Was kostet DMARC (und was den Preis bestimmt)

Von Thomas · virtueller CISO · 19. August 2026

Die Frage „Was kostet DMARC?" vermischt stillschweigend zwei sehr verschiedene Dinge: den Standard, der kostenlos ist, und den Dienst, der ihn betreibt und es nicht ist. Ersteres ist ein DNS-Eintrag, in fünf Minuten selbst veröffentlicht, ohne einen Cent auszugeben. Letzteres — die Berichte zu sammeln, zu dekodieren und zu interpretieren, um die Remediation zu steuern — ist das, wofür tatsächlich gezahlt wird. Wer beides verwechselt, hält DMARC entweder für „kostenlos" und ertrinkt in unlesbarem XML, oder hält ein fünfstelliges Budget für nötig und kauft für einen einfachen Bedarf über. Dieser Leitfaden trennt den Mythos von den echten Kosten, schlüsselt die tatsächlichen Preistreiber auf und hilft beim Budgetieren, ohne dass mehr verkauft wird, als gebraucht wird.

Das ist kein Verkaufsgespräch. Es ist ehrliche Budgetierungshilfe, geschrieben, damit klar wird, wofür sich zahlen lohnt, wofür nicht und in welcher Stufe eine Organisation wirklich liegt. Die eigene Preisgestaltung von DMARC.com steht auf der Preisseite; hier denken wir in Kategorien, ohne die Preise eines Wettbewerbers zu nennen.

Was kostenlos ist: der Standard selbst

Beginnen wir mit der guten Nachricht. Einen DMARC-Eintrag zu veröffentlichen kostet nichts. Es ist ein DNS-Eintrag vom Typ TXT, gesetzt auf _dmarc.beispiel.de, dessen Wert etwa v=DMARC1; p=none; rua=mailto:… lautet. Kein DNS-Hoster berechnet einen zusätzlichen Eintrag; SPF und DKIM, die beiden Mechanismen, die DMARC prüft, sind ebenfalls kostenlos einzurichten. Technisch kann eine Organisation also „DMARC machen", ohne einen Euro auszugeben: p=none veröffentlichen, die Berichte empfangen und lesen.

Das Problem sind nicht die Veröffentlichungskosten — die sind null. Das Problem ist, was danach passiert. Die aggregierten Berichte (RUA) kommen als komprimierte XML-Dateien an, eine pro Anbieter und Domain, potenziell Dutzende pro Tag. Sie von Hand zu lesen ist für eine Domain über eine Woche machbar; es wird unbeherrschbar, sobald mehrere Domains, mehrere Versanddienstleister und der Anspruch dazukommen, p=reject zu erreichen, ohne die eigene Post zu zerstören. Genau dort entstehen die echten Kosten: nicht im Standard, sondern in der Betriebsarbeit drumherum. Die Unterscheidung wird in kostenlos oder kostenpflichtig, was sich ändert vertieft, das genau ausarbeitet, wo die Grenze verläuft.

Was Geld kostet: der Überwachungs- und Remediationsdienst

Ein kostenpflichtiger DMARC-Dienst tut alles, was der Standard allein nicht tut. Er empfängt die Berichte (über eine gehostete rua-Adresse), dekomprimiert sie, parst sie, indiziert sie. Er reichert jede Quell-IP an, um zu benennen, wer sie ist — Microsoft 365, eine E-Mail-Plattform, ein Cloud-Hoster — statt einer rohen Adresse. Er aggregiert Wochen an Daten zu einem lesbaren Dashboard, alarmiert, wenn eine unbekannte Quelle auftaucht, und begleitet vor allem durch die entscheidende Sequenz: von p=none zu p=reject zu gelangen, ohne unterwegs eine einzige legitime E-Mail zu verlieren. Genau dieser letzte Punkt — die geführte Remediation — verwandelt einen Strom von Rohdaten in eine operative Entscheidung, und er ist der Kern dessen, wofür gezahlt wird.

Diese Arbeit hat einen Wert, weil sie Ingenieurzeit und ein Risiko erspart: das Risiko, die Policy auf einer unvollständigen Lektüre der Berichte zu verschärfen und, ohne es zu merken, einen kritischen Fluss zu blockieren. Die eigentliche Frage lautet also nicht „soll ich zahlen", sondern „welches Serviceniveau entspricht meinem Bedarf". Und dieses Niveau hängt von einigen konkreten Hebeln ab.

