2026-07-24 · RESEARCH · Das Team von Offensive Technology

Reicht p=none aus? Warum das Veröffentlichen von DMARC nicht dasselbe ist wie das Durchsetzen

Reicht DMARC p=none aus? Nein. p=none stoppt kein Spoofing. Es überwacht nur. Wenn Ihre Domain auf p=none steht, senden Empfänger Ihnen Berichte, stellen gefälschte E-Mails in Ihrem Namen aber weiterhin zu. Ihre Domain kann also nach wie vor gefälscht werden. Wir haben 300 Top-Domains über öffentliches DNS aufgelöst und ihre E-Mail-Authentifizierungs-Einträge ausgelesen, um zu sehen, wie verbreitet dieser Fehler ist. Das Veröffentlichen sieht gut aus: 84.7% veröffentlichen einen DMARC-Eintrag. Bei der Durchsetzung bricht es ein. Nur 67.3% setzen DMARC tatsächlich durch mit einer Policy von quarantine oder reject. Von den 261 Domains, die E-Mails empfangen, setzen etwa 30% gar nichts durch, weil sie auf p=none stehen, keinen nutzbaren Policy-Tag veröffentlichen oder überhaupt kein DMARC publizieren. Wenn Sie einen DMARC-Eintrag geerbt haben und davon ausgingen, dass er Sie schützt, ist dies genau die Lücke, in der Sie sich befinden.

DMARC zu veröffentlichen ist nicht dasselbe wie es durchzusetzen

E-Mail-Authentifizierung besteht aus drei Einträgen, die oft wie eine einzelne Checkbox behandelt werden. SPF (RFC 7208) listet auf, welche Server für eine Domain senden dürfen. DKIM (RFC 6376) signiert eine Nachricht, damit ein Empfänger überprüfen kann, ob sie verändert wurde. DMARC (RFC 7489) verknüpft diese Prüfungen mit der sichtbaren From-Adresse und teilt Empfängern mit, was bei einem Fehlschlag zu tun ist.

Genau bei diesem letzten Punkt trennen sich Veröffentlichung und Durchsetzung von DMARC. Ein Eintrag kann existieren und Empfänger dennoch anweisen, nichts zu unternehmen. Die Policy befindet sich im p=-Tag und hat drei Einstellungen. Das ist der ganze Unterschied zwischen p=none und reject:

• p=reject weist Empfänger an, E-Mails abzulehnen, die die Prüfung nicht bestehen. Das ist es, was die Fälschung Ihrer Domain tatsächlich stoppt.
• p=quarantine weist Empfänger an, fehlschlagende E-Mails als verdächtig zu behandeln und meist in den Spam-Ordner zu leiten. Es ist eine Durchsetzung, wenn auch schwächer als reject.
• p=none weist Empfänger an, Berichte zu senden und fehlschlagende E-Mails ansonsten normal zuzustellen. Gefälschte E-Mails kommen weiterhin an. Das ist Überwachung, keine Verteidigung.

Die ehrliche Frage lautet also nicht: „Hat diese Domain DMARC?“, sondern: „Setzt ihr DMARC die Policy durch?“ Was bedeutet DMARC-Durchsetzung in der Praxis? Es bedeutet, dass der Empfänger angewiesen wird, bei einem Fehlschlag zu handeln, anstatt ihn nur zu protokollieren. In unserer Stichprobe klaffen die beiden Zahlen um fast achtzehn Prozentpunkte auseinander: 84.7% veröffentlichen einen Eintrag, 67.3% setzen einen durch. Diese Lücke von achtzehn Prozentpunkten sind Domains, die die sichtbare Arbeit erledigt, ihr DNS bearbeitet und einen Eintrag erstellt haben, aber genau einen Schritt vor dem Teil stehen geblieben sind, der tatsächlich etwas blockiert.

Die Daten: Veröffentlicht versus durchgesetzt

Hier ist die vollständige Stichprobe. Die Veröffentlichung von Kontrollen liegt hoch, die Durchsetzung und die Transport-Layer liegen niedrig.

Nun zur Verteilung der Policies. Das ist die Tabelle, die die Frage direkt beantwortet: Wie viele der Domains, die tatsächlich E-Mails empfangen, stehen auf p=none oder schlechter.

