Gmail verlangt von Absendern, die mehr als 5.000 Nachrichten am Tag an Gmail-Konten schicken, einen DMARC-Eintrag; p=none genügt dort. Yahoo verlangt von Massenversendern einen gültigen DMARC-Eintrag mit mindestens p=none und dass DMARC besteht.

Zuletzt geprüft: 02.11.2026

DMARC

Q: Wie mache ich einen DMARC-Check?

Fragen Sie den TXT-Eintrag unter _dmarc. Ihrer Domain ab (zum Beispiel nslookup -type=TXT _dmarc.example.de). Steht dort genau ein Eintrag, der mit v=DMARC1 beginnt, ist DMARC veröffentlicht. Ob Ihre E-Mails DMARC bestehen, zeigen die Sammelberichte und die Kopfzeile Authentication-Results einer empfangenen Nachricht.

Kurz gesagt: DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein TXT-Eintrag unter _dmarc. einer Domain. Er verlangt, dass die im Postfach sichtbare Absenderdomain zu einer bestandenen SPF- oder DKIM-Prüfung passt, sagt Empfängern, wie sie Nachrichten behandeln sollen, bei denen das nicht der Fall ist, und nennt eine Adresse für Berichte.

Was DMARC prüft

SPF und DKIM bestätigen jeweils eine Domain, aber nicht unbedingt die, die Leser im Feld „From:“ sehen. DMARC schließt diese Lücke mit der Ausrichtung (englisch Alignment): Mindestens eines der beiden Verfahren muss bestanden haben, und zwar für eine Domain, die zur Absenderdomain passt (RFC 9989, Abschnitt 4.4).¹ Passt keine, lautet das Ergebnis „fail“.

Den Eintrag fragt der Empfänger unter _dmarc. vor der Absenderdomain ab, für example.de also unter _dmarc.example.de (Abschnitt 4.5). RFC 9989 empfiehlt, SPF und DKIM gemeinsam als Grundlage für DMARC zu nutzen.¹

Die wichtigsten Angaben:

p – die Richtlinie: none (nur beobachten), quarantine (als verdächtig behandeln) oder reject (ablehnen)
rua – Adresse für die Sammelberichte, deren Format RFC 9990 regelt²
sp und np – abweichende Richtlinien für Subdomains und für nicht existierende Subdomains
adkim und aspf – Ausrichtung entspannt (r, Voreinstellung) oder streng (s)
t – Testmodus; er ersetzt den früheren Prozentwert pct, den RFC 9989 gestrichen hat (Anhang A.6)

Abgrenzung

DMARC und SPF/DKIM: DMARC ist kein drittes Prüfverfahren neben SPF und DKIM, sondern wertet deren Ergebnisse aus. Ohne mindestens eines der beiden kann DMARC nicht bestehen.
RFC 9989 und RFC 7489: Bis Mai 2026 beschrieb RFC 7489 DMARC als informatorisches Dokument.³,¹ RFC 9989 ersetzt es und steht auf dem Standardisierungspfad; neben pct sind dabei auch andere Einzelheiten geändert worden.
DMARC-Bericht: Der Eintrag selbst ist eine Richtlinie; die XML-Dateien, die Empfänger an die rua-Adresse schicken, sind die DMARC-Berichte.

Verwechslungsgefahr

„dmarc=fail“ heißt nicht „Spam“. Das Ergebnis besagt nur, dass keine passende Authentifizierung vorlag. Was der Empfänger daraus macht, entscheidet er selbst; die Richtlinie ist ein Wunsch des Domaininhabers.
p=none ist kein Schutz. Die Richtlinie bittet Empfänger ausdrücklich, Nachrichten nicht anders zu behandeln. Sie dient dem Beobachten über die Berichte. Gmail lässt für Massenversender p=none genügen; für ein Markenlogo über BIMI verlangt Google dagegen⁴ quarantine oder reject.

Beispiel

Der erste Eintrag für eine ganze Domain im Beobachtungsmodus, wie ihn RFC 9989 in Anhang B.2.1 zeigt (hier mit der Beispieldomain example.de):

_dmarc.example.de.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-berichte@example.de"

Später, wenn die Berichte zeigen, dass alle eigenen Versandwege bestehen, folgt eine strengere Stufe. Mit t=y lässt sich eine neue Richtlinie zunächst im Testmodus ankündigen:

_dmarc.example.de.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc-berichte@example.de"

Häufige Fragen

Wie mache ich einen DMARC-Check? Fragen Sie den TXT-Eintrag unter _dmarc. Ihrer Domain ab (zum Beispiel nslookup -type=TXT _dmarc.example.de). Steht dort genau ein Eintrag, der mit v=DMARC1 beginnt, ist DMARC veröffentlicht. Ob Ihre E-Mails DMARC bestehen, zeigen die Sammelberichte und die Kopfzeile Authentication-Results einer empfangenen Nachricht.

Wer verlangt DMARC? Gmail verlangt von Absendern, die mehr als 5.000 Nachrichten am Tag an Gmail-Konten schicken, einen DMARC-Eintrag; p=none genügt dort.⁵ Yahoo verlangt von Massenversendern einen gültigen DMARC-Eintrag mit mindestens p=none und dass DMARC besteht.⁶

Was ist ein DMARC-Generator? Ein Werkzeug, das den Eintrag aus Auswahlfeldern zusammensetzt. Unser DMARC-Baukasten tut das nach RFC 9989 im Browser, ohne Ihre Domain abzufragen.

Gibt es mehrere DMARC-Einträge für eine Domain? Nein. Findet der Empfänger mehrere gültige Einträge für denselben Namen, verwirft er sie (RFC 9989, Abschnitt 4.10).

Passendes Werkzeug

DMARC-Baukasten: Eintrag nach RFC 9989 zusammenstellen, jede Option erklärt.