DMARC instellen: stap voor stap voor Microsoft 365 en Google

Iemand mailt jouw klanten namens jouw domeinnaam, en jij hebt er niets van gemerkt. Dat kan gewoon, want e-mail controleert standaard niet of de afzender klopt. DMARC is het DNS-record waarmee je ontvangers vertelt wat ze moeten doen met mail die zich voordoet als jij. Wil je DMARC instellen, dan komt er meer bij kijken dan één regel plakken.

DMARC werkt namelijk niet alleen. Het leunt op SPF en DKIM, en als je te snel op streng zet, belandt je eigen factuurmail in de spam. In dit stuk loop je door de volgorde die werkt, met voorbeelden voor Microsoft 365 en Google Workspace, en de fouten die we het vaakst tegenkomen.

Wat DMARC doet (en wat het van SPF en DKIM nodig heeft)

Drie records, drie taken:

• SPF zegt welke servers namens je domein mogen mailen.
• DKIM zet een digitale handtekening op elk bericht, zodat de ontvanger kan zien dat de inhoud onderweg niet is aangepast en dat de afzender de sleutel bezit.
• DMARC bepaalt wat er gebeurt als SPF en DKIM niet kloppen, en stuurt jou rapporten over wat er onder jouw naam wordt verzonden.

Een detail dat vaak over het hoofd wordt gezien: DMARC slaagt pas als SPF of DKIM slaagt en het domein daarvan overeenkomt met het domein in het zichtbare Van-adres. Dat heet alignment. Een nieuwsbrieftool die netjes zijn eigen SPF en DKIM heeft, maar mailt vanaf jouw adres, kan dus toch DMARC laten falen.

Weet je niet zeker hoe DNS-records in elkaar zitten? Lees dan eerst DNS-records uitgelegd: A, CNAME, MX en TXT. Alles hieronder zijn TXT- of CNAME-records.

Stap 1: Inventariseer wie er allemaal mailt

Dit is het saaie deel en het voorkomt de meeste ellende. Schrijf op welke systemen mail sturen met jouw domein als afzender:

• Microsoft 365 oder Google Workspace (die normalen Postfächer)
• Ihr Newsletter-Tool
• Ihre Buchhaltungs- oder Rechnungssoftware
• das Kontaktformular oder der Webshop auf Ihrer Website
• CRM, Helpdesk, Planungstools

Das Kontaktformular auf Ihrer Website ist ein Klassiker. Versendet WordPress die E-Mail direkt vom Webserver aus mit Ihrer Adresse als Absender, besteht diese E-Mail die DMARC-Prüfung nicht, sobald Sie strenge Regeln einstellen. Die saubere Lösung: Das Formular versendet die E-Mail über Ihr Microsoft 365- oder Google-Konto mit einem SMTP-Plugin. Wie Sie die E-Mail-Umgebung selbst richtig einrichten, lesen Sie in E-Mail über Microsoft 365 oder Google Workspace einrichten.

Schritt 2: SPF richtig setzen

SPF ist ein TXT-Record auf dem Hauptnamen Ihrer Domain (in vielen DNS-Panels steht er als @). Allein hier geht es oft schief, denn Sie dürfen nur einen SPF-Record haben. Zwei Records bedeuten, dass SPF komplett fehlschlägt.

Für Microsoft 365:

v=spf1 include:spf.protection.outlook.com -all

Für Google Workspace:

v=spf1 include:_spf.google.com ~all

Verwenden Sie zusätzlich ein Newsletter-Tool oder ein anderes System, fügen Sie dessen include: zu demselben Record hinzu, nicht als zweiten Record. Dieses Tool nennt Ihnen den passenden Wert. Beachten Sie auch die Grenze von maximal zehn DNS-Abfragen: Jeder include: verbraucht mindestens einen. Wenn Sie zu viele einbinden, gibt SPF einen Fehler aus.

Der Unterschied zwischen ~all (Softfail) und -all (hardfail) ist weniger gravierend, als es aussieht, weil DMARC das Endurteil bestimmt. Beginnen Sie mit den Vorgaben des Anbieters und verschärfen Sie die Einstellung, sobald alles stabil läuft.

Schritt 3: DKIM aktivieren

DKIM ist bei einer eigenen Domain nicht automatisch aktiv. Sie veröffentlichen einen Schlüssel im DNS und aktivieren das Signieren anschließend in der Verwaltungsumgebung. Dieser letzte Klick wird am häufigsten vergessen.

