Wie lange dauert es bis p=reject?

Von Thomas · virtueller CISO · 16. August 2026

Es ist die erste Frage, die alle stellen, und die ehrliche Antwort enttäuscht immer ein wenig: es kommt darauf an. Nicht als rhetorische Vorsichtsformel — sondern weil der Zeitplan zu p=reject von Variablen bestimmt wird, die jeder Organisation eigen sind, und zwei Domains, die am selben Tag starten, können Monate auseinander ankommen. Die gute Nachricht: Diese Variablen sind identifizierbar und messbar. Sobald bekannt ist, wovon der eigene Zeitplan abhängt, lässt er sich planen, dort beschleunigen, wo es sicher ist, und dort nicht überstürzen, wo Überstürzung legitime Post zerbrechen würde. Dieser Artikel liefert die Hebel, belastbare Spannen und eine Aufschlüsselung Phase für Phase, die aus „es kommt darauf an" einen tatsächlich einhaltbaren Plan macht.

Wovon der Zeitplan abhängt

Vier Variablen bestimmen, wie lange es dauern wird. Keine ist geheimnisvoll; alle lassen sich beziffern.

Die Größe des Versandbestands. Wie viele Dienste, Anwendungen und Plattformen senden im Namen der Domain? Eine Domain, die nur aus einem Firmenpostfach sendet, ist ein einfaches Problem. Eine Domain, hinter der sich fünfzehn Systeme verbergen — Personal, Rechnungsstellung, Support, Marketing, Anwendungsbenachrichtigungen —, ist ein Inventurprojekt, bevor sie ein DNS-Projekt ist.
Die Anzahl der Drittquellen. Das ist der bei Weitem wichtigste Faktor. Jeder Anbieter, der für die Organisation sendet — ein E-Mail-Dienstleister (ESP), ein CRM, ein Marketing-Werkzeug, eine Rechnungsplattform, ein Ticketdienst —, muss so konfiguriert werden, dass er in SPF oder DKIM ausgerichtet ist. Manche schaffen das in fünf Minuten über eine Einstellungsseite; andere brauchen ein Support-Ticket, eine Bearbeitungszeit, manchmal ein Tarif-Upgrade. Das Projekt kommt im Tempo des langsamsten Anbieters voran.
Die Korrekturkadenz. Wie viel Zeit vergeht zwischen „eine nicht ausgerichtete Quelle wird entdeckt" und „sie ist behoben"? Mit einem reaktionsschnellen DNS-Ansprechpartner und einem klaren Mandat sind es Tage. Läuft jede Änderung durch ein monatliches Änderungsgremium, sind es Wochen, multipliziert mit der Anzahl der Quellen.
Das Beobachtungsfenster. Blind anzuziehen kommt nicht in Frage. Die aggregierten Berichte müssen lange genug laufen, um einen vollständigen Zyklus des Versands zu zeigen — einschließlich seltener Absender wie der Monatsendabrechnung oder einer Quartalskampagne. Die Beobachtung zu früh abzubrechen garantiert eine unangenehme Überraschung direkt nach dem Wechsel zu reject.

Realistische Spannen

Hier sind belastbare Größenordnungen, methodisches Vorgehen vorausgesetzt. Das sind keine Versprechen: Es sind die typischen Dauern, wenn nichts entgleist.

Profil	Drittquellen	Typische Dauer bis `reject`
Kleine Organisation, einzelner Absender	0–1	wenige Wochen
KMU, eine Handvoll Anbieter	2–3 ESP/Werkzeuge	1 bis 2 Monate
Große Organisation, viele Quellen	5 und mehr	mehrere Monate

Diese Tabelle liest sich als Landkarte, nicht als Stoppuhr. Eine Domain der Kategorie „kleine Organisation", die unterwegs eine vergessene Quelle entdeckt, kann in die Zeile darunter rutschen; eine sehr gut geführte „große Organisation" mit einem eigenen Verantwortlichen kann ihre Spanne unterbieten. Konstant ist, dass die Anzahl der nicht ausgerichteten Dritten der beste Vorhersagewert für den Zeitplan ist — weit mehr als die Unternehmensgröße. Ein Konzern, der nur aus Microsoft 365 sendet, kommt schneller voran als ein KMU, das mit vier geerbten Marketing-Routern jongliert.

Die Aufschlüsselung Phase für Phase

Der Weg zur Durchsetzung ist kein Schalter, sondern eine Treppe. Jede Stufe hat ihre eigene Dauer, und erst das Zusammenzählen dieser Stufen — nicht das Festlegen eines willkürlichen Datums — ergibt einen ehrlichen Zeitplan. Die vollständige Methode, Schritt für Schritt, steht in p=reject erreichen, ohne die E-Mails zu brechen; hier ist die zeitliche Lesart.

