E-Mail-ZustellbarkeitDMARC-Record-Beispiel: Vorlagen für jede RichtlinieDMARC-Record-Beispiele für p=none, quarantine und reject – plus der Ausrichtungsfehler, der die Authentifizierung selbst dann zerstört, wenn SPF und DKIM erfolgreich sind. Direkt bereit zum Kopieren für B2B-Versender.
Risotto ist führend im Runtime-First Zero Trust mit eBPF-Monitoring, dynamischer Least-Privilege-Durchsetzung und Compliance-Automatisierung.
Risotto ist führend im Runtime-First Zero Trust mit eBPF-Monitoring, dynamischer Least-Privilege-Durchsetzung und Compliance-Automatisierung.
Risotto ist führend im Runtime-First Zero Trust mit eBPF-Monitoring, dynamischer Least-Privilege-Durchsetzung und Compliance-Automatisierung.
Hier ist der einfachste funktionierende DMARC-Record:
Veröffentliche ihn als TXT-Eintrag unter _dmarc.deinedomain.com. Das war's auch schon. Deine Domain hat jetzt einen gültigen DMARC-Eintrag, der die Mindestanforderungen von Google, Yahoo und Microsoft erfüllt.
Wenn du es eilig hast, ist dieser Eintrag genau das, was du jetzt brauchst. Schau dir den Rest dieses Leitfadens an, wenn du bereit bist zu verstehen, was die einzelnen Tags bewirken, wie du zu strengeren Richtlinien wechselst, ohne deine Mails zu blockieren, und warum DMARC selbst dann fehlschlagen kann, wenn SPF und DKIM erfolgreich sind.
Für alle anderen: Gehen wir mal durch, was der DMARC-Eintrag eigentlich bedeutet, was die verschiedenen Richtlinienstufen bewirken, welcher Ausrichtungsfehler den meisten Absendern zum Verhängnis wird und wie sich DMARC als B2B-Absender in dein größeres Setup für die Zustellbarkeit einfügt.
Ein DMARC-Eintrag ist ein einzelner DNS-TXT-Eintrag, der unter einer bestimmten Subdomain deiner Domain veröffentlicht wird:
Der einfachste nützliche Eintrag sieht so aus:
Drei Teile. Mehr brauchst du nicht, um loszulegen.
Das legt die Version fest. Jeder DMARC-Eintrag muss damit beginnen. Es muss als Erstes dastehen, genau wie geschrieben. Nichts davor.
Das ist die Richtlinie (Policy). Sie sagt den empfangenden Mailservern, was sie mit Nachrichten machen sollen, die bei DMARC durchfallen. Bei p=none lautet die Antwort: gar nichts. E-Mails fließen ganz normal. Du sammelst Daten. Keine E-Mail wird wegen dieses Eintrags blockiert oder gefiltert.
Genau deshalb ist das der perfekte Startpunkt. Du schaltest die Überwachung ein, ohne die Zustellung anzutasten.
Das teilt den Postfachanbietern mit, wohin sie deine aggregierten DMARC-Berichte schicken sollen – tägliche XML-Zusammenfassungen, die zeigen, welche Systeme E-Mails über deine Domain versenden und ob sie die Authentifizierung bestehen. Ersetze die Adresse durch eine, die du auch wirklich abrufst.
Ohne rua= hast du null Einblick. Der Eintrag funktioniert zwar, aber du fliegst im Blindflug.
Jeder DMARC-Eintrag enthält ein Richtlinien-Tag (p=), das den empfangenden Servern sagt, was sie tun sollen, wenn eine E-Mail bei der Authentifizierung durchfällt. Es gibt drei Optionen. Hier siehst du, wie die einzelnen Optionen aussehen und wann du sie verwenden solltest. Eine tiefere Einsicht, wie SPF, DKIM und DMARC zusammenarbeiten, findest du in unserem Leitfaden dazu, wie du SPF, DKIM und DMARC implementierst.
