DMARC Checker mit Korrektur zum Kopieren
Gib eine Domain oder E-Mail-Adresse ein. Du siehst den Eintrag, der gilt, was jeder Tag nach RFC 9989 (Mai 2026) bewirkt, was Gmail, Yahoo und Microsoft verlangen, und kopierst einen korrigierten Eintrag. Kostenlos, ohne Anmeldung, nichts wird gespeichert.
Deine Domain
Probier es aus: salesforce.com, paypal.com
So liest du dein Ergebnis
Vier Teile, das Dringendste zuerst.
- 1
Das Urteil
Kein Eintrag, Beobachtung, Quarantine oder Reject, jeweils mit Symbol und Wort. Der Balken zeigt, wie weit deine Domain auf dem Weg zur Durchsetzung ist.
- 2
Was du zuerst beheben solltest
Fehler, die DMARC außer Kraft setzen, stehen oben, dann Empfehlungen, dann Tipps. Jeder Punkt nennt seine Regel und Quelle.
- 3
Gmail, Yahoo und Microsoft
Was die drei von Massenversendern verlangen und was das DNS für deine Domain zeigt. Ausrichtung und Abmelden mit einem Klick zeigen sich nur in einer gesendeten Mail; das Ergebnis sagt dir, wo du nachsiehst.
- 4
Dein verbesserter Eintrag
Deine gültigen Einstellungen ohne die gestrichenen Tags, mit der Richtlinie deiner Wahl. Kopier ihn in einen TXT-Eintrag unter _dmarc.
Was ist DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) sagt empfangenden Mailservern, was sie mit Mails tun sollen, die angeblich von deiner Domain kommen, aber die Authentifizierung nicht bestehen: zustellen, in den Spam legen oder abweisen. Außerdem bittet DMARC sie um Berichte, damit du siehst, wer in deinem Namen sendet.
- SPF. Listet die Server, die für eine Domain senden dürfen. Geprüft wird der Return-Path, die Adresse für Bounces, nicht die Absenderadresse, die Leser sehen.
- DKIM. Signiert jede Mail. Empfänger prüfen die Signatur mit einem öffentlichen Schlüssel, den die signierende Domain in ihrem DNS veröffentlicht.
- DMARC. Ein TXT-Eintrag unter
_dmarc.deinedomain.de, seit Mai 2026 nach RFC 9989 (dem Nachfolger von RFC 7489). Er besteht, wenn SPF oder DKIM für eine Domain besteht, die zur Absenderadresse (From) passt.
p=none, Quarantine oder Reject?
Die Richtlinie entscheidet, was mit Mails passiert, die DMARC nicht bestehen. Du beginnst bei none und endest bei reject.
| Richtlinie | Durchgefallene Mails | Passend, wenn |
|---|---|---|
| p=none | Werden normal zugestellt; du bekommst Berichte. | Du anfängst oder ein neues Versandtool dazukommt. |
| p=quarantine | Landen im Spamordner. | Die Berichte zeigen, dass deine eigenen Absender bestehen. |
| p=reject | Werden vom empfangenden Server abgewiesen. | Nur noch gefälschte Mails durchfallen. |
Zur Durchsetzung, ohne Mails zu verlieren
Fünf Schritte vom ersten Eintrag bis reject. Der Checker sagt dir, auf welchem du stehst.
- 1
p=none mit Berichtsadresse veröffentlichen
v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de. Nimm ein Postfach, das jemand liest, oder einen DMARC-Berichtsdienst. - 2
Zwei bis vier Wochen Berichte lesen
Notier jeden Dienst, der in deinem Namen sendet: Mailtool, CRM, Helpdesk, Rechnungsversand. Jeder muss SPF oder DKIM für deine Domain bestehen.
- 3
Die Absender reparieren
Richte in jedem Tool DKIM ein, in Account Engagement (Pardot) über den DomainKey-Eintrag, oder zieh einen Absender auf eine eigene Subdomain um.
- 4
Quarantine, zuerst mit t=y
Stell auf p=quarantine um und setz t=y als Netz, während du die Berichte liest. t=y, neu in RFC 9989, macht die Richtlinie eine Stufe milder (Empfänger behandeln reject wie quarantine und quarantine wie none) und ersetzt pct, das RFC 9989 gestrichen hat. Dann entfernst du t=y.
- 5
Reject
Wenn nur noch gefälschte Mails durchfallen, setz p=reject. Mit np=reject werden auch erfundene Subdomains abgewiesen.
DMARC-Berichte
Ohne Berichte ist jeder Schritt Richtung reject geraten.
Sammelberichte (rua) kommen regelmäßig, meist täglich, von Empfängern wie Gmail und Yahoo.
