# DMARC einrichten: Beispiele für den DMARC-Eintrag von p=none bis reject > Um DMARC einzurichten, stellen Sie sicher, dass SPF und DKIM für jeden Dienst bestehen, der im Namen Ihrer Domain versendet, veröffentlichen einen TXT-Eintrag unter _dmarc.ihredomain, etwa v=DMARC1; p=none; rua=mailto:dmarc@ihredomain, lesen einige Wochen lang die täglichen Berichte und verschärfen die Richtlinie dann auf quarantine und schließlich auf reject. Canonical: https://tellnod.com/de/guides/how-to-set-up-dmarc Last updated: 2026-10-22 Author: Tellnod team ## Schritte 1. **Zuerst SPF und DKIM prüfen.** Listen Sie jeden Dienst auf, der mit Ihrer Domain in der Absenderadresse versendet, und prüfen Sie, ob jeder [SPF](https://tellnod.com/glossary#spf) oder [DKIM](https://tellnod.com/glossary#dkim) für Ihre eigene Domain besteht. Google empfiehlt, beides mindestens 48 Stunden vor DMARC einzurichten [S3]. 2. **Ein Postfach für Berichte wählen.** Legen Sie eine Adresse wie dmarc@ninefold.example an oder nutzen Sie einen Berichtsdienst. Die Berichte kommen als komprimierte XML-Dateien [S2]. 3. **Einen Monitoring-Eintrag veröffentlichen.** Fügen Sie einen TXT-Eintrag mit dem Host `_dmarc` und dem Wert `v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example` hinzu. Eine Richtlinie none ändert nichts an der Behandlung der E-Mails [S1]. 4. **Den Eintrag prüfen.** Führen Sie `dig +short TXT _dmarc.ninefold.example` aus oder nutzen Sie ein DNS-Abfragetool, und prüfen Sie, ob genau ein Eintrag zurückkommt, der mit v=DMARC1 beginnt. 5. **Die Berichte lesen.** Werten Sie die Sammelberichte aus, bis jeder legitime Absender ausgerichtetes SPF oder DKIM zeigt. Google empfiehlt mindestens eine Woche, RFC 9989 etwa einen Monat vor der Durchsetzung [S1][S3]. 6. **Auf quarantine umstellen.** Ändern Sie die Richtlinie auf `p=quarantine`, damit E-Mails, die durchfallen, im Spam landen. Lesen Sie weiter die Berichte. 7. **Auf reject umstellen.** Ändern Sie die Richtlinie nach einem ähnlichen Zeitraum mit sauberen Berichten auf `p=reject`, damit Empfänger E-Mails ablehnen, die durchfallen [S1]. ## Was Sie vor dem Start brauchen [DMARC](https://tellnod.com/glossary#dmarc) authentifiziert selbst nichts. Es liest die Ergebnisse von SPF und DKIM und prüft, ob mindestens eines davon für eine Domain bestanden hat, die zur sichtbaren Absenderadresse passt [S1]. Wenn Ihr Marketing-Tool mit seiner eigenen Domain statt mit Ihrer signiert, schlägt DMARC fehl, obwohl DKIM bestanden hat. Beheben Sie das zuerst, sonst sind die Berichte voll mit Ihren eigenen E-Mails. Bei einer kleinen Modemarke wie Ninefold umfasst die Liste der Absender meist das Postfach des Teams, Bestell- und Versand-E-Mails der Shop-Plattform, den Helpdesk und das E-Mail-Marketing-Tool. Jeder davon braucht SPF oder DKIM auf ninefold.example. Der Ratgeber [SPF, DKIM und DMARC erklärt](https://tellnod.com/de/guides/spf-dkim-dmarc-explained) beschreibt, wie die einzelnen Einträge funktionieren. > Gmail verlangt einen DMARC-Eintrag von Absendern, die mehr als 5.000 Nachrichten pro Tag an private Gmail-Konten senden, und akzeptiert die Richtlinie none [S4]. Auch Yahoo verlangt von Massenversendern mindestens p=none [S5]. Der Eintrag ist in wenigen Minuten veröffentlicht und lohnt sich daher bei jedem Volumen. ## Syntax des DMARC-Eintrags Ein DMARC-Eintrag ist ein TXT-Eintrag, der unter `_dmarc` auf Ihrer Domain veröffentlicht wird. Er besteht aus einer Liste von Tags, getrennt durch Semikolons. Das Tag `v=DMARC1` muss am Anfang stehen, sonst ignorieren Empfänger den gesamten Eintrag [S1]. Diese Tags braucht ein Shop: | Tag | Beispiel | Funktion | | --- | --- | --- | | v | v=DMARC1 | Version; muss vor allen anderen Tags stehen | | p | p=none | Richtlinie für Ihre Domain: none, quarantine oder reject | | rua | rua=mailto:dmarc@ninefold.example | Wohin die täglichen Sammelberichte gesendet werden | | sp | sp=reject | Richtlinie für bestehende