Phase 1 — In `p=none` beobachten (2 bis 4 Wochen)

Veröffentlicht wird ein Eintrag mit p=none und einer Sammeladresse — und dann wird zugehört. Diese Phase schützt noch nichts: Es geht ums Kartieren. Der einzige Zweck ist es, über die aggregierten Berichte die vollständige Liste der Systeme zutage zu fördern, die im Namen der Domain senden. Zu rechnen ist mit mindestens zwei bis vier Wochen, aus einem einfachen Grund: Ein vollständiger Aktivitätszyklus muss sichtbar werden. Ein Absender, der nur einmal im Monat feuert — eine Gehaltsabrechnung, ein Kontoauszug, ein periodischer Rechnungslauf —, taucht in den Berichten der ersten Woche nicht auf. Vor Abschluss dieses Zyklus abzubrechen bedeutet, anzuziehen, ohne alle Quellen zu kennen. Um das richtige Signal aus diesen Dateien zu ziehen, hilft aggregierte DMARC-Berichte verstehen.

Phase 2 — Ausrichtung korrigieren, Quelle für Quelle

Das ist die Phase, die den größten Teil des Kalenders verschlingt, und die variabelste. Für jeden in Phase 1 identifizierten legitimen Absender ist eine SPF- oder DKIM-Ausrichtung zu erreichen. Konkret: die DKIM-Signatur bei einem Anbieter aktivieren, ein SPF-Include hinzufügen, eine Versand-Subdomain umlenken. Die Dauer hängt vollständig von den Dritten ab. Ein moderner ESP zeigt die zu veröffentlichenden Einträge mit zwei Klicks; ein altes internes System kann Entwicklungsarbeit erfordern. Die Quellen werden in absteigender Reihenfolge des Volumens behandelt: Wer zuerst sichert, was am meisten Post sendet, senkt das Risiko schneller. Die Prüfliste, damit an diesem Schritt nichts vergessen wird, steht in der DMARC-Checkliste von none zu reject.

Phase 3 — Die Stufe `quarantine` (mit dem Testmodus)

Sind die Hauptquellen ausgerichtet, folgt trotzdem kein direkter Sprung zu reject. Der Weg führt über p=quarantine, das nicht konforme Post in den Spam-Ordner schickt, statt sie rundheraus abzuweisen — ein Sicherheitsnetz. Hier ändert DMARCbis die Lage: Statt der alten Kennung pct (entfernt) kommt der Testmodus t=y zum Einsatz, der den Empfängern signalisiert: „Diese Richtlinie ist ein Experiment — Abweichungen bitte melden, ohne sie schon strikt durchzusetzen". Dieser Modus macht die Wirkung einer härteren Richtlinie ohne Risiko beobachtbar, beliebig lange. Wie dieser Hebel genau funktioniert, erklärt die t-Kennung von DMARCbis, die pct ersetzt, um sanft hochzufahren. Diese Stufe hält, bis die Berichte sauber sind: Die Debatte quarantine gegen reject wird in Quarantäne oder reject entschieden.

Phase 4 — Auf `reject` umschalten

Wenn die Berichte nichts als ausgerichtete Post zeigen und die einzigen verbleibenden Fehlschläge offenkundig Fälschung sind, folgt der Wechsel zu p=reject. Es ist der einzige Zustand, der die Domain wirklich schützt: Betrügerische Nachrichten werden an der Tür abgewiesen. Sind die vorherigen Phasen gut gemacht, ist dieser Wechsel ein Nicht-Ereignis — nichts zerbricht, weil alles Legitime bereits ausgerichtet ist. Das Gesamttempo und die Ausrollvarianten behandelt der stufenweise DMARC-Rollout.

Worauf es ankommt, ist nicht die Geschwindigkeit

Hier ist die Botschaft, die ich jedem Kunden einhämmere: Die Sicherheit des Hochlaufs schlägt seine Schnelligkeit. p=reject ist keine Ziellinie, an der man eine Medaille gewinnt, weil man zuerst durchläuft. Es ist ein Durchsetzungszustand, der Post abweist — einschließlich der eigenen legitimen Post, wenn sie nicht ausgerichtet ist. Den Wechsel zu reject mit noch falsch konfigurierten Quellen zu überstürzen, garantiert, dass eine Rechnung, eine Bestellbestätigung oder eine kritische Benachrichtigung abgewiesen wird. Die Kosten einer zusätzlichen Beobachtungswoche sind null. Die Kosten eines vorzeitigen reject sind ein Produktionsvorfall, Kunden, die keine Nachrichten mehr erhalten, und wiederaufzubauendes Vertrauen.

