellt – ohne dass eine entsprechende Meldung erfolgt.

Überprüfen Sie stets, ob die Berichte innerhalb weniger Tage nach der Veröffentlichung Ihres DMARC-Eintrags eingehen. Ist dies nicht der Fall, überprüfen Sie zunächst diese Autorisierungsanforderung.

Warum DMARC allein das Problem der Zustellung in den Posteingang nicht löst

DMARC ist notwendig. Es reicht jedoch nicht aus.

Google, Yahoo und Microsoft nutzen die Übereinstimmung von SPF, DKIM und DMARC, um zu entscheiden, ob eine Nachricht ordnungsgemäß authentifiziert ist. Für Absender mit hohem E-Mail-Aufkommen ist diese Authentifizierungsebene mittlerweile ein absolutes Muss. Ohne sie ist die Wahrscheinlichkeit deutlich höher, dass Ihre E-Mails als Spam eingestuft, abgelehnt oder als verdächtig behandelt werden, noch bevor Inhalt und Reputation überhaupt bewertet werden. Das allein reicht jedoch nicht aus, um den Posteingang zu erreichen. Diese Entscheidung hängt von drei Säulen ab:

• Einrichtung des E-Mail-Versands (Authentifizierung): SPF, DKIM und DMARC – DMARC ist hier zu finden
• Absender-Reputation: basiert auf echten Interaktionssignalen, die sich im Laufe der Zeit ergeben, wie z. B. das Öffnen Ihrer E-Mails durch Empfänger in Gmail oder Outlook, Antworten, positive Interaktionen im Posteingang, wenige Spam-Beschwerden und eine konsistente Zustellung in den Posteingang
• E-Mail-Inhalt: Struktur, Links, Wörter, die als Spam gewertet werden, und wie Ihre Nachrichten für Filter aussehen

Die Authentifizierung ist das Mindeste, was man braucht. Sie verschafft Ihnen Zugang zum Spiel. Der Ruf ist das, was Ihre E-Mails aus dem Spam-Ordner in den Posteingang befördert.

Gerade bei der B2B-Kaltakquise spielt dies eine große Rolle. Sie senden E-Mails an Personen, die noch nie von Ihnen gehört haben. Es gibt keine vorherige Beziehung, keine Interaktionshistorie und keine Markenbekanntheit beim Anbieter ihres E-Mail-Postfachs. Ein einwandfreier DMARC-Eintrag signalisiert den Anbietern, dass Ihre E-Mail tatsächlich von Ihnen stammt. Er sagt ihnen jedoch nichts darüber aus, ob Ihre E-Mail lesenswert ist.

Deshalb benötigt jede sekundäre Outreach-Domain ein Warm-up – nicht nur eine Authentifizierung. MailReach verbessert Ihre Absenderreputation durch sinnvolle, positive Interaktionen mit einem Netzwerk aus über 30.000 echten Google Workspace- und Microsoft 365-Posteingängen. Es ist diese Reputationsschicht, die zusammen mit der Authentifizierung dafür sorgt, dass Ihre E-Mails tatsächlich im Posteingang landen. Erfahren Sie, wie „ email warmup “ funktioniert und warum die Qualität des Netzwerks den entscheidenden Unterschied zwischen einem effektiven Warm-up und anderen Lösungen ausmacht.

FAQs

Was ist ein Beispiel für einen DMARC-Eintrag?

Das einfachste Beispiel lautet „v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com“ und wird als TXT-Eintrag unter _dmarc.yourdomain.com veröffentlicht. „v=DMARC1“ legt die Version fest, „p=none“ weist Empfänger an, die Daten zu überwachen, ohne Maßnahmen zu ergreifen, und „rua=“ gibt an, wohin Ihre aggregierten Berichte gesendet werden sollen. Dies ist die Mindestanforderung, die Google, Yahoo und Microsoft an Massenversender stellen.

Reicht „p=none“ aus?