Bei fehlgeschlagenen Nachrichten wird keine Aktion unternommen. E-Mails fließen wie gewohnt weiter. Du erhältst tägliche Berichte, die jedes System zeigen, das E-Mails über deine Domain versendet, ob sie die Authentifizierung bestehen und woher Fehler stammen.
Verwende p=none, wenn:
Das ist übrigens auch das von Google und Yahoo geforderte Minimum für Massenversender (über 5.000 E-Mails/Tag) und von Microsoft seit Mai 2025 für E-Mails an Outlook-, Hotmail- und Live-Adressen.
Fehlgeschlagene Nachrichten werden als verdächtig eingestuft. Die meisten empfangenden Server leiten sie in den Spam- oder Junk-Ordner um, statt sie komplett zu blockieren.
Verwende p=quarantine, wenn:
p=reject – Vollständige Durchsetzung
Fehlgeschlagene Nachrichten werden abgewiesen, bevor sie den Empfänger erreichen. Das ist der stärkste verfügbare Schutz vor Spoofing.
Verwende p=reject nur, wenn:
Das ist das häufigste DMARC-Problem, das uns begegnet – und genau das, was Mitbewerber entweder in einem Anhang verstecken oder komplett verschweigen. Schauen wir es uns also direkt an.
Erfolgreiche SPF- und DKIM-Prüfungen reichen nicht aus. Damit DMARC bestanden wird, muss mindestens eines dieser Ergebnisse zusätzlich mit der Domain übereinstimmen, die deine Empfänger im Von:-Feld sehen.
Das bedeutet Alignment (Übereinstimmung) in der Praxis:
Der häufigste Auslöser: Du verbindest ein CRM, Helpdesk, Cold-Outreach-Tool oder eine Marketing-Plattform. Diese Plattform sendet E-Mails unter Verwendung deiner Domain im Von:-Feld, authentifiziert sich im Hintergrund jedoch über ihre eigene Domain. SPF und DKIM sind für die Domain der Plattform zwar erfolgreich, stimmen aber nicht mit deiner Von:-Domain überein. DMARC schlägt fehl.
Das sehen wir ständig, wenn Teams neue Tools hinzufügen, ohne ihre DNS-Konfiguration zu aktualisieren. Die Lösung besteht darin, jede Versandplattform so einzurichten, dass sie sich speziell über deine Domain authentifiziert – und nicht über deren eigene gemeinsam genutzte Infrastruktur.
Ein DKIM-Eintrag pro E-Mail-Dienstanbieter (ESP), nicht pro Tool. Wenn ein ESP E-Mails für mehrere Tools in deinem Setup versendet, benötigst du einen DKIM-Eintrag für diesen ESP, der so konfiguriert ist, dass er mit deiner Domain signiert.
So diagnostizierst du einen Alignment-Fehler:
Wenn du DMARC-Fehler siehst, die keinen Sinn ergeben, führt dich unser Leitfaden zum Thema DMARC-Fehler beheben durch die spezifischen Ursachen und Lösungen.
Die meisten Domains können mit dem oben genannten einfachen p=none-Beispiel starten. Einige Situationen erfordern jedoch einen anderen Ansatz.
Wenn eine Domain niemals E-Mails versendet – wie geparkte Domains, defensive Registrierungen oder Markenschutz-Domains –, ist der richtige DMARC-Eintrag ein strikter Reject ohne Angabe einer Berichts-Adresse:
Das weist jeden Postfachanbieter an, jede E-Mail abzulehnen, die vorgibt, von dieser Domain zu stammen. Da hierbei niemals etwas Legitimes verschickt werden sollte, besteht kein Risiko, echten E-Mail-Verkehr zu stören.
Das ist der Anwendungsfall, den die meisten DMARC-Ratgeber komplett auslassen.
Wenn du B2B-Kaltakquise machst, solltest du sekundäre Domains verwenden und keine Subdomains deiner Hauptdomain. Subdomains teilen sich die Reputation mit der übergeordneten Domain. Ein Deliverability-Problem auf einer Subdomain betrifft also auch deine Hauptdomain. Sekundäre Domains (deinefirma.co, deinefirma.io) sind komplett getrennt und bauen ihre eigene Reputation unabhängig voneinander auf.