Fehlerberichte (ruf) beschreiben einzelne durchgefallene Mails; nicht jeder Empfänger verschickt sie. Sie können personenbezogene Daten enthalten, etwa E-Mail-Adressen und Betreffzeilen: Schick sie nur an ein Postfach oder einen Dienst, mit dem du einen Auftragsverarbeitungsvertrag hast (DSGVO).
Berichte an eine andere Domain brauchen deren Zustimmung: einen TXT-Eintrag deinedomain.de._report._dmarc.ihredomain.com mit v=DMARC1 (RFC 9990 (öffnet in neuem Tab), Abschnitt 4). Berichtsdienste legen ihn an, sobald du deine Domain in deinem Konto einträgst; der Checker prüft das für jede Adresse.
Im Sammelbericht
- Welche Server Mails mit deiner Domain verschickt haben
- Wie viele Mails SPF, DKIM und DMARC bestanden
- Keine Mailinhalte: nur Zahlen und Serveradressen
Die Regeln von Gmail, Yahoo und Microsoft
Alle drei verlangen von Massenversendern DMARC mit p=none oder strenger. Geprüft am 16. Oktober 2026.
- 5.000Mails am Tag: ab hier giltst du bei Gmail und Microsoft als Massenversender
- 2 Tagegibt Yahoo dir, um eine Abmeldung umzusetzen
- 2048Bit: die DKIM-Schlüssellänge, die Google empfiehlt
| Anbieter | Seit | Gilt für | DMARC | Außerdem nötig |
|---|---|---|---|---|
| Gmail | 1. Feb. 2024; seit Nov. 2025 strenger durchgesetzt | Rund 5.000 oder mehr Mails am Tag an private Gmail-Konten | p=none oder strenger; From passt zu SPF oder DKIM | SPF und DKIM, Abmelden mit einem Klick, Spamrate unter 0,3 % |
| Yahoo | Feb. 2024 | Massenversender | p=none oder strenger, muss bestehen; From passt zu SPF oder DKIM | SPF und DKIM, Abmelden mit einem Klick, umgesetzt binnen 2 Tagen, Spamrate unter 0,3 % |
| Microsoft Outlook.com | 5. Mai 2025 | Mehr als 5.000 Mails am Tag an Outlook.com-, Hotmail- und Live-Adressen | p=none oder strenger; passt zu SPF oder DKIM | SPF und DKIM müssen bestehen |
Häufige DMARC-Fehler
Was Checker melden, was es bedeutet und wie du es behebst.
- Kein DMARC-Eintrag gefunden. Nichts unter
_dmarc.oder bei einer übergeordneten Domain. Lösung: Leg einen TXT-Eintrag unter_dmarcan:v=DMARC1; p=none; rua=mailto:… - Mehrere DMARC-Einträge. Zwei TXT-Einträge unter einem Namen beginnen mit v=DMARC1. Lösung: Fass sie zu einem zusammen: Empfänger verwerfen alle.
- Eintrag am falschen Host. Der Eintrag liegt direkt auf der Domain. Lösung: Verschieb ihn auf den Hostnamen
_dmarc. - v=DMARC1 fehlt oder steht nicht vorn. Version fehlt, ist falsch geschrieben oder steht weiter hinten. Lösung: Beginn den Eintrag mit
v=DMARC1, großgeschrieben. - Ungültige Richtlinie. Oft ein fehlendes Semikolon:
p=none rua=…wird als ein Wert gelesen. Lösung: Trenn jeden Tag mit einem Semikolon. - Externes Ziel nicht freigegeben. Die Berichtsdomain hat dem Empfang deiner Berichte nicht zugestimmt. Lösung: Trag deine Domain beim Berichtsdienst ein oder bitte ihn um den
_report._dmarc-Eintrag. - pct unter 100. pct wurde mit RFC 9989 gestrichen; alte und neue Empfänger handeln unterschiedlich. Lösung: Lösch pct; zum Testen nimm t=y.
- SPF: zu viele DNS-Abfragen. Mehr als 10 Abfragen sind ein dauerhafter SPF-Fehler. Lösung: Entfern includes von Diensten, die du nicht mehr nutzt.
Für Pardot und Marketing Cloud Next
Was die Salesforce-Hilfe selbst zu DMARC sagt, geprüft am 16. Oktober 2026.