DKIM in Microsoft 365

Microsoft arbeitet mit zwei CNAME-Records. Die genauen Werte finden Sie im Microsoft Defender-Portal, bei den DKIM-Einstellungen Ihrer Domain. Das Format sieht ungefähr so aus:

selector1._domainkey.jouwdomein.nl verweist auf den Wert, den Microsoft anzeigt.
selector2._domainkey.jouwdomein.nl Dasselbe gilt für den zweiten Wert.

Kopieren Sie die Werte genau so, wie Microsoft sie angibt, auch wenn sie ungewöhnlich lang sind. Tragen Sie die Einträge im DNS ein, warten Sie, bis sie sichtbar sind, und aktivieren Sie dann im Portal den Schalter für das Signieren. Erhalten Sie die Fehlermeldung, dass der CNAME nicht gefunden wurde, ist das DNS meist noch nicht aktualisiert. Dann hilft kurzes Warten.

DKIM in

In der Admin-Konsole gehen Sie zu den Gmail-Einstellungen und wählen „E-Mail verifizieren“. Dort erzeugen Sie einen neuen Eintrag für Ihre Domain. Sie erhalten einen TXT-Record mit dem Namen google._domainkey und ein langer Wert, der beginnt mit v=DKIM1; k=rsa; p=. Fügen Sie das in DNS ein und klicken Sie danach in der Admin-Konsole auf „Verifizierung starten“.

Fügen Sie einen langen Schlüssel ein und Ihr DNS-Panel meldet, er sei zu lang? Manche Panels erwarten den Text in zwei Teilen zwischen Anführungszeichen. Sehen Sie in der Dokumentation Ihrer DNS-Verwaltung nach, oder lassen Sie es uns erledigen. Im Kundenportal können Sie Records selbst hinzufügen, siehe DNS-Records in Ihrem Portal verwalten.

Schritt 4: DMARC mit p=none einrichten

Erst jetzt kommt DMARC selbst. Das ist ein TXT-Record auf _dmarc.jouwdomein.nl. Beginnen Sie immer mit dem Monitoring:

v=DMARC1; p=none; rua=mailto:dmarc@jouwdomein.nl

Was steht hier?

• v=DMARC1: die Version, muss ganz vorn stehen.
• p=none: Unternehmen Sie noch nichts mit E-Mails, die durchfallen, nur Berichte erstellen.
• rua=: die Adresse, an die die zusammenfassenden Berichte gehen.

Achten Sie beim Ausfüllen des Namens darauf: Viele DNS-Panels hängen Ihre Domain selbst an. Tragen Sie dann nur _dmarc ein, sonst erhalten Sie _dmarc.jouwdomein.nl.jouwdomein.nl und Ihr Eintrag bewirkt nichts.

Die Berichte sind XML-Dateien, die Empfänger wie Google und Microsoft täglich senden. Für Menschen sind sie schlecht lesbar, und sie können ein normales Postfach schnell füllen. Richten Sie daher eine eigene Adresse dafür ein oder nutzen Sie ein Reporting-Tool, das sie für Sie in eine Übersicht umwandelt. Dort sehen Sie pro Absender, ob SPF und DKIM erfolgreich sind.

Schritt 5: Von p=none zu reject, ohne Ihre eigene E-Mail zu stören

Lassen Sie p=none einige Wochen stehen, am besten lange genug, um auch die monatlichen Rechnungen und Newsletter zu erfassen. Prüfen Sie in den Berichten, welche legitimen Absender durchfallen, und beheben Sie diese zuerst: SPF-Include hinzufügen, DKIM im Tool aktivieren oder das System über Ihre Hauptumgebung senden lassen. Erst wenn Ihr eigener Mailverkehr grün ist, ziehen Sie die Richtlinie an.

Den Zwischenschritt können Sie schrittweise einführen mit pct, der Prozentsatz der E-Mails, auf die die Richtlinie angewendet wird:

1. v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@jouwdomein.nl
2. Kontrollieren Sie ein bis zwei Wochen lang die Berichte und Beschwerden. Erhöhen Sie dann auf pct=50, danach zu 100 (oder lassen Sie pct entfernt).
3. v=DMARC1; p=reject; rua=mailto:dmarc@jouwdomein.nl

Wie lange Sie bei jedem Schritt bleiben, hängt davon ab, wie viele Systeme E-Mails versenden. Ein kleiner Betrieb mit nur Microsoft 365 oder Google ist manchmal in wenigen Wochen fertig. Mit zehn Tools und einem Webshop planen Sie mehr Zeit ein. Eile zahlt sich hier nicht aus, eine abgelehnte E-Mail schon gar nicht.