Halte dich am besten an bekannte Endungen wie .com, .co oder .io. Vermeide exotische TLDs. Die wecken oft Misstrauen, noch bevor deine E-Mail überhaupt ankommt.
Jede sekundäre Domain braucht ihr eigenes, vollständiges Authentifizierungs-Setup:
Bei B2B-Kaltakquise ist DMARC nur die Authentifizierungsebene. Die Reputationsebene sorgt letztendlich dafür, dass E-Mails aus dem Spam-Ordner in den Posteingang wandern. Sieh dir an, wie email warmup die Absenderreputation aufbaut, die deine sekundären Domains brauchen.
Standardmäßig übernehmen Subdomains die DMARC-Richtlinie der Hauptdomain. Wenn du die volle Kontrolle haben möchtest, nutze das sp=-Tag:
p= gilt für deine Hauptdomain. sp= gilt für alle Subdomains. Wenn du ungenutzte Subdomains hast, über die niemals E-Mails verschickt werden sollen, schützt das Sperren mit sp=reject davor, dass sie für Spoofing missbraucht werden.
Ein DMARC-Eintrag ist in wenigen Minuten veröffentlicht. Die Einführung dauert Wochen. Teams, die in Schwierigkeiten geraten, sind fast immer diejenigen, die die Überwachungsphase überspringen und erst dann merken, dass Absender fehlen, wenn wichtige E-Mails plötzlich abgewiesen werden.
Diese Reihenfolge hat sich bewährt:
Lass diese Einstellung für mindestens zwei bis vier Wochen aktiv. Prüfe, ob Berichte ankommen, und schau sie dir an.
Hier erleben die meisten Unternehmen eine Überraschung. Überprüfe neben deinem Hauptanbieter auch:
DMARC-Berichte sind oft der Ort, an dem Teams zum ersten Mal auf Absendersysteme stoßen, deren Existenz sie längst vergessen hatten.
Für jede gefundene Versandplattform gilt:
Wechsle erst dann hierhin, wenn deine Berichte eine saubere Authentifizierung bei allen Absendern zeigen. Überwache das Ganze weiterhin. Achte darauf, ob berechtigte E-Mails im Spam-Ordner landen.
Wechsle erst nach monatelanger, fehlerfreier Berichterstattung zu p=reject – vorausgesetzt, jeder Absender ist verifiziert, jedes Alignment-Problem ist gelöst und es gibt einen Prozess zur Prüfung neuer Tools, bevor diese mit dem Versand beginnen.
Ein kurzer Hinweis zum pct=-Tag: Manchmal sieht man DMARC-Einträge mit pct=10 oder pct=25, um die Richtlinie nur auf einen Prozentsatz der Nachrichten anzuwenden. Heutige Empfehlungen raten davon ab, sich darauf zu verlassen – Postfachanbieter setzen das nicht einheitlich um. Ein schrittweiser Rollout über p=none zu p=quarantine bis hin zu p=reject ist verlässlicher.
Über DMARC-Berichte siehst du, was passiert, nachdem dein Eintrag live ist. Ohne aktivierte Berichte kannst du zwar Richtlinien durchsetzen, weißt aber nicht, welche Systeme deine Domain nutzen, um E-Mails zu versenden, oder ob dabei alles glattläuft, Fehler auftreten oder Versuche unternommen werden.
Aggregierte Berichte sind tägliche XML-Zusammenfassungen, die von teilnehmenden Postfachanbietern verschickt werden. Sie zeigen dir, wer E-Mails über deine Domain versendet, welche IPs beteiligt sind und ob SPF, DKIM und DMARC bestanden wurden oder fehlgeschlagen sind.
Das ist der Bericht, den du brauchst. Für die meisten Organisationen reicht rua= völlig aus.
v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com
Richte ihn auf ein dediziertes Postfach aus, das du auch wirklich im Blick behältst. Anbieter schicken Berichte in der Regel einmal täglich. Stell dich auf XML-Dateien ein, die entweder manuell oder mit einem Reporting-Tool ausgelesen werden müssen.
