Wie prüfe ich meinen DMARC-Eintrag?

Geben Sie Ihre Domain in das Tool ein. Es fragt den TXT-Eintrag unter _dmarc.ihredomain.de ab, greift bei Subdomains wie die Empfänger auf die Hauptdomain zurück, erklärt jedes Tag und bewertet, wie viel die Richtlinie durchsetzt. Das Präfix _dmarc müssen Sie nicht eingeben.

Was bedeutet p=none bei DMARC?

Reine Überwachung. E-Mails, bei denen die Ausrichtung von SPF und DKIM fehlschlägt, werden weiter normal zugestellt, und Sie erhalten nur Berichte. Das ist der richtige erste Schritt, weil es legitime E-Mails nicht stören kann, aber eine Domain, die auf p=none bleibt, lässt sich vollständig fälschen.

Wie prüfe ich DMARC in Office 365?

Der DMARC-Eintrag steht im DNS Ihrer Domain, nicht in Office 365, geben Sie also oben die Domain ein. Um DMARC bei einer in Outlook empfangenen Nachricht zu sehen, öffnen Sie die Nachrichtendetails und suchen Sie im Header Authentication-Results nach dmarc=pass oder dmarc=fail.

Wie prüfe ich einen DMARC-Eintrag mit nslookup?

Führen Sie nslookup -type=txt _dmarc.example.com aus, oder dig txt _dmarc.example.com auf Mac und Linux, und ersetzen Sie example.com durch Ihre Domain. Die Antwort sollte ein einzelner TXT-Eintrag sein, der mit v=DMARC1 beginnt. Kommt keine Antwort, hat die Domain keinen DMARC-Eintrag.

Was ist der Unterschied zwischen quarantine und reject?

Quarantine bittet Empfänger, durchgefallene E-Mails als verdächtig zu behandeln, in der Praxis also den Spamordner. Reject bittet sie, sie schon im SMTP-Gespräch abzulehnen, damit sie nie zugestellt werden. Reject ist stärker; quarantine ist der sicherere Zwischenschritt, solange Sie bestätigen, dass kein legitimer Absender durchfällt.

DMARC-Checker: den DMARC-Eintrag einer Domain abfragen

Kurz gesagt: Liest den TXT-Eintrag unter _dmarc.ihredomain.de, erklärt jedes Tag und bewertet, was die Richtlinie wirklich durchsetzt: none, quarantine oder reject. Grenze: Liest den veröffentlichten Eintrag; ob eine bestimmte Nachricht DMARC bestanden hat, zeigen nur ihre Header.

Ein DMARC-Checker liest den TXT-Eintrag unter _dmarc.ihredomain.de und zeigt die veröffentlichte Richtlinie: none, quarantine oder reject. Auf die Richtlinie kommt es an: p=none fordert Berichte an und blockiert nichts, eine Domain mit dieser Richtlinie lässt sich also weiterhin fälschen.

Free, no account. You don't need to type the _dmarc prefix. Ten lookups a minute.

Das Tool ist dasselbe wie auf der englischen Seite: Schaltflächen und Ergebnisse erscheinen auf Englisch. Aktualisiert am 4. November 2026

So prüfen Sie den DMARC-Eintrag einer Domain

Geben Sie die Domain ohne das Präfix _dmarc ein: Das Tool ergänzt es selbst.
Klicken Sie auf die Abfrage. Hat eine Subdomain keinen eigenen Eintrag, wird der der Hauptdomain abgefragt, so wie Empfänger es tun.
Lesen Sie die Richtlinie (p=), die für Subdomains (sp=), den Prozentsatz (pct=) und wohin die Berichte gehen (rua=).
Steht sie noch auf p=none, lesen Sie die Berichte, bis alle legitimen Absender bestehen, und gehen Sie dann auf quarantine und später auf reject.

Was bedeuten none, quarantine und reject bei DMARC?

Das sind die drei Richtlinien, die eine Domain veröffentlichen kann, von der schwächsten zur stärksten. p=none ist reine Überwachung: E-Mails, die durchfallen, werden normal zugestellt, und Sie erhalten Berichte darüber. Es ist der richtige Startpunkt und das falsche Ziel: Jeder kann eine Domain mit p=none fälschen.

p=quarantine bittet Empfänger, durchgefallene E-Mails als verdächtig zu behandeln, in der Praxis also in den Spam zu legen. p=reject bittet sie, sie ganz abzulehnen. Das Ziel ist reject, und der Weg dorthin: none veröffentlichen, die Berichte lesen, bis alle legitimen Absender bestehen, und dann verschärfen.

Was prüft DMARC eigentlich?