Die echten Preistreiber

Ein DMARC-Preis ist keine einzelne Zahl; er ist das Produkt mehrerer Variablen. Sie zu verstehen erlaubt, die Rechnung vorherzusehen und ein Angebot zu erkennen, das auf einen fremden Bedarf zugeschnitten ist.

Anzahl der Domains. Das ist der Treiber Nummer eins. Eine Domain oder fünfzig zu überwachen ist nicht derselbe Dienst — jede Domain hat ihre eigenen Berichte, ihre eigenen Quellen, ihre eigene Policy. Fast jedes Angebot rechnet nach Domain-Stufe ab.
Berichts- und E-Mail-Volumen. Eine große Organisation, die Millionen Nachrichten versendet, erzeugt weit mehr zu parsende und zu speichernde Daten als ein Verein, der tausend im Monat verschickt. Manche Angebote rechnen nach Volumen ab, andere schlagen es in die Domain-Stufe ein.
Aufbewahrungsdauer der Daten. Die Berichtshistorie drei Monate oder zwei Jahre zu behalten ändert sowohl die Speicherkosten als auch den analytischen Wert. Lange Aufbewahrung dient dem Audit, der Compliance und der Erkennung langsamer Trends; sie hat einen Preis.
Funktionen. Echtzeit-Alarme, ein gehostetes rua-Postfach, BIMI/VMC-Unterstützung (das eigene Logo anzeigen), Umgang mit forensischen Berichten (RUF), signierter Audit-Export, Mehrbenutzer mit Rollen: jeder Baustein erhöht den Preis. Ein reiner Überwachungsbedarf kostet weniger als ein werkzeuggestützter Compliance-Bedarf.
Self-Service oder Managed. Ein Self-Service-Werkzeug, bei dem die Analyse intern mit dem Dashboard erfolgt, kostet deutlich weniger als eine Managed-Betreuung, bei der ein Dritter die Remediation steuert. Es ist die strukturierendste Abwägung, ausgeführt in DMARC selbst gehostet oder Managed.
Support-Niveau. Community-Support, Standard-E-Mail oder eine dedizierte Leitung mit Reaktionszeit-Zusage: das SLA spiegelt sich im Preis.
Vertragslaufzeit. Monatlich ohne Bindung oder jährlich mit Rabatt: eine lange Bindung senkt den Stückpreis, legt aber die Wahl fest.

Keiner dieser Treiber ist im Absoluten gut oder schlecht. Der richtige Instinkt ist, zu wissen, welche im eigenen Fall zählen, und den Rest zu ignorieren.

Die Stufen, qualitativ

Ohne eine Marktzahl oder einen Wettbewerber zu nennen, lassen sich vier große Angebotsfamilien beschreiben. Die Progressionslogik ist fast immer dieselbe.

Kostenlos. Basisüberwachung für eine oder zwei Domains, ein einfaches Dashboard, kurze Aufbewahrung. Genug, um zu entdecken, wer im Namen der Domain versendet, und p=none mit Zuversicht zu veröffentlichen. Es ist eine echte Stufe, keine Falle — viele kleine Strukturen müssen nie weiter gehen.
Einstiegsklasse. Einige Domains, längere Aufbewahrung, Alarme, Begleitung zu p=reject. Das ist die Stufe für den Mittelständler, der das Thema ernst nimmt und die Durchsetzung erreichen will, ohne seine Abende dafür zu opfern.
Team / mittelgroßes Unternehmen. Mehrere Dutzend Domains, Mehrbenutzer mit Rollen, an Audit-Anforderungen ausgerichtete Aufbewahrung, BIMI-Unterstützung, Compliance-Export. Die Stufe für Organisationen mit Tochtergesellschaften, mehreren Marken und regulatorischen Pflichten.
Großkunde / Managed. Breiter Umfang, eine Servicezusage, Managed-Begleitung, möglicherweise Datensouveränität und dediziertes Hosting. Die Stufe, in der der Dienst zu einer Dienstleistung wird, nicht nur zu einem Abonnement.

Der Aufstieg von einer Stufe zur nächsten folgt den realen Zwängen — Anzahl der Domains, Compliance, Risikotoleranz — nicht dem Drang, „die vollständigste Option" zu nehmen. Eine Stufe zu überkaufen ist ein ebenso kostspieliger Fehler wie einen ernsten Bedarf unterzuausstatten.

Die Kosten des Nichtstuns

DMARC zu budgetieren heißt auch, die andere Waagschale zu beziffern: was das Fehlen einer durchgesetzten Policy kostet. Diese Kosten sind real, auch wenn sie diffus sind.

