Kostenloses vs. kostenpflichtiges DMARC: was jede Option wirklich abdeckt

Von Thomas · virtueller CISO · 18. August 2026

„Ist DMARC kostenlos oder kostenpflichtig?" Die Frage kommt bei jedem Projekt auf, und die ehrliche Antwort beginnt mit einer Unterscheidung, die die meisten verkaufsorientierten Artikel stillschweigend überspringen: Das DMARC-Protokoll ist kostenlos, Punkt. v=DMARC1; p=none; rua=mailto:... im eigenen DNS zu veröffentlichen kostet nichts, heute wie in zehn Jahren. Der Wechsel zu p=reject kostet ebenfalls nichts. Was eventuell bezahlt wird, ist nie „DMARC" — es ist der Dienst, der drumherum lebt: Berichte kontinuierlich aufnehmen, sie über die Zeit aggregieren, die Versandquellen identifizieren, alarmieren, wenn sich etwas verschiebt, Dutzende Domains und Subdomains abdecken, den Verlauf aufbewahren, die Behebung anleiten. Dieser Leitfaden hilft bei der Entscheidung: wann ein kostenloses DMARC-Setup wirklich genügt und wann ein kostenpflichtiger Dienst seinen Preis wert ist. Kein Verkaufsgerede — die Sichtweise eines ehrlichen virtuellen CISO.

Wer Tooling-Ansätze grundsätzlicher abwägt (einmaliger Analyzer, Open-Source-Parser, verwaltete Plattform), findet im Beitrag wie man ein DMARC-Tool auswählt den vollständigen Vergleich. Hier konzentrieren wir uns auf eine einzige Bruchlinie: kostenlos gegen kostenpflichtig.

Was buchstäblich kostenlos ist

Legen wir zunächst genau fest, was es ohne einen einzigen Cent Ausgabe gibt, denn es ist mehr, als die meisten annehmen.

Der DNS-Eintrag. SPF, DKIM, DMARC: drei TXT-Einträge, veröffentlicht beim Registrar oder DNS-Hoster. Null Kosten, kein Abo.
Der Policy-Anstieg. Der Weg von p=none über p=quarantine zu p=reject ist eine Reihe von DNS-Änderungen. Der Standard hat keine Mautstelle.
Eine einmalige Analyse. Ein kostenloser DMARC-Analyzer liest den aktuellen Eintrag, prüft die Syntax, kontrolliert SPF und DKIM und nennt den Stand im Moment. Es ist eine Momentaufnahme-Diagnose, äußerst nützlich, um richtig zu starten.
Das manuelle Lesen einiger Rohberichte. Nichts hindert daran, rua= auf ein eigenes Postfach zu richten und die XML-Dateien von Hand zu öffnen. Es ist mühsam, aber machbar und kostenlos.

Mit anderen Worten: Die gesamte „Einrichtungs"-Seite von DMARC ist kostenlos. Ein technisch versierter Domain-Inhaber kann eine einfache Domain von null auf p=reject bringen, ohne je zur Karte zu greifen. Das ist es wert, klar gesagt zu werden, denn viele Inhalte suggerieren das Gegenteil, um ein Abo zu verkaufen.

Wofür in einem DMARC-Dienst wirklich bezahlt wird

Wenn das Protokoll kostenlos ist, wohin fließt das Geld eines kostenpflichtigen Dienstes? Nicht in „DMARC". In die kontinuierliche Arbeit, die auf Dauer niemand von Hand machen will:

Kontinuierliche Berichtsaufnahme (rua). Aggregierte Berichte treffen jeden Tag ein, von Dutzenden Empfängern, als XML. Ein Dienst empfängt, parst und speichert sie automatisch — jeden Tag, ohne einen einzigen Handgriff.
Aggregation über die Zeit. Ein einzelner Bericht ist eine Momentaufnahme; worauf es ankommt, ist der Trend. Die Entwicklung über Wochen und Monate zu sehen, ist das, was monatliche Absender, verdächtige Spitzen und Regressionen aufdeckt. Niemand rekonstruiert das von Hand in einer Tabelle.
Quellenidentifikation. Eine rohe IP sagt nichts. Ein Dienst löst sie in einen erkennbaren Absendernamen auf („das ist die Rechnungsplattform", „das ist ein unbekannter Server in Vietnam"). Das ist der Unterschied zwischen Daten und einer Entscheidung.
Alarmierung. Eine neue Quelle taucht auf, eine legitime Quelle beginnt die Ausrichtung zu verfehlen, die Konformitätsrate sinkt: Ein kostenpflichtiger Dienst meldet es. Auf dem kostenlosen Weg fällt es nur beim Nachsehen auf — und nachgesehen wird nicht jeden Tag.
Multi-Domain- und Subdomain-Abdeckung. Eine Domain von Hand zu betreiben ist in Ordnung. Vierzig zu betreiben, mit ihren Subdomains, jede in einem anderen Stadium des Anstiegs, wird zu einem Vollzeitjob.
Aufbewahrung. Wie lange bleibt der Verlauf vorgehalten? Für einen Konformitätsnachweis braucht es Monate abfragbarer Daten, kein überlaufendes Postfach.
Angeleitete Behebung und Support. Zu wissen, was in welcher Reihenfolge zu korrigieren ist, und jemanden zu haben, den man fragen kann, wenn es klemmt, hat echten Wert für ein Team, das im Thema nicht Experte ist.

Die detaillierte Aufschlüsselung dieser Kostenposten — und was sie wirklich wiegen — steht in die wahren Kosten von DMARC. Die Logik dahinter: Bezahlt wird nicht der Schutz, bezahlt wird der Betrieb über die Zeit.

Wann kostenlos wirklich genügt

Sagen wir es klar, denn zu viele Artikel scheuen sich davor: In mehreren Fällen ist kostenlos nicht nur ausreichend — es ist die richtige Wahl.

Eine einzige Domain, ein einfaches und stabiles Versand-Ökosystem. Der Versand läuft über eine Mail-Plattform und ein oder zwei Tools, und das ändert sich fast nie. Einmal ausgerichtet, bleibt es ausgerichtet.
Eine einmalige Verschärfung auf p=reject, ein für alle Mal. Das Ziel ist, die Durchsetzung zu erreichen und sie dann in Ruhe zu lassen. Sobald p=reject auf einem stabilen Ökosystem sitzt, gibt es nicht viel zu überwachen.
Ein technisch versierter Inhaber. Er kann einen DNS-Eintrag lesen, hat keine Angst davor, eine XML-Datei zu öffnen, und das Parsen von drei Berichten von Hand jagt ihn nicht in die Flucht.
Keine Anforderung an einen Konformitätsnachweis. Niemand verlangt den Nachweis mit Verlauf, dass die Domain seit sechs Monaten geschützt ist.

In diesem Profil wäre die Zahlung eines monatlichen Abos die Zahlung für Funktionen, die nie zum Einsatz kommen. Eine kostenlose Diagnose am Anfang, ein sorgfältiger Policy-Anstieg, eine gelegentliche Prüfung: das reicht völlig. Kein Geld für ein Problem, das gar nicht besteht.

Wann kostenpflichtig seinen Preis wert ist

Umgekehrt kippen mehrere Situationen die Waage — und dort kostet das Beharren darauf, alles von Hand zu machen, mehr als das Abo, an Zeit und an Risiko.

Viele Domains. Jenseits einer Handvoll Domains bricht die manuelle Verwaltung zusammen. Jede Domain hat ihr eigenes Quelleninventar, ihr eigenes Stadium, ihre eigenen täglichen Berichte.
Kontinuierliche Überwachung ist erforderlich. Das Versand-Ökosystem bewegt sich: neue Dienstleister tauchen jeden Monat auf, das Marketing schließt ein Tool ohne Vorwarnung an, eine Tochtergesellschaft öffnet einen Fluss. Kostenloses DMARC-Monitoring — also ein Mensch, der ab und zu XML-Dateien öffnet — wird diese Änderungen nicht rechtzeitig erfassen.
Ein nicht-technisches Team. Wenn die verantwortliche Person mit DNS und XML nicht vertraut ist, ist ein Dienst, der alles in Klartext und konkrete Aktionen übersetzt, kein Luxus, sondern das, was das Projekt machbar macht.
Konformitätsnachweis. NIS2, DORA, ein Audit, ein Kunde, der Zusicherungen verlangt: Es braucht einen abfragbaren, exportierbaren Verlauf, kein Postfach. Aufbewahrung und Reporting sind genau das, was ein kostenpflichtiger Dienst bringt.
Keine Zeit, XML zu parsen. Das ist oft das eigentliche Kriterium. Technisch ließe sich alles von Hand machen. Aber Arbeitszeit hat Kosten, und sie mit dem Entschlüsseln aggregierter Berichte statt mit dem eigentlichen Beruf zu verbringen, ist ein schlechter Handel.