Liest man die unteren drei Zeilen zusammen, sind das 29.9% der E-Mail-empfangenden Domains, bei denen gefälschte E-Mails in ihrem Namen nicht durch DMARC gestoppt werden. Dies sind Domains, die aktiv E-Mails empfangen; es handelt sich also nicht um eine Formalität bezüglich geparkter oder inaktiver Zonen. Es ist dasselbe Identitätsdiebstahl-Einfallstor, das wir in unserem Leitfaden was Angreifer über Ihr Unternehmen sehen können beschrieben haben, und es ist weiterhin bei fast einem Drittel der aktiven Mail-Domains an der Spitze des Webs offen. Wenn Sie einen DMARC-Eintrag haben, aber dennoch gefälscht werden, befinden Sie sich mit ziemlicher Sicherheit in der p=none-Zeile.

Die Durchsetzungslücke

Wir nennen den Bereich zwischen 84.7% veröffentlicht und 67.3% durchgesetzt die DMARC-Durchsetzungslücke, und sie ist der Kern dieser Messung. Einen Eintrag zu veröffentlichen ist günstig und sichtbar, also geschieht es. Diesen Eintrag in etwas zu verwandeln, das E-Mails blockiert, erfordert von einer Organisation, ihre eigenen Absender gut genug zu kennen, um den Rest abzulehnen, ohne echten geschäftlichen E-Mail-Verkehr zu beeinträchtigen. An diesem zweiten Schritt geraten Domains ins Stocken, und dieses Stocken ist messbar.

Betrachten Sie es aus der Perspektive des Angreifers, denn diese Perspektive entscheidet darüber, ob eine Schutzmaßnahme zählt. Sie möchten E-Mails senden, die scheinbar von der eigenen Domain des Ziels stammen, an das Finanzteam des Ziels oder an einen seiner Kunden, mit der Bitte, eine Zahlung zu verschieben oder Zugangsdaten zurückzusetzen. Sie prüfen zuerst das DNS des Ziels, genau wie wir es getan haben. Wenn die Domain p=reject veröffentlicht, wird Ihre gefälschte E-Mail auf der Empfängerseite abgelehnt und erreicht nie den Posteingang. Dieser Plan ist gescheitert. Wenn die Domain hingegen p=none, ändert sich für Sie nichts. Der Empfänger vermerkt den Fehlschlag in einem Bericht, der an den Domain-Inhaber geht, nicht an Ihr Opfer, und stellt Ihre Nachricht trotzdem zu. Kann meine Domain bei p=none also gefälscht werden? Ja, genauso leicht wie ohne jegliches DMARC.

Was unsere Zahl zitierfähig macht, ist die Art ihrer Erhebung. Es handelt sich um eine unabhängige, passive Messung, nicht um Hersteller-Telemetrie. Wir berichten nicht über E-Mails, die unser eigenes Produkt gefiltert hat, und wir extrapolieren nicht aus dem eingehenden Datenstrom eines einzelnen Anbieters. Wir lesen die öffentliche Policy, die jeder Empfänger im Internet liest, den Eintrag selbst, für eine feste Stichprobe an einem festen Stichtag. Das ist ein anderer und neutralerer Blickwinkel als der eines Sicherheitsanbieters, der über den Traffic berichtet, den er zufällig sieht.

So prüfen Sie Ihre eigene Domain

Sie benötigen dafür weder ein Tool noch eine Registrierung. Lesen Sie Ihr eigenes öffentliches DNS aus und achten Sie auf einen bestimmten Tag. Jeder kann diese Abfragen für jede beliebige Domain ausführen, da eine DNS-Abfrage ein passives Auslesen bereits öffentlicher Einträge ist.

• DMARC-Policy prüfen. Führen Sie dig TXT _dmarc.yourdomain.com +short aus und lesen Sie den p=-Tag. p=reject oder p=quarantine bedeutet, dass Sie die Policy durchsetzen. p=none, kein p=-Tag oder überhaupt kein Eintrag bedeutet, dass Sie nicht durchsetzen und Ihre Domain gefälscht werden kann.
• SPF prüfen. Führen Sie dig TXT yourdomain.com +short aus und suchen Sie nach einem Eintrag, der mit v=spf1 beginnt. Fehlendes SPF schwächt die Alignment-Prüfung, auf die DMARC angewiesen ist.
• Transport- und Integritätsschichten prüfen. Führen Sie dig DS yourdomain.com +short für DNSSEC und dig TXT _mta-sts.yourdomain.com +short für eine MTA-STS-Ankündigung aus. Beide fehlen in der Regel, wie die obigen Daten zeigen.

