Vorhaben besprechen

TOOLBOX · GENERATOR

DMARC-EINTRAGERSTELLEN.

Stufe wählen, Berichtsadressen eintragen und den fertigen Eintrag kopieren: von p=none bis p=reject, mit Erklärung jedes Tags. Läuft nur in Ihrem Browser.

Beispiele

Ein Beispiel übernimmt passende Werte ins Formular. Ihre Domain bleibt erhalten; ohne Domain steht example.at.

Domain

Die Domain in Ihrer Absenderadresse, ohne www. Der Eintrag kommt unter _dmarc.<Domain>.

Richtlinie

Was sollen Empfänger mit Mails tun, die SPF und DKIM nicht passend zu Ihrer Domain bestehen? Gehen Sie die Stufen der Reihe nach.

Stufe
Berichte

Sammelberichte (rua) zeigen, wer in Ihrem Namen sendet. Ohne sie ist der Weg zu reject ein Blindflug.

Eine Adresse je Zeile oder durch Komma getrennt. mailto: ergänzt der Generator.

Berichte zu einzelnen Mails. Sie enthalten personenbezogene Daten; meist reichen die Sammelberichte.

Subdomains und Prüfung

Ohne Angabe gelten p und die entspannte Prüfung. Ändern Sie das nur mit Grund.

Ihr DMARC-Eintrag

Geben Sie oben Ihre Domain ein oder wählen Sie ein Beispiel. Der Eintrag entsteht hier, während Sie tippen.

Rein im Browser: Dieses Werkzeug sendet Ihre Eingaben nicht an TOMORIS oder Dritte und speichert sie nicht.

SCHRITT FÜR SCHRITT

Erst beobachten.
Dann durchsetzen.

DMARC schützt Ihre Domain vor gefälschten Absendern, etwa beim CEO-Betrug (Business Email Compromise). Der sichere Weg führt über die Stufen, die RFC 9989 beschreibt.

  1. 01

    Absender erfassen

    Notieren Sie jeden Dienst, der mit Ihrer Domain sendet, und richten Sie dort SPF und DKIM ein. Den SPF-Eintrag baut der SPF-Generator.

  2. 02

    p=none veröffentlichen

    Legen Sie den Eintrag mit einer Adresse für Sammelberichte an. Empfänger senden Ihnen dann Berichte darüber, wer in Ihrem Namen sendet (RFC 9990).

  3. 03

    Berichte auswerten

    Mindestens einen Monat lang: Welche Server senden für Ihre Domain, und bestehen sie SPF oder DKIM? Fehlende Dienste tragen Sie nach (RFC 9989, Abschnitt 7.4).

  4. 04

    quarantine, zuerst mit t=y

    Im Testmodus wenden Empfänger eine Stufe schwächer an. Sind die Berichte weiter sauber, entfernen Sie t=y.

  5. 05

    Ziel: reject

    Fälschungen werden dann abgewiesen. Neue Dienste kommen von nun an immer zuerst in SPF und DKIM.

TYPISCHE FEHLER

Daran scheitert
DMARC oft.

  • Zwei DMARC-Einträge

    Stehen unter _dmarc zwei Einträge mit v=DMARC1, werten Empfänger keinen davon aus (RFC 9989, Abschnitt 4.10). Einen bestehenden Eintrag ersetzen, nicht ergänzen.

  • Eintrag am falschen Namen

    Der Eintrag gehört unter _dmarc.<Domain>, nicht an die Domain selbst. Ergänzt Ihr DNS-Anbieter die Domain automatisch, tragen Sie als Name nur _dmarc ein.

  • v=DMARC1 nicht am Anfang

    Steht v nicht als erstes Tag oder anders geschrieben als DMARC1, ignorieren Empfänger den ganzen Eintrag (RFC 9989, Abschnitt 4.7).

  • Sofort p=reject

    Ohne ausgewertete Berichte trifft reject auch legitime Mails, etwa vom Newsletter-Dienst, Webshop oder Scanner.

  • pct aus alten Anleitungen

    pct ist seit RFC 9989 entfallen. Empfänger nach dem neuen Standard ignorieren es; für eine Testphase gibt es t=y.

  • Externe Adresse ohne Freigabe

    Berichte an eine fremde Domain kommen nur an, wenn diese Domain sie mit einem eigenen Eintrag freigibt (RFC 9990, Abschnitt 4).

QUELLEN UND WEITER

Geprüft
nach Standard.

Der Generator folgt dem aktuellen Standard RFC 9989, der RFC 7489 im Mai 2026 abgelöst hat. Nach dem Veröffentlichen prüfen Sie den Eintrag mit dem E-Mail-Sicherheits-Check.

FRAGEN

Gut zu wissen.

Wird meine Eingabe an TOMORIS übertragen?

Nein. Der Generator läuft vollständig in Ihrem Browser. Domain und Berichtsadressen werden weder gesendet noch gespeichert; schließen Sie die Seite, sind sie weg.

Mit welcher Stufe beginne ich?

Mit p=none und einer Adresse für Sammelberichte. RFC 9989 beschreibt den Weg in Stufen: zuerst beobachten und die Berichte mindestens einen Monat auswerten, dann ebenso lange quarantine, danach reject (Abschnitte 5.1 und 7.4). Domains, die nie E-Mails senden, können gleich p=reject setzen.

Was ist aus pct geworden?

RFC 9989 hat das Tag pct gestrichen (Anhang A.6). Für eine Testphase gibt es t=y: Empfänger wenden die Richtlinie dann eine Stufe schwächer an, bei reject also quarantine, bei quarantine keine Maßnahme. Der Generator schreibt deshalb kein pct mehr.

Brauche ich vorher SPF und DKIM?

Ja. DMARC wertet SPF und DKIM aus und verlangt, dass eines davon zur Domain im sichtbaren Absender passt. Wer p=reject setzt, darf sich laut RFC 9989 nicht allein auf SPF verlassen und muss mit DKIM signieren, weil SPF bei Weiterleitungen scheitert (Abschnitt 7.4).

Warum kommen an eine externe Adresse keine Berichte?

Liegt die Berichtsadresse unter einer anderen Domain, senden Empfänger nur, wenn diese Domain zustimmt: mit dem TXT-Eintrag „v=DMARC1“ unter <Ihre Domain>._report._dmarc.<Domain der Adresse> (RFC 9990, Abschnitt 4). Der Generator zeigt diesen Eintrag an; Auswertungsdienste legen ihn meist selbst an.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen