p=reject erreichen, ohne die eigenen E-Mails zu zerstören

Schritt 2: jede legitime Quelle inventarisieren

Die Aggregatberichte enthüllen jede IP, die für die Domain sendet. Die Aufgabe besteht darin, diese Adressliste in eine Liste von Diensten zu verwandeln: „Diese IP mit hohem Volumen, die DKIM besteht, ist unsere Mail-Plattform; jene, die bei beiden fehlschlägt, ist das CRM; diese andere ist ein Umfrage-Tool, das das Marketing vergessen hatte." Dieses Inventar ist der ganze Knackpunkt — es ist unmöglich, eine Richtlinie beruhigt durchzusetzen, ohne mit Sicherheit zu wissen, wer legitim für die Organisation sendet. Mit Überraschungen ist zu rechnen; es gibt immer ein paar Quellen, an die sich niemand erinnerte.

Schritt 3: jede legitime Quelle ausrichten

Für jeden legitimen Absender ist sicherzustellen, dass er SPF oder DKIM besteht und sich ausrichtet mit der Domain des From:. In der Praxis bedeutet das meistens, eine DKIM-Signatur mit einer markeneigenen Domain (d=beispiel.de) auf jeder Plattform einzurichten, da Drittanbieter-Absender SPF selten ausrichten. Man arbeitet die Liste durch, bis jede echte Quelle einen ausgerichteten Durchlauf in den Berichten zeigt. Das ist der Löwenanteil des Aufwands und das, worauf die meiste Kalenderzeit entfällt.

Schritt 4: zu quarantine wechseln

Wenn die Berichte alle legitimen Quellen als ausgerichtet zeigen, wird die Richtlinie auf p=quarantine angehoben. Nicht authentifizierte Post geht nun in den Junk-Ordner statt in den Posteingang — eine echte Verteidigung, aber umkehrbar, falls doch etwas entgangen ist. Historisch staffelte man mit dem pct-Tag (pct=25, dann 50, dann 100), um die Richtlinie auf einen wachsenden Bruchteil der fehlgeschlagenen Post anzuwenden. DMARCbis (2026) entfernt pct zugunsten eines binären Testmodus (das t=y-Tag) und einer Anhebung, die sich auf die Beobachtung der Berichte statt auf einen Prozentsatz stützt. In der Praxis heute: Honorieren Tooling und Empfänger pct noch, lässt es sich für die Dauer des Übergangs nutzen; andernfalls empfehlen sich kurze Schritte — ein paar Tage auf quarantine unter laufender Beobachtung der Berichte — bevor reject an der Reihe ist.

Schritt 5: zu reject wechseln

Wenn quarantine sauber läuft — die einzigen verbleibenden fehlgeschlagenen Quellen sind unbekannt, also Spoofer — wird die Richtlinie auf p=reject angehoben. Im Namen der Domain gefälschte Post wird nun an der Eingangstür abgewiesen. Die Subdomain-Richtlinie (sp) ist entsprechend einzustellen, damit Angreifer nicht einfach auf eine Subdomain umschwenken. Damit ist die Durchsetzung erreicht.

DMARCbis: was sich für die Richtlinien-Anhebung ändert

Im Mai 2026 veröffentlicht (RFC 9989/9990/9991), modernisiert DMARCbis den Standard, ohne diesen Weg obsolet zu machen — die Sequenz none → quarantine → reject bleibt genau die richtige. Zwei Neuerungen verdienen während der Anhebung besondere Aufmerksamkeit:

• Das np-Tag. Es legt die Richtlinie für nicht existierende Subdomains fest — ein klassisches Spoofing-Ziel, denn ein Angreifer kann rechnung.beispiel.de fälschen, selbst wenn diese Subdomain nicht existiert. Das ist ein schneller und risikofreier Gewinn: np=reject gehört früh gesetzt, sobald die Root sauber ist, da keine legitime Post von nicht existierenden Subdomains ausgeht.
• pct → t und der DNS Tree Walk. pct verschwindet (vgl. Schritt 4) und die Bestimmung der Organisationsdomain hängt nicht mehr von der Public Suffix List ab, sondern von einer Abfolge von DNS-Abfragen (maximal acht). Am Ablauf ist nichts neu zu machen: der bestehende Eintrag bleibt gültig, es ist nur die Gelegenheit, ein unnötig gewordenes pct zu entfernen.

Wie lange dauert das?

Für eine kleine Domain mit ein oder zwei Quellen ein paar Tage. Für eine große Organisation mit Dutzenden von Plattformen, verteilt über Geschäftsbereiche und Regionen, sind ein paar Monate normal — vor allem für Schritt 3, die Ausrichtung der Quellen, nicht für den Richtlinienwechsel. Das Tempo wird durch die Geschwindigkeit bestimmt, mit der sich jede Plattform konfigurieren lässt, nicht durch DMARC selbst. Genauere Anhaltspunkte je nach Organisationsgröße und Etappe liefert wie lange der Weg zu p=reject dauert.

Woran sich die Bereitschaft zum Verschärfen erkennen lässt

Der richtige Moment ist nicht zu erraten; die Berichte nennen ihn. Drei konkrete Signale, bevor ein Gang hochgeschaltet wird:

• Die bekannten legitimen Quellen zeigen alle einen ausgerichteten Durchlauf über mehrere Tage Berichte hinweg — nicht einmal zufällig, sondern stabil.
• Die einzigen verbleibenden fehlgeschlagenen Zeilen sind unerkannte IPs, mit geringem Volumen oder in isolierten Spitzen: das Profil eines Spoofers oder einer Weiterleitung, nicht eines Geschäftsdienstes.
• Keine monatliche Quelle fehlt. Rechnungsstellung, Kontoauszüge, Quartalskampagnen: Erst wenn mindestens ein vollständiger Zyklus vorbeigezogen ist, gilt das Inventar als vollständig.

