E-Mail-Authentifizierung

Was ist ein DMARC-Eintrag?

Ein DMARC-Eintrag ist ein TXT-Eintrag im DNS Ihrer Domain. Er legt fest, was Empfänger mit E-Mails tun sollen, die Ihre Domain im Absender tragen, aber nicht authentifiziert sind, und wohin sie Berichte darüber schicken. Hier lesen Sie, wie er funktioniert, welche Tags es gibt und wie Sie ihn bei deutschen Hostern anlegen.

Aktualisiert am 10. Oktober 2026 · 7 Min. Lesezeit

DMARC-Eintrag unter _dmarc.example.org mit den Richtlinien none, quarantine und reject und den drei Angaben beim Hoster: Typ TXT, Name _dmarc, Wert

Ein DMARC-Eintrag ist eine Zeile Text im DNS, gespeichert als TXT-Eintrag unter _dmarc vor Ihrer Domain. Er beantwortet empfangenden Mailservern drei Fragen: Woran erkenne ich echte E-Mails dieser Domain? Was tue ich mit den anderen? Und wem melde ich, was ich gesehen habe? So sieht ein DMARC-Eintrag für den Einstieg aus:

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

DMARC steht für Domain-based Message Authentication, Reporting, and Conformance. Seit Mai 2026 gilt RFC 9989 als Standard; er löst RFC 7489 ab. Die Sammelberichte regelt jetzt RFC 9990, die Fehlerberichte RFC 9991. Bestehende Einträge bleiben gültig.

Funktion: was der DMARC-Eintrag bewirkt

SPF und DKIM prüfen jeweils eine Domain, die Empfänger nie zu sehen bekommen: SPF die Domain des Envelope-Absenders (Return-Path), DKIM die Domain im d=-Tag der Signatur. Ein Fälscher kann beide Prüfungen mit seiner eigenen Domain bestehen und trotzdem rechnung@example.com in die From-Zeile schreiben. Genau diese Lücke schließt DMARC.

Ein Empfänger, der DMARC unterstützt, geht bei jeder eingehenden E-Mail so vor:

  1. Er liest die Domain aus der From-Adresse, also die Adresse, die Ihre Empfänger sehen.
  2. Er fragt den TXT-Eintrag unter _dmarc. plus diese Domain ab. Findet er dort keinen, sucht er bei den übergeordneten Domains weiter; für newsletter.example.com gilt so der Eintrag von _dmarc.example.com (RFC 9989, Abschnitt 4.10).
  3. Er prüft, ob SPF oder DKIM bestanden haben und ob die geprüfte Domain zur From-Domain passt. Diese Übereinstimmung heißt Alignment. Ein bestandener Test mit passender Domain genügt.
  4. Besteht die E-Mail nicht, wendet er die Richtlinie aus dem Tag p an: none (keine besondere Behandlung), quarantine (als verdächtig behandeln, meist Spam-Ordner) oder reject (Annahme verweigern). Die letzte Entscheidung bleibt beim Empfänger.
  5. In der Regel einmal am Tag, meist für einen UTC-Tag, schickt er einen Sammelbericht an die Adresse aus rua (RFC 9990).

Alignment, locker oder streng. Standardmäßig gilt lockeres (relaxed) Alignment: Die geprüfte Domain und die From-Domain müssen nur dieselbe Organisationsdomain haben. bounce.example.com passt also zu example.com. Bei strengem (strict) Alignment müssen beide identisch sein.

Ohne DMARC-Eintrag wenden Empfänger DMARC gar nicht an (RFC 9989, Abschnitt 4.10.1). Jeder kann Ihre Domain dann in die From-Zeile setzen, und Sie erfahren nichts davon. Außerdem verlangen Gmail und Yahoo von Massenversendern einen DMARC-Eintrag; die Einzelheiten stehen in unserem Überblick zu den Absender-Anforderungen von Gmail und Yahoo.

