DMARC einrichten: Beispiele für den DMARC-Eintrag von p=none bis reject

Schritte#

1. 1

   Zuerst SPF und DKIM prüfen

   Listen Sie jeden Dienst auf, der mit Ihrer Domain in der Absenderadresse versendet, und prüfen Sie, ob jeder SPF oder DKIM für Ihre eigene Domain besteht. Google empfiehlt, beides mindestens 48 Stunden vor DMARC einzurichten ^S3.

2. 2

   Ein Postfach für Berichte wählen

   Legen Sie eine Adresse wie dmarc@ninefold.example an oder nutzen Sie einen Berichtsdienst. Die Berichte kommen als komprimierte XML-Dateien ^S2.

3. 3

   Einen Monitoring-Eintrag veröffentlichen

   Fügen Sie einen TXT-Eintrag mit dem Host _dmarc und dem Wert v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example hinzu. Eine Richtlinie none ändert nichts an der Behandlung der E-Mails ^S1.

4. 4

   Den Eintrag prüfen

   Führen Sie dig +short TXT _dmarc.ninefold.example aus oder nutzen Sie ein DNS-Abfragetool, und prüfen Sie, ob genau ein Eintrag zurückkommt, der mit v=DMARC1 beginnt.

5. 5

   Die Berichte lesen

   Werten Sie die Sammelberichte aus, bis jeder legitime Absender ausgerichtetes SPF oder DKIM zeigt. Google empfiehlt mindestens eine Woche, RFC 9989 etwa einen Monat vor der Durchsetzung ^S1S3.

6. 6

   Auf quarantine umstellen

   Ändern Sie die Richtlinie auf p=quarantine, damit E-Mails, die durchfallen, im Spam landen. Lesen Sie weiter die Berichte.

7. 7

   Auf reject umstellen

   Ändern Sie die Richtlinie nach einem ähnlichen Zeitraum mit sauberen Berichten auf p=reject, damit Empfänger E-Mails ablehnen, die durchfallen ^S1.

Was Sie vor dem Start brauchen#

DMARC authentifiziert selbst nichts. Es liest die Ergebnisse von SPF und DKIM und prüft, ob mindestens eines davon für eine Domain bestanden hat, die zur sichtbaren Absenderadresse passt ^S1. Wenn Ihr Marketing-Tool mit seiner eigenen Domain statt mit Ihrer signiert, schlägt DMARC fehl, obwohl DKIM bestanden hat. Beheben Sie das zuerst, sonst sind die Berichte voll mit Ihren eigenen E-Mails.

Bei einer kleinen Modemarke wie Ninefold umfasst die Liste der Absender meist das Postfach des Teams, Bestell- und Versand-E-Mails der Shop-Plattform, den Helpdesk und das E-Mail-Marketing-Tool. Jeder davon braucht SPF oder DKIM auf ninefold.example. Der Ratgeber SPF, DKIM und DMARC erklärt beschreibt, wie die einzelnen Einträge funktionieren.

Gmail verlangt einen DMARC-Eintrag von Absendern, die mehr als 5.000 Nachrichten pro Tag an private Gmail-Konten senden, und akzeptiert die Richtlinie none ^S4. Auch Yahoo verlangt von Massenversendern mindestens p=none ^S5. Der Eintrag ist in wenigen Minuten veröffentlicht und lohnt sich daher bei jedem Volumen.

Syntax des DMARC-Eintrags#

Ein DMARC-Eintrag ist ein TXT-Eintrag, der unter _dmarc auf Ihrer Domain veröffentlicht wird. Er besteht aus einer Liste von Tags, getrennt durch Semikolons. Das Tag v=DMARC1 muss am Anfang stehen, sonst ignorieren Empfänger den gesamten Eintrag ^S1. Diese Tags braucht ein Shop:

Lassen Sie adkim und aspf weg, sofern Sie keinen Grund dafür haben. Die standardmäßige relaxed-Ausrichtung erlaubt, dass E-Mails, die von einer Subdomain wie mail.ninefold.example signiert werden, zu einer Absenderadresse unter ninefold.example passen ^S1, und Yahoo akzeptiert relaxed-Ausrichtung ^S5.

Beispiele für den DMARC-Eintrag in jeder Phase#

Diese Beispiele verwenden ninefold.example. Ersetzen Sie die Domain und die Berichtsadresse durch Ihre eigenen, und veröffentlichen Sie jeden Eintrag unter dem Host _dmarc.

Monitoring

v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example

Quarantine

v=DMARC1; p=quarantine; rua=mailto:dmarc@ninefold.example

Reject

v=DMARC1; p=reject; np=reject; rua=mailto:dmarc@ninefold.example

Ältere Anleitungen, darunter Googles Seite zur Einführung, verwenden pct=, um die Richtlinie nur auf einen Prozentsatz der E-Mails anzuwenden ^S3. RFC 9989 hat das Tag entfernt, weil Empfänger es nur bei 0 oder 100 zuverlässig umgesetzt haben, und stattdessen t=y für eine Testphase eingeführt ^S1. Empfänger müssen unbekannte Tags ignorieren, ein Empfänger, der np oder t noch nicht unterstützt, überspringt sie also einfach ^S1.