Bei einer Nachricht prüft DMARC die Ausrichtung (Alignment): ob die Domain, die SPF oder DKIM bestanden hat, zur Domain im From passt. DMARC fügt eine Anforderung hinzu, die weder SPF noch DKIM allein haben: Die authentifizierte Domain muss zu der im sichtbaren From-Header passen. Das schließt genau die Lücke, durch die ein Spammer SPF mit seiner eigenen Domain bestehen und dabei Ihre anzeigen konnte.

Die Ausrichtung kann locker sein, die Voreinstellung, bei der eine Subdomain zur Hauptdomain passt, oder streng mit aspf=s und adkim=s, bei der sie genau übereinstimmen muss. Locker passt für die meisten, weil Versanddienste oft mit einer Subdomain signieren.

Was sind rua und ruf in einem DMARC-Eintrag?

Das sind die Berichtsadressen. rua= gibt an, wohin die Sammelberichte gehen: tägliche XML-Zusammenfassungen darüber, was bestanden hat und was durchgefallen ist, pro Versandquelle. So entdecken Sie den Anbieter, von dem Ihnen niemand erzählt hat und der seit einem Jahr mit Ihrer Domain sendet.

ruf= fordert forensische Berichte zu jedem einzelnen Fehlschlag an. Die meisten großen Empfänger senden sie aus Datenschutzgründen nicht mehr, rechnen Sie also nicht damit. Die Sammelberichte sind die nützliche Hälfte, und sie sind von Hand schwer zu lesen; schicken Sie sie am besten an einen Dienst, der sie auswertet.

Verlangen Google und Yahoo DMARC?

Ja, von Massenversendern. Seit Februar 2024 verlangen Google und Yahoo einen DMARC-Eintrag für jede Domain, die Massen-E-Mails an ihre Nutzer sendet. p=none zu veröffentlichen erfüllt die Anforderung, und deshalb haben sehr viele Domains genau das veröffentlicht und sind dabei geblieben.

Gegenüber gar nichts ist das ein echter Fortschritt, weil es die Berichte einschaltet. Schutz gibt es aber erst mit quarantine oder reject, und eine Domain, die dauerhaft auf p=none bleibt, hat den Papierkram ohne den Schutz. Um den Eintrag Schritt für Schritt zu erstellen, nutzen Sie den DMARC generator (auf Englisch).

Häufige Fragen

Wie prüfe ich meinen DMARC-Eintrag?: Geben Sie Ihre Domain in das Tool ein. Es fragt den TXT-Eintrag unter _dmarc.ihredomain.de ab, greift bei Subdomains wie die Empfänger auf die Hauptdomain zurück, erklärt jedes Tag und bewertet, wie viel die Richtlinie durchsetzt. Das Präfix _dmarc müssen Sie nicht eingeben.
Was bedeutet p=none bei DMARC?: Reine Überwachung. E-Mails, bei denen die Ausrichtung von SPF und DKIM fehlschlägt, werden weiter normal zugestellt, und Sie erhalten nur Berichte. Das ist der richtige erste Schritt, weil es legitime E-Mails nicht stören kann, aber eine Domain, die auf p=none bleibt, lässt sich vollständig fälschen.
Wie prüfe ich DMARC in Office 365?: Der DMARC-Eintrag steht im DNS Ihrer Domain, nicht in Office 365, geben Sie also oben die Domain ein. Um DMARC bei einer in Outlook empfangenen Nachricht zu sehen, öffnen Sie die Nachrichtendetails und suchen Sie im Header Authentication-Results nach dmarc=pass oder dmarc=fail.
Wie prüfe ich einen DMARC-Eintrag mit nslookup?: Führen Sie nslookup -type=txt _dmarc.example.com aus, oder dig txt _dmarc.example.com auf Mac und Linux, und ersetzen Sie example.com durch Ihre Domain. Die Antwort sollte ein einzelner TXT-Eintrag sein, der mit v=DMARC1 beginnt. Kommt keine Antwort, hat die Domain keinen DMARC-Eintrag.
Was ist der Unterschied zwischen quarantine und reject?: Quarantine bittet Empfänger, durchgefallene E-Mails als verdächtig zu behandeln, in der Praxis also den Spamordner. Reject bittet sie, sie schon im SMTP-Gespräch abzulehnen, damit sie nie zugestellt werden. Reject ist stärker; quarantine ist der sicherere Zwischenschritt, solange Sie bestätigen, dass kein legitimer Absender durchfällt.

Eine ganze Liste prüfen? Die ersten 100 Adressen sind kostenlos.

Melden Sie sich mit Google an, fügen Sie die Adressen ein oder laden Sie eine CSV-Datei hoch. Jede Adresse erhält eine echte SMTP-Postfachprüfung, mit Ergebnissen zum Herunterladen. Keine Kreditkarte.

Catch-all-Domains und Server, die nicht antworten, werden als riskant ausgewiesen, niemals als gültig.

Mit der Anmeldung akzeptieren Sie die Nutzungsbedingungen und die Datenschutzerklärung (auf Englisch). Terms · Privacy