DMARC-Record Generator – DMARC-Eintrag online erstellen

Ein DMARC-Record wird als TXT-Eintrag unter _dmarc.ihre-domain.de in der DNS-Zone hinterlegt. Der Eintrag beginnt mit v=DMARC1 und enthält mindestens eine Policy (p=none, p=quarantine oder p=reject).

Optional können Berichtsadressen (rua, ruf), Alignment-Einstellungen und ein Prozentwert ergänzt werden. Unser DMARC-Record Generator führt Sie durch alle Optionen und erzeugt einen kopierfertigen Eintrag.

Die Policy legt fest, wie Empfängerserver mit E-Mails umgehen sollen, die SPF und DKIM nicht bestehen:

• p=none: Protokolliert Fehler, greift aber nicht ein – geeignet zur Analyse.
• p=quarantine: Sortiert verdächtige E-Mails in den Spam-Ordner.
• p=reject: Weist sie direkt ab.

Empfohlen ist ein schrittweiser Übergang: Starten Sie mit p=none, werten Sie die Berichte aus und verschärfen Sie die Policy erst, wenn alle legitimen Absender korrekt authentifiziert sind.

Für rua (aggregierte Berichte) und ruf (forensische Berichte) empfiehlt sich eine eigene Funktionsadresse wie dmarc-reports@ihre-domain.de. So bleiben die Berichte getrennt vom regulären Posteingang.

Die Adresse muss zur selben Domain gehören oder die Empfängerdomain muss einen passenden DNS-Eintrag setzen, der den Empfang erlaubt. Aggregierte Berichte (rua) sind der wichtigere Teil – sie zeigen, welche Server E-Mails für Ihre Domain versenden und ob SPF und DKIM bestehen.

adkim und aspf steuern das sogenannte Alignment – also wie streng die Domain im DKIM- bzw. SPF-Check mit der Absenderdomain übereinstimmen muss. Beide können auf r (relaxed) oder s (strict) gesetzt werden.

Bei r genügt es, wenn die Hauptdomain übereinstimmt – eine E-Mail von newsletter.ihre-domain.de würde zu ihre-domain.de passen. Bei s muss die Domain exakt übereinstimmen. In den meisten Fällen ist r die passende Wahl, besonders wenn Subdomains oder externe Dienste im Einsatz sind.

Standardmäßig übernehmen Subdomains die DMARC-Policy der Hauptdomain. Mit dem Tag sp können Sie eine abweichende Policy für Subdomains festlegen – z. B. sp=none, wenn Subdomains zunächst nur beobachtet werden sollen, während die Hauptdomain bereits p=reject nutzt.

Alternativ können Sie für einzelne Subdomains eigene DMARC-Records anlegen, z. B. unter _dmarc.sub.ihre-domain.de. Das ist sinnvoll, wenn verschiedene Subdomains unterschiedliche Anforderungen haben.

Auch wenn SPF und DKIM bereits eingerichtet sind, empfiehlt sich der Start mit p=none. So erhalten Sie über die DMARC-Berichte (rua) einen Überblick, welche Server tatsächlich E-Mails für Ihre Domain versenden – und ob alle korrekt authentifiziert sind.

Erst wenn die Berichte zeigen, dass keine legitimen Absender durchfallen, sollten Sie auf p=quarantine und anschließend auf p=reject wechseln. Mit unserem SPF, DMARC & DKIM Check können Sie die aktuelle Konfiguration Ihrer Domain jederzeit prüfen.