Einen DMARC-Eintrag prüfen und Richtlinie, Ausrichtung und Berichtsadressen in klaren Worten lesen
Runs in your browser. Only the lookup you start is sent to cloudflare-dns.com or dns.google; nothing else leaves your device.Eine DMARC-Prüfung liest den TXT-Eintrag unter _dmarc gefolgt von einer Domain und sagt, was Empfänger mit Mail tun, die bei SPF und DKIM durchfällt. Die 3 Richtlinien sind none, quarantine und reject; nur die letzten 2 stoppen gefälschte Mail. Berichtsadressen auf einer anderen Domain brauchen dort einen Erlaubniseintrag.
Diese Seite wurde maschinell aus dem englischen Original übersetzt. Die Übersetzung wurde noch von keinem Menschen geprüft; maßgeblich ist die englische Fassung. Englisches Original lesen
Geben Sie die Domain in das Feld Domain ein und drücken Sie DMARC prüfen.
Lesen Sie die Überschrift: Sie nennt die Richtlinie, die für durchgefallene Mail dieser Domain gilt.
Lesen Sie Was dieser Eintrag sagt, um Richtlinie, Ausrichtung und Berichtsadressen in klaren Worten zu sehen.
Prüfen Sie die Funde auf Berichtsadressen bei einer anderen Domain, die dem Empfang von Berichten nicht zugestimmt hat.
Drücken Sie neben dem Eintrag auf Kopieren, um ihn zu kopieren.
Geben Sie eine Domain ein, und die Seite fragt einen öffentlichen DNS-over-HTTPS-Resolver nach dem TXT-Eintrag unter _dmarc. gefolgt von diesem Namen. Der Eintrag wird Tag für Tag gelesen und dann in Sätzen erklärt: was mit durchgefallener Mail geschieht, was für Subdomains gilt, wie streng SPF und DKIM zur From-Adresse passen müssen und wohin die Berichte gehen.
Die Regeln stammen aus RFC 9989, veröffentlicht im Mai 2026, der RFC 7489 als DMARC-Standard abgelöst hat. Zwei Änderungen sind beim Lesen älterer Einträge wichtig. Das Tag pct wurde entfernt: Ältere Empfänger nutzen es weiterhin, um nur auf einen Teil der durchgefallenen Mail zu reagieren, neuere ignorieren es. Ein Tag t=y bedeutet jetzt Testmodus, in dem Empfänger eine Stufe weniger anwenden, als die Richtlinie sagt. Beides wird in Worten gekennzeichnet.
Hat eine Subdomain keinen eigenen Eintrag, suchen Empfänger stattdessen den Eintrag der Organisationsdomain. Diese Seite tut das mit dem DNS-Tree-Walk, den RFC 9989 Abschnitt 4.10 definiert: Sie fragt _dmarc bei jedem kürzeren Namen ab, höchstens 8, und zeigt jeden abgefragten Namen. Es wird keine Public Suffix List verwendet, daher hängt nichts davon ab, dass eine Kopie dieser Liste aktuell ist.
Berichtsadressen auf einer anderen Domain werden auf ihre Erlaubnis geprüft. RFC 9990 Abschnitt 4 verlangt von Empfängern, Berichte nur dann an eine andere Domain zu senden, wenn diese Domain einen TXT-Eintrag unter der Richtliniendomain gefolgt von ._report._dmarc. und dem berichtenden Host veröffentlicht. Ein fehlender Eintrag ist der übliche Grund, warum ein DMARC-Dienst nichts erhält.
Der Generator-Tab schreibt aus Ihren Auswahlen einen Eintrag und nennt den Host, unter dem er zu veröffentlichen ist. Er lässt Tags weg, die ihren Standardwerten entsprechen, und schreibt kein pct.
Was sie nicht tut: Sie liest den Eintrag, nicht Ihre Mail, und kann daher nicht sagen, ob Ihre Nachrichten bestehen. Das sagen Ihnen die täglichen Berichte.
Die Domain, die Sie eingeben, wird an den von Ihnen gewählten Resolver gesendet, weil eine Abfrage sie braucht. Nichts anderes verlässt Ihr Gerät.
Eine Richtlinie p=none bittet Empfänger, Mail, die bei DMARC durchfällt, normal zuzustellen und nur Berichte zu senden. Gefälschte Mail mit dieser Domain erreicht weiterhin Posteingänge. Inhaber nutzen sie einige Wochen, um in den Berichten jeden legitimen Absender zu finden, und wechseln dann zu quarantine und schließlich zu reject.
Nicht unbedingt. Hat eine Subdomain wie mail.example.com keinen Eintrag, verwenden Empfänger den Eintrag der Organisationsdomain example.com und wenden deren sp=-Richtlinie an, falls vorhanden, sonst p=. Eine Subdomain kann einen eigenen Eintrag veröffentlichen, um das zu überschreiben.
Drei übliche Ursachen: Der Eintrag hat keine rua=-Adresse; die Adresse liegt auf einer anderen Domain, die den Erlaubniseintrag unter ihredomain._report._dmarc.derendomain nicht veröffentlicht hat; oder der Eintrag selbst ist ungültig, etwa zwei DMARC-Einträge unter einem Namen, die Empfänger verwerfen. Diese Prüfung testet alle drei.
RFC 9989, der im Mai 2026 RFC 7489 abgelöst hat, hat das Tag pct entfernt. Empfänger, die dem neuen Standard folgen, ignorieren es und wenden die Richtlinie auf alle durchgefallene Mail an; ältere Empfänger beachten es weiterhin. Das neue Tag t=y ist der Ersatz, um eine strengere Richtlinie behutsam zu testen.
Quarantine bittet den Empfänger, durchgefallene Mail als verdächtig zu behandeln, was in der Praxis den Spam- oder Junk-Ordner bedeutet. Reject bittet den Empfänger, die Nachricht schon bei der Zustellung abzulehnen, sodass sie den Empfänger gar nicht erreicht. Beides zählt als Durchsetzung; reject schützt stärker vor gefälschter Mail.
Nur an den öffentlichen DNS-Resolver, den Sie wählen, Cloudflare oder Google, weil eine DNS-Abfrage den Namen braucht. Der Resolver sieht die abgefragten Namen und Ihre IP-Adresse. Nichts anderes verlässt Ihr Gerät, und der Generator-Tab sendet überhaupt nichts.
Kommen Sie nicht weiter? Fragen Sie zu DMARC-Prüfung und jeder, der es weiß, kann antworten. Kein Konto nötig.