DMARC einfach erklärt für KMU
Was DMARC, SPF und DKIM sind, warum Ihre Firma sie braucht und wie Sie DMARC in vier Schritten einrichten. Verständlich für KMU ohne eigene IT.
Stellen Sie sich vor, einer Ihrer Kunden erhält eine E-Mail von «buchhaltung@ihre-firma.ch». Darin steht, Ihre Bankverbindung habe geändert, bitte die offene Rechnung auf ein neues Konto überweisen. Die E-Mail sieht echt aus. Sie stammt aber nicht von Ihnen.
Solche gefälschten Absender sind technisch erstaunlich einfach. Die gute Nachricht: Mit drei Einträgen bei Ihrer Domain machen Sie es Betrügern deutlich schwerer. Sie heissen SPF, DKIM und DMARC. In diesem Artikel erklären wir, was sie tun, ohne Fachchinesisch.
Das Problem: E-Mail wurde ohne Ausweis erfunden
E-Mail ist über 40 Jahre alt. Als sie erfunden wurde, hat niemand an Betrüger gedacht. Den Absender einer E-Mail kann man darum ähnlich frei hineinschreiben wie den Absender auf einem Briefumschlag. Der Empfänger sieht «ihre-firma.ch» und vertraut der Nachricht.
SPF, DKIM und DMARC sind nachträglich eingeführte Ausweise. Sie helfen dem empfangenden Mailserver, echte E-Mails von gefälschten zu unterscheiden.
Die drei Bausteine einfach erklärt
SPF: die Liste der erlaubten Absender. Mit SPF veröffentlichen Sie, welche Server E-Mails für Ihre Domain verschicken dürfen. Zum Beispiel Microsoft 365 und Ihr Newsletter-Tool. Kommt eine E-Mail von einem anderen Server, fällt sie bei der Prüfung durch.
DKIM: das Siegel auf dem Brief. Mit DKIM bekommt jede ausgehende E-Mail eine digitale Unterschrift. Der Empfänger kann prüfen, ob die E-Mail wirklich von Ihrem System stammt und unterwegs nicht verändert wurde.
DMARC: die Anweisung an den Empfänger. DMARC verbindet die beiden. Es prüft, ob der Absender, den Ihr Kunde sieht, zu SPF oder DKIM passt. Und Sie legen fest, was mit E-Mails passieren soll, die durchfallen. Zusätzlich bekommen Sie Berichte, wer alles E-Mails in Ihrem Namen verschickt.
Ohne DMARC entscheidet jeder Empfänger selbst, was er mit einer verdächtigen E-Mail macht. Mit DMARC geben Sie die Regel vor.
Die drei DMARC-Stufen
Ein DMARC-Eintrag ist eine Zeile Text bei Ihrer Domain. Der wichtigste Teil ist die Regel, im Fachjargon «Policy»:
| Einstellung | Bedeutung | Wann sinnvoll |
|---|---|---|
| p=none | Nur beobachten, nichts blockieren | Zum Start, die ersten Wochen |
| p=quarantine | Verdächtige E-Mails landen im Spam | Wenn alle echten Absender sauber eingetragen sind |
| p=reject | Verdächtige E-Mails werden abgelehnt | Das Ziel, voller Schutz |
Ein einfacher Starteintrag sieht so aus:
_dmarc.ihre-firma.ch TXT "v=DMARC1; p=none; rua=mailto:dmarc@ihre-firma.ch"Der Teil rua= gibt an, wohin die Berichte gehen. Diese Berichte sind technisch und schwer lesbar. Dafür gibt es Auswertungsdienste, oder Ihr IT-Partner liest sie für Sie.
Wichtig: p=none schützt noch nicht vor Fälschungen. Es ist nur der erste Schritt. Echten Schutz bringt erst quarantine oder reject.
Warum DMARC jetzt Pflicht wird
Die grossen E-Mail-Anbieter haben die Regeln verschärft:
- Google und Yahoo verlangen seit Februar 2024 von Absendern, die mehr als 5’000 E-Mails pro Tag an ihre Kunden schicken, SPF, DKIM und einen DMARC-Eintrag. Von allen anderen Absendern verlangt Google mindestens SPF oder DKIM.
- Microsoft hat für Outlook.com im April 2025 ähnliche Regeln für Absender mit mehr als 5’000 E-Mails pro Tag angekündigt. Seit Mai 2025 landen E-Mails von solchen Absendern ohne SPF, DKIM und DMARC im Spam.
Die meisten KMU verschicken weniger als 5’000 E-Mails pro Tag. Trotzdem lohnt sich ein sauberer Eintrag: Er schützt Ihren Namen vor Missbrauch, und E-Mails von gut eingerichteten Domains kommen zuverlässiger an.
In vier Schritten zu DMARC
1. Alle Absender auflisten. Wer verschickt E-Mails mit Ihrer Domain? Typisch sind Microsoft 365 oder Google Workspace, ein Newsletter-Tool, die Buchhaltung für Rechnungen, das Kontaktformular der Website und vielleicht ein Webshop. Diese Liste ist der wichtigste Schritt.
