DMARC einrichten: Anleitung mit SPF, DKIM und Berichten für deine Domain

Wer mit eigener Domain Offerten, Rechnungen oder einen Newsletter verschickt, sollte wissen, wer sonst noch in seinem Namen Mails versendet. DMARC beantwortet genau diese Frage und schützt deine Absenderadresse vor Missbrauch. Ich habe DMARC im Oktober 2026 für copywriting-kurz.com eingerichtet. Hier zeige ich dir, wie die drei Bausteine SPF, DKIM und DMARC zusammenspielen, wie du die Einträge Schritt für Schritt setzt und wie du die Berichte liest, die danach in deinem Postfach landen.

Was ist DMARC?

DMARC ist ein TXT-Eintrag im DNS deiner Domain, mit dem du festlegst, wie empfangende Mailserver mit Nachrichten umgehen sollen, die deine Adresse als Absender tragen und weder über SPF noch über DKIM bestätigt sind. Der Name steht für «Domain-based Message Authentication, Reporting and Conformance». Zusätzlich bittet DMARC die Empfänger, dir regelmässig Berichte zu schicken. Aus diesen Berichten erfährst du, welche Server in deinem Namen senden.

DMARC baut auf zwei älteren Verfahren auf, die du vorher brauchst:

Mir hilft beim Erklären ein Bild aus der Briefpost: SPF ist die Liste der Boten, die für dich zustellen dürfen. DKIM ist das Siegel auf dem Umschlag. DMARC ist die Anweisung an die Poststelle, was mit Briefen ohne gültiges Siegel und ohne bekannten Boten geschehen soll. Eine Mail besteht DMARC, sobald SPF oder DKIM für deine Domain passt. Dieses «für deine Domain» heisst Alignment, dazu mehr im Abschnitt über die Berichte.

Warum DMARC für Selbstständige mit eigener Domain zählt

Coaches, Berater/innen und Consulting-Firmen verschicken mehr Mails, als ihnen im Alltag bewusst ist: Offerten, Terminbestätigungen, Rechnungen, Newsletter, Antworten aus dem Kontaktformular. Jede dieser Mails trägt deine Domain. Drei Gründe sprechen dafür, sie abzusichern.

Spoofing. Ohne DMARC-Richtlinie kann ein fremder Server eine Mail mit deiner Adresse im Absenderfeld verschicken. Für Empfänger/innen sieht sie aus, als käme sie von dir. Eine gefälschte Rechnung im Namen eines Beraters, den seine Kund/innen persönlich kennen, wirkt glaubwürdig, gerade weil das Vertrauen da ist.

Zustellbarkeit. Grosse Postfachanbieter prüfen, ob eine Mail sauber authentifiziert ist. Google beschreibt in seinen Richtlinien für E-Mail-Absender Anforderungen, die seit dem 1. Februar 2024 gelten. Wer an Gmail-Konten sendet, braucht mindestens SPF oder DKIM. Wer mehr als 5000 Nachrichten pro Tag verschickt, braucht SPF, DKIM und DMARC, dazu eine Abmeldung mit einem Klick für Marketingmails. Als DMARC-Richtlinie genügt dort «none», die Domain im Absender muss aber zur SPF- oder DKIM-Domain passen.

Newsletter. Die meisten Selbstständigen liegen weit unter 5000 Mails am Tag. Die Einrichtung lohnt sich trotzdem, weil viele Newsletter-Tools die Authentifizierung der eigenen Domain empfehlen und weil eine Liste über die Jahre wächst. Wenn du gerade mit einem Newsletter für Coaches und Beratende beginnst, ist der Zeitpunkt günstig, denn noch sind wenige Tools im Spiel.

DMARC einrichten: Schritt für Schritt

DMARC einrichten heisst, vier Dinge in der richtigen Reihenfolge zu erledigen. Die Bestandsaufnahme am Anfang braucht meist die meiste Zeit, die Einträge selbst sind schnell gesetzt.

1. Alle Absender erfassen. Bevor du einen einzigen Eintrag setzt, schreibst du auf, welche Dienste Mails mit deiner Domain im Absender verschicken. Typische Kandidaten sind:

• dein Mailprogramm beziehungsweise dein Mailanbieter, etwa Google Workspace, Microsoft 365 oder das Postfach beim Hoster
• das Newsletter-Tool
• die Buchhaltung mit Rechnungs- und Mahnungsversand
• das Kalender- oder Buchungstool für Terminbestätigungen
• Formulare auf der Website, die Bestätigungen verschicken
• Automationen, die in deinem Namen Mails auslösen

Bei jedem Dienst prüfst du die Absenderadresse. Verschickt ein Tool mit einer eigenen Adresse auf der Domain des Anbieters, etwa einer noreply-Adresse, berührt es deinen DMARC-Eintrag nicht. Verschickt es mit deiner Adresse, braucht es SPF oder DKIM für deine Domain.