Häufige Fehler beim Einrichten von DMARC

• Zwei SPF-Records. Fassen Sie alles in einem Record zusammen.
• DKIM ist in DNS vorhanden, aber nicht aktiviert. Ohne diesen letzten Klick wird nichts signiert.
• Direkt auf p=reject. Dann zeigt sich erst nach einer Woche, dass Ihre Buchhaltungssoftware die ganze Zeit nicht berücksichtigt war.
• Der DMARC-Record steht auf dem falschen Namen. Er muss auf _dmarc, nicht auf den Hauptnamen.
• Subdomains vergessen. Ohne sp= übernimmt eine Subdomain die Richtlinie der Hauptdomain. Das ist meistens in Ordnung, prüfen Sie aber, ob die Tools auf Subdomains korrekt arbeiten.
• Domains, die Sie nicht nutzen. Ein alter oder geparkter Domainname, mit dem Sie keine E-Mails versenden, ist ein beliebtes Ziel für Missbrauch. Setzen Sie dafür v=spf1 -all und v=DMARC1; p=reject auf.
• Berichte nie lesen. Dann ist p=none ein Eintrag, der nichts schützt und aus dem nichts gelernt wird.

Funktion prüfen

Senden Sie eine Test-E-Mail an eine Gmail-Adresse, öffnen Sie die Nachricht und wählen Sie „Original anzeigen“. Dort sehen Sie pro Prüfung PASS oder FAIL für SPF, DKIM und DMARC. Tun Sie das für jeden Absender aus Ihrer Liste, also auch für das Kontaktformular. Einen schnellen Blick auf Ihre Domain erhalten Sie auch mit unserem kostenlosen Website-Check, der unter anderem die E-Mail-Einstellungen prüft.

Was Sie jetzt tun

1. Notieren Sie, welche Systeme E-Mails mit Ihrer Domain versenden.
2. Prüfen Sie, ob Sie genau einen SPF-Eintrag haben, in dem alle Absender enthalten sind.
3. Aktivieren Sie DKIM in Microsoft 365 oder Google Workspace und prüfen Sie, ob es funktioniert.
4. Veröffentlichen p=none mit einer Berichtsadresse und lassen Sie diese einige Wochen so stehen.
5. Beheben Sie fehlschlagende Absender, wechseln Sie mit einem niedrigen Prozentsatz zu quarantine und danach zu reject.

Liegt Ihre Domain bei uns und möchten Sie die Einträge lieber nicht selbst setzen, richten wir die DNS-Einträge für Ihre E-Mail-Umgebung ein, einschließlich MX, SPF, DKIM und DMARC. Nutzen Sie Google, können Sie Ihre Lizenzen auch über Google Workspace via Netslim beziehen, von Anfang an richtig eingerichtet.

Häufige Fragen

Ist DMARC für meine Domain verpflichtend?

Eine gesetzliche Pflicht für jedes Unternehmen gibt es nicht. Große E-Mail-Anbieter stellen aber immer häufiger Anforderungen an Absender, vor allem wenn Sie viele E-Mails versenden. Ohne DMARC steigt zudem das Risiko, dass andere Ihre Domain missbrauchen und Ihre E-Mails im Spam landen.

Wie lange dauert es, bis ein DMARC-Record wirksam ist?

Der Record ist meist innerhalb weniger Minuten bis einiger Stunden sichtbar, abhängig von der TTL Ihres DNS. Die ersten Berichte treffen oft erst nach einem Tag oder später ein, weil Empfänger sie gebündelt versenden.

Kann ich DMARC ohne SPF und DKIM einrichten?

Technisch können Sie den Eintrag zwar setzen, er bringt dann aber wenig. DMARC bewertet das Ergebnis von SPF und DKIM. Fehlen beide, scheitert Ihre gesamte legitime E-Mail, sobald Sie die Richtlinie verschärfen.

Warum landet mein Newsletter nach der Einrichtung von DMARC im Spam?

Meist versendet das Newsletter-Tool E-Mails mit Ihrer Adresse als Absender, ist aber nicht in Ihrem SPF-Record enthalten und signiert nicht mit DKIM für Ihre Domain. Fügen Sie das Tool gemäß seiner Anleitung hinzu und prüfen Sie in den Berichten, ob die Nachrichten danach bestehen.