Subdomains, falls abweichend von p | | np | np=reject | Richtlinie für Subdomains, die nicht existieren | | adkim / aspf | adkim=r | Ausrichtung von DKIM und SPF: relaxed (Standard) oder strict | | t | t=y | Testmodus: bittet Empfänger, eine Stufe milder als die angegebene Richtlinie anzuwenden | Lassen Sie `adkim` und `aspf` weg, sofern Sie keinen Grund dafür haben. Die standardmäßige relaxed-Ausrichtung erlaubt, dass E-Mails, die von einer Subdomain wie mail.ninefold.example signiert werden, zu einer Absenderadresse unter ninefold.example passen [S1], und Yahoo akzeptiert relaxed-Ausrichtung [S5]. ## Beispiele für den DMARC-Eintrag in jeder Phase Diese Beispiele verwenden ninefold.example. Ersetzen Sie die Domain und die Berichtsadresse durch Ihre eigenen, und veröffentlichen Sie jeden Eintrag unter dem Host `_dmarc`. ### Monitoring `v=DMARC1; p=none; rua=mailto:dmarc@ninefold.example` ### Quarantine `v=DMARC1; p=quarantine; rua=mailto:dmarc@ninefold.example` ### Reject `v=DMARC1; p=reject; np=reject; rua=mailto:dmarc@ninefold.example` > Ältere Anleitungen, darunter Googles Seite zur Einführung, verwenden `pct=`, um die Richtlinie nur auf einen Prozentsatz der E-Mails anzuwenden [S3]. RFC 9989 hat das Tag entfernt, weil Empfänger es nur bei 0 oder 100 zuverlässig umgesetzt haben, und stattdessen `t=y` für eine Testphase eingeführt [S1]. Empfänger müssen unbekannte Tags ignorieren, ein Empfänger, der `np` oder `t` noch nicht unterstützt, überspringt sie also einfach [S1]. ## Was die rua-Berichte Ihnen sagen Postfachanbieter, die Sammelberichte senden, schicken in der Regel einen pro Tag und Domain, als komprimierte XML-Datei [S2]. Jeder Bericht listet die IP-Adressen auf, die mit Ihrer Domain E-Mails versendet haben, wie viele Nachrichten jeweils kamen, die Ergebnisse von SPF und DKIM, ob sie ausgerichtet waren und was der Empfänger mit den E-Mails gemacht hat [S2]. - **Eine bekannte Quelle, die bei der Ausrichtung durchfällt**, ist ein Absender, den Sie vergessen haben einzurichten. Aktivieren Sie in diesem Dienst DKIM für Ihre Domain oder nehmen Sie ihn in SPF auf. - **Eine unbekannte Quelle** ist entweder ein Dienst, bei dem sich jemand aus Ihrem Team angemeldet hat, oder jemand, der Ihre Domain fälscht. Fragen Sie nach, bevor Sie die Richtlinie durchsetzen. - **Weitergeleitete E-Mails** fallen oft bei SPF durch und bestehen DKIM [S1]. Das ist zu erwarten und ein Grund, warum ausgerichtetes DKIM am wichtigsten ist. Rohes XML ist von Hand schwer zu lesen, daher leiten viele Shops `rua` an einen Berichtsdienst weiter, der daraus Diagramme macht. Wenn dieser Dienst eine andere Domain nutzt, muss er einen Autorisierungseintrag veröffentlichen, sonst ignorieren Empfänger die Adresse [S2]. Berichtsdienste richten das auf ihrer Seite ein. ## Von p=none über quarantine zu reject Die Reihenfolge ist immer gleich: beobachten, dann quarantine, dann reject. Unterschiedlich ist nur, wie lange jede Phase dauert. Google empfiehlt mindestens eine Woche bei none [S3]. RFC 9989 empfiehlt mindestens einen Monat bei none und einen ähnlichen Zeitraum bei quarantine vor reject [S1]. Ein Shop mit wenigen Absendern und sauberen Berichten kann schneller vorgehen als einer mit einem Dutzend Tools. | Richtlinie | E-Mails, die durchfallen | Wann einsetzen | | --- | --- | --- | | p=none | Normal zugestellt; nur Berichte | Solange Sie alle Absender ermitteln | | p=quarantine | Als verdächtig behandelt, meist in den Spam verschoben | Sobald die Berichte zeigen, dass alle Ihre Absender ausgerichtet sind | | p=reject | Vom Empfänger abgelehnt | Nach einer sauberen Phase bei quarantine | Prüfen Sie vor jeder Änderung die Berichte der letzten Woche auf bekannte Quellen, die durchfallen. Wenn Ihr Team von der Shop-Domain aus an Mailinglisten schreibt, rät RFC 9989 von `p=reject` ab: Listen-E-Mails, die Empfänger ablehnen, verursachen Probleme für die Liste und können dazu