Wenn E-Mails im Namen deiner Domain verschickt werden – ob von dir selbst oder von einem Angreifer, der deine Domain für Phishing missbraucht –, entscheidet ein DNS-Eintrag namens DMARC darüber, was E-Mail-Anbieter wie Gmail oder Microsoft mit diesen Nachrichten tun. Wer DMARC einrichten möchte, schützt damit nicht nur die eigene Zustellrate, sondern verhindert auch, dass Kriminelle die eigene Domain für gefälschte E-Mails missbrauchen.
Was ist DMARC und warum brauchst du es?
DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein DNS-Eintrag, der festlegt, was mit E-Mails passieren soll, die weder die SPF– noch die DKIM-Prüfung bestehen. Beide Verfahren bestätigen, dass eine E-Mail wirklich von einem autorisierten Server im Namen deiner Domain verschickt wurde. DMARC ergänzt SPF und DKIM: Erst durch alle drei Bausteine zusammen entsteht ein vollständiger Schutz vor gefälschten Absendern.
Ohne DMARC können Angreifer relativ leicht E-Mails versenden, die aussehen, als kämen sie von deiner Domain – ein klassisches Einfallstor für Phishing. Große Mailbox-Anbieter wie Gmail und Microsoft verlangen inzwischen zudem einen gültigen DMARC-Eintrag, sobald regelmäßig größere Mengen an E-Mails versendet werden. Fehlt er, landen E-Mails häufiger im Spam-Ordner oder werden direkt abgelehnt.
DMARC einrichten: So gehst du vor
Technisch ist ein DMARC-Eintrag ein einfacher TXT-Eintrag im DNS deiner Domain. Die genauen Schritte unterscheiden sich je nach Hosting-Anbieter, das Prinzip ist aber überall gleich:
Logge dich in die DNS-Verwaltung deiner Domain ein. Bei vielen Hosting-Panels, etwa Plesk, findest du das unter Websites & Domains → deine Domain → DNS-Einstellungen.
Klicke auf Eintrag hinzufügen beziehungsweise den entsprechenden Button deines Anbieters.
Wähle als Eintragstyp TXT.
Trage als Namen
_dmarcein und als Wert zum Beispiel:
v=DMARC1; p=none; rua=mailto:deine@email.deErsetze deine@email.de durch die Adresse, an die DMARC-Berichte geschickt werden sollen. Nach dem Speichern kann es bis zu ein paar Stunden dauern, bis der Eintrag überall verbreitet ist.
Ob DMARC bereits aktiv ist, lässt sich schnell per Terminal prüfen:
dig TXT _dmarc.deine-domain.de +shortErscheint ein Eintrag, der mit v=DMARC1 beginnt, ist DMARC für die Domain aktiv.
Hinweis für turbopress-Kunden: Bei Domains, die bei turbopress registriert sind und die turbopress-Nameserver nutzen, ist standardmäßig bereits ein DMARC-Eintrag mit p=quarantine gesetzt – hier ist in der Regel nichts weiter zu tun.
Die drei DMARC-Richtlinien im Überblick
Im Wert des DMARC-Eintrags legst du über den Parameter p= fest, wie streng E-Mail-Anbieter mit nicht bestandenen Prüfungen umgehen sollen:
p=none: E-Mails werden normal zugestellt, du bekommst lediglich Berichte. Guter Einstieg, um erst einmal zu beobachten, welche Server im Namen deiner Domain E-Mails versenden.
p=quarantine: E-Mails, die DMARC nicht bestehen, landen im Spam-Ordner des Empfängers.
p=reject: E-Mails, die DMARC nicht bestehen, werden abgelehnt. Der stärkste Schutz – sinnvoll, sobald SPF und DKIM zuverlässig funktionieren.
Empfehlung: Starte mit
p=none, beobachte die Berichte einige Wochen lang und wechsle dann schrittweise zuquarantineund schließlich zureject. So vermeidest du, dass eigene, legitime E-Mails versehentlich blockiert werden.
SPF einrichten
SPF (Sender Policy Framework) ist ein DNS-Eintrag, der festlegt, welche Mailserver berechtigt sind, E-Mails im Namen deiner Domain zu versenden. Damit verhinderst du, dass Unbefugte deine Domain für Spam oder Phishing missbrauchen.
Technisch ist SPF ebenfalls ein TXT-Record im DNS deiner Domain. Darin legst du fest, welche Server senden dürfen und was passieren soll, wenn ein nicht erlaubter Server eine E-Mail im Namen deiner Domain verschickt. Empfangende Mailserver prüfen diesen Eintrag; stimmt der Absender nicht mit dem SPF-Record überein, kann die Mail abgelehnt oder als Spam markiert werden.