Wenn die DMARC-Abfrage p=none zurückliefert, haben Sie Ihre Antwort: Der Eintrag wird veröffentlicht, aber nicht durchgesetzt, und Sie befinden sich reine im Überwachungsmodus.

Der Wechsel von p=none zur Durchsetzung

Der Pfad von none zu reject ist erprobt, und ehrlich gesagt ist die DNS-Änderung der einfache Teil. Die eigentliche Arbeit besteht darin, sicherzustellen, dass Sie legitime E-Mails nicht blockieren, wenn Empfänger beginnen, auf Fehlschläge zu reagieren. So stellen Sie DMARC von none auf reject um, ohne Ihre eigenen Absender abzuschneiden:

• Bleiben Sie nur so lange bei p=none, wie für die Inventarisierung nötig. Richten Sie den rua=-Tag auf ein Postfach oder einen Report-Parser aus und lesen Sie die kumulierten Berichte (Aggregate Reports), bis Sie jede Quelle erfasst haben, die E-Mails im Namen Ihrer Domain sendet, einschließlich Marketing-Plattformen, Ticketing-Systeme und Drittanbieter.
• Wechseln Sie zu p=quarantine und nutzen Sie pct für eine schrittweise Einführung, wenn Sie vorsichtig vorgehen wollen. A pct=-Wert wendet die Policy auf einen Prozentsatz der fehlschlagenden E-Mails an, sodass Sie beobachten können, ob legitime Absender das Alignment verfehlen, bevor die Policy auf alles angewendet wird. Beheben Sie Probleme bei allen realen Absendern, die beim SPF- oder DKIM-Alignment fehlschlagen, bevor Sie den Anteil erhöhen.
• Wechseln Sie zu p=reject, sobald die Berichte unauffällig sind. Wenn keine legitime Quelle mehr fehlschlägt, ist reject die Einstellung, die Fälschungen direkt stoppt. Dies ist der einzige Zustand, in dem die Frage „Reicht p=none aus?“ hinfällig wird, weil Sie p=none hinter sich gelassen haben.

Wenn Sie ohnehin im DNS arbeiten, kündigen Sie MTA-STS an, damit eingehende E-Mails nicht stillschweigend auf Klartext herabgestuft werden können, und signieren Sie Ihre Zone mit DNSSEC, damit die Abfragen für Ihre Policy nicht gefälscht werden können. Die MTA-STS-Verbreitung liegt in unserer Stichprobe bei nur 4.7% – mit der Umsetzung sind Sie also fast allen voraus. DNSSEC ist zudem Voraussetzung für stärkere Verfahren wie DANE, und seine geringe Verbreitung von 20.0% begrenzt, wie weit E-Mail-Sicherheit bei vier von fünf dieser Domains überhaupt gehen kann. Die Abwägung hinter einer Durchsetzung ohne Unterbrechungen entspricht der Erkenntnis, welche Ihrer certificate-issuance controls und exponierten Angriffsflächen tatsächlich von Bedeutung sind und welche lediglich Rauschen darstellen.

Was dies nicht beweist

Ehrliche Grenzen, denn eine Zahl ohne Einschränkungen ist bloßes Marketing.

