DMARC
DefinitionE-Mail-Policy gegen Spoofing, baut auf SPF/DKIM auf.
DMARC (Domain-based Message Authentication, Reporting & Conformance) ist eine E-Mail-Sicherheitsrichtlinie, die Spoofing und Phishing reduziert, indem sie die Ergebnisse von SPF und DKIM auswertet und dem empfangenden Mailserver vorgibt, wie mit nicht authentifizierten Nachrichten umzugehen ist (z. B. zustellen, in Quarantäne verschieben oder ablehnen). Zusätzlich liefert DMARC Berichte, um Fehlkonfigurationen und Missbrauch sichtbar zu machen.
Was bedeutet DMARC für KMU?
Für kleine und mittlere Unternehmen in Deutschland ist DMARC ein praxisnaher Schutz, um den eigenen Domainnamen vor Missbrauch zu schützen. Ohne DMARC können Angreifer E-Mails „im Namen“ Ihrer Firma versenden (z. B. gefälschte Rechnungen, CEO-Fraud, Passwort-Reset-Links). Das schädigt Kundenvertrauen, erhöht das Risiko von Datenpannen und kann zu finanziellen Schäden führen. DMARC hilft außerdem, die Zustellbarkeit legitimer E-Mails (Angebote, Rechnungen, Newsletter) zu verbessern, weil Mailprovider Ihrer Domain eher vertrauen.
Wie funktioniert DMARC?
- Basis: DMARC baut auf SPF (wer darf senden?) und DKIM (wurde die Mail unterwegs verändert?) auf.
- Alignment (Ausrichtung): DMARC prüft, ob die sichtbare Absenderdomain („From:“) zur SPF- oder DKIM-validierten Domain passt. Genau diese „From“-Domain sehen Ihre Kunden – deshalb ist Alignment entscheidend gegen Spoofing.
- Policy: Sie definieren per DNS-TXT-Record, was passieren soll, wenn die Prüfung fehlschlägt: p=none (nur überwachen), p=quarantine (z. B. Spamordner), p=reject (ablehnen).
- Reporting: DMARC kann Aggregatberichte (rua) und optional Forensikberichte (ruf) an eine Adresse senden. Damit sehen Sie, welche Systeme in Ihrem Namen E-Mails verschicken und wo Authentifizierung scheitert.
Praktische Umsetzung (typischer Ablauf)
- 1) Inventar erstellen: Sammeln Sie alle legitimen Absender (Microsoft 365/Google Workspace, Newsletter-Tool, CRM, Ticketsystem, Website-Formulare, Scanner/MFP, externe Dienstleister).
- 2) SPF/DKIM sauber konfigurieren: SPF-Einträge aktuell halten (inkl. Dienstleister) und DKIM für alle relevanten Versandplattformen aktivieren.
- 3) DMARC mit „p=none“ starten: Erst beobachten, Berichte auswerten, Fehlquellen beheben (z. B. vergessener Newsletter-Dienst).
- 4) Schrittweise verschärfen: Erst quarantine, dann reject – idealerweise mit Prozent-Rollout (pct=).
- 5) Monitoring etablieren: Berichte regelmäßig prüfen oder über Tools/Dienstleister auswerten lassen; Änderungen an Versandquellen immer nachziehen.
Warum ist DMARC wichtig für IT-Sicherheit & Datenschutz?
DMARC ist keine direkte DSGVO-Pflicht „als Feature“, aber es unterstützt technisch-organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO, weil es Identitätsmissbrauch über E-Mail erschwert. Gerade bei Phishing-Angriffen kann es sonst zu unbefugten Zugriffen auf Postfächer, Abfluss personenbezogener Daten und meldepflichtigen Sicherheitsvorfällen kommen. DMARC senkt dieses Risiko messbar und verbessert Ihre Sicherheitsreife gegenüber Kunden, Partnern und Audits.
Was kostet DMARC?