Account Engagement (Pardot)
Pardot signiert mit DKIM unter dem Selektor
200608: dem DomainKey-Eintrag aus der Domainverwaltung. Der Return-Path ist eine Bounce-Domain von Salesforce: SPF besteht, passt aber nicht zu deiner Domain. Dein DMARC-Ergebnis hängt an DKIM, also prüf den Schlüssel, bevor du p=none verlässt. Den List-Unsubscribe-Header für das Abmelden mit einem Klick setzt Pardot selbst.Marketing Cloud Next
Es sendet über eine authentifizierte Domain: acht CNAME-Einträge von Salesforce, drei davon 2048-Bit-DKIM-Schlüssel mit Selektoren pro Konto (
s1-e360-…). SPF kommt mit dem Bounce-CNAME. Salesforce aktiviert die Domain auch ohne DMARC, aber Gmail, Yahoo und Microsoft verlangen es trotzdem. Nimm eine Subdomain, über die keine andere Plattform sendet, auch nicht Pardot.
Was eine DNS-Prüfung nicht zeigen kann
Der Eintrag ist die halbe Wahrheit. Du steckst zwischen p=none und reject fest? Wir lesen die Berichte mit dir und reparieren die Absender in Pardot oder Marketing Cloud Next.
- Ob deine Mails bestehen. Die Ausrichtung zeigt sich in einer gesendeten Mail. Öffne in Gmail eine deiner Mails, wähle „Original anzeigen“ und such nach DMARC: PASS.
- Wer deine Domain fälscht. Nur die Sammelberichte zeigen die Server, die in deinem Namen senden.
- Deine Reputation. Spamrate und Reputation bei Gmail zeigen die Google Postmaster Tools.
- Welchem Standard ein Empfänger folgt. Empfänger, die noch RFC 7489 folgen, wenden womöglich pct an und ermitteln die Organisationsdomain über die Public Suffix List. Für die meisten Domains kommt dasselbe heraus.
Häufige Fragen zum DMARC-Checker
Kurze Antworten auf das, was Leute zu DMARC-Einträgen fragen.
Wie prüfe ich meinen DMARC-Eintrag?
Gib oben deine Domain ein: Der Checker liest den TXT-Eintrag unter _dmarc.deinedomain.de und, falls es keinen gibt, bei den übergeordneten Domains.
Auf der Kommandozeile: dig TXT _dmarc.beispiel.de oder nslookup -type=TXT _dmarc.beispiel.de.
Reicht p=none?
Für Gmail, Yahoo und Microsoft ja: p=none erfüllt ihr Minimum für Massenversender.
Deine Domain schützt es aber nicht. Gefälschte Mails kommen weiter an, also sieh p=none als Anfang und geh weiter zu quarantine und reject.
Wie sieht ein guter DMARC-Eintrag aus?
Zum Start: v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.de.
Das Ziel: v=DMARC1; p=reject; rua=mailto:dmarc@deinedomain.de, Schritt für Schritt erreicht, sobald die Berichte zeigen, dass jeder Absender besteht.
Darf ich mehr als einen DMARC-Eintrag haben?
Nein. Stehen unter einem Namen mehrere Einträge, die mit v=DMARC1 beginnen, verwerfen Empfänger alle (RFC 9989, Abschnitt 4.10).
Schreib alles in einen Eintrag; mehrere Berichtsadressen kommen durch Kommas getrennt in rua.
Wann wirkt eine DMARC-Änderung?
Nach der TTL des alten Eintrags: Resolver behalten eine Antwort, bis sie abläuft. Der Checker zeigt die TTL deines Eintrags in Sekunden; prüf danach noch einmal.
Gilt DMARC auch für Subdomains?
Ja. Eine Subdomain ohne eigenen Eintrag übernimmt die Richtlinie ihrer Organisationsdomain: sp, wenn gesetzt, sonst p.
np, neu in RFC 9989, gilt für Subdomains, die es nicht gibt, und die nutzen Fälscher gern.
Gilt pct noch?
Nein. RFC 9989 (Mai 2026) hat pct, rf und ri gestrichen. Empfänger nach dem neuen Standard ignorieren sie; ältere wenden pct womöglich noch an.
Um eine strengere Richtlinie zu testen, nimm stattdessen t=y.
Brauche ich DKIM für DMARC?
DMARC besteht, wenn SPF oder DKIM besteht und passt, also reicht im Prinzip eins.
Gmail, Yahoo und Microsoft verlangen von Massenversendern beides, und bei Pardot passt nur DKIM. Richte es ein.
Wird die geprüfte Domain gespeichert?
Nein. Dein Browser schickt die Domainnamen an unseren Server, der einen öffentlichen DNS-Resolver fragt. Nichts wird gespeichert, keine Domain protokolliert, und der Resolver sieht deine IP-Adresse nie.
Mehr kostenlose Tools
Wir sorgen dafür, dass dein Salesforce-Marketing für dich arbeitet
Du sprichst mit einem zertifizierten Berater, nicht mit dem Vertrieb, und weißt nach dem ersten Gespräch, was als Nächstes kommt.