Aufbau eines DMARC-Eintrags: die Tags

Ein DMARC-DNS-Eintrag besteht aus Paaren der Form tag=wert, getrennt durch Semikolons. v=DMARC1 steht immer an erster Stelle; fehlt es dort, ignorieren Empfänger den ganzen Eintrag. Die Reihenfolge der übrigen Tags ist beliebig. RFC 9989 kennt diese Tags (Abschnitt 4.7):

TagErlaubte WerteOhne AngabeWirkung
vDMARC1PflichtVersion, immer zuerst
pnone, quarantine, rejectnoneRichtlinie für die Domain
spwie pWert von pRichtlinie für bestehende Subdomains
npwie psp, sonst pRichtlinie für Subdomains, die im DNS nicht existieren
ty, nnTestmodus: t=y lässt Empfänger eine Stufe milder handeln
ruamailto:-Adressen, durch Komma getrenntkeine BerichteZiel der täglichen Sammelberichte
rufmailto:-Adressenkeine BerichteZiel der Fehlerberichte zu einzelnen E-Mails
fo0, 1, d, s0Wann Fehlerberichte entstehen; wirkt nur mit ruf
adkimr, srDKIM-Alignment: locker oder streng
aspfr, srSPF-Alignment: locker oder streng
psdy, n, uuNur für Betreiber öffentlicher Suffixe wie Registries

Zum Testmodus: Mit p=reject; t=y behandeln Empfänger durchgefallene E-Mails wie bei quarantine, mit p=quarantine; t=y wie bei none. Auf die Berichte hat t keinen Einfluss.

Was weggefallen ist: RFC 9989 entfernt den Tag pct, mit dem sich die Richtlinie bisher auf einen Prozentsatz der E-Mails beschränken ließ; an seine Stelle tritt t. Auch rf und ri aus RFC 7489 stehen nicht mehr in der Liste, und unbekannte Tags müssen Empfänger ignorieren. Ein Eintrag wie STRATOs Beispiel v=DMARC1; p=quarantine; pct=100 bleibt deshalb gültig; pct=100 war schon nach RFC 7489 der Standardwert (Abschnitt 6.3).

DMARC-Eintrag: Beispiele für typische Fälle

Ersetzen Sie in allen Beispielen die Domain und die Berichtsadresse durch Ihre eigenen.

Einstieg: beobachten, ohne etwas zu ändern. Die Zustellung bleibt, wie sie ist; die Berichte zeigen, welche Server mit Ihrer Domain senden.

_dmarc.example.com.  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com"

Quarantäne mit Sicherheitsnetz. Die Richtlinie steht schon auf quarantine, Empfänger nach RFC 9989 handeln wegen t=y aber noch wie bei none. Nehmen Sie t=y heraus, sobald die Berichte sauber sind.

_dmarc.example.com.  TXT  "v=DMARC1; p=quarantine; t=y; rua=mailto:dmarc-reports@example.com"

Voller Schutz. Durchgefallene E-Mails werden abgelehnt, erfundene Subdomains wie rechnung-123.example.com ebenfalls.

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; np=reject; rua=mailto:dmarc-reports@example.com"

Hauptdomain streng, Subdomains noch im Aufbau. Etwa wenn ein Newsletter-Dienst über news.example.com sendet und noch nicht sauber eingerichtet ist.

_dmarc.example.com.  TXT  "v=DMARC1; p=reject; sp=none; rua=mailto:dmarc-reports@example.com"

Domain, die keine E-Mails sendet. Dazu gehört der SPF-Eintrag v=spf1 -all, siehe SPF-Eintrag.

_dmarc.example.com.  TXT  "v=DMARC1; p=reject"

Berichte an eine andere Domain. Zeigt rua auf eine Adresse außerhalb Ihrer Domain, etwa bei einem DMARC-Berichtsdienst unter reports.example.net, senden Empfänger nur, wenn diese Domain zustimmt. Dafür steht dort ein TXT-Eintrag v=DMARC1 unter example.com._report._dmarc.reports.example.net (RFC 9990, Abschnitt 4; ALL-INKL beschreibt dasselbe in seiner Anleitung). Berichtsdienste legen diesen Eintrag für ihre Kunden an.