führen, dass Abonnenten entfernt werden [S1]. In diesem Fall ist quarantine ein vernünftiger Endpunkt. ## DMARC für Subdomains Ohne eigenen Eintrag übernimmt eine Subdomain wie news.ninefold.example die Richtlinie von ninefold.example. Mit `sp` geben Sie bestehenden Subdomains eine abweichende Richtlinie, mit `np` legen Sie sie für nicht existierende Namen fest, die häufig zum Fälschen einer Marke genutzt werden [S1]. Manche Shops versenden Marketing-E-Mails von einer Subdomain, um sie von den E-Mails des Teams zu trennen. Diese Subdomain kann einen eigenen `_dmarc`-Eintrag haben. RFC 9989 beschreibt, eine Subdomain mit `p=quarantine; t=y` zu testen, dann auf `p=reject` umzustellen und das Test-Flag zu entfernen [S1]. ## DMARC mit Tellnod in Claude oder ChatGPT einrichten Tellnod ist ein [MCP-Connector](https://tellnod.com/glossary#mcp-connector), mit dem Sie Marketing-E-Mails aus Claude oder ChatGPT heraus schreiben, in der Vorschau ansehen und versenden. Sie können sofort von einer Adresse auf der gemeinsamen Domain von Tellnod versenden, etwa hello@yourshop.tellnodmail.com, mit einer Grenze von 500 Empfängern pro Kampagne und 1.000 E-Mails pro Monat. Wenn Sie Ihre eigene Domain verifizieren, entfallen diese Grenzen. Schreiben Sie im Chat: „Richte ninefold.example als meine Versanddomain ein.“ Tellnod gibt Ihnen die Einträge für SPF, DKIM und DMARC und prüft sie für Sie. Wenn jemand anderes Ihr DNS verwaltet, fordern Sie einen Einrichtungslink an, den Sie weitergeben: Bei unterstützten Anbietern lassen sich die Einträge mit einem Klick hinzufügen oder kopieren, ohne ein Konto anzulegen. Sie werden im Chat und per E-Mail benachrichtigt, sobald die Domain verifiziert ist. Wenn Sie bereits einen DMARC-Eintrag haben, behalten Sie nur einen Eintrag und stellen Sie sicher, dass Ihre Tellnod-E-Mails ausgerichtet sind, bevor Sie die Richtlinie verschärfen. Jede Kampagne durchläuft weiterhin eine Vorschau für Desktop und Mobilgerät und eine Bestätigungskarte, die nur Sie drücken können. [Verbinden Sie Tellnod](https://tellnod.com/de/connect), um mit dem kostenlosen Tarif zu starten, oder vergleichen Sie die Tarife auf der [Preisseite](https://tellnod.com/de/pricing). Was Gmail und Yahoo darüber hinaus erwarten, lesen Sie in den [Grundlagen der Zustellbarkeit](https://tellnod.com/guides/email-deliverability-basics). ## FAQ ### Mit welchem DMARC-Eintrag sollte ich anfangen? Beginnen Sie mit v=DMARC1; p=none; rua=mailto: gefolgt von einer Adresse, die Sie lesen. Das ändert nichts an der Zustellung und startet die täglichen Berichte [S1]. ### Reicht p=none für Gmail und Yahoo? Ja, für die Anforderungen an Massenversender. Beide akzeptieren die Richtlinie none, solange die Absenderdomain mit SPF oder DKIM übereinstimmt [S4][S5]. Eine spätere Durchsetzung bietet zusätzlichen Schutz vor Spoofing. ### Wie lange sollte ich bei p=none bleiben? Bis die Berichte zeigen, dass jeder legitime Absender ausgerichtet ist. Google empfiehlt mindestens eine Woche, RFC 9989 etwa einen Monat vor der Durchsetzung [S1][S3]. ### Kann ich zwei DMARC-Einträge haben? Nein. Veröffentlichen Sie einen TXT-Eintrag unter _dmarc. Liefert eine Abfrage mehr als einen DMARC-Eintrag, verwerfen Empfänger alle, führen Sie sie also zu einem zusammen [S1]. ### Gehört der DMARC-Eintrag auf die Hauptdomain oder eine Subdomain? Auf den Host _dmarc der Domain in Ihrer Absenderadresse. Ein Eintrag auf der Hauptdomain gilt über sein p-, sp- oder np-Tag auch für Subdomains ohne eigenen Eintrag [S1]. ## Sources - [S1] RFC 9989: Domain-based Message Authentication, Reporting, and Conformance (DMARC): (checked 2026-10-22) - [S2] RFC 9990: DMARC aggregate reporting: (checked 2026-10-22) - [S3] Google Workspace Admin Help: Recommended DMARC rollout: (checked 2026-10-22) - [S4] Google Workspace Admin Help: Email sender guidelines: (checked 2026-10-22) - [S5] Yahoo Sender Hub: Sender best practices: (checked 2026-10-22)