2. SPF prüfen oder anlegen. SPF ist ein TXT-Eintrag auf der Hauptdomain, der die erlaubten Server aufzählt. Für Google Workspace lautet er v=spf1 include:_spf.google.com ~all. Kommt ein Newsletter-Tool dazu, ergänzt du dessen include: im selben Eintrag. Die DNS-Einstellungen findest du bei deinem Domain-Anbieter im selben Bereich, den du vielleicht schon für die Google Search Console oder die Bing Webmaster Tools genutzt hast.

3. DKIM aktivieren. DKIM richtest du bei jedem sendenden Dienst einzeln ein. In Google Workspace erzeugst du in der Admin-Konsole bei den Gmail-Einstellungen zur Authentifizierung einen Schlüssel, trägst ihn als TXT-Eintrag ein und startest danach die Authentifizierung. Google empfiehlt eine Schlüssellänge von 2048 Bit. Newsletter-Tools liefern ihre eigenen DKIM-Einträge, häufig als CNAME.

4. DMARC-Eintrag mit p=none setzen. Erst wenn SPF und DKIM stehen, kommt der DMARC-Eintrag. Er startet im Beobachtungsmodus: Die Richtlinie lautet p=none, alle Mails werden normal zugestellt, während du Berichte bekommst. So sieht ein solcher Eintrag aus, hier für die Domain beispiel.ch:

Typ:   TXT
Host:  _dmarc
Wert:  v=DMARC1; p=none; rua=mailto:dmarc@beispiel.ch
TTL:   Standardwert des Anbieters

v=DMARC1 kennzeichnet den Eintrag, p=none ist die Richtlinie, rua= nennt die Adresse für die zusammengefassten Berichte. Bei manchen Anbietern trägst du als Host nur _dmarc ein, andere verlangen _dmarc.beispiel.ch. Für die Berichte empfehle ich eine eigene Adresse oder zumindest einen Filter im Postfach, weil täglich mehrere Berichte eintreffen können.

Danach folgt der Test. Schick eine Mail an ein Gmail-Konto, öffne sie dort und wähle im Menü «Original anzeigen». Oben stehen die Ergebnisse für SPF, DKIM und DMARC. Bei allen dreien sollte PASS erscheinen.

DMARC-Berichte lesen

Ein DMARC-Report ist eine XML-Datei, die meist gezippt im Anhang einer Mail kommt. In den Tagen nach der Einrichtung beginnen die grossen Mailanbieter, dir solche Berichte zu schicken. Jeder Bericht fasst zusammen, welche Server in einem Zeitraum Mails mit deiner Domain an diesen Anbieter geschickt haben. Diese Felder sind die wichtigsten:

Pass heisst: Die Mail wurde über SPF oder DKIM bestätigt, wobei die bestätigende Domain zu deinem Absender passt. Fail heisst: Keines der beiden Verfahren hat für deine Domain bestanden. Ein Fail ist zunächst eine Information. Dahinter kann ein Fälscher stehen oder ein eigenes Tool, das bei der Bestandsaufnahme gefehlt hat.

Alignment ist der Punkt, an dem viele hängen bleiben. Ein Newsletter-Tool kann SPF bestehen, allerdings für seine eigene Versanddomain. Für DMARC reicht das nicht, weil diese Domain nicht zu deiner Absenderadresse passt. Erst wenn das Tool mit DKIM für deine Domain signiert, besteht die Mail. Standardmässig gilt ein lockerer Abgleich, bei dem auch eine Subdomain wie news.beispiel.ch zur Hauptdomain passt.

Bequem sind Dienste, die DMARC-Berichte übersichtlich aufbereiten, einige davon mit einer kostenlosen Stufe. Ich gehe beim Lesen immer gleich vor: Ich ordne jede Absender-IP einem bekannten Dienst zu und schaue mir jede Zeile mit fail einzeln an.

Von p=none über quarantine zu reject

Die DMARC Policy kennt drei Stufen:

Mit pct= legst du fest, für welchen Anteil der durchgefallenen Mails die Richtlinie gilt. pct=100 bedeutet alle.

Ich empfehle diese Reihenfolge, weil jeder Schritt auf Daten beruht. Wer direkt mit reject startet, riskiert, dass Rechnungen aus der Buchhaltung oder der eigene Newsletter abgewiesen werden, bevor jemand merkt, dass ein Tool in der Liste fehlte. Mit p=none rechne ich mindestens zwei Wochen, damit auch seltene Absender wie ein monatlicher Rechnungslauf in den Berichten auftauchen.

So bin ich bei meiner eigenen Domain vorgegangen

Wie bei Microsoft Clarity habe ich auch DMARC zuerst bei meiner eigenen Website umgesetzt. Meine Mails laufen über Google Workspace.

