p=quarantine oder p=reject: welches wählen?

Von Thomas · virtueller CISO · 2026-07-20

Sobald DMARC in Überwachung (p=none) läuft und die Quellen ausgerichtet sind, bleibt eine Entscheidung, die viele Organisationen blockiert: verschärfen auf quarantine oder auf reject? Beide sind durchsetzende Policies — sie fordern die Empfänger auf, auf Post zu reagieren, die die Authentifizierung nicht besteht. Aber sie handeln nicht auf dieselbe Weise, und die richtige Wahl hängt weniger von der Theorie ab als vom realen Risikoprofil der Domain. Dieser Leitfaden vergleicht beide, beschreibt, was die Empfänger wirklich mit jeder machen, und schlägt einen Entscheidungsrahmen vor.

Sind die Quellen noch nicht ausgerichtet, fällt die Entscheidung zu früh: Der Einstieg ist dann die Eignungs-Checkliste für p=reject, und danach dieser Artikel. Was folgt, setzt saubere Berichte voraus und dass die einzige verbleibende Frage lautet „wie weit verschärfen".

Was `p=quarantine` tut

p=quarantine fordert den Empfänger auf, die fehlgeschlagene Post als verdächtig zu behandeln: konkret, sie in den Spam-Ordner zu legen statt in den Posteingang. Die Nachricht wird nicht zerstört; sie existiert noch irgendwo, in Reichweite des Empfängers, falls er sie holen geht.

Das ist die erste echte Stufe nach none. Sie bietet greifbaren Schutz — eine im Namen der Domain gefälschte E-Mail landet nicht mehr im Posteingang — bleibt aber in ihren Konsequenzen umkehrbar: Wurde eine legitime Quelle übersehen, gehen ihre Nachrichten in den Spam, unangenehm, aber wiederherstellbar. Niemand verliert endgültig eine Rechnung oder einen Passwort-Reset; sie liegt nur am falschen Ort. Genau dieses Netz macht quarantine psychologisch leichter zu veröffentlichen.

Was `p=reject` tut

p=reject fordert den Empfänger auf, die fehlgeschlagene Post schon bei der SMTP-Transaktion abzuweisen. Die Nachricht kommt nirgends an — weder im Posteingang noch im Spam. Der Absender erhält eine Ablehnung; der Empfänger sieht nie etwas. Das ist die maximale Durchsetzung: die im Namen der Domain gefälschte Post wird eliminiert, bevor sie auf Empfängerseite existiert.

Das ist das Ziel der meisten DMARC-Deployments, und aus gutem Grund: reject ist die einzige Policy, die dem Betrüger seinen Kanal wirklich entzieht. Bei quarantine kann eine gut gemachte Phishing-Mail noch von einem eiligen Nutzer aus dem Spam gefischt werden; bei reject existiert sie nicht. Die Kehrseite ist das Fehlen eines Netzes: Wenn eine legitime Quelle fehlschlägt, gehen ihre Nachrichten stillschweigend verloren, ohne Spam-Ordner, in dem man sie wiederfindet. Daher die Bedeutung, mit nachweislich sauberen Berichten bei reject anzukommen.

Der wahre Abwägungspunkt: Fehlalarme gegen Schutzstärke

Die ganze Entscheidung liegt in einer Spannung: Je härter die Policy, desto mehr schützt sie, aber desto höher sind die Kosten eines Ausrichtungsfehlers.

Bei quarantine kostet eine vergessene Quelle eine E-Mail im Spam — ein sichtbarer, umkehrbarer Zwischenfall, den ein Nutzer melden kann.
Bei reject kostet dieselbe vergessene Quelle eine verschwundene E-Mail — ein potenziell unsichtbarer Zwischenfall, bis ein Kunde sich beschwert, seine Bestätigung nie erhalten zu haben.

Es geht also nicht darum, „welche Policy die beste ist" im Absoluten (reject gewinnt beim Schutz immer), sondern „welche Policy meiner Fähigkeit entspricht, zu garantieren, dass meine Berichte sauber sind". Eine Domain mit einfachem und stabilem Versand-Ökosystem kann direkt auf reject gehen. Eine Domain mit zwanzig Dienstleistern, Tochtergesellschaften und einer Vorgeschichte von Überraschungen tut gut daran, bei quarantine zu verweilen, um Vertrauen aufzubauen.

