Wie Sie den DMARC-Eintrag einer Domain prüfen (und die Richtlinie lesen)

Der DMARC-Eintrag einer Domain ist ein einzelner TXT-Eintrag mit _dmarc. vor der Domain, und sein Tag p= ist die Richtlinie. Geben Sie die Domain in den DMARC-Checker ein: Er liest den Roh-Eintrag, erklärt jedes Tag (p, sp, pct, rua, adkim, aspf) und sagt Ihnen klar, ob die Richtlinie gefälschte Mails blockiert oder nur darüber berichtet.

Den DMARC-Eintrag einer Domain prüfen →

DMARC mit dem Tool prüfen

1. Öffnen Sie den DMARC-Checker.
2. Geben Sie die Domain ein, etwa example.com. Fügen Sie _dmarc nicht selbst hinzu; das Tool sucht an der richtigen Stelle.
3. Lesen Sie zuerst die Richtlinienzeile: none, quarantine oder reject.
4. Lesen Sie die Tags darunter, besonders sp= (die Richtlinie für Subdomains) und rua= (wohin die Sammelberichte gehen).

Von Hand prüfen

dig +short txt _dmarc.google.com
# "v=DMARC1; p=reject; rua=mailto:[email protected]"

dig +short txt _dmarc.github.com
# "v=DMARC1; p=quarantine; sp=reject; pct=100; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"

nslookup -type=txt _dmarc.google.com
# _dmarc.google.com	text = "v=DMARC1; p=reject; rua=mailto:[email protected]"

Wir haben diese Befehle am 8. November 2026 ausgeführt. Der Eintrag von GitHub zeigt den Unterschied zwischen p= und sp=: Mails von github.com, die bei DMARC durchfallen, landen in Quarantäne, Mails von seinen Subdomains werden abgelehnt.

dig +short txt _dmarc.docs.github.com lieferte nichts zurück, und das ist normal. RFC 7489, Abschnitt 6.6.3 weist Empfänger an, auf den Eintrag der Organisationsdomain zurückzugreifen, wenn die exakte Domain keinen hat. Derselbe Abschnitt sagt, dass die DMARC-Verarbeitung nicht angewendet wird, wenn die Menge mehr als einen DMARC-Eintrag enthält, oder keinen.

Wie Sie das Ergebnis lesen

• p=none: nur Berichte. Durchgefallene Mails werden zugestellt. Googles Richtlinien für Absender verlangen von Massenversendern, DMARC zu veröffentlichen, und sagen, dass die Richtlinie auf none stehen darf, deshalb bleiben viele Domains hier stehen.
• p=quarantine: durchgefallene Mails werden als verdächtig behandelt, meist landen sie im Spam-Ordner.
• p=reject: durchgefallene Mails werden abgelehnt.
• pct=: der Anteil der durchgefallenen Mails, für den die Richtlinie gilt. Unter 100 bedeutet eine schrittweise Einführung.
• rua=: wohin die täglichen Sammelberichte gehen. Ohne dieses Tag erhalten Sie keine Berichte.
• Nichts gefunden: gar kein DMARC, oder der Eintrag wurde unter dem falschen Namen veröffentlicht. Prüfen Sie, dass der Host _dmarc lautet und nicht _dmarc.example.com.example.com.

Funktionierende Einträge zum Kopieren finden Sie unter DMARC-Eintrag-Beispiele. Für den Schritt von none zur Durchsetzung siehe DMARC von none zu reject.

Nächster Schritt: die Adressen prüfen, an die Sie senden

DMARC schützt Ihre Domain; es verhindert keine Bounces von toten Adressen auf Ihrer Liste, die derselben Versand-Reputation schaden. Laden Sie die Liste unter /verify hoch, um jedes Postfach zu prüfen, ohne etwas zu senden. Die ersten 100 Prüfungen sind mit einer Google-Anmeldung kostenlos, ohne Karte.

Pro, 39 $ pro Monat: unbegrenzte E-Mail-Verifizierung.* Nie pro Prüfung abgerechnet, nie abgeschaltet. Siehe Preise.

*Fair Use: die ersten 100.000 Prüfungen im Monat mit voller Geschwindigkeit, danach langsamer, nie abgeschaltet.

Weiterlesen: SPF, DKIM und DMARC erklärt, die TXT-Einträge einer Domain abfragen.