DMARC-Eintrag bei IONOS, STRATO, ALL-INKL und mittwald setzen

Den Eintrag setzen Sie dort, wo das DNS Ihrer Domain verwaltet wird. Überall sind es dieselben drei Angaben: Typ TXT, Name _dmarc und der Wert. Prüfen Sie vorher, ob schon ein DMARC-Eintrag existiert: Bei STRATO und ALL-INKL ist das ab Werk der Fall. Die Schritte stammen aus den Hilfeseiten der Anbieter (geprüft am 10. Oktober 2026).

IONOS

  1. Im IONOS-Konto bei der Domain unter Aktionen auf die drei Punkte klicken und DNS wählen.
  2. Record hinzufügen anklicken und als Typ TXT wählen.
  3. Im Feld Hostname _dmarc eintragen, im Feld Wert die Tags, zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com.
  4. Optional eine TTL wählen, dann Speichern.

IONOS übernimmt die Änderung sofort; bis sie überall sichtbar ist, kann es laut IONOS bis zu einer Stunde dauern (IONOS-Hilfe).

STRATO

Bei STRATO ist DMARC bereits aktiv, mit der STRATO Standard DMARC-Regel. Für einen eigenen Eintrag:

  1. Die DNS-Einstellungen der Domain öffnen und Keine STRATO-DMARC-Regel wählen.
  2. Einen TXT-Eintrag mit dem Präfix _dmarc anlegen. STRATO nennt als Beispiel v=DMARC1; p=quarantine; pct=100 und statt quarantine je nach gewünschter Richtlinie none oder reject.
  3. Einstellung übernehmen klicken und das für jede weitere Domain wiederholen.

Zurück zur STRATO-Regel kommen Sie nur, wenn kein TXT-Eintrag mit dem Präfix _dmarc mehr existiert; löschen Sie diese also zuerst (STRATO-FAQ). Wo die DNS-Einstellungen im Kunden-Login liegen, beschreibt die SPF-Anleitung.

ALL-INKL

ALL-INKL setzt standardmäßig v=DMARC1; p=none;, also eine Richtlinie, die nur beobachtet. Ändern lässt sie sich im KAS:

  1. Im KAS unter Tools → DNS-Einstellungen die Domain öffnen.
  2. Den vorhandenen DMARC-Eintrag bearbeiten oder einen neuen DNS-Eintrag erstellen.
  3. Name _dmarc, Typ TXT; eine Prio gibt es für diesen Typ nicht. Unter Data/Value den Wert eintragen; er beginnt mit v=DMARC1; und braucht p=.

Senden Sie über einen externen Mailserver, passen Sie laut ALL-INKL zuerst SPF an und hinterlegen dessen DKIM-Schlüssel (ALL-INKL-Anleitung).

mittwald

mittwald beschreibt DMARC in seiner FAQ nur knapp, und die Schritte dort beziehen sich auf den DNS-Editor im Kundencenter:

  1. Die Subdomain _dmarc zuerst in der Domain-Übersicht anlegen. Laut mittwald ist die spezielle Subdomain „_dmarc.“ vorher zu erstellen.
  2. Im DNS-Editor der Domain für diese Subdomain einen TXT-Eintrag mit dem DMARC-Wert hinterlegen.

Speziellen Support zu DMARC bietet mittwald nach eigener Aussage nicht an (mittwald: DKIM und DMARC, DNS-Editor). Ob Ihr Eintrag angekommen ist, prüfen Sie danach mit dem Checker unten.

Häufige Fehler beim Einrichten

DMARC-Eintrag erstellen und prüfen

Den Wert müssen Sie nicht von Hand schreiben: Mit dem Tool DMARC-Eintrag erstellen wählen Sie Richtlinie und Berichtsadresse und erhalten Name und Wert zum Kopieren, mit Feldbezeichnungen für STRATO, IONOS, ALL-INKL, domainfactory und Cloudflare.