Genau darum ist „schnell gehen" nie mit „gut gehen" zu verwechseln. Eine Domain, die in drei Wochen reject erreicht, aber dorthin gelangt, indem sie zwei Quellen zerbricht, hat keine Zeit gespart, sondern einen Vorfall geschaffen, der unter Druck zu behandeln ist, oft durch Zurückrollen auf none — also durch Rückgängigmachen der ganzen Arbeit. Der saubere Weg dagegen ist monoton: Jede Stufe wird genommen, wenn die vorige solide ist, und der finale Wechsel überrascht niemanden.

Warum so viele Domains stecken bleiben

Ein Blick auf die reale Haltung des Marktes lässt eines ins Auge springen: Ein großer Anteil der Domains bleibt bei p=none, mitunter über Jahre. Es ist keine Faulheit. Es ist fast immer das Fehlen einer Methode. Teams veröffentlichen ein p=none, erhalten unleserliche Rohberichte, wissen nicht, welche Quellen sie ausrichten sollen und in welcher Reihenfolge, und das Projekt versandet mangels eines klaren Verantwortlichen. p=none wird zu einem bequemen Fegefeuer: Es sieht „erledigt" aus, schützt aber nichts. Diese Realität lässt sich, Sektor für Sektor, im DMARC-Observatorium beobachten — wie viele Domains noch gar keine Richtlinie durchsetzen. Die Lehre ist nicht, dass reject zu erreichen schwer ist; sondern dass es ohne Methode schwer ist. Mit einem Quelleninventar, einer Prioritätsreihenfolge und einer Teststufe wird das Projekt wieder linear.

Wie sich der Zeitplan verkürzen lässt (ohne ihn zu überstürzen)

Sauber zu beschleunigen ist möglich — indem man die richtigen Engpässe angreift:

Früh und vollständig inventarisieren. Verlorene Zeit kommt selten von der DNS-Konfiguration; sie kommt von Quellen, die man zu spät entdeckt. Eine bis zum Ende ihres Zyklus geführte Beobachtungsphase erspart die Wiederholungen.
Langsame Dritte zuerst angehen. Braucht ein Anbieter zwei Wochen, um DKIM zu aktivieren, gehört dieses Ticket am ersten Tag geöffnet, nicht am letzten. Diese externen Verzögerungen parallelisieren sich: am besten alle gleichzeitig anstoßen.
Nach Volumen priorisieren. Zuerst die Quelle auszurichten, die 80 % der Post trägt, senkt das Risiko weit schneller, als mit einem Randabsender zu beginnen.
Einen Verantwortlichen benennen. Der beste Beschleuniger ist nicht technisch: Es ist eine für die Haltung verantwortliche Person mit einem aktuellen Dashboard und dem Mandat, Einträge veröffentlichen zu lassen. Ohne Verantwortlichen zieht sich jede Phase.
Den Testmodus nutzen, statt untätig zu warten. t=y erlaubt es, eine harte Richtlinie zu testen, ohne sie durchzusetzen: Das schafft Vertrauen, während die letzten Quellen korrigiert werden, statt in reiner Beobachtung stecken zu bleiben.

Der Ist-Zustand, heute geprüft

Der beste Ausgangspunkt ist eine ehrliche Diagnose der aktuellen Lage. Die Eingabe der Domain in unseren kostenlosen DMARC-Analyzer genügt: In Sekunden steht fest, ob die Domain bei none, quarantine oder reject steht und was sie vom nächsten Schritt trennt. Der Vergleich der eigenen Haltung mit dem Sektor folgt im DMARC-Observatorium — dort zeigt sich schnell, dass bei none zu bleiben die Norm ist, kein Schicksal.

Den eigenen Zeitplan aufzuschlüsseln — die Quellen zu inventarisieren, sie zu priorisieren, genau zu wissen, wann anzuziehen ist, ohne zu zerbrechen — ist genau das, was Thomas, der virtuelle CISO, automatisiert: Er benennt jede Quelle aus den Berichten, bewertet die Bereitschaft auf gleitenden Daten, generiert das zu veröffentlichende DNS und nennt den genauen Moment, den nächsten Schritt zu gehen, von p=none bis p=reject. Kostenlose DMARC-Analyse einer Domain · das Observatorium erkunden · mit Thomas beginnen.