DMARC

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist die Policy-Schicht über SPF und DKIM, definiert in RFC 7489. SPF und DKIM prüfen jeweils ein eigenes Signal; DMARC teilt Empfängern zwei Dinge mit: (1) was zu tun ist, wenn keines der Signale mit dem sichtbaren From:-Header „alignt" (none / quarantine / reject), und (2) wohin aggregierte (RUA) und forensische (RUF) Reports zu mailen sind. Die Policy wird als TXT-Record unter _dmarc.{domain} veröffentlicht.

v=DMARC1; p=none; rua=mailto:dmarc-agg@ihreunternehmen.de; pct=100; adkim=r; aspf=r

Die wichtigsten Tags:

• p= — Policy: none (nur monitoren), quarantine (Spam-Ordner), reject (Bounce).
• rua= — Ziel für aggregierte Reports (eine tägliche XML pro Empfänger).
• ruf= — forensische / Failure-Reports (selten; nur wenige Empfänger versenden sie).
• pct= — Prozentsatz der fehlschlagenden Mails, auf den die Policy angewandt wird (Rollout-Stellschraube).
• adkim= / aspf= — Alignment-Modus: r relaxed (Übereinstimmung auf Ebene der organisationsweiten Domain) oder s strict (exakte From:-Übereinstimmung).

Das Überspringen von p=none ist der häufigste DMARC-Fehler — direkt zu p=reject auf einer Domain zu wechseln, deren Mailflüsse Sie noch nicht vollständig verstehen, lässt legitime Mail stillschweigend bouncen (Forwarder, Mailing-Listen, CRM-Tools). Der Standard-Rollout lautet: (1) p=none mit RUA-Reporting ausrollen und die täglichen Reports zwei bis vier Wochen lang beobachten; (2) die durch die Reports aufgedeckten nicht-authentifizierten Streams sanieren; (3) über p=quarantine; pct=10 → 50 → 100 hochfahren; (4) auf p=reject; pct=100 finalisieren, sobald die aggregierten Reports eine volle Woche lang null legitime Fehlschläge ausweisen.

Sowohl Google als auch Yahoo haben ihre Bulk-Sender-Policies im Februar 2024 aktualisiert und verlangen DMARC von jedem Absender, der 5.000 Nachrichten pro Tag an ihre Nutzer überschreitet (Google-Leitfaden). Für Self-Hosted-Betreiber, die AcelleMail mit Amazon SES im Skalierungsbetrieb fahren, ist DMARC-Alignment nicht länger optional — es ist Vorbedingung für die Inbox-Platzierung bei den beiden größten Mailbox-Providern.