Um den Einstieg zu finden und die Anforderungen der E-Mail-Anbieter zu erfüllen, ja. „p=none“ ist ebenfalls der richtige Ausgangspunkt, da es Ihnen Transparenz bietet, ohne den E-Mail-Verkehr zu stören. Bei komplexen Versandumgebungen mit mehreren Plattformen und Anbietern ist ein gut überwachtes „p=quarantine“ oft die richtige langfristige Zielkonfiguration. Entscheiden Sie sich nicht voreilig für „p=reject“, bevor Ihre Auswertungen bestätigen, dass alle Absender unbedenklich sind.

Warum schlägt DMARC fehl, obwohl SPF und DKIM beide erfolgreich sind?

Abgleich. Es reicht nicht aus, dass SPF und DKIM die Überprüfung bestehen – die authentifizierte Domain muss auch mit der Domain in Ihrer sichtbaren „Von:“-Adresse übereinstimmen. Dieses Problem tritt am häufigsten auf, wenn ein Drittanbieter-Tool (CRM, Helpdesk, Outreach-Plattform) E-Mails unter seiner eigenen Domain statt unter Ihrer authentifiziert. Die Lösung besteht darin, jede Plattform so zu konfigurieren, dass sie E-Mails speziell unter Ihrer Domain signiert und authentifiziert.

Benötige ich für jede Subdomain einen eigenen DMARC-Eintrag?

In der Regel nicht. Standardmäßig regelt ein Eintrag in Ihrer Organisationsdomain die Subdomains. Verwenden Sie das „sp=“-Tag, um eine explizite Richtlinie für Subdomains festzulegen – zum Beispiel „sp=reject“, um Subdomains zu sperren, von denen Sie niemals E-Mails versenden. Sekundäre Outreach-Domains sind jedoch völlig separat und benötigen jeweils einen eigenen DMARC-Eintrag.

Kann ich DMARC-Berichte an meine eigene E-Mail-Adresse senden, anstatt ein kostenpflichtiges Tool zu nutzen?

Ja. Richten Sie eine E-Mail an „rua=mailto:“ in einem beliebigen von Ihnen verwalteten Posteingang ein, und Sie erhalten kostenlos aggregierte Berichte. Der Haken daran ist, dass diese als rohes XML eintreffen, was für eine kleine Domain zwar machbar ist, bei größerem Umfang jedoch schwer zu verarbeiten ist. Für eine einzelne sendende Domain mit begrenzter Aktivität reicht Ihr eigenes Postfach völlig aus.

Wird DMARC die Zustellbarkeit meiner Kaltakquise-E-Mails verbessern?

DMARC ist notwendig, aber nicht ausreichend. Ohne DMARC können Google, Yahoo und Microsoft Ihre E-Mails ablehnen oder als Spam einstufen, noch bevor sie überhaupt geprüft werden. Aber allein durch DMARC ist der Einzug in den Posteingang noch nicht gesichert – das hängt von der Reputation des Absenders und vom Inhalt ab. DMARC sichert die Authentifizierung ab. Ob eine E-Mail im Posteingang landet, hängt von allen drei Faktoren ab. Einen umfassenden Überblick finden Sie in unserem Leitfaden zur Verbesserung der E-Mail-Zustellbarkeit.

Verlangt Microsoft nun DMARC?

Ja. Seit dem 5. Mai 2025 verlangt Microsoft von Massenversendern (5.000+ E-Mails/Tag) an Outlook.com-, Hotmail.com- und Live.com-Adressen die Verwendung von SPF, DKIM und einer DMARC-Richtlinie mit mindestens „p=none“. Nicht konforme Nachrichten werden zunächst in den Spam-Ordner geleitet und anschließend zurückgewiesen. Google und Yahoo haben im Februar 2024 ähnliche Anforderungen eingeführt. Alle drei großen E-Mail-Anbieter verlangen nun DMARC für Massen-E-Mails.

‍