Der DMARC-DNS-Eintrag selbst ist kostenlos. Kosten entstehen typischerweise durch Aufwand für Analyse, Korrekturen und laufendes Reporting: intern (IT/Admin-Zeit) oder über Tools/Managed Services. Für KMU ist häufig ein pragmatischer Ansatz sinnvoll: Start mit „p=none“, Berichte 2–4 Wochen sammeln, dann schrittweise auf „reject“ umstellen.
Beispiel für einen DMARC-Record
v=DMARC1; p=none; rua=mailto:dmarc-reports@ihrefirma.de; adkim=s; aspf=s; pct=100
Hinweis: Striktes Alignment (adkim=s, aspf=s) ist sicherer, kann aber bei Subdomains/Weiterleitungen Anpassungen erfordern.
- 90%
Spoofing blockierbar
Mit korrekt eingerichtetem DMARC auf Basis von SPF und DKIM können KMU den Großteil gefälschter E-Mails im eigenen Domainnamen wirksam abweisen oder in Quarantäne verschieben.
- 3 von 4
ohne volle Richtlinie
Viele Unternehmen veröffentlichen zwar DMARC, nutzen aber noch keine strikte Durchsetzung per p=quarantine oder p=reject und verschenken damit Schutzpotenzial im B2B-Mailverkehr.
- 20%
weniger Supportaufwand
KMU mit sauberem DMARC-Monitoring reduzieren häufig Rückfragen zu nicht zustellbaren oder verdächtigen E-Mails, was internen IT- und Supportaufwand spürbar senken kann.
Rechnungsversand vor gefälschten Absendern schützen
Ein KMU im Finanz- oder Verwaltungsbereich setzt DMARC ein, damit Kunden und Lieferanten nur echte Rechnungs- und Mahn-E-Mails der eigenen Domain erhalten. So sinkt das Risiko, dass Betrüger mit gefälschten Absenderadressen Zahlungsdaten manipulieren oder Vertrauen in die Kommunikation des Unternehmens beschädigen.
Bewerberkommunikation gegen Identitätsmissbrauch absichern
Im HR-Bereich hilft DMARC dabei, Recruiting-E-Mails wie Einladungen, Vertragsunterlagen oder Rückfragen eindeutig als legitime Nachrichten des Unternehmens zu kennzeichnen. Gerade für KMU ist das wichtig, um Fake-Mails an Bewerber zu verhindern und die Arbeitgebermarke in sensiblen Prozessen zu schützen.
Marketing-Domains für Newsletter und Kampagnen sauber steuern
Ein mittelständisches Unternehmen nutzt DMARC, um Newsletter, Event-Einladungen und automatisierte Kampagnen über autorisierte Versanddienstleister korrekt auszuliefern. Gleichzeitig erkennt das Team schneller, welche externen Tools im Namen der eigenen Domain senden, und kann unsaubere oder unbekannte Versandquellen gezielt abschalten.
Häufig gestellte Fragen
Was ist DMARC?
DMARC ist eine E-Mail-Policy, die Spoofing verhindert, indem sie SPF- und DKIM-Ergebnisse prüft und dem Empfänger vorgibt, was bei fehlgeschlagener Authentifizierung passieren soll. Zusätzlich liefert DMARC Berichte über legitime und missbräuchliche Absender.
Wie funktioniert DMARC in der Praxis?
Sie veröffentlichen einen DMARC-TXT-Record im DNS Ihrer Domain und definieren eine Policy (none, quarantine oder reject). Empfänger prüfen SPF/DKIM samt Alignment zur sichtbaren From-Domain und wenden die Policy an; Berichte helfen beim Nachjustieren.
Welche DMARC-Policy ist die richtige: none, quarantine oder reject?
Für den Start ist p=none sinnvoll, um erst Daten zu sammeln und Fehlkonfigurationen zu finden. Danach wird meist auf p=quarantine und schließlich p=reject erhöht, um Spoofing konsequent zu blocken.
Brauche ich DMARC, wenn ich schon SPF und DKIM nutze?
