DMARC Generator

Warum einen DMARC-Eintrag generieren?

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist das Protokoll, das SPF und DKIM erganzt, um Ihre Domain vor E-Mail-Spoofing und Phishing zu schutzen. Ohne eine DMARC-Richtlinie kann jeder E-Mails senden, die sich als Ihre Domain ausgeben.

Drei Grunde fur DMARC:

• Markenschutz → Verhindern Sie, dass Betruger Ihre Domain fur Phishing nutzen (prüfen Sie mit dem Phishing URL Checker)
• Vollstandige Sichtbarkeit → Erhalten Sie Berichte daruber, wer E-Mails von Ihrer Domain sendet
• Bessere Zustellbarkeit → Anbieter (Gmail, Microsoft) bevorzugen Domains mit DMARC

So verwenden Sie den Generator in 3 Schritten

Schritt 1: Domain eingeben

Geben Sie Ihre Organisationsdomain genau so ein, wie sie in Ihren E-Mail-Adressen erscheint (z.B. captaindns.com). Das Tool generiert automatisch den vollstandigen DNS-Namen: _dmarc.captaindns.com.

Schritt 2: Optionen konfigurieren

Hauptrichtlinie (p): Was mit fehlgeschlagenen E-Mails tun?

• none: Beobachten ohne Blockierung (empfohlen zum Start)
• quarantine: In Spam senden
• reject: Vollstandig blockieren

Ausrichtung (adkim, aspf): Wie die Domain-Ubereinstimmung prufen?

• relaxed (r): Subdomains akzeptiert (empfohlen)
• strict (s): Exakte Ubereinstimmung erforderlich

Berichte (rua, ruf): Wo Statistiken empfangen?

• Fugen Sie mailto:dmarc@ihredomain.com fur aggregierte Berichte hinzu

Schritt 3: Kopieren und veroffentlichen

Der Generator erstellt den vollstandigen DNS-Eintrag. Kopieren Sie ihn in Ihre DNS-Verwaltungsoberflache:

• Name: _dmarc.ihredomain.com
• Typ: TXT
• Wert: Der generierte Eintrag

Was genau ist DMARC?

DMARC ist eine DNS-Richtlinie, die Mailservern mitteilt:

1. Was zu prufen ist: Besteht SPF oder DKIM UND ist es mit der sichtbaren Domain ausgerichtet?
2. Was bei Fehler zu tun ist: Beobachten (none), Spam (quarantine), oder blockieren (reject)
3. Wohin berichten: E-Mail-Adressen fur den Empfang von Statistiken

Beispiel DMARC-Eintrag:

_dmarc.beispiel.com. IN TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel.com; adkim=r; aspf=r; pct=100"

Dekodiert:

• v=DMARC1: Protokollversion (erforderlich)
• p=quarantine: Richtlinie = in Spam senden
• rua=mailto:...: Adresse fur aggregierte Berichte
• adkim=r: DKIM-Ausrichtung relaxed
• aspf=r: SPF-Ausrichtung relaxed
• pct=100: Auf 100% der E-Mails anwenden

Alle DMARC-Tags erklart

Erforderliche Tags

Gangige optionale Tags

Erweiterte Tags

Praktische Anwendungsfalle

Fall 1: Neue Domain ohne Historie

Ziel: Eine Domain schutzen, die beginnt, E-Mails zu senden.

Empfohlene Konfiguration:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.com; adkim=r; aspf=r

Nachste Schritte:

1. Berichte 2-4 Wochen uberwachen
2. Alle legitimen Quellen identifizieren
3. Zu p=quarantine; pct=25 wechseln
4. Schrittweise bis p=reject erhohen

Fall 2: Domain mit mehreren Diensten (CRM, Newsletter, Transaktional)

Ziel: Schutzen ohne bestehende Ablaufe zu unterbrechen.

Anfangskonfiguration:

v=DMARC1; p=none; sp=none; rua=mailto:dmarc@beispiel.com; adkim=r; aspf=r

Diagnose uber RUA-Berichte:

• Alle sendenden IPs/Domains auflisten
• Uberprufen, dass jede Quelle SPF und DKIM konfiguriert hat
• Nicht autorisierte Quellen identifizieren (potenzielles Spoofing)

Schrittweiser Rollout:

v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@beispiel.com

Dann 25%, 50%, 100%, und schliesslich p=reject.