Erstens die Zustellbarkeit. Seit 2024 verlangen die großen Anbieter — Gmail, Yahoo, Microsoft — DMARC von Massenversendern; ohne ausgerichtete Authentifizierung gehen die Nachrichten in den Spam oder werden abgewiesen. Die Details dieser Anforderungen stehen in den Gmail- und Yahoo-Regeln für Versender. Eine kommerzielle E-Mail, die nicht ankommt, ist entgangener Umsatz, der nirgends in einem Budget auftaucht, aber trotzdem existiert.

Zweitens der Betrug. Eine Domain bei p=none ist eine Domain, deren Adresse jeder für Phishing oder CEO-Betrug fälschen kann. Die Kosten eines einzigen Vorfalls — eine umgeleitete Überweisung, ein Datenleck, ausgelöst durch eine glaubwürdige E-Mail mit dem Namen der Marke — übersteigen jedes DMARC-Abonnement um mehrere Größenordnungen. Die vollständige Logik dieses Werts wird in p=reject erreichen, ohne die E-Mails zu zerstören durchgespielt: Durchsetzung ist keine abstrakte Sicherheitsausgabe, sie ist das, was dem Betrüger konkret diesen Namen als Angriffskanal entzieht.

Anders gesagt: Der echte Vergleich ist nicht „DMARC-Dienst gegen null Euro", sondern „DMARC-Dienst gegen die erwarteten Kosten einer verschlechterten Zustellbarkeit und einer möglichen Fälschung". So gerahmt rechtfertigt sich die Einstiegsklasse fast immer für eine Organisation, die ernsthaft Post versendet.

Ein Beispiel in drei Größenordnungen

Nehmen wir drei sehr verschiedene Profile, um zu sehen, wie sich die Kostenlogik verschiebt — ohne Beträge zu erfinden, die als Marktpreise dargestellt werden.

Ein kleiner Verein, eine Domain. Er verschickt einen monatlichen Newsletter und einige Verwaltungs-E-Mails von einer einzigen Plattform. Sein Bedarf: p=none veröffentlichen, prüfen, dass kein Fälscher lauert, dann verschärfen. Eine kostenlose Stufe reicht ihm mit hoher Wahrscheinlichkeit: eine Domain, Basisüberwachung, einige Monate Aufbewahrung. Er erreicht p=reject in wenigen Wochen und muss nie zahlen. Hier sind die Kosten des Dienstes null, und das ist die richtige Wahl — überkaufen wäre Verschwendung.

Ein mittelgroßes Unternehmen, rund zwanzig Domains. Es hat eine Hauptmarke, mehrere Tochtergesellschaften, defensive Markendomains und ein Dutzend Versanddienstleister (Marketing, Rechnungsstellung, transaktional, HR). Sein Bedarf ändert seine Natur: Es muss verstreute Quellen inventarisieren, mehrere Policies parallel führen, alarmiert werden, wenn eine Tochter ein neues Tool anschließt, und alles für ein ISO-Audit oder eine Kundenanforderung dokumentieren. Die Treiber „Anzahl der Domains" und „Compliance" setzen es auf eine Team- / Unternehmensstufe. Die Kosten sind real, aber bescheiden gemessen am Einsatz: Das Unternehmen kauft Ingenieurzeit zurück und schließt ein Fälschungsrisiko an zwanzig Türen statt an einer.

Eine Agentur oder ein MSP, ~200 Kundendomains. Hier kippt die Logik völlig. Der Dienst ist kein Abonnement mehr für seine eigene Domain, sondern ein Produktionswerkzeug, um die Domains von zweihundert Kunden zu verwalten. Was zählt, wird Mandantenfähigkeit, Rollen und Berechtigungen, Abrechnung pro Kunde, Onboarding-Automatisierung und ein passender Support. Der Preis liest sich nicht mehr pro isolierter Domain, sondern auf der Ebene des Bestands, oft mit volumenbasierter Staffelung und einer Bindung. In dieser Größenordnung lautet die Frage nicht „was kostet DMARC", sondern „wie viel Marge der Dienst gegenüber der Zeit abwirft, die er bei zweihundert Remediationen spart". Die Kosten pro Domain brechen ein; der Wert bemisst sich in nicht ausgegebenen Ingenieurstunden.

Derselbe kostenlose Standard, drei radikal verschiedene Kostenstrukturen — weil das Gekaufte nie der DNS-Eintrag ist, sondern der Betrieb in der jeweiligen Größenordnung.