Der zugrunde liegende Zusammenhang hier ist, dass genau diese aggregierten Berichte das sind, was ein kostenpflichtiger Dienst kontinuierlich aufnimmt — zu verstehen, was sie enthalten, macht greifbar, was da delegiert wird. Für einen Blick unter die Haube: aggregierte DMARC-Berichte verstehen erklärt, was man darin liest und warum ihr manuelles Lesen nicht skaliert.

Zwei konkrete Beispiele

Nichts schlägt zwei gegensätzliche Fälle, um die Entscheidung greifbar zu machen.

Fall 1 — Die Solo-Gründerin, die einmal verschärft und es vergisst. Camille leitet ein Designstudio mit drei Personen. Sie versendet von einer einzigen Mail-Plattform und einem Rechnungstool. Zwei Quellen, das war's, und das wird sich lange nicht ändern. Sie gibt ihre Domain in einen kostenlosen Analyzer ein, entdeckt, dass sie bei p=none steht, richtet ihr DKIM an einem Nachmittag aus, lässt p=none drei Wochen laufen, um zu bestätigen, dass ihre Berichte sauber sind, wechselt dann an einem Wochenende zu p=quarantine und schließlich zu p=reject. Gesamtausgabe: null. Für ihr Profil — eine Domain, ein eingefrorenes Ökosystem, eine technisch versierte Inhaberin — wäre ein monatliches Abo hinausgeworfenes Geld. Kostenlos ist hier kein Kompromiss: Es ist die richtige Antwort. Ihre einzige verbleibende Disziplin: ihre Domain zweimal im Jahr erneut zu prüfen, nur für den Fall.

Fall 2 — Das 200-Personen-Unternehmen, in dem jeden Monat eine Quelle auftaucht. Ein Industrie-KMU mit 200 Mitarbeitenden, fünf Markendomains, etwa fünfzehn Subdomains. Das Marketing startet Kampagnen von neuen Tools, ohne die IT zu informieren; die Personalabteilung hat ihre eigene E-Mailing-Plattform; ein Event-Dienstleister versendet zweimal im Jahr im Namen der Domain. Jeden Monat taucht eine neue legitime Quelle in den Berichten auf. Hier ist das manuelle Lesen von Anfang an verloren: Niemand wird die XML von fünf Domains jeden Tag öffnen, und an dem Tag, an dem eine legitime Quelle unter p=reject zu scheitern beginnt, verschwindet die E-Mail stillschweigend — ein Kunde erhält seine Bestätigung nie, und man erfährt es durch eine Beschwerde. Für dieses Profil zahlt sich ein kostenpflichtiger Dienst, der Berichte kontinuierlich aufnimmt, jede Quelle benennt und alarmiert, sobald ein unbekannter Absender auftaucht, beim ersten vermiedenen Zwischenfall selbst. Die Abokosten sind lächerlich gegenüber den Kosten eines kritischen Flusses, der bricht, ohne dass es jemand bemerkt.

Derselbe Standard, dasselbe Ziel (p=reject), zwei gegensätzliche Antworten — weil nicht der Schutz gekauft wird, sondern die Fähigkeit, ihn in einer Umgebung, die sich bewegt, aufrechtzuerhalten.

Häufige Fehler

Zwei symmetrische Fallen lauern, und sie kosten in beide Richtungen teuer.