Was die rua-Berichte Ihnen sagen#

Postfachanbieter, die Sammelberichte senden, schicken in der Regel einen pro Tag und Domain, als komprimierte XML-Datei ^S2. Jeder Bericht listet die IP-Adressen auf, die mit Ihrer Domain E-Mails versendet haben, wie viele Nachrichten jeweils kamen, die Ergebnisse von SPF und DKIM, ob sie ausgerichtet waren und was der Empfänger mit den E-Mails gemacht hat ^S2.

• Eine bekannte Quelle, die bei der Ausrichtung durchfällt, ist ein Absender, den Sie vergessen haben einzurichten. Aktivieren Sie in diesem Dienst DKIM für Ihre Domain oder nehmen Sie ihn in SPF auf.
• Eine unbekannte Quelle ist entweder ein Dienst, bei dem sich jemand aus Ihrem Team angemeldet hat, oder jemand, der Ihre Domain fälscht. Fragen Sie nach, bevor Sie die Richtlinie durchsetzen.
• Weitergeleitete E-Mails fallen oft bei SPF durch und bestehen DKIM ^S1. Das ist zu erwarten und ein Grund, warum ausgerichtetes DKIM am wichtigsten ist.

Rohes XML ist von Hand schwer zu lesen, daher leiten viele Shops rua an einen Berichtsdienst weiter, der daraus Diagramme macht. Wenn dieser Dienst eine andere Domain nutzt, muss er einen Autorisierungseintrag veröffentlichen, sonst ignorieren Empfänger die Adresse ^S2. Berichtsdienste richten das auf ihrer Seite ein.

Von p=none über quarantine zu reject#

Die Reihenfolge ist immer gleich: beobachten, dann quarantine, dann reject. Unterschiedlich ist nur, wie lange jede Phase dauert. Google empfiehlt mindestens eine Woche bei none ^S3. RFC 9989 empfiehlt mindestens einen Monat bei none und einen ähnlichen Zeitraum bei quarantine vor reject ^S1. Ein Shop mit wenigen Absendern und sauberen Berichten kann schneller vorgehen als einer mit einem Dutzend Tools.

Prüfen Sie vor jeder Änderung die Berichte der letzten Woche auf bekannte Quellen, die durchfallen. Wenn Ihr Team von der Shop-Domain aus an Mailinglisten schreibt, rät RFC 9989 von p=reject ab: Listen-E-Mails, die Empfänger ablehnen, verursachen Probleme für die Liste und können dazu führen, dass Abonnenten entfernt werden ^S1. In diesem Fall ist quarantine ein vernünftiger Endpunkt.

DMARC für Subdomains#

Ohne eigenen Eintrag übernimmt eine Subdomain wie news.ninefold.example die Richtlinie von ninefold.example. Mit sp geben Sie bestehenden Subdomains eine abweichende Richtlinie, mit np legen Sie sie für nicht existierende Namen fest, die häufig zum Fälschen einer Marke genutzt werden ^S1.

Manche Shops versenden Marketing-E-Mails von einer Subdomain, um sie von den E-Mails des Teams zu trennen. Diese Subdomain kann einen eigenen _dmarc-Eintrag haben. RFC 9989 beschreibt, eine Subdomain mit p=quarantine; t=y zu testen, dann auf p=reject umzustellen und das Test-Flag zu entfernen ^S1.

DMARC mit Tellnod in Claude oder ChatGPT einrichten#

Tellnod ist ein MCP-Connector, mit dem Sie Marketing-E-Mails aus Claude oder ChatGPT heraus schreiben, in der Vorschau ansehen und versenden. Sie können sofort von einer Adresse auf der gemeinsamen Domain von Tellnod versenden, etwa hello@yourshop.tellnodmail.com, mit einer Grenze von 500 Empfängern pro Kampagne und 1.000 E-Mails pro Monat. Wenn Sie Ihre eigene Domain verifizieren, entfallen diese Grenzen.

Schreiben Sie im Chat: „Richte ninefold.example als meine Versanddomain ein.“ Tellnod gibt Ihnen die Einträge für SPF, DKIM und DMARC und prüft sie für Sie. Wenn jemand anderes Ihr DNS verwaltet, fordern Sie einen Einrichtungslink an, den Sie weitergeben: Bei unterstützten Anbietern lassen sich die Einträge mit einem Klick hinzufügen oder kopieren, ohne ein Konto anzulegen. Sie werden im Chat und per E-Mail benachrichtigt, sobald die Domain verifiziert ist. Wenn Sie bereits einen DMARC-Eintrag haben, behalten Sie nur einen Eintrag und stellen Sie sicher, dass Ihre Tellnod-E-Mails ausgerichtet sind, bevor Sie die Richtlinie verschärfen.

Jede Kampagne durchläuft weiterhin eine Vorschau für Desktop und Mobilgerät und eine Bestätigungskarte, die nur Sie drücken können. Verbinden Sie Tellnod, um mit dem kostenlosen Tarif zu starten, oder vergleichen Sie die Tarife auf der Preisseite. Was Gmail und Yahoo darüber hinaus erwarten, lesen Sie in den Grundlagen der Zustellbarkeit.

Häufige Fragen#