DMARC-Richtlinie nicht aktiviert

Ein Tool hat _dmarc für Ihre Domain abgefragt und keine Richtlinie gefunden, die es als solche erkennt. Diese Meldung kann in zwei verschiedenen Situationen auftreten, die unterschiedliche Lösungen erfordern.

Welcher der beiden Fälle bei Ihnen vorliegt

Der Eintrag liegt unter dem Label _dmarc der Domain in Ihrer Absenderadresse, nicht direkt unter der Domain. Eine einzige Abfrage zeigt, welcher Fall bei Ihnen vorliegt.

dig +short TXT _dmarc.example.com

Der DMARC-Prüfer fragt denselben Namen ab und zeigt den Eintrag mit einer Erklärung zu jedem Tag, falls Sie kein Terminal verwenden möchten. Eine leere Antwort bedeutet, dass überhaupt kein Eintrag vorhanden ist. Eine Antwort, die mit v=DMARC1; p=none beginnt, bedeutet, dass ein Eintrag vorhanden ist und Empfänger bei fehlgeschlagener Prüfung keine besonderen Maßnahmen ergreifen sollen. Mehrere Prüfprogramme melden beide Fälle als "not enabled". Daher kommt die Verwirrung. In einem Fall fehlt der Eintrag, im anderen erfüllt er seine erste Aufgabe und sammelt Berichte.

"DMARC Quarantine/Reject policy not enabled" stammt normalerweise von einem Tool, das den Eintrag gefunden hat und p=none beanstandet. Ein bloßes "DMARC policy not enabled" kann beide Fälle meinen. Verlassen Sie sich daher eher auf die Antwort von dig als auf die Formulierung.

Wenn kein Eintrag vorhanden ist ("No DMARC record found")

Veröffentlichen Sie Folgendes auf _dmarc.example.com als TXT-Eintrag:

v=DMARC1; p=none; rua=mailto:dmarc@example.com

p=none weist empfangende Server an, E-Mails, die die Prüfung nicht bestehen, so zu behandeln, wie sie es ohnehin tun würden. rua gibt an, wohin die täglichen aggregierten Berichte gesendet werden. Diese Berichte sind der eigentliche Grund, hiermit zu beginnen: Sie führen jede Quelle auf, die E-Mails im Namen Ihrer Domain sendet, einschließlich des Abrechnungssystems, das jemand 2019 eingerichtet hat, und des E-Mail-Dienstleisters, bei dem sich ein Kollege letzten Monat angemeldet hat.

Warten Sie einen Tag, bis sich der Eintrag verbreitet hat, und prüfen Sie ihn dann erneut mit derselben dig-Zeile.

Wo der Eintrag angelegt wird

Beim DNS-Hoster der Domain, der nicht immer mit dem E-Mail-Anbieter identisch ist. Google Workspace, Microsoft 365 und Zoho Mail weisen Sie darauf hin, DMARC zu veröffentlichen, veröffentlichen den Eintrag für eine benutzerdefinierte Domain aber nicht selbst. Er wird dort angelegt, wo die DNS-Einträge der Domain verwaltet werden.

Viele Verwaltungsoberflächen hängen die Domain automatisch an Ihre Eingabe im Namensfeld an. Dort geben Sie nur _dmarc ein. Wenn Sie in einer solchen Oberfläche _dmarc.example.com eingeben, entsteht _dmarc.example.com.example.com, ein Eintrag, den kein empfangender Mailserver jemals abfragt. Wenn die Prüfung nach einem Tag weiterhin meldet, dass DMARC nicht aktiviert ist, sollten Sie dies zuerst prüfen.

Ein verbliebener zweiter v=DMARC1-Eintrag unter demselben Namen macht beide ungültig. Die Seite zum Fehler 554 5.7.5 erklärt, welche Folgen das bei Outlook hat.

