Wie Sie DMARC für alle Ihre Kundendomains auf einmal prüfen

Fügen Sie alle Ihre Kundendomains in den Bulk-DMARC-Checker ein und filtern Sie nach Richtlinie. Jede Zeile zeigt, ob die Domain einen DMARC-Eintrag hat, ihre Richtlinie (none, quarantine oder reject), die Subdomain-Richtlinie, wohin die Sammelberichte gehen und die Alignment-Einstellungen. Sie sehen auf einen Blick, welche Kunden kein DMARC haben, welche nur überwachen und welche bei der Durchsetzung sind.

DMARC für eine Liste von Domains prüfen →

In großen Mengen prüfen

1. Öffnen Sie den Bulk-DMARC-Checker.
2. Fügen Sie die Domains ein, eine pro Zeile: bis zu 100 pro Durchlauf, oder 500 nach einer kostenlosen Google-Anmeldung. E-Mail-Adressen und URLs funktionieren auch; die Domain wird jeweils daraus entnommen.
3. Klicken Sie auf Check DMARC (DMARC prüfen).
4. Lesen Sie jede Zeile: Reject, Quarantine, Monitoring only, Partly enforced, Broken oder No DMARC, mit den Tags dahinter.
5. Filtern Sie nach Richtlinie, zum Beispiel jede Domain auf Monitoring only, und laden Sie die CSV für Ihren Kundenbericht herunter.

Von Hand

printf "google.com\ngithub.com\ndebian.org\nshopify.com\nneverssl.com\ntest.com\n" > clients.txt

while read -r d; do
  rec=$(dig +short txt "_dmarc.$d" | tr -d '"' | grep '^v=DMARC1')
  p=$(echo "$rec" | sed -n 's/.*[; ]p=\([a-z]*\).*/\1/p')
  echo "$d,${p:-NO DMARC}"
done < clients.txt
# google.com,reject
# github.com,quarantine
# debian.org,none
# shopify.com,reject
# neverssl.com,NO DMARC
# test.com,NO DMARC

Wir haben das am 9. November 2026 ausgeführt. Zwei Zeilen verdienen einen genaueren Blick:

• shopify.com: dig +short txt _dmarc.shopify.com gibt zuerst dmarcreject.shopify.com. aus, weil der _dmarc-Name ein CNAME ist. Der Eintrag, auf den er zeigt, lautet p=reject. Viele Firmen verwalten DMARC auf diese Weise zentral.
• test.com: Unter _dmarc.test.com gibt es einen TXT-Eintrag, aber er beginnt nicht mit v=DMARC1, daher verwerfen Empfänger ihn. Deshalb behält die Schleife nur Zeilen, die mit v=DMARC1 beginnen.

Das sed-Muster sucht p= nach einem Semikolon oder Leerzeichen, damit es sp=reject nicht für die Hauptrichtlinie hält. Die Schleife macht nicht, was Empfänger bei einer Subdomain ohne eigenen Eintrag tun: RFC 9989, Abschnitt 4.10 weist sie an, den DNS-Baum bis zum Eintrag der übergeordneten Domain hinaufzugehen. Der Bulk-Checker geht diesen Weg und markiert die Zeile als geerbt.

Die Ergebnisse in drei Stapel sortieren

• Kein DMARC. Kein Eintrag, ein Eintrag, der nicht mit v=DMARC1 beginnt, oder zwei Einträge unter demselben Namen. RFC 9989 weist Empfänger an, alle zu verwerfen, wenn mehr als einer zurückkommt. Diese Kunden kommen zuerst. Googles Richtlinien für Absender verlangen von Massenversendern, DMARC zu veröffentlichen.
• p=none. Nur Berichte. Dieselbe Google-Seite sagt, dass die Richtlinie auf none gesetzt werden kann, das erfüllt also das Minimum, aber gefälschte Mails werden weiterhin zugestellt. Prüfen Sie, ob rua= gesetzt ist, sonst liest niemand die Berichte.
• Quarantine oder reject. Bei der Durchsetzung. Prüfen Sie auch sp=: Ein Kunde kann auf der Hauptdomain bei reject sein, während Subdomains auf none stehen.

Was sich im Mai 2026 geändert hat

RFC 9989 hat RFC 7489 als DMARC-Standard ersetzt. Drei Änderungen zählen, wenn Sie Kundeneinträge lesen:

• pct= ist weg. Anhang A.6 erklärt, dass andere Werte als 0 und 100 nicht einheitlich angewendet wurden. Einträge mit pct= funktionieren weiterhin bei Empfängern, die es lesen, aber planen Sie keine Einführung darum herum.
• t=y ist das neue Test-Flag. Es bittet Empfänger, eine Stufe unter der angegebenen Richtlinie anzuwenden, also wird p=reject; t=y wie quarantine behandelt.
• np= deckt Subdomains ab, die nicht existieren. Es legt eine Richtlinie für erfundene Namen wie invoice.client.com fest, die sich Spammer ausdenken.

Um einen Kunden von none zur Durchsetzung zu bringen, siehe DMARC von none zu reject. Zum Lesen der zurückkommenden Berichte siehe wie Sie DMARC-Sammelberichte lesen.

Nächster Schritt: die Listen prüfen, die Sie für Kunden versenden

DMARC schützt die Domain eines Kunden vor Fälschung. Es verhindert keine Bounces von toten Adressen auf den Listen, die Sie für ihn versenden, und die schaden derselben Reputation. Laden Sie jede Liste unter /verify hoch, um jedes Postfach zu prüfen, ohne etwas zu senden. Die ersten 100 Prüfungen sind mit einer Google-Anmeldung kostenlos, ohne Karte.

Pro, 39 $ pro Monat: unbegrenzte E-Mail-Verifizierung.* Nie pro Prüfung abgerechnet, nie abgeschaltet. Siehe Preise.

*Fair Use: die ersten 100.000 Prüfungen im Monat mit voller Geschwindigkeit, danach langsamer, nie abgeschaltet.

Weiterlesen: den DMARC-Eintrag einer Domain prüfen, wie Agenturen Kunden über die Listenverifizierung berichten.