DMARC für Microsoft 365 einrichten: sicher von none zu reject

Vorher prüfen

Gib deine Domain im DMARC-Check ein. Du siehst, ob schon ein Eintrag existiert und welche Regel er nutzt. Manchmal hat der Hoster oder eine frühere Agentur bereits etwas angelegt.

DMARC baut auf SPF und DKIM auf. Prüf deshalb vorher mit dem Mail-Test, ob Absender bestätigt und Mail unterschrieben grün sind. Was DMARC genau macht, erklärt Was ist DMARC?.

Schritt für Schritt

1. SPF und DKIM fertig machen. Wenn eines davon fehlt, richte es zuerst ein: SPF-Eintrag für Microsoft 365 und DKIM in Microsoft 365. Gerade DKIM ist bei Microsoft 365 oft nie eingeschaltet worden.

Liegt deine Domain bei STRATO, ist dort oft schon eine automatische DMARC-Regel aktiv. Die musst du erst abschalten, bevor dein eigener Eintrag gilt. Wie das geht, steht in DMARC bei STRATO.

2. Berichtspostfach anlegen. Empfänger schicken dir über DMARC regelmäßig Berichte, welche Server in deinem Namen Mails verschickt haben. Microsoft rät, dafür ein eigenes Postfach oder eine Microsoft-365-Gruppe zu nehmen, nicht das Postfach einer Person. Zum Beispiel dmarc@deine-domain.de.

3. Eintrag beim Domain-Anbieter anlegen. Den DMARC-Eintrag setzt du dort, wo deine DNS-Einstellungen liegen. Leg einen TXT-Eintrag an:

• Host / Name: _dmarc
• Typ: TXT
• Wert:

v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de

p=none heißt: Empfänger stellen weiter alles zu, schicken dir aber Berichte. So siehst du, ob noch ein Versender fehlt, bevor etwas blockiert wird.

Die Klicks bei deinem Hoster findest du hier: DMARC bei IONOS, DMARC bei STRATO, DMARC bei ALL-INKL, Hetzner.

4. Berichte lesen und verschärfen. Microsoft nennt keine feste Dauer für diese Phase und rät nur, die Berichte am Anfang wöchentlich zu prüfen. Google empfiehlt mindestens eine Woche. Wir raten zu ein paar Wochen, damit auch seltene Versender wie Rechnungs- oder Buchungsmails auftauchen. Wenn in den Berichten nur noch deine echten Versender auftauchen und alle bestehen, stellst du um auf:

v=DMARC1; p=quarantine; rua=mailto:dmarc@deine-domain.de

Mails, die durchfallen, landen dann im Spam. Läuft das stabil, folgt der letzte Schritt:

v=DMARC1; p=reject; rua=mailto:dmarc@deine-domain.de

Warum nicht gleich streng? Bei quarantine oder reject schickt Microsoft eigene Mails, die DMARC nicht bestehen, über einen Pool für riskante Absender. Das lässt sich laut Microsoft nicht abschalten. Ein vergessener Versender fällt dann doppelt auf. Mit dem Umweg über none siehst du solche Lücken vorher in den Berichten.

Microsoft beschreibt zusätzlich einen noch sanfteren Weg mit pct. Damit gilt die Regel zuerst nur für einen Teil der Mails, etwa pct=10, dann 25, 50, 75 und 100.

Sonderfall: Newsletter-Tool oder Kontaktformular

Jede Mail mit deiner Absenderadresse muss DMARC bestehen, also auch Newsletter und Formular-Mails. Dafür braucht der Dienst SPF oder DKIM mit deiner Domain. Prüf das in den DMARC-Berichten, bevor du auf quarantine gehst.

Microsoft empfiehlt, Massen-Mails über eine Subdomain wie news.deine-domain.de zu schicken. Subdomains erben die DMARC-Regel deiner Hauptdomain, können aber eine eigene bekommen.

Ein praktischer Weg: Die Subdomain bekommt zuerst p=none, während deine Hauptdomain schon auf quarantine steht. So schützt du deine Geschäftsmails, ohne dass ein falsch eingerichteter Newsletter sofort im Spam landet.

Hast du Domains, die gar keine Mails verschicken, schützt du sie mit einer strengen Regel. Microsoft nennt dafür v=DMARC1; p=reject; ohne Berichtsadresse. So kann niemand mit diesen Domains Mails in deinem Namen fälschen.

Das gilt laut Microsoft auch für deine Adresse auf onmicrosoft.com, wenn du darüber nichts verschickst. Diesen Eintrag setzt du ausnahmsweise im Microsoft 365 Admin Center: Alle anzeigen > Einstellungen > Domänen, dort die Domain auf onmicrosoft.com anklicken, Reiter DNS-Einträge, neuen Eintrag hinzufügen. Typ TXT (Text), TXT-Name _dmarc, TXT-Wert v=DMARC1; p=reject, dann Speichern.

Danach testen

Prüf den neuen Eintrag im DMARC-Check. Dann schick eine Mail aus Outlook an den Mail-Test. Der Prüfpunkt Schutzregel zeigt, ob DMARC gefunden wird und ob deine Mail besteht. Weitere Anbieter findest du unter Anleitungen pro Anbieter.

Typische Fehler und Lösungen

Problem	Ursache	Lösung
Kein DMARC gefunden	Host falsch, etwa _dmarc.deine-domain.de.deine-domain.de	Bei Hostern, die die Domain anhängen, nur _dmarc eintragen
„permerror“	Zwei _dmarc-Einträge oder Tippfehler	Nur einen Eintrag behalten, Semikolons prüfen
Keine Berichte kommen an	Postfach existiert nicht oder liegt auf fremder Domain	Postfach anlegen; bei fremder Domain braucht diese einen Freigabe-Eintrag
Newsletter landet im Spam	Tool besteht DMARC nicht	DKIM für das Tool einrichten, Regel zurück auf p=none bis es passt