Wann `quarantine` ein gutes Ziel ist — und nicht nur eine Etappe

Die klassische Sicht behandelt quarantine als einfache Zwischenstufe zu reject. Das stimmt in der Mehrheit der Fälle. Aber es gibt Situationen, in denen es eine legitime Wahl ist, (vorübergehend) bei quarantine zu bleiben, keine Zaghaftigkeit:

Komplexes und bewegliches Versand-Ökosystem. Wenn regelmäßig neue Quellen auftauchen (große dezentrale Organisation, zahlreiche Tochtergesellschaften), hat das Netz des Spam-Ordners einen echten betrieblichen Wert, solange man das Inventar stabilisiert.
Sehr geringe Toleranz gegenüber stillem Verlust. Manche Flüsse (Kundensupport, kritische Benachrichtigungen) sind so sensibel, dass eine spurlos verlorene E-Mail teurer ist als eine gemeldete E-Mail im Spam.
Vertrauensaufbau-Phase. Einige Tage — manchmal einige Wochen — bei quarantine vor reject zu verbringen ist eine gesunde Praxis, kein Eingeständnis von Schwäche.

Die Nuance zählt: quarantine kann ein bewusst gewähltes Übergangsziel sein, aber unbegrenzt bei quarantine zu bleiben heißt, eine Tür angelehnt zu lassen, da manche Empfänger den Spam trotzdem an den Nutzer ausliefern.

Wann `reject` sich aufdrängt

Umgekehrt rechtfertigen mehrere Kontexte, ohne Zögern bis reject zu gehen:

Marke mit hohem Fälschungswert — Banken, E-Commerce, öffentlicher Sektor, jede Domain, deren Name eine Währung für Betrüger ist. Die detaillierte Erzählung auf Bankenseite findet sich in DMARC für Banken.
Nachweislich saubere Berichte seit mehreren Wochen, ohne eine legitime Quelle im Fehlschlag. Das Fehlalarm-Risiko ist dann quasi null, und bei quarantine zu bleiben verlängert nur die Exposition.
Compliance- oder Partneranforderung, die die strenge Durchsetzung vorschreibt.

In diesen Fällen ist quarantine nur eine Verifizierungsschleuse von wenigen Tagen, kein Ziel.

Was die Empfänger wirklich tun

Ein Detail, das viele ignorieren: Nicht alle Empfänger behandeln quarantine auf dieselbe Weise. Manche respektieren es strikt (Spam-Ordner); andere wenden es aggressiver an, nahe einer Ablehnung; wieder andere sind laxer. Die praktische Folge: quarantine schützt weniger gleichmäßig als reject. Bei reject ist die Anweisung eindeutig und das Verhalten der großen Anbieter kohärent. Das ist ein weiteres Argument, sich nicht bei quarantine aufzuhalten, wenn nichts dazu zwingt.

Zu beachten ist auch, dass die angewandte Policy von der beobachteten Ausrichtung abhängt, die sich in Ruhe in den aggregierten DMARC-Berichten prüfen lässt: Sie nennen, Empfänger für Empfänger, welche Disposition tatsächlich getroffen wurde.

Ein oft vergessenes Kriterium: BIMI

Gehört es zu den Zielen, das eigene Logo in den Posteingängen (BIMI) anzuzeigen, ist die Frage von vornherein entschieden: BIMI erfordert eine durchsetzende Policy (quarantine oder reject, und viele Ökosysteme verlangen reject). Bei none zu bleiben schließt von BIMI aus; das ist ein konkretes Business-Argument, den Policy-Anstieg abzuschließen, über die reine Sicherheit hinaus.

Ein konkretes Beispiel

Nehmen wir zwei Domains mit gegensätzlichen Profilen.

Die erste ist die einer Beratungskanzlei mit zehn Personen. Sie versendet von einer einzigen Plattform (Google Workspace) plus einem Rechnungstool. Zwei Quellen, beide an einem Nachmittag per DKIM ausrichtbar. Die Berichte sind in drei Wochen sauber, ohne eine einzige legitime IP im Fehlschlag. Hier bringt es nichts, bei quarantine zu verweilen: Das Fehlalarm-Risiko liegt nahe null, das Ökosystem bewegt sich nicht, und jeder Tag unterhalb von reject ist ein Tag, an dem ein Phishing noch im Spam eines Kunden landen kann. Entscheidung: quarantine für ein Wochenende zur Prüfung, dann reject.

Die zweite ist eine Gebietskörperschaft mit fünfzehn Fachbereichen, von denen jeder historisch seine eigenen Tools angeschlossen hat (Newsletter, Bürgerwarnungen, HR-Plattformen, Event-Dienstleister). Das Inventar ist nie ganz fertig; jedes Quartal taucht eine neue Quelle auf. Hier ist das Netz des Spam-Ordners Gold wert: zu schnell auf reject zu gehen würde spurlos die E-Mail eines Fachbereichs verschwinden lassen, den man vergessen hatte. Entscheidung: quarantine als bewusst gewähltes Ziel über mehrere Monate, um das Inventar zuverlässig zu machen, dann reject, sobald der Fluss stabilisiert ist — ohne je zu vergessen, dass quarantine eine angelehnte Tür bleibt.