Wenn im Eintrag p=none steht

Dann ist DMARC veröffentlicht, und Sie befinden sich in der Phase, in der Sie Berichte auswerten. Belassen Sie es dabei, bis die Berichte alle Dienste erfassen, die in Ihrem Namen senden. Wechseln Sie dann zu p=quarantine und später, falls gewünscht, zu p=reject.

Wenn Sie die Richtlinie zu früh verschärfen, gehen echte E-Mails verloren. Ein Helpdesk, das Antworten mit der eigenen From-Adresse des Kunden weiterleitet, oder ein Umfragetool, das von seinen eigenen Servern aus mit Ihrer Domain sendet, besteht die DMARC-Prüfung nicht mehr, sobald die Richtlinie verschärft wird. Oft wusste niemand, dass dieser Versandweg existierte, bis die E-Mails nicht mehr ankamen.

Warum sich das überhaupt lohnt

Seit Februar 2024 verlangen Gmail und Yahoo von allen Absendern, die ihnen Massen-E-Mails senden, einen DMARC-Eintrag für die From-Domain. p=none erfüllt diese Anforderung. Seit November 2025 verschärft Gmail die Durchsetzung bei E-Mails, welche die Anforderungen nicht erfüllen. Laut Google müssen Absender mit Beeinträchtigungen bis hin zu vorübergehenden und dauerhaften Ablehnungen rechnen.

Die Richtlinie greift nur, wenn weder SPF noch DKIM mit der Domain übereinstimmen, die Ihre Empfänger sehen. RFC 9989 formuliert es genau: Eine Nachricht ohne übereinstimmende Kennung besteht die Prüfung nicht. Was danach geschieht, hängt davon ab, was Sie mit Ihrem p=-Tag festgelegt haben.

Zwei Details, die oft Probleme verursachen

Einträge, die mit pct=50 schrittweise eingeführt wurden, basierten auf einem Tag, den der aktuelle Standard abgeschafft hat. Wenn Ihr Eintrag dieses Tag enthält, lesen Sie vor der nächsten Änderung Anhang A.6 von RFC 9989. Empfänger haben andere Werte als 0 und 100 uneinheitlich angewendet. Daher wurde wahrscheinlich nie genau die Hälfte wie beabsichtigt unter Quarantäne gestellt.

Für Subdomains gibt es eigene Tags. sp= legt die Richtlinie für vorhandene Subdomains fest, und das neue np= gilt nur für Namen, die überhaupt nicht in DNS existieren, also für Namen, die ein Spammer beliebig erfinden kann. Ohne np= gilt für diese Namen sp=, und ohne sp= gilt p=. Eine Domain mit p=reject und ohne diese beiden Tags deckt sie daher bereits ab.

Was dieser Test kostet

Unser Bericht zieht 14 von 100 Punkten ab, wenn kein DMARC-Eintrag vorhanden ist, und weitere 6 Punkte, wenn die Nachricht wie ein Massenmailing aussieht, weil dann die Regeln für Massenversender gelten. Beim klassischen Zehn-Punkte-Score gibt es dafür keinen Abzug. Das ist einer der Fälle, in denen die beiden Werte bewusst voneinander abweichen, da die klassische Methode älter als diese Regeln ist.

Die beiden Fälle vom Anfang dieser Seite führen im Bericht zu unterschiedlichen Ergebnissen. Ein fehlender Eintrag ergibt eine fehlgeschlagene Prüfung mit der Überschrift „Kein DMARC-Eintrag“. Ein Eintrag mit p=none erzeugt die Warnung „DMARC-Richtlinie ist p=none“, daneben werden der Eintrag und seine rua-Adresse angezeigt. Die Warnung kostet 6 Punkte. Bei einem Massenmailing schlägt zusätzlich eine zweite Prüfung fehl: „DMARC-Richtlinie muss durchgesetzt werden“. Dafür werden weitere 6 Punkte abgezogen. Weitere Informationen zu dieser Prüfung finden Sie unter DMARC-Ergebnis.