Wenn diese drei Kästchen angehakt sind, ist der nächste Schritt sicher. Andernfalls bleibt die Richtlinie, wo sie ist, und die fehlende Quelle wird zuerst behoben — auf einem unvollständigen Inventar zu verschärfen ist genau das, was legitime Post zerstört.

Häufige Fallen auf dem Weg

• Zu früh verschärfen. Die häufigste Art, seine Post zu zerstören. Die Berichte müssen beweisen, dass eine Quelle ausgerichtet ist, bevor die Durchsetzung sie erfasst.
• Die Unterscheidung Envelope / Header vergessen. Eine Quelle kann rohes SPF bestehen und mangels Ausrichtung bei DMARC fehlschlagen. Zu lesen ist immer die Ausrichtung, nicht nur pass/fail.
• Subdomains offen lassen. Die Root wird durchgesetzt, sp aber vergessen — und die Spoofer wechseln auf mail.beispiel.de.
• Bei quarantine stehenbleiben. Das ist ein Fortschritt, aber gespoofte Post erreicht noch den Junk-Ordner, wo manche Nutzer sie herausfischen. reject ist das Ziel. Die beiden Stufen sind nicht gleichwertig — der direkte Vergleich zeigt, was jede tatsächlich blockiert.

Die Praxis in der Organisation verankern

Ein letzter Hebel betrifft nicht das DNS, sondern die Governance. Die sendenden Teams — Marketing, HR, Vertrieb, Produkt — gehören vor jedem Richtlinienschritt informiert: Diese bemerken als Erste, wenn eine Kampagne im Junk-Ordner landet, und eine schnelle Meldung ist besser als eine späte Entdeckung. Vor allem aber braucht es eine einfache Regel für alles Weitere — kein neues Versandwerkzeug geht in Produktion ohne eine DKIM-Signatur, die auf die Domain ausgerichtet ist. Ohne diesen Reflex verschwinden die Nachrichten der ersten Plattform, die jemand nach dem Wechsel zu reject einführt, stillschweigend — und es wiederholt sich genau der Vorfall, den der methodische Aufstieg gerade erspart hatte. Durchsetzung ist kein Zustand, den man erreicht, sondern einer, den man pflegt — und die Pflege kostet weit weniger, wenn sie in den Beschaffungsprozess eingebaut ist, statt im Nachhinein improvisiert zu werden.

Warum p=reject die Mühe wert ist

Die Durchsetzung zu erreichen ist ein echtes Projekt; es ist also legitim, sich zu fragen, was es über das Abhaken eines Compliance-Kästchens hinaus bringt. In Wirklichkeit viel:

• Das Spoofing hört wirklich auf. Das ist der Kern. Bei p=reject wird eine gefälschte E-Mail, die die exakte Domain im From: verwendet, von den Empfängern abgewiesen, bevor sie überhaupt einen Client erreicht. Das Phishing, das die Marke spooft, hört einfach auf, zustellbar zu sein — weder gefiltert noch gemeldet, sondern von vornherein abgewiesen.
• Eine bessere Zustellbarkeit für die echte Post. Die Provider vertrauen Domains, die eine Richtlinie durchsetzen, stärker. Eine Domain auf p=reject mit sauberer Ausrichtung ist ein starkes positives Reputationssignal, von dem die legitimen Kampagnen und die transaktionalen Nachrichten täglich profitieren.
• Die Compliance, geregelt. Durchgesetztes DMARC erfüllt weitgehend die Absenderanforderungen von Gmail und Yahoo und stellt eine klare, prüfbare Kontrolle dar, die man für Rahmenwerke wie NIS2 und DORA vorlegen kann.
• Die Logo-Chance. Nur Domains, die eine Richtlinie durchsetzen, können BIMI veröffentlichen und ein verifiziertes Logo im Posteingang anzeigen — ein sichtbares Vertrauenszeichen und ein Markenwert, den man auf keine andere Weise freischaltet.
• Dauerhafte Ruhe. Einmal auf reject mit aufrechterhaltener Überwachung erscheint jede neue unbefugte Quelle in den Berichten statt in den Postfächern der Kunden. Das Schwierige ist der Aufstieg; oben zu bleiben läuft vor allem darauf hinaus, zu prüfen, dass die Berichte sauber bleiben.

Verglichen mit den Kosten eines einzigen erfolgreichen Spoofings — Betrugsverluste, Überlastung des Supports, dauerhafter Markenschaden — amortisieren sich die paar Wochen Ausrichtung schnell. Der wahre Fehler war nie die Mühe des Aufstiegs; er ist, bei p=none stehenzubleiben und Überwachung mit Schutz zu verwechseln.

Thomas übernimmt die Schwerarbeit

Diese Sequenz ist genau das, was Thomas, der virtuelle CISO, automatisiert. Er verarbeitet die Berichte, benennt jede Sendequelle, generiert das exakte DNS zum Einfügen (DMARCbis-Tags inklusive), bewertet die Bereitschaft anhand gleitender Daten und nennt den genauen Moment, in dem jeder Schritt sicher ist — von p=none bis p=reject, ohne eine einzige legitime E-Mail zu blockieren.

Kostenlose DMARC-Analyse einer Domain oder ein Konto erstellen, um loszulegen. Wo ganze Branchen stehen, zeigt das DMARC-Observatorium — schwarz auf weiß, wie viele Domains auf halbem Weg feststecken, auf p=none.