Wofür NICHT gezahlt werden sollte

So sehr manche Ausgaben gerechtfertigt sind, so sehr sind andere häufige Budgetierungsfehler. Zu vermeiden:

Für die Veröffentlichung des Eintrags zahlen. Niemand sollte das bloße Einrichten des _dmarc-TXT berechnen: Es ist kostenlos und intern machbar. Ein Dienst wird für die kontinuierliche Analyse bezahlt, nicht für das Einfügen einer DNS-Zeile.
Für Domains zahlen, die gar nicht überwacht werden. Eine Stufe, ausgelegt für fünfzig Domains, während fünf betrieben werden, ist weggeworfenes Geld. Bezahlt wird der reale Bestand; eine Stufe höher geht es später, falls nötig.
Für RUF zahlen, für die keine Verwendung besteht. Forensische Berichte werden 2026 von den großen Anbietern selten versendet und werfen DSGVO-Fragen auf. Einer Organisation, die ihn nicht braucht, einen „forensischen" Baustein zu berechnen, ist ein schlechtes Geschäft.
Standardmäßig für überdimensionierte Aufbewahrung zahlen. Zwei Jahre Historie dienen Audit und Compliance; besteht keine dieser Anforderungen, bläht lange Aufbewahrung nur die Rechnung auf, für einen analytischen Wert, der nie genutzt wird.
Für Managed-Begleitung bei einem einfachen Ökosystem zahlen. Wer von einer oder zwei gut identifizierten Plattformen versendet, braucht keine volle Betreuung: Self-Service reicht. Das Thema wird frontal in wie sich das richtige DMARC-Werkzeug wählen lässt angegangen.
Sich in eine lange Bindung einschließen, bevor p=reject erreicht ist. Solange die Policy nicht stabilisiert ist, bewahrt der Monatstakt die Flexibilität; neu bewertet wird, sobald der Reisebetrieb erreicht ist.

Die allgemeine Regel: Bezahlt wird ein Problem, das wirklich besteht, nicht ein angekreuztes Kästchen auf einem Produktblatt.

Budgetieren, ohne sich zu irren

Die gesunde Methode passt in drei Fragen. Wie viele Domains werden tatsächlich überwacht? — das ist der Haupttreiber; gezählt wird der reale Bestand, nicht der theoretische. Welches Compliance-Niveau ist auferlegt? — ein ISO-Audit oder eine Kundenanforderung zieht Aufbewahrung und Export nach oben; ohne Pflicht bleibt es leicht. Reichen die internen Kompetenzen, um die Remediation zu steuern, oder muss delegiert werden? — das ist die Abwägung Self-Service gegen Managed, die am schwersten auf den Preis wiegt.

Sind diese drei Fragen beantwortet, drängt sich die Stufe fast von selbst auf. Die umgekehrte Falle — aus Angst zu wählen, „die vollständigste Option, um ruhig zu sein" zu greifen — kostet Geld für einen Wert, der nie genutzt wird. Gut budgetiertes DMARC ist eine Stufe, die dem Bedarf folgt, neu bewertet, wenn sich der Bestand oder die Pflichten ändern.

Zusammengefasst

Der DMARC-Standard ist kostenlos; der Dienst, der ihn betreibt, wird bezahlt, und sein Preis wird bestimmt durch die Anzahl der Domains, das Volumen, die Aufbewahrung, die Funktionen, Self-Service gegen Managed, den Support und die Bindung. Auf der anderen Seite übersteigen die Kosten des Nichtstuns — bei Gmail und Microsoft verlorene Zustellbarkeit, mögliche Fälschung der Marke — fast immer die Einstiegsklasse. Das Budget richtet sich nach dem realen Bestand und den Pflichten, nicht nach einem Drang zur Vollständigkeit, und nichts rechtfertigt es, die Veröffentlichung eines Eintrags zu bezahlen, der sich intern setzen lässt.

Der Ausgangspunkt kostet nichts: Ein Durchlauf der Domain durch den kostenlosen DMARC-Analyzer zeigt den realen Zustand der Quellen und die Stufe, die der Bedarf wirklich verlangt. Sobald die Diagnose steht, erlaubt ein Konto, die Policy in Richtung p=reject zu steigern, in dem Tempo, das Budget und Ökosystem zulassen — der Standard bleibt kostenlos, und bezahlt wird nur die Arbeit, die tatsächlich einen Wert hat.