Fall 3: Domain, die keine E-Mails sendet

Ziel: Jede betrugerische Nutzung einer "geparkten" Domain verhindern.

Direkte strenge Konfiguration:

v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s

Keine Beobachtungsphase notig, wenn die Domain niemals legitime E-Mails senden sollte.

Haufige Fehler vermeiden

Best Practices fur den Rollout

Phase 1: Beobachtung (2-4 Wochen)

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.com

• Berichte sammeln
• Alle legitimen Quellen identifizieren
• SPF/DKIM fur nicht ausgerichtete Quellen korrigieren

Phase 2: Schrittweise Quarantane

v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@beispiel.com

• Von 10% → 25% → 50% → 100% erhohen
• Benutzerbeschwerden uberwachen
• Bei Bedarf anpassen

Phase 3: Reject

v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.com; adkim=r; aspf=r

• Maximaler Schutz
• Optional zu strenger Ausrichtung wechseln (adkim=s; aspf=s)

FAQ - Häufig gestellte Fragen

F: Was ist ein DMARC-Eintrag?

A: DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein DNS-TXT-Eintrag, der Mailservern mitteilt, wie sie mit E-Mails umgehen sollen, die SPF- und DKIM-Prufungen nicht bestehen. Er schutzt Ihre Domain vor Spoofing und Phishing.

F: Mit welcher DMARC-Richtlinie sollte ich beginnen?

A: Beginnen Sie immer mit p=none. Diese Richtlinie beeinflusst die Zustellung nicht, sendet Ihnen aber Berichte. Analysieren Sie diese Berichte 2-4 Wochen lang, um alle legitimen Ablaufe zu identifizieren, bevor Sie zu quarantine und dann reject wechseln.

F: Was ist der Unterschied zwischen RUA und RUF?

A:

• RUA (Reporting URI for Aggregate): Tagliche aggregierte Berichte mit globalen Statistiken
• RUF (Reporting URI for Forensic): Detaillierte Berichte pro einzelnem Fehler

RUA ist essentiell und wird von allen unterstutzt. RUF ist optional und wird von Anbietern selten unterstutzt.

F: Wie funktioniert die DMARC-Ausrichtung?

A: Die Ausrichtung pruft, ob die sichtbare Domain (From:) mit der von SPF oder DKIM authentifizierten Domain ubereinstimmt:

• Relaxed (r): mail.beispiel.com ist mit beispiel.com ausgerichtet
• Strict (s): Exakte Ubereinstimmung erforderlich

F: Kann ich mehrere DMARC-Eintrage haben?

A: Nein. Nur ein DMARC-Eintrag pro Domain ist erlaubt. Mehrere Eintrage verursachen Fehler. Bearbeiten Sie den bestehenden, anstatt einen neuen hinzuzufugen.

F: Wie lange dauert es, bis DMARC aktiv ist?

A: Der Eintrag ist aktiv, sobald DNS propagiert (Minuten bis 48h). Erste RUA-Berichte kommen innerhalb von 24-48h, nachdem E-Mails von Ihrer Domain gesendet wurden.

F: Wie erhalte ich Berichte fur eine externe Domain?

A: Wenn Ihre RUA-Adresse auf einer anderen Domain liegt, muss diese Domain Sie autorisieren mit:

ihredomain._report._dmarc.bericht-domain.com TXT "v=DMARC1"

Bereiten Sie sich auf DMARCbis vor

DMARCbis ist der kommende IETF Proposed Standard, der RFC 7489 ersetzt. Er führt neue Tags ein (np, t, psd), entfernt veraltete Tags (pct, rf, ri) und ersetzt die Public Suffix List durch einen DNS tree walk-Algorithmus. Prüfen Sie die Kompatibilität Ihrer Domain mit dem DMARCbis Checker oder erstellen Sie einen konformen Eintrag mit dem DMARCbis-Migrationstool.

Ergänzende Tools

Nützliche Ressourcen

• RFC 7489 - DMARC (offizielle Spezifikation)
• Google - DMARC einrichten (Gmail/Workspace-Anleitung)
• Microsoft - DMARC in Microsoft 365 (Microsoft-Anleitung)
• DMARC.org (offizielle Projektseite)