DMARC einrichten – Absenderschutz für deine Domain (Microsoft 365)

E-Mails lassen sich technisch erschreckend leicht fälschen: Ein Angreifer kann als Absender einfach info@deinefirma.de eintragen, obwohl die Nachricht nie über deinen Mailserver lief. Genau hier setzt DMARC an. DMARC steht für Domain-based Message Authentication, Reporting and Conformance und ist das Dach über den beiden älteren Verfahren SPF und DKIM. Es sorgt dafür, dass empfangende Mailserver erkennen, ob eine Nachricht wirklich aus deiner Domain stammt – und legt fest, was mit gefälschten Nachrichten passieren soll.

Die DNS-Grundlagen (MX, TXT, CNAME, DKIM …) sind in der Lektion „Infos zu MX, TXT, CNAME, A, DKIM, …“ erklärt. Diese Lektion baut darauf auf und zeigt dir DMARC praxisnah und Schritt für Schritt in Microsoft 365.

Warum SPF und DKIM allein nicht reichen

Jede E-Mail hat zwei Absenderangaben, die nicht übereinstimmen müssen:

• Envelope-Absender (MAIL FROM) – die technische Adresse, über die Mailserver die Nachricht austauschen. Sie sieht der Empfänger normalerweise nicht.
• Sichtbarer Absender (From) – die Adresse, die im Mailprogramm angezeigt wird.

Das Problem: SPF prüft nur, ob der Server für den Envelope-Absender senden darf. DKIM prüft nur, ob die Signatur einer Domain gültig und die Nachricht unverändert ist. Keines von beiden prüft die sichtbare From-Adresse – und genau die fälschen Angreifer. DMARC schließt diese Lücke: Es verlangt, dass das per SPF oder DKIM bestätigte Ergebnis zur sichtbaren From-Domain passt (sogenannte Ausrichtung / Alignment).

Merksatz: Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und zur From-Domain passt. Sie scheitert nur, wenn beide nicht passen.

Aufbau eines DMARC-Eintrags

DMARC wird als einzelner TXT-Eintrag im DNS unter dem festen Hostnamen _dmarc veröffentlicht. Ein vollständiger Eintrag sieht zum Beispiel so aus:

• Hostname: _dmarc (beim Hoster oft _dmarc.deinefirma.de)
• Typ: TXT
• TXT-Wert: v=DMARC1; p=reject; pct=100; rua=mailto:dmarc@deinefirma.de
• TTL: 1 Stunde

Die wichtigsten Bestandteile (Tags):

• v=DMARC1 – Pflicht, kennzeichnet den Eintrag als DMARC.
• p= – die Richtlinie (none / quarantine / reject), siehe unten.
• pct= – Prozentsatz der Nachrichten, auf den die Richtlinie angewendet wird (0–100, Standard 100). Praktisch zum stufenweisen Ausrollen.
• rua=mailto: – Zieladresse für die aggregierten Berichte (Zusammenfassungen).
• ruf=mailto: – Zieladresse für forensische Berichte (Einzelmeldungen bei Fehlern).
• aspf= / adkim= – Strenge der Ausrichtung: r = relaxed (Standard), s = strict.
• sp= – eigene Richtlinie für Subdomains (optional).

Die drei Richtlinien (p=)

• p=none – nur beobachten: nichts wird blockiert, du sammelst ausschließlich Berichte. Der richtige Start.
• p=quarantine – nicht bestandene Nachrichten werden als verdächtig behandelt (meist Junk-/Spam-Ordner).
• p=reject – nicht bestandene Nachrichten werden abgewiesen. Das ist das eigentliche Ziel, weil nur so Fälschungen wirklich gestoppt werden.

Ausrichtung: relaxed oder strict

Mit aspf und adkim legst du fest, wie genau die geprüfte Domain zur From-Domain passen muss. Relaxed (r, Standard) lässt Subdomains derselben Hauptdomain zu (z. B. news.deinefirma.de und deinefirma.de). Strict (s) verlangt exakte Übereinstimmung. Für den Anfang ist relaxed richtig.

DMARC in Microsoft 365 einrichten

Wie du den Eintrag anlegst, hängt davon ab, mit welcher Domain du sendest.