Am 4. Oktober 2026 habe ich DKIM mit einem Schlüssel von 2048 Bit und dem Selektor google aktiviert. Am selben Tag kam der DMARC-Eintrag mit p=none dazu, die Berichte gehen an meine eigene Adresse. Ein älterer DMARC-Wert lag direkt auf der Hauptdomain, wo er keine Wirkung hatte, deshalb habe ich ihn entfernt. Die erste Testmail zeigte für SPF, DKIM und DMARC jeweils pass.

Vom 4. bis 11. Oktober habe ich die eingegangenen Berichte ausgewertet. Alle meine eigenen Mails über Google haben bestanden. Eine einzige Mail fiel durch: Ein Server in Russland hatte meine Absenderadresse verwendet. Wegen p=none wurde sie trotzdem zugestellt. Genau diese Erkenntnis liefert die Beobachtungsphase, sie zeigt schwarz auf weiss, was ohne strengere Richtlinie durchgeht.

Bei der Bestandsaufnahme der Tools stellte sich heraus, dass mein Buchhaltungstool Rechnungen mit seiner eigenen noreply-Adresse verschickt. Für meine Domain braucht es deshalb keinen Eintrag. Am 12. Oktober 2026 habe ich die Richtlinie auf p=quarantine; pct=100 umgestellt. Seither kommen täglich Berichte von Google, Microsoft und Hostpoint. Bleiben sie rund vier Wochen sauber, folgt der Wechsel auf p=reject.

Häufige Fehler beim DMARC-Eintrag

Zwei SPF-Einträge. Wer ein neues Tool einrichtet, legt leicht einen zweiten SPF-Eintrag an. Der SPF-Standard RFC 7208 erlaubt pro Domain nur einen. Bei zwei Einträgen endet die Prüfung mit einem dauerhaften Fehler, damit hilft SPF keiner deiner Mails. Ich führe deshalb alle include: in einem Eintrag zusammen und achte auf die Grenze von zehn DNS-Abfragen, die derselbe Standard setzt.

DMARC-Eintrag am falschen Ort. Der Eintrag gehört auf _dmarc. Ein DMARC-Wert direkt auf der Hauptdomain wird von den Empfängern übergangen, auch wenn er mit p=reject streng aussieht. Bei mir lag genau so ein Eintrag.

Vergessene Tools. Das Buchungstool mit seinen Terminbestätigungen oder ein altes Kontaktformular tauchen oft erst in den Berichten auf. Deshalb steht die Bestandsaufnahme am Anfang, deshalb dauert die Phase mit p=none einige Wochen.

Weitergeleitete Mails. Leitet ein Empfänger deine Mail automatisch weiter, scheitert SPF beim Ziel häufig, weil nun ein anderer Server zustellt. Die DKIM-Signatur bleibt dabei in der Regel erhalten. Das ist ein guter Grund, DKIM für jeden Dienst einzurichten.

Berichte ohne Leser/in. Die Berichte entfalten ihren Nutzen erst, wenn jemand sie liest. Ich plane dafür in der Anfangsphase wöchentlich eine Viertelstunde ein, danach genügt ein monatlicher Blick.

Checkliste: DMARC Schritt für Schritt

1. Alle Dienste notiert, die Mails mit deiner Domain verschicken, samt Absenderadresse.
2. Genau ein SPF-Eintrag auf der Hauptdomain, mit allen nötigen include:.
3. DKIM für jeden Dienst aktiv, der mit deiner Adresse sendet.
4. DMARC-Eintrag auf _dmarc mit p=none und einer rua=-Adresse.
5. Testmail an Gmail: SPF, DKIM und DMARC zeigen pass.
6. Berichte mindestens zwei Wochen gesammelt, jede IP einem Dienst zugeordnet.
7. Jeder fail geklärt: vergessenes Tool ergänzt oder Fälschung erkannt.
8. Umstellung auf p=quarantine, nach einigen sauberen Wochen auf p=reject.
9. Bei jedem neuen Tool die Liste ergänzen und die Berichte danach genauer ansehen.

Zustellbarkeit als Teil der Newsletter-Arbeit

Bei Copywriting Kurz begleite ich Coaches, Berater/innen und Consulting-Firmen in der Schweiz und im DACH-Raum bei ihrem Newsletter. Bei der Newsletter-Betreuung richten wir Anmeldung und Willkommens-Strecke technisch sauber ein. Dazu zählt für mich die Frage, ob das Newsletter-Tool mit deiner Domain authentifiziert ist und ob Testmails SPF, DKIM und DMARC bestehen. Die DNS-Einträge selbst setzt du oder die Person, die deine Domain technisch betreut, mit den Angaben aus dem jeweiligen Tool.

Ein sauber eingerichtetes DMARC braucht eine Bestandsaufnahme, drei Einträge und ein paar Wochen Geduld mit den Berichten. Wenn du wissen möchtest, ob dein Newsletter dabei gut aufgestellt ist, schreib mir über das Kontaktformular.