Eine einmalige kostenlose Prüfung für kontinuierlichen Schutz halten. Der häufigste Fehler. Die Domain geht durch einen Analyzer, das Ergebnis lautet „p=reject, alles grün", das Thema ist abgelegt. Sechs Monate später hat das Marketing drei Tools angeschlossen, zwei davon verfehlen die Ausrichtung, und niemand weiß es, weil niemand hinschaut. Eine Momentaufnahme-Diagnose ist kein Alarmierungssystem. Kostenlos sagt, wo eine Domain heute steht; es warnt nicht vor dem, was sich morgen ändert. Bewegt sich das Ökosystem, braucht es Überwachung — kostenlos (ein disziplinierter Mensch, jeden Tag — selten) oder kostenpflichtig.
Für Funktionen bezahlen, die ein Einzeldomain-Inhaber nie nutzen wird. Der umgekehrte Fehler. Eine Gründerin mit einer eingefrorenen Domain braucht keine Multi-Domain-Verwaltung, keine Echtzeit-Alarmierung und keine sechs Monate exportierbare Aufbewahrung. Ein reichhaltiges Paket „für alle Fälle" zu abonnieren ist, als kaufte man eine Vollkaskoversicherung für ein Fahrrad. Der Dienst ist nach dem realen Risiko zu dimensionieren, nicht nach Angst.
Glauben, „kostenlos" bedeute „ohne Aufwand". Kostenlos ist kostenlos in Euro, nicht in Zeit. Berichte von Hand zu parsen ist Arbeit. Die wahre Abwägung ist nicht „kostenlos gegen kostenpflichtig", sondern „Arbeitszeit gegen ein Abo". Diese Zeit ist zu beziffern, bevor die Rechnung gemacht wird.
Preis mit Passung verwechseln. Das Billigste ist nicht das Beste, und das Teuerste auch nicht. Die richtige Wahl ist die, die zur Domain-Anzahl, zur Stabilität des Ökosystems und zum technischen Niveau des Teams passt. Die Kriterien, die wirklich zählen, sind in die Funktionen eines DMARC-Analyzers detailliert.

Eine Entscheidungsabkürzung

Wer ein Raster behalten will, hier ist es. Drei Fragen genügen:

Wie viele Domains? Eine, stabil → kostenlos reicht wahrscheinlich. Mehrere oder wachsend → die Tendenz geht zu kostenpflichtig.
Bewegt sich das Versand-Ökosystem? Eingefroren → kostenlos hält. Beweglich (regelmäßig neue Quellen) → es braucht kontinuierliche Überwachung.
Ist Konformität nachzuweisen, und bleibt Zeit, XML zu parsen? Nachweis erforderlich oder null Zeit → kostenpflichtig ist gerechtfertigt. Weder noch, plus technische Versiertheit → kostenlos bleiben.

Drei „Ja" auf der kostenlosen Seite: kostenlos bleiben, ohne Bedenken. Zwei oder drei „Ja" auf der kostenpflichtigen Seite: das Abo zahlt sich selbst. So einfach ist das, und vor allem: Es ist eine Entscheidung, die man bewusst trifft, kein Verkaufsreflex, den man erleidet. Um zu sehen, was ein kostenpflichtiges Angebot konkret abdeckt und auf welcher Stufe, detailliert unsere Preisseite die Pläne nach Domain-Anzahl.

In einem Satz

DMARC ist kostenlos; was Geld kostet, ist, es betreiben zu lassen, sobald zu viele Domains, ein bewegliches Ökosystem, ein nicht-technisches Team oder eine nachzuweisende Konformität im Spiel sind — sonst reichen eine gute kostenlose Diagnose und ein sorgfältiger Policy-Anstieg völlig.

In jedem Fall beginnt es mit dem Fakt, nicht mit dem Abo. Die Domain in den kostenlosen DMARC-Analyzer eingegeben: In zehn Sekunden steht der Befund fest, und damit auch, ob ein kostenpflichtiger Dienst wirklich etwas brächte. Beruhigt das Urteil und ist das Profil einfach, ist die Antwort da. Offenbart es ein Ökosystem, das beweglicher ist als gedacht, ein Konto erstellen und Thomas, den virtuellen CISO, die Berichte aufnehmen, die Quellen benennen und melden lassen, was sich ohne Risiko verschärfen lässt. Kostenlos beantwortet „wo stehe ich?"; kostenpflichtig beantwortet „wie halte ich es allein und auf Dauer wahr?".