2. SPF und DKIM für jeden Absender einrichten. Jeder dieser Dienste hat eine Anleitung dazu. Meistens sind es ein bis zwei Einträge bei Ihrer Domain. Achtung: Es darf nur einen SPF-Eintrag geben. Mehrere Dienste werden in derselben Zeile zusammengefasst.
3. DMARC mit p=none starten. Setzen Sie den Eintrag wie oben und lesen Sie einige Wochen lang die Berichte. Sie sehen dann, ob ein Absender vergessen ging.
4. Schrittweise verschärfen. Wenn alle echten Absender sauber durchkommen, stellen Sie auf quarantine und später auf reject. So schützen Sie Ihre Domain, ohne eigene E-Mails zu blockieren.
Häufige Fehler
- Zu schnell auf reject. Dann landen plötzlich die Rechnungen aus der Buchhaltung beim Kunden nicht mehr.
- Für immer auf none. Viele Firmen richten DMARC ein und vergessen den nächsten Schritt. Dann ist der Eintrag zwar da, schützt aber nicht.
- Zwei SPF-Einträge. Das macht SPF ungültig, und die Prüfung schlägt fehl.
- Domains ohne E-Mail vergessen. Auch Domains, die keine E-Mails verschicken, können gefälscht werden. Für sie gibt es einen einfachen Eintrag, der sagt: «Von hier kommt nie eine E-Mail.»
DMARC allein reicht nicht
DMARC schützt vor E-Mails mit Ihrer genauen Domain. Gegen ähnlich aussehende Domains, etwa «ihre-flrma.ch» statt «ihre-firma.ch», hilft es nicht. Das Bundesamt für Cybersicherheit (BACS) empfiehlt darum zusätzlich, bei unerwarteten Zahlungsaufforderungen telefonisch nachzufragen. Und zwar nicht über die Nummer in der E-Mail, sondern über eine Nummer, die Sie selbst herausgesucht haben.
Lassen Sie Ihre Domain prüfen
Sie wissen nicht, ob Ihre Domain SPF, DKIM und DMARC richtig eingerichtet hat? In unserem Sicherheitscheck für CHF 390 prüfen wir genau das, zusammen mit Website, Domain und Spam-Listen. Alles von aussen, Sie geben uns nur Ihre Domain. Sie bekommen einen verständlichen Bericht mit den nötigen Schritten. Die Einrichtung übernehmen wir auf Wunsch nach Aufwand, zu CHF 120 pro Stunde. Mehr zum Ablauf und zu den Paketen finden Sie auf unserer Seite IT-Beratung und Sicherheitscheck für KMU.
Was ein Sicherheitscheck sonst noch prüft, lesen Sie in unserem Artikel IT-Sicherheitscheck für KMU: Was er kostet und was er bringt.
Quellen: RFC 7489: DMARC, Google: Richtlinien für E-Mail-Absender, Microsoft: Outlook-Anforderungen für Absender mit hohem Volumen, 2. April 2025, BACS: Erste Schritte für Unternehmen. Stand: 22. Oktober 2026.
Häufige Fragen
Was ist DMARC in einem Satz?
DMARC ist ein Eintrag bei Ihrer Domain, der anderen Mailservern sagt, was sie mit E-Mails tun sollen, die angeblich von Ihrer Firma kommen, aber die Echtheitsprüfung nicht bestehen.
Brauche ich DMARC als kleine Firma?
Ja. Ohne DMARC können Betrüger viel leichter E-Mails mit Ihrer Absenderadresse verschicken, zum Beispiel gefälschte Rechnungen an Ihre Kunden. Gmail, Yahoo und Outlook.com verlangen DMARC zudem von Absendern, die mehr als 5'000 E-Mails pro Tag verschicken. Auch für kleinere Absender hilft ein sauberer Eintrag, damit Ihre E-Mails nicht im Spam landen.
Was bedeuten p=none, p=quarantine und p=reject?
Das ist die Regel, die Sie den Empfängern geben. none heisst nur beobachten, nichts blockieren. quarantine heisst verdächtige E-Mails in den Spam-Ordner legen. reject heisst verdächtige E-Mails ganz ablehnen. Man startet mit none und verschärft schrittweise.
Kann DMARC meine eigenen E-Mails blockieren?
Ja, wenn man zu schnell auf reject stellt. Newsletter-Tools, Buchhaltungsprogramme oder Webshops verschicken oft E-Mails in Ihrem Namen. Diese müssen zuerst in SPF oder DKIM eingetragen sein. Deshalb startet man mit p=none und liest einige Wochen lang die Berichte.
Wie prüfe ich, ob meine Domain DMARC hat?
Sie können den DNS-Eintrag _dmarc.ihre-firma.ch mit einem kostenlosen Online-Tool abfragen. In unserem Sicherheitscheck für CHF 390 prüfen wir SPF, DKIM und DMARC und sagen Ihnen, was fehlt und was zu tun ist.
Zuletzt aktualisiert: 25. Oktober 2026