Forensische Berichte enthalten Details zu einzelnen Authentifizierungsfehlern. Sie sind optional, werden nicht von allen Anbietern durchgehend verschickt und werfen in manchen Regionen Datenschutzbedenken auf. Für die meisten Absender ist rua= die richtige Wahl.
Wenn deine rua=-Adresse eine andere Domain als deine Absenderdomain verwendet, muss die empfangende Domain einen DNS-Eintrag veröffentlichen, der sie dazu berechtigt, Berichte in deinem Namen zu empfangen. Ohne das werden Berichte möglicherweise gar nicht zugestellt – und das ohne Vorwarnung.
Überprüfe immer, ob die Berichte wenige Tage nach Veröffentlichung deines DMARC-Eintrags ankommen. Wenn nicht, solltest du zuerst diese Autorisierungsanforderung prüfen.
DMARC ist notwendig. Aber es reicht nicht aus.
Google, Yahoo und Microsoft nutzen SPF-, DKIM- und DMARC-Abgleiche, um zu entscheiden, ob eine Nachricht ordnungsgemäß authentifiziert ist. Für Absender mit hohem Volumen ist diese Authentifizierungsschicht inzwischen Pflicht. Ohne sie landen deine E-Mails mit viel höherer Wahrscheinlichkeit im Müll, werden abgelehnt oder als verdächtig eingestuft, noch bevor Inhalt und Reputation überhaupt bewertet werden. Den Posteingang sicherst du dir damit aber noch nicht. Diese Entscheidung hängt von drei Säulen ab:
Authentifizierung ist die Grundvoraussetzung. Sie bringt dich ins Spiel. Die Reputation sorgt dafür, dass deine E-Mails vom Spam-Ordner in den Posteingang wandern.
Vor allem für B2B-Kaltakquise spielt das eine riesige Rolle. Du schreibst schließlich an Leute, die noch nie von dir gehört haben. Es gibt keine vorherige Beziehung, keine Interaktionshistorie und keine Markenbekanntheit beim Postfachanbieter. Ein sauberer DMARC-Eintrag zeigt den Anbietern zwar, dass die E-Mail wirklich von dir kommt. Er sagt ihnen aber überhaupt nichts darüber, ob es sich lohnt, deine E-Mail zu lesen.
Genau deshalb braucht jede sekundäre Outreach-Domain ein email warmup – nicht nur Authentifizierung. MailReach wärmt deine Absender-Reputation durch sinnvolle, positive Interaktionen mit einem Netzwerk aus über 30.000 echten Postfächern von Google Workspace und Microsoft 365 auf. Das ist die Reputationsebene, die Hand in Hand mit der Authentifizierung dafür sorgt, dass deine E-Mails tatsächlich im Posteingang landen. Schau dir an, wie email warmup funktioniert und warum die Netzwerkqualität den Unterschied zwischen einem effektiven Warmup und dem Rest ausmacht.
Das einfachste Beispiel ist v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, veröffentlicht als TXT-Eintrag unter _dmarc.yourdomain.com. v=DMARC1 legt die Version fest, p=none weist die Empfänger an, den Empfang ohne Maßnahmen zu überwachen, und hinter rua= stehen die Adressen für deine Berichte. Das ist das absolute Minimum, das Google, Yahoo und Microsoft für Massenversender verlangen.
Für den Anfang und um die Anforderungen der Postfachanbieter zu erfüllen, ja. p=none ist auch der richtige Startpunkt, weil du dadurch alles im Blick hast, ohne dass Mails blockiert werden. Für komplexe Versandumgebungen mit mehreren Plattformen und Anbietern ist ein gut überwachtes p=quarantine oft das richtige langfristige Ziel. Stürze dich nicht zu früh auf p=reject, bevor deine Berichte nicht bestätigen, dass jeder Absender sauber ist.
