Ein DMARC-Eintrag allein schützt nicht: p=none stoppt nichts

Ein _dmarc-TXT-Eintrag allein schützt die Domain nicht. Die häufigste Policy lautet v=DMARC1; p=none;. Damit sagen Sie Empfängern: fehlgeschlagene Authentifizierung bitte nicht in unserem Namen abweisen. Sie sehen Berichte — Spoofing stoppen Sie nicht.

Unter den Top-1M-Domains bleibt etwa die Hälfte der DMARC-Publisher ohne Enforcement (quarantine/reject bei pct=100). Messungen Mitte 2026 zeigten sogar einen leichten Rückgang der strengen Policies nach dem Bulk-Sender-Druck 2024. Viele Domains haben „einen Record“ und sind stehen geblieben. Hier ist der Ausstieg aus Monitor-only.

Was p=none wirklich tut

Mit rua kommen Aggregatberichte. Empfänger können gefälschte Mails trotzdem zustellen oder als Spam markieren — Ihre Policy verlangt kein Reject. BIMI akzeptiert p=none nicht: Gmail will quarantine oder reject mit pct=100.

Zuerst SPF und DKIM ausrichten

DMARC besteht, wenn SPF oder DKIM greifen und die authentifizierte Domain mit dem From übereinstimmt. Bei EuroVDC Corporate Email zeigt MX auf securemail.eurovdc.eu (Prio 10), typisches SPF: v=spf1 mx ip4:45.84.90.12 -all, DKIM oft unter dkim._domainkey. Details: SPF, DKIM, DMARC und Zustellbarkeit.

Rechnungs- oder Marketingdienste, die unter Ihrem From senden, brauchen ebenfalls Alignment. Sonst verwerfen Sie mit p=reject die eigenen Belege.

Zwei Wochen Berichte lesen

Mailbox wie rua=mailto:dmarc@ihredomain.de anlegen. XML-Zusammenfassungen: bekannte Absender versus Phishing. Sauberes Fenster → härten.

Enforcement über pct steigern

1. p=quarantine; pct=10;
2. dann pct=50, dann pct=100
3. zuletzt p=reject; pct=100;

Nach DNS-Änderungen im EuroVDC-Panel TTL beachten. Zonen auf ns1.eurovdc.eu / ns2.eurovdc.eu werden dort veröffentlicht.

Typische Fallen

• SPF mit ~all und DMARC reject — für Firmspostfächer eher -all.
• Nur Apex rejecten, Subdomains ohne eigene Policy.
• rua nie lesen — dann ist p=none nutzlos.

EU-Postfächer in Sofia: Firmen-E-Mail.

FAQ

Ist p=none gesetzlich Pflicht?

Nein. Bulk-Sender zu Gmail brauchen mindestens einen DMARC-Record. Quarantine/reject ist Sicherheit, nicht dasselbe Minimum.

Was braucht BIMI?

p=quarantine oder p=reject und pct=100. Mit p=none erscheint kein Logo.

Keine Berichte?

Fehlendes rua, kaputte TXT-Syntax oder zu wenig Traffic. _dmarc per dig prüfen.

Dürfen Webhosting und Mail-DNS getrennt sein?

Ja, solange SPF/DKIM/DMARC in der Zone der From-Domain liegen.

Muss pct=100 bei reject stehen?

Ohne pct gilt 100 %. Explizites pct=100 hilft BIMI und Klarheit.