DMARC-Berichte lesen: Was der rua-Bericht verrät und was Sie tun sollten (2026)

Die kurze Antwort

Ein DMARC-Bericht ist eine tägliche XML-Datei, die ein empfangender Mailserver wie Gmail oder Outlook an die rua-Adresse in Ihrem DMARC-Eintrag schickt. Darin steht jede IP-Adresse, die an diesem Tag mit Ihrer Domain als Absender gesendet hat, wie viele Mails von dort kamen und ob sie SPF, DKIM und DMARC bestanden haben. Der Bericht verrät Ihnen zwei Dinge: welche echten Dienste noch durchfallen und ob jemand in Ihrem Namen Mails verschickt.

Kaum eine Firma nutzt das. In unserer DMARC-Statistik über 23.488 DACH-Firmen-Domains haben nur 45,7 % überhaupt eine Berichtsadresse, und 15,5 % stehen auf p=none ohne eine. Sie sammeln also nichts, womit sie arbeiten könnten.

So bekommen Sie Berichte

Ergänzen Sie in Ihrem DMARC-Eintrag den rua-Wert. Wenn Sie noch keinen Eintrag haben, starten Sie im Beobachtungsmodus:

v=DMARC1; p=none; rua=mailto:[email protected]

Nehmen Sie dafür ein eigenes Postfach, denn eine aktive Domain bekommt jeden Tag Dutzende Berichte. Liegt die Adresse auf einer fremden Domain, etwa bei einem DMARC-Dienst, muss diese Domain das mit einem TXT-Eintrag erlauben: ihre-domain.de._report._dmarc.fremde-domain.de mit dem Inhalt v=DMARC1. Die meisten Dienste erledigen das für Sie. Die genauen Einträge für DMARC, SPF und DKIM bei den großen Anbietern finden Sie in unserer Anleitung zum Einrichten.

Was in einem Bericht steht

Jeder Bericht kommt als zip- oder gzip-Anhang. Darin liegt eine XML-Datei mit drei Teilen.

Ein einzelner Datensatz sieht gekürzt so aus:

source_ip: 40.107.22.55
count: 412
disposition: none
dkim: pass   spf: pass
header_from: ihre-domain.de
auth_results: dkim ihre-domain.de pass (selector1), spf ihre-domain.de pass

Diese Zeile ist gesund: Eine IP-Adresse aus dem Bereich von Microsoft hat 412 Mails geschickt, beide Prüfungen haben passend bestanden, nichts wurde blockiert.

In vier Schritten lesen

1. Nach Quell-IP gruppieren. Prüfen Sie per Reverse-DNS oder IP-Abfrage, wem die Adresse gehört. Microsoft 365, Google, Ihr CRM und Ihr Newsletter-Tool erscheinen als eigene Anbieter.
2. Nach Anzahl sortieren. Die großen Zeilen sind Ihr echter Mailverkehr. Die beheben Sie zuerst.
3. Auf Alignment achten, nicht nur auf pass. Eine Zeile kann unter auth_results spf pass für die Domain des Tools zeigen und unter policy_evaluated trotzdem spf fail, weil die Domain nicht zu Ihrer passt. Für DMARC zählt nur das Ergebnis unter policy_evaluated.
4. Jede durchgefallene Zeile einordnen. Bekannter Dienst fällt durch: beheben. Unbekannte Quelle fällt durch: Spoofing oder ein vergessenes System, klären Sie, was davon.

Was die typischen Muster bedeuten

• Ihre Plattform besteht, ein Tool fällt bei DKIM durch. Das Tool signiert mit seiner eigenen Domain. Schalten Sie im Tool die Authentifizierung mit eigener Domain ein.
• SPF fällt durch, DKIM besteht, Quelle ist ein fremder Mailanbieter. Meist eine Weiterleitung oder ein Verteiler. Harmlos, solange DKIM besteht.
• Kleine Mengen von privaten oder ausländischen IPs, beides fällt durch. Klassisches Spoofing. Genau das stoppen p=quarantine und p=reject.
• Große Mengen von einer unbekannten IP, beides fällt durch. Oft ein vergessenes System: ein alter Webserver, ein Scanner, ein Shop-Plugin. Finden Sie den Verantwortlichen, bevor Sie verschärfen.

Wenn nur noch bekannte Quellen bestehen und der Rest Rauschen ist, sind Sie bereit für den nächsten Schritt. Den beschreibt unsere Anleitung DMARC von p=none auf p=reject umstellen.

Tool oder XML von Hand

Von Hand lesen funktioniert bei einer kleinen Domain und ein paar Tagen. Danach ist ein DMARC-Dienst einfacher: Er sammelt die Berichte, gruppiert sie nach Absender und meldet neue Quellen. Mehrere haben einen kostenlosen Einstieg für kleine Mengen. Prüfen Sie bei jedem Anbieter, wo er die Daten speichert. Sammelberichte enthalten IP-Adressen und Domains, aber keine Mail-Inhalte. Einzelberichte, angefordert mit dem ruf-Wert, können Kopfzeilen und personenbezogene Daten enthalten, werden von den großen Anbietern selten verschickt und bleiben in der EU meist besser weg.

Warum uns das als Outbound-Agentur interessiert

Jede Versanddomain, die wir für Kunden betreiben, hat vom ersten Tag an DMARC mit Berichtsadresse, und wir lesen die Berichte. Eine neue durchfallende Quelle ist oft das erste Zeichen, dass sich im Setup eines Kunden etwas geändert hat. Ihre eigene Domain prüfen Sie sofort mit unserem kostenlosen E-Mail-Check: Er zeigt, ob DMARC gesetzt ist, welche Richtlinie gilt und ob eine Berichtsadresse eingetragen ist.