• Majestic rankt nach Backlinks, nicht nach Traffic. Die Majestic Million sortiert Websites nach verweisenden Subnetzen und Links, was langjährig etablierte und stark zitierte Domains bevorzugt. Das ist eine andere Grundgesamtheit als eine nach Traffic sortierte Liste. Betrachten Sie diese Ergebnisse daher als einen ehrlichen Ausschnitt, nicht als das gesamte Internet.
• Es ist eine Stichprobe von 300 Domains. Jede Prozentangabe unterliegt einem Stichprobenfehler. Eine Zahl wie 67.3% durchsetzend bedeutet 202 von 300 Domains, und eine andere Stichprobe von 300 Domains würde den Wert um einige Punkte verschieben.
• Es ist eine Momentaufnahme. DNS ändert sich täglich. Diese Zahlen beschreiben den 24. Juli 2026, keinen Trend. Eine Domain, die heute auf p=none steht, befindet sich im nächsten Monat vielleicht mitten im Rollout und setzt bereits durch.
• Es ist eine reine DNS-Sicht. Ein veröffentlichtes p=reject ist kein Beweis dafür, dass SPF und DKIM einer Domain für ihre realen Absender korrekt ausgerichtet (aligned) sind. Wir lesen die Policy, nach der Empfänger handeln, nicht die zugestellte E-Mail. Es ist eine Aussage über die veröffentlichte Absicht, nicht über eine fehlerfreie Implementierung.
• Durchsetzung ist ein grobes Maß. Wir werten p=quarantine und p=reject als durchsetzend. In der Praxis lässt eine Quarantine-Policy mit einem niedrigen pct-Wert oder einem laxen Alignment-Modus immer noch gefälschte E-Mails durch. Die Zahl der Durchsetzungen ist daher eher großzügig bemessen.

Häufig gestellte Fragen

Reicht p=none aus, um E-Mail-Spoofing zu stoppen?

Nein. p=none dient nur der Überwachung. Empfänger melden Fehlschläge, stellen gefälschte E-Mails jedoch wie gewohnt zu. E-Mails im Namen Ihrer Domain erreichen also weiterhin den Posteingang. Als erste Phase zur Inventarisierung der Absender ist es gut geeignet, aber es blockiert nichts, solange die Policy nicht auf quarantine oder reject umgestellt wird.

Kann meine Domain weiterhin gefälscht werden, wenn ich einen DMARC-Eintrag habe?

Ja, wenn dieser Eintrag auf p=none steht. Einen Eintrag zu haben ist nicht dasselbe wie geschützt zu sein. Nur p=quarantine oder p=reject weist Empfänger an, bei E-Mails zu handeln, die die Authentifizierung nicht bestehen.

Was ist der Unterschied zwischen dem Veröffentlichen und dem Durchsetzen von DMARC?

Veröffentlichen bedeutet, dass ein _dmarc-Eintrag existiert. Durchsetzen bedeutet, dass seine Policy auf p=quarantine oder p=reject steht. Ein Eintrag mit p=none blockiert nichts. In unserer Stichprobe vom Juli 2026 veröffentlichten 84.7% einen Eintrag, aber nur 67.3% setzten einen durch.

Wie viel Prozent der Domains setzen DMARC tatsächlich durch?

In unserer Stichprobe von 300 Domains veröffentlichten 84.7% DMARC und 67.3% setzten es durch. Von den 261 E-Mail-empfangenden Domains setzen rund 30% gar nichts durch.

Ist p=none dasselbe wie gar kein DMARC?

In Bezug auf das Stoppen von Spoofing praktisch ja. Für einen Angreifer ist das Ergebnis identisch: Die gefälschte E-Mail wird zugestellt. Der Unterschied besteht darin, dass p=none Berichte erzeugt, die Sie nutzen können, um die Durchsetzung zu erreichen.

Wie stelle ich DMARC von none auf reject um?

Werten Sie Ihre kumulierten Berichte (Aggregate Reports) bei p=none aus, bis jeder legitime Absender erfasst ist. Wechseln Sie zu p=quarantine (optional schrittweise über einen pct-Tag), beheben Sie Probleme bei allen realen Absendern, die das Alignment verfehlen, und setzen Sie danach p=reject.

Warum werde ich trotz eingerichtetem DMARC immer noch gefälscht?

Fast immer liegt es daran, dass die Policy auf p=none steht oder dass SPF und DKIM für Ihre Absender nicht aligned sind, sodass eine durchsetzende Policy nicht greifen kann. Überprüfen Sie zuerst den p=-Tag Ihres _dmarc-Eintrags.

Weiterführende Beiträge

• Wie anfällig sind die meistgenutzten Domains der Welt für E-Mail-Spoofing? Die Präsenzfrage, auf der dieser Beitrag aufbaut.
• Wie viele Top-Domains schränken ein, wer ihre Zertifikate ausstellen darf? Dieselbe passive DNS-Methode, angewendet auf CAA-Einträge.
• Was können Angreifer tatsächlich über Ihr Unternehmen sehen?