Nach dem Speichern sehen Sie hier, was Empfänger abfragen:

Live-DNS-Abfrage über DNS-over-HTTPS. Sie können auch eine E-Mail-Adresse einfügen.

Der DMARC-Checker erklärt dasselbe Ergebnis Tag für Tag. DMARC baut auf SPF und DKIM auf: Prüfen Sie beide mit dem SPF-Checker und dem DKIM-Checker, bevor Sie von p=none zu quarantine wechseln. Wie sich eine echte E-Mail bei SPF, DKIM und DMARC schlägt, zeigt der E-Mail-Spam-Checker.

Quellen

Geprüft am 10. Oktober 2026:

Häufig gestellte Fragen

Was ist ein DMARC-Eintrag?

Ein TXT-Eintrag unter _dmarc.example.com, der mit v=DMARC1 beginnt, zum Beispiel v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com. Er verlangt, dass SPF oder DKIM für die Domain in der From-Adresse bestehen, legt mit p eine Richtlinie für E-Mails fest, die das nicht tun, und nennt mit rua eine Adresse für Berichte (RFC 9989).

Wo trage ich den DMARC-Eintrag ein?

Bei dem Anbieter, der das DNS Ihrer Domain verwaltet, als TXT-Eintrag mit dem Namen _dmarc. Die meisten Oberflächen hängen den Domainnamen selbst an; tragen Sie also nur _dmarc ein, nicht _dmarc.example.com. Bei mittwald legen Sie _dmarc laut Hilfe zuerst als Subdomain in der Domain-Übersicht an.

Habe ich schon einen DMARC-Eintrag?

Möglicherweise, ohne ihn selbst angelegt zu haben: STRATO aktiviert DMARC standardmäßig mit einer eigenen Regel, und ALL-INKL setzt laut Anleitung v=DMARC1; p=none;. Welcher Eintrag gerade gilt, zeigt der DMARC-Checker.

Welche DMARC-Richtlinie soll ich zu Beginn wählen?

p=none mit einer rua-Adresse. Damit ändert sich an der Zustellung nichts, aber Sie erhalten Berichte über alle Server, die mit Ihrer Domain senden. Diese Stufe genügt auch der DMARC-Anforderung von Gmail und Yahoo an Massenversender. Erst wenn alle eigenen Dienste bestehen, folgen quarantine und reject.

Darf eine Domain zwei DMARC-Einträge haben?

Nein. Liefert die Abfrage mehr als einen DMARC-Eintrag, verwerfen Empfänger alle (RFC 9989, Abschnitt 4.10), und die Domain steht ohne DMARC da. Ändern Sie einen vorhandenen Eintrag, statt einen zweiten anzulegen.

E-Mail-Validierungs-API

E-Mail-Adressen in Ihrer Anwendung prüfen

emailvalidation.io prüft Syntax, MX-Einträge und das Postfach per SMTP, markiert Wegwerf-, Rollen- und Freemail-Adressen und liefert einen Qualitätswert, alles in einer Anfrage.

/v1/info E-Mail-Validierungs-API Zur Dokumentation

100 kostenlose Prüfungen pro Monat. Keine Kreditkarte nötig.

GET https://api.emailvalidation.io/v1/info?email=support@emailvalidation.io

{
  "email": "support@emailvalidation.io",
  "user": "support",
  "tag": "",
  "domain": "emailvalidation.io",
  "format_valid": true,
  "mx_found": true,
  "smtp_check": true,
  "catch_all": null,
  "role": true,
  "disposable": false,
  "free": false,
  "score": 0.64,
  "state": "deliverable",
  "reason": "valid_mailbox",
  "did_you_mean": ""
}

Starten Sie noch heute mit unserer E-Mail-Validierung!

Kostenlos starten