Ja, denn DMARC ergänzt SPF/DKIM um das Alignment zur sichtbaren Absenderadresse und eine klare Handlungsanweisung für Empfänger. Ohne DMARC können Empfänger uneinheitlich reagieren und Spoofing ist oft weiterhin möglich.
Ist DMARC eine DSGVO-Pflicht für Unternehmen?
DMARC ist nicht ausdrücklich in der DSGVO vorgeschrieben, kann aber als sinnvolle technische Maßnahme zur Risikoreduktion nach Art. 32 DSGVO dienen. Besonders bei E-Mail-Phishing kann es helfen, Datenpannen und unbefugte Zugriffe zu verhindern.
Was bedeutet DMARC für KMU?
DMARC hilft kleinen und mittleren Unternehmen dabei, ihre Domain vor E-Mail-Spoofing, Phishing und Markenmissbrauch zu schützen. Für KMU ist das besonders wichtig, weil schon wenige gefälschte E-Mails Vertrauen, Umsatz und interne Abläufe spürbar beschädigen können.
Wie richte ich DMARC richtig ein, ohne legitime E-Mails zu verlieren?
DMARC sollte schrittweise eingeführt werden: zuerst mit einer "none"-Policy zum Beobachten, danach mit "quarantine" oder "reject", sobald SPF und DKIM sauber ausgerichtet sind. So vermeidest du Zustellprobleme und erkennst über Reports, welche Systeme noch falsch konfiguriert sind.
Ist DMARC für mein Unternehmen zu technisch oder kann ich das auch ohne interne IT angehen?
Du brauchst keine eigene IT-Leitung, um DMARC sauber umzusetzen – aber du brauchst einen klaren Blick auf deine Mail-Systeme, DNS-Einträge und Versandtools. Genau dabei unterstütze ich dich im Rahmen der Tech-Partnerschaft als externer CTO: pragmatisch, verständlich und ohne unnötigen Technik-Ballast.
Wie finde ich heraus, welche Tools und Systeme bei uns überhaupt E-Mails über unsere Domain versenden?
Das ist einer der häufigsten Knackpunkte bei DMARC: Newsletter-Tools, CRM, Buchhaltung, Formulare oder Helpdesk-Systeme senden oft unbemerkt im Namen deiner Domain. Mit dem Tech-Gutachten analysiere ich deine Tool-Landschaft strukturiert, decke relevante Versandquellen auf und zeige dir konkret, was angepasst werden muss.
Lohnt sich DMARC auch für kleinere Unternehmen mit wenig E-Mail-Volumen?
Ja, denn Angreifer suchen sich oft gerade Unternehmen ohne saubere E-Mail-Authentifizierung aus. Schon mit wenigen Mitarbeitenden kann ein einziger glaubwürdiger Phishing-Fall teuer werden – DMARC ist deshalb kein Konzern-Thema, sondern eine sinnvolle Schutzmaßnahme für KMU.
Was, wenn bei uns neben DMARC auch das gesamte Tool- und System-Setup unübersichtlich geworden ist?
Dann sollte DMARC nicht isoliert betrachtet werden, sondern als Teil deiner gesamten technischen Infrastruktur. In der Tech-Partnerschaft oder im Tech-Gutachten räume ich mit dir Tool-Chaos auf, prüfe Abhängigkeiten und sorge dafür, dass Sicherheits-, Prozess- und Systemfragen zusammen gedacht werden.
Kann DMARC in ein modernes, zentralisiertes System eingebunden werden statt nur einzeln gefixt zu werden?
Ja – besonders wenn du Prozesse, Kommunikation und Daten ohnehin neu strukturieren willst, sollte E-Mail-Sicherheit direkt sauber mitgedacht werden. Bei der Tech-Umsetzung mit OrbitOS setze ich Systeme nicht nur funktional auf, sondern achte auch darauf, dass technische Grundlagen wie Zustellbarkeit, Automationen und saubere Systemarchitektur von Anfang an stimmen.