DMARC erklärt – E-Mail-Authentifizierung einfach
DMARC steht für Domain-based Message Authentication, Reporting and Conformance. Es ist ein technisches Protokoll, das SPF und DKIM zusammenbringt und festlegt, was mit E-Mails passieren soll, die keine dieser Prüfungen bestehen.
Warum braucht man DMARC, wenn es schon SPF und DKIM gibt?
SPF und DKIM schützen jeweils unterschiedliche Teile einer E-Mail. DMARC überprüft, ob diese Schutzmechanismen auch auf den sichtbaren „From"-Header angewendet werden — also die Adresse, die Sie in Ihrem E-Mail-Programm sehen. Außerdem legt DMARC fest, was bei einem Fehlschlag passieren soll.
Die drei DMARC-Policies
- none: Nur Monitoring. E-Mails werden zugestellt, auch wenn sie die Prüfung nicht bestehen. Das Unternehmen erhält Berichte.
- quarantine: E-Mails, die die Prüfung nicht bestehen, landen im Spam-Ordner.
- reject: E-Mails, die die Prüfung nicht bestehen, werden komplett abgelehnt.
Seriöse Unternehmen wie Banken und große Online-Dienste sollten idealerweise reject verwenden, um maximalen Schutz zu bieten.
Was bedeutet DMARC für Sie als Nutzer?
Wenn eine Bank oder ein Online-Dienst DMARC mit „reject" konfiguriert hat, können Betrüger keine E-Mails in deren Namen versenden, ohne entdeckt zu werden — zumindest nicht mit derselben Domain. Das reduziert erfolgreiches Spoofing erheblich.
Als Nutzer profitieren Sie automatisch, wenn Ihr E-Mail-Anbieter DMARC-Prüfungen durchführt und wenn die sendende Domain eine strikte DMARC-Policy hat.
DMARC schützt nicht vor allem
DMARC schützt vor dem Spoofing der exakten Domain. Betrüger weichen auf Lookalike-Domains aus (z.B. sp4rkasse.de statt sparkasse.de) — gegen die DMARC nicht hilft. Deshalb bleibt das Prüfen der Domain-Adresse wichtig.
Verdächtige Links prüfen
Links aus E-Mails können auf Phishing-Seiten führen, auch wenn DMARC bestanden wurde. Prüfen Sie sie mit 2check.click.
Häufig gestellte Fragen
Verhindert DMARC Phishing vollständig?
Nein. DMARC verhindert das Spoofing einer Domain, die DMARC implementiert hat. Aber Betrüger nutzen andere Domains oder Lookalike-Domains und senden von dort. Technische Schutzmaßnahmen und persönliche Vorsicht sind beide notwendig.
Wie erkenne ich, ob eine E-Mail DMARC bestanden hat?
Im E-Mail-Header finden Sie „Authentication-Results" mit einem Eintrag für DMARC. Die meisten E-Mail-Anbieter führen diese Prüfungen im Hintergrund durch, ohne sie dem Nutzer direkt anzuzeigen.
Was ist der Unterschied zwischen DMARC, SPF und DKIM?
SPF prüft, ob der sendende Server autorisiert ist. DKIM prüft, ob die E-Mail unverändert ist. DMARC kombiniert beide und legt fest, was bei Fehlern passiert. Alle drei zusammen bieten den besten Schutz.