Fall A: Du sendest nur über die .onmicrosoft.com-Domain

SPF und DKIM sind für deine …onmicrosoft.com-Domain bereits von Microsoft eingerichtet. Den DMARC-Eintrag legst du direkt im Microsoft 365 Admin Center an:

1. Öffne das Microsoft 365 Admin Center (admin.microsoft.com) und gehe über Alle anzeigen → Einstellungen → Domänen zur Domänenübersicht.
2. Klicke auf deine .onmicrosoft.com-Domäne (irgendwo in die Zeile, nicht in das Kontrollkästchen).
3. Wechsle auf die Registerkarte DNS-Einträge und wähle Eintrag hinzufügen.
4. Stelle folgende Werte ein:
   • Typ: TXT (Text)
   • TXT-Name: _dmarc
   • TXT-Wert: v=DMARC1; p=reject (für Berichte erweitern auf v=DMARC1; p=reject; rua=mailto:dmarc@deinefirma.onmicrosoft.com)
   • TTL: 1 Stunde
5. Wähle Speichern.

Fall B: Du sendest über deine eigene Domain (z. B. deinefirma.de)

1. Erst SPF und DKIM sicherstellen. SPF-Eintrag (TXT) für reines Exchange Online: v=spf1 include:spf.protection.outlook.com -all. DKIM aktivierst du im Microsoft Defender-Portal und setzt die beiden vorgegebenen CNAME-Einträge. (Details in der DNS-Grundlagen-Lektion.)
2. DMARC-TXT-Eintrag beim DNS-Hoster anlegen:
   • Hostname: _dmarc (manche Hoster erwarten _dmarc.deinefirma.de)
   • TXT-Wert: v=DMARC1; p=none; pct=100; rua=mailto:dmarc@deinefirma.de
   • TTL: 1 Stunde
3. Mit p=none starten und die Berichte auswerten (siehe nächster Abschnitt), bevor du strenger wirst.

Sicher ausrollen: von none zu reject

Springe nie sofort auf p=reject – sonst riskierst du, dass legitime Mails (z. B. von Newsletter-Tools oder Buchhaltungssystemen) abgewiesen werden. Microsoft empfiehlt einen stufenweisen Weg:

1. Beobachten: mit p=none starten und einige Wochen die Berichte sammeln. So siehst du, welche Quellen tatsächlich in deinem Namen senden.
2. Vorsichtig schärfen: auf p=quarantine wechseln, bei Bedarf zunächst mit kleinem Prozentsatz (pct=10, dann 25, 50, 75, 100).
3. Durchsetzen: auf p=reject erhöhen, sobald keine legitimen Mails mehr scheitern.

Berichte auswerten

Über rua= bekommst du regelmäßig aggregierte Berichte als XML-Datei zugeschickt. Sie listen auf, welche Quellen in deinem Namen gesendet haben und ob SPF/DKIM bestanden wurden. XML ist von Hand schwer lesbar – nutze ein Auswertungswerkzeug, das daraus übersichtliche Berichte macht, z. B. dmarcian, Postmark DMARC oder einen Anbieter aus dem Microsoft-MISA-Katalog. Achte in den Berichten besonders auf:

• Unbekannte Quell-IPs, die in deinem Namen senden – mögliche Fälschungen oder vergessene Dienste.
• Legitime Dienste, die SPF/DKIM nicht bestehen – hier musst du SPF/DKIM nachziehen, bevor du auf reject gehst.

Sonderfälle, die du kennen solltest

• Ungenutzte („geparkte“) Domains: Domains, die gar keine Mails versenden, schützt du mit einem strikten Eintrag v=DMARC1; p=reject;. Das gilt ausdrücklich auch für eine ungenutzte .onmicrosoft.com-Domain.
• Subdomains: Anders als bei SPF und DKIM deckt der DMARC-Eintrag der Hauptdomain automatisch alle Subdomains mit ab. Jede sendende Subdomain braucht aber trotzdem eigene SPF- und DKIM-Einträge. Mit einem eigenen _dmarc-Eintrag auf der Subdomain überschreibst du die Vererbung gezielt.
• Weiterleitungen: Werden Nachrichten unterwegs verändert (z. B. durch Weiterleitungen oder externe Filterdienste), können SPF/DKIM und damit DMARC fälschlich scheitern. Abhilfe schaffen vertrauenswürdige ARC-Sealer, die du im Defender-Portal hinterlegen kannst.

Schnell-Checkliste

1. SPF-Eintrag für die Domain vorhanden und korrekt?
2. DKIM für die Domain aktiviert und signiert?
3. _dmarc-TXT-Eintrag mit p=none und rua= angelegt?
4. Berichte einige Wochen ausgewertet, alle legitimen Quellen sauber?
5. Schrittweise auf p=quarantine und schließlich p=reject erhöht?
6. Ungenutzte Domains mit p=reject abgesichert?

Wenn du diese sechs Punkte erfüllst, ist deine Domain wirksam gegen Spoofing geschützt – und deine legitimen Mails landen zuverlässiger im Postfach statt im Spam.