Hinweis für turbopress-Kunden: Bei turbopress ist standardmäßig bereits folgender SPF-Record gesetzt:
v=spf1 +a +mx +a:<server>.turbopress.de -allDamit lassen sich Mails über das eigene Hosting und via turbopress problemlos versenden. Sollen weitere externe Server zum Versand berechtigt werden – zum Beispiel ein Newsletter-Tool mit fester IP –, lässt sich der Eintrag in den DNS-Einstellungen erweitern, etwa um die IP 1.2.3.4 zu autorisieren:
v=spf1 +a +mx +a:<server>.turbopress.de ip4:1.2.3.4 -allEine ausführlichere Anleitung zur SPF-Syntax bietet Cloudflare.
DKIM einrichten
DKIM (DomainKeys Identified Mail) ist eine Methode zur E-Mail-Authentifizierung, bei der jede ausgehende E-Mail digital signiert wird. Dazu wird im DNS deiner Domain ein öffentlicher Schlüssel als TXT-Record hinterlegt. Der empfangende Mailserver liest die Signatur der E-Mail aus, ruft den passenden öffentlichen Schlüssel aus dem DNS ab und prüft die Signatur. Ist die Prüfung erfolgreich, gilt die Nachricht als authentisch.
Hinweis für turbopress-Kunden: Bei turbopress ist DKIM automatisch aktiv, E-Mails werden automatisch signiert. Der TXT-Record mit dem öffentlichen Schlüssel liegt unter dem Namen default._domainkey.<deine-domain> (z. B. default._domainkey.turbopress.de) und sieht beispielhaft so aus:
"v=DKIM1; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAnpEUc2H753IWfv79dGldLTH0EBaJQW3r7cb4001tSzbiiBqyvNMhhP0YVBGBX94kQCM/1s/ttvvYoXB+kziLrJpemLTFnzAc7moDSRxwepe0YQYMd1WzCqTLc8mOtkemRk+7BC3EmVx7Y6CkhEo4121hhkbXIZAgSvbXQAzgTCcBZboWZAPlnvXMATZ3UpFHLYZFKTMn4L8SZXF1y0GXk+KN/Y8mYhYYECyPoxsBPrPZdYg9TwWfXIzn3PAi4TwAQFBoKwX4YtZ3k3IUuLxcjlPnEZ9Vojej0ET7ujedWKn41eZwEzBg9uFlsSyOHUR9ZRyRfne5kS86hr4l5ntASwIDAQAB;"Wichtig: Der private Schlüssel befindet sich ausschließlich auf dem Server und wird nirgends veröffentlicht – nur der öffentliche Schlüssel steht im DNS.
Nutzt du einen externen Versanddienst, der einen eigenen DKIM-Key benötigt (z. B. Mailjet oder ein Newsletter-Tool), lässt sich dieser als zusätzlicher TXT-Record im DNS deiner Domain hinterlegen – meist unter dem vom Anbieter vorgegebenen Domainnamen (z. B. mailjet._domainkey).
Fazit
Ein korrekt eingerichteter DMARC-Eintrag ist heute Grundausstattung für jede Domain, die E-Mails versendet – unabhängig davon, welchen Hoster du nutzt. In Kombination mit SPF und DKIM entsteht so ein vollständiger Schutz gegen gefälschte Absender, bessere Zustellraten und weniger Spam-Probleme. Hoster wie turbopress setzen einen sinnvollen DMARC-, SPF- und DKIM-Eintrag für gehostete Domains bereits automatisch – bei anderen Anbietern lohnt sich ein kurzer Blick in die DNS-Einstellungen. E-Mail-Authentifizierung ist dabei nur ein Baustein einer sicheren Domain – eine vollständige Übersicht bietet unsere Checkliste zum Absichern von WordPress.
Häufige Fragen zu DMARC, SPF und DKIM
Brauche ich DMARC, SPF und DKIM alle drei?
Ja, für vollständigen Schutz. SPF und DKIM bestätigen jeweils für sich, dass eine E-Mail von einem autorisierten Server bzw. mit gültiger Signatur verschickt wurde. DMARC legt zusätzlich fest, was passieren soll, wenn diese Prüfungen fehlschlagen.
Wie lange dauert es, bis ein neuer DNS-Eintrag aktiv ist?
Meist einige Minuten bis wenige Stunden, je nach TTL des Eintrags und Anbieter. Mit einem Terminal-Befehl wie dig lässt sich jederzeit prüfen, ob ein Eintrag bereits sichtbar ist.
Muss ich bei turbopress selbst SPF und DKIM einrichten?
Nein. Bei turbopress registrierte Domains, die die turbopress-Nameserver nutzen, haben SPF und DKIM standardmäßig bereits korrekt eingerichtet. Nur wer externe Nameserver nutzt oder zusätzliche Versanddienste einbinden möchte, muss selbst tätig werden.
Was passiert, wenn ich direkt mit p=reject starte?
Das Risiko ist, dass auch eigene, legitime E-Mails abgelehnt werden, falls SPF oder DKIM noch nicht für alle genutzten Versanddienste korrekt eingerichtet sind. Deshalb empfiehlt sich der schrittweise Einstieg über p=none und p=quarantine.