Derselbe Standard, dieselbe Sequenz, zwei verschiedene Rhythmen — weil das Risikoprofil eben unterschiedlich ist.

Häufige Fehler

quarantine und „noch nicht entschieden" verwechseln. Viele Domains bleiben jahrelang aus Trägheit bei quarantine, nicht aus Wahl. Wenn nichts dazu zwingt, dort zu verweilen, ist es eine kostenlose Exposition.
Auf einer Momentaufnahme auf reject gehen. Ein Schnappschuss sauberer Berichte reicht nicht: Es braucht einen Trend über mehrere Wochen, um die monatlichen Absender zu erfassen. Das Thema wird in der Eignungs-Checkliste behandelt.
Die Subdomain-Policy vergessen. Die Root zu verschärfen, ohne sp und np einzustellen, lässt Angreifern eine Seitentür — siehe die Subdomain-Policy (sp und np).
Glauben, dass reject alles abdeckt. Es stoppt die direkte Fälschung der eigenen Domain, nicht die ähnlich aussehenden Domains und nicht das Display-Name-Spoofing. Es ist eine Schicht, kein vollständiger Wall.

Was mit dem verworfenen Mail-Volumen passiert

Ein Aspekt, der in der Wahl zwischen quarantine und reject oft untergeht, ist die Frage, was mit dem legitimen Mail-Volumen geschieht, das versehentlich betroffen ist — und wie es überhaupt auffällt. Bei quarantine hinterlässt eine fälschlich als verdächtig eingestufte Nachricht eine sichtbare Spur: Sie liegt im Spam-Ordner des Empfängers, und ein aufmerksamer Nutzer kann sie melden. Diese Rückmeldung ist ein kostenloser Frühwarnmechanismus. Eine vergessene Quelle kommt so ans Licht, bevor sie großen Schaden anrichtet, weil jemand sagt „meine Rechnung war im Spam".

Bei reject fehlt dieser Kanal vollständig. Eine abgewiesene Nachricht existiert für den Empfänger nicht, es gibt keinen Spam-Ordner, in dem sie auftaucht, und niemand kann sie melden. Die einzige Spur ist die Ablehnung, die der sendende Server erhält — und die landet oft in einem technischen Log, das niemand liest, oder in einem Bounce, den der ursprüngliche Absender vielleicht gar nicht als DMARC-Problem erkennt. Genau deshalb ist die kontinuierliche Überwachung der aggregierten Berichte bei reject nicht optional: Sie ist der einzige zuverlässige Weg, eine fälschlich abgewiesene legitime Quelle zu entdecken. In den Berichten erscheint sie als eine IP, die konsequent mit Disposition reject und ohne Ausrichtung auftaucht.

Die praktische Konsequenz: Wer auf reject geht, verpflichtet sich implizit zu einer disziplinierten Berichtsprüfung. Wer sich diese Disziplin nicht zutraut — etwa weil niemand die Berichte regelmäßig ansieht — sollte ehrlich abwägen, ob quarantine mit seinem eingebauten Nutzer-Feedback nicht das robustere Setup für die eigene Realität ist. Die härtere Policy schützt nur dann besser, wenn die Überwachung dahinter tatsächlich stattfindet.

Der Entscheidungsrahmen, in einem Satz

reject ist der Default, und quarantine dient nur als Übergangsschleuse oder als bewusstes Ziel, wenn ein kritischer Fluss und ein bewegliches Ökosystem den stillen Verlust teurer machen als den gemeldeten Spam. In jedem Fall muss die Entscheidung getroffen werden, nicht erlitten: eine aus Angst gewählte Policy — „wir bleiben bei quarantine, das ist vorsichtiger" — ohne die Berichte geprüft zu haben, ist eine verkleidete Default-Entscheidung.

Die vollständige Sequenz des Anstiegs (none → quarantine → reject) wird Schritt für Schritt in p=reject erreichen, ohne die E-Mails zu zerstören durchgespielt; um den Rhythmus dieser Verschärfung zu beherrschen, siehe DMARC schrittweise ausrollen.

Vor der Veröffentlichung der Ziel-Policy gehört die Domain in den kostenlosen DMARC-Analyzer: Er zeigt die reale Ausrichtung jeder Quelle und sagt konkret, ob sich ohne Risiko verschärfen lässt. Das ist der schnellste Weg, die Entscheidungsangst durch eine faktenbasierte Entscheidung zu ersetzen.

DMARC anwenden — konkret

Thomas, der virtuelle CISO von DMARC.com, identifiziert jede legitime Versandquelle, schreibt die exakten DNS-Einträge und bringt eine Domain sicher von p=none zu p=reject — ohne den Mailverkehr zu stören.

Zu p=reject — kostenlos