Ein neuer Standard, kein sofortiger Umbauauftrag
RFC 9989 wurde im Mai 2026 veröffentlicht und ersetzt die frühere DMARC-Spezifikation. Unter anderem entfällt der Prozentparameter pct.
Für Unternehmen folgt daraus eine Bestandsprüfung: Welche Regel steht im DNS, welche Annahmen verwendet die Betriebsdokumentation und wer kann eine Änderung freigeben? Das Veröffentlichungsdatum allein belegt nicht, welche Fassung ein bestimmter Mailanbieter bereits umgesetzt hat. Wer Dienstleister betreut, sollte diese Information für die tatsächlich eingesetzten Systeme einholen. Ein pauschales Austauschen funktionierender DNS-Einträge wäre der falsche erste Schritt. [1]
Nicht nur das Hauptpostfach zählt
Erfassen Sie neben dem normalen Postfach auch Website-Formular, Rechnungssoftware, Supportsystem und Newsletterdienst. Für jeden Weg braucht es einen Eintrag: zuständige Person, sichtbare Absenderadresse, Versanddienst und überprüfte Beispielnachricht. Eine Testnachricht aus dem Webmail belegt nicht automatisch den Versand aus der Website.
Ein typischer Prüfauftrag lautet deshalb: Kann das Abrechnungssystem eine Rechnung mit der vorgesehenen Absenderdomain senden, und lässt sich das am empfangenen Original belegen? Bewahren Sie die relevanten Header als Nachweis mit Zeitpunkt auf. Zugangsdaten und Nachrichteninhalte gehören nicht in eine allgemein zugängliche DNS-Dokumentation.
DMARC ist bestanden, wenn mindestens einer der beiden Wege SPF oder DKIM erfolgreich ist und seine Domain nach dem gewählten Alignment-Modus zur sichtbaren From-Domain passt. [1]
Versandweg
Postfach, Website, CRM oder Abrechnung mit verantwortlicher Person erfassen.
Authentifizierung
SPF- und DKIM-Ergebnisse einer tatsächlichen Nachricht kontrollieren.
Domain-Zuordnung
Die geprüften Domains mit der sichtbaren From-Domain vergleichen.
Nachweis je Versandweg
Ergebnis, Zeitpunkt und erforderliche Änderung dokumentieren. Ein gültiger Absendernachweis bewertet nicht den Inhalt der Nachricht.
Schematischer Prüfweg. Die beiden Authentifizierungswege werden getrennt betrachtet; entscheidend ist auch ihre Zuordnung zur sichtbaren Absenderdomain.
Alte Rollout-Annahmen kontrollieren
Prüfen Sie vorhandene Anleitungen besonders dann, wenn sie eine schrittweise Einführung allein über pct=10 oder pct=25 beschreiben. Der frühere Standard kannte diesen Mechanismus. Eine solche Anleitung ist kein Beleg für das Verhalten sämtlicher heutiger Empfänger.
Legen Sie stattdessen für jeden Änderungsversuch einen begrenzten Versandbereich, einen Verantwortlichen und einen Rückfallwert fest. Klären Sie die Unterstützung mit dem jeweiligen Anbieter. Eine bereits strengere, nachweislich funktionierende Regel muss für diese Prüfung nicht vorsorglich abgeschwächt werden. [5]
Die Tabelle lässt sich seitlich verschieben.
| Bereich | Benötigter Nachweis | Entscheidung |
|---|---|---|
| Versandbestand | Alle freigegebenen Versanddienste sind einer Person zugeordnet. | Unbekannte Quellen zuerst klären. |
| Richtlinie | Aktueller DNS-Wert und dokumentierter Rückfallwert liegen vor. | Nur eine nachvollziehbare Änderung freigeben. |
| Kompatibilität | Der Anbieter bestätigt das Verhalten seiner konkreten Umgebung. | Keine pauschale Umsetzung aller Empfänger annehmen. |
| Abnahme | Die vereinbarten Versandwege wurden einzeln geprüft. | Erst danach den nächsten Bereich umstellen. |
Berichte lesen, nicht nur sammeln
Aggregierte DMARC-Berichte beschreiben beobachtete Versandquellen und Prüfergebnisse. Fehlerberichte sind ein eigener Berichtstyp und können weitergehende Nachrichtendaten enthalten.
Unsere Empfehlung: Für jeden auffälligen Versandweg festhalten, ob er zu einem freigegebenen Dienst gehört, wer ihn klärt und wann erneut geprüft wird. Ein unbekannter Eintrag ist zunächst ein Untersuchungsauftrag. Ein Bericht ohne Auffälligkeiten ersetzt ebenso wenig die eigene Versandliste. Legen Sie außerdem fest, wer die Berichte lesen darf und wann die gespeicherten Dateien gelöscht werden. [2] [3]
Anbieterregeln getrennt prüfen
Gmail unterscheidet allgemeine Absender und Massenversender. Für Letztere verlangt Google SPF, DKIM und DMARC; als DMARC-Richtlinie ist dort auch none zulässig.
Diese Mindestanforderung beantwortet noch nicht, welche Schutzregel zu Ihrer Domain passt. Halten Sie deshalb zwei Prüfziele getrennt fest: die Anforderungen des Zielanbieters erfüllen und den eigenen Versandbestand verlässlich absichern. Zustellung und Spam-Einstufung bleiben gesonderte Beobachtungen. [4]
Der nächste sinnvolle Arbeitsschritt
Beginnen Sie mit einem Versandweg, der wirtschaftlich wichtig ist, etwa Angeboten oder Rechnungen. Der folgende Ablauf ergibt einen überprüfbaren Änderungsauftrag, ohne den gesamten Mailbetrieb gleichzeitig anzufassen.
- Aktuellen DMARC-Eintrag und vorhandene Betriebsanleitung sichern.
- Alle aktiven Versanddienste und verantwortlichen Personen auflisten.
- Eine freigegebene Testnachricht je relevantem Weg prüfen.
- Alte Prozent-Rollouts und anbieterspezifische Unterstützung klären.
- Änderungsfenster, Abnahmekriterien und Rückfallweg festlegen.
- Nach der Änderung Berichte und tatsächliche Zustellung gemeinsam kontrollieren.