Die Ausrichtung (Alignment). Dass SPF und DKIM erfolgreich sind, reicht nicht aus – die authentifizierte Domain muss auch zur Domain in deiner sichtbaren Absenderadresse (From:) passen. Das passiert am häufigsten, wenn ein Tool von Drittanbietern (CRM, Helpdesk, Outreach-Plattform) E-Mails unter seiner eigenen Domain statt unter deiner authentifiziert. Die Lösung besteht darin, jede Plattform so einzurichten, dass sie speziell mit deiner Domain signiert und authentifiziert.
Normalerweise nicht. Ein einzelner Eintrag auf deiner Hauptdomain regelt Subdomains standardmäßig. Nutze den sp=-Tag, um eine explizite Subdomain-Richtlinie festzulegen – zum Beispiel sp=reject, um Subdomains abzuriegeln, von denen du niemals sendest. Zusätzliche Outreach-Domains sind jedoch komplett unabhängig und benötigen jeweils einen eigenen DMARC-Eintrag.
Ja. Verweise mit rua=mailto: auf ein Postfach deiner Wahl, und du erhältst die Berichte kostenlos. Der Haken an der Sache ist, dass sie als rohes XML ankommen, was für eine kleine Domain machbar ist, aber bei großem Volumen schwer auszuwerten wird. Für eine einzelne Sendedomain mit überschaubarer Aktivität ist dein eigenes Postfach völlig in Ordnung.
DMARC ist notwendig, aber nicht allein ausreichend. Ohne DMARC können Google, Yahoo und Microsoft deine E-Mails ablehnen oder direkt in den Spam-Ordner stecken, bevor sie überhaupt richtig geprüft werden. Aber das Vorhandensein garantiert keinen Platz im Posteingang – das hängt von der Absenderreputation und dem Inhalt ab. DMARC behebt das Problem bei der Authentifizierung. Die Platzierung im Posteingang hängt von allen drei Faktoren ab. In unserem Leitfaden über die Verbesserung der E-Mail-Zustellbarkeit erfährst du das ganze Bild.
Ja. Seit dem 5. Mai 2025 verlangt Microsoft von Massenversendern (5.000+ E-Mails/Tag) an Outlook.com-, Hotmail.com- und Live.com-Adressen SPF, DKIM und eine DMARC-Mindestrichtlinie von p=none. Nicht konforme Nachrichten werden anfangs in den Spam-Ordner geleitet, danach folgt die Ablehnung. Google und Yahoo haben ähnliche Anforderungen im Februar 2024 eingeführt. Alle drei großen Postfachanbieter verlangen mittlerweile DMARC für Massenmails.
Jede E-Mail im Spam bedeutet einen potenziellen Kunden weniger. Beginne noch heute mit der Verbesserung deiner Inbox-Platzierung mit MailReach Spam Testing und Warmup.
Es reicht nicht, sich an die Regeln zu halten – wisse, wo deine E-Mails landen und was sie zurückhält. Überprüfe deinen Spam-Score mit unserem kostenlosen Test und verbessere die Deliverability mit MailReach Warmup.
Ohne das richtige Warmup sind deine besten Kampagnen nutzlos. Du kannst damit beginnen, zuerst deine Inbox-Platzierung zu testen und noch heute mit der Verbesserung beginnen.
DMARC-Record-Beispiel: Vorlagen für jede Richtlinie
.avif)
Was sind die Gmail Sender Guidelines? (Leitfaden 2026)
Wir zeigen dir gleich die effizienteste Strategie zum Versenden und Aufwärmen von Cold Emails, um den Spam-Ordner zu umgehen. Mach dich bereit – das ist extrem wirkungsvoll, um die Deliverability deiner Cold Emails zu verbessern und tolle Ergebnisse mit deinen Kampagnen zu erzielen.
SendGrid E-Mail-Zustellbarkeit: Was B2B Cold Senders 2026 wissen müssen
DKIM Key Rotation: Der ehrliche Leitfaden (Und warum die meisten Cold Senders es nicht brauchen)
Smart DMARC: Der Schlüssel zu besserer E-Mail-Zustellbarkeit & Schutz
