# DMARC von p=none auf p=reject umstellen, ohne eigene Mails zu blockieren (2026)

> Ein Drittel der Firmen-Domains im DACH-Raum steht auf DMARC p=none und ist damit ungeschützt. So kommen Sie sicher zu quarantine und reject: alle Absender erfassen, Alignment beheben, stufenweise verschärfen.

Quelle: https://knkoutbound.com/de/blog/dmarc-reject-umstellen/  
Autor: Kenneth Kather, Founder & CEO, KNK Outbound  
Veröffentlicht: 2026-10-24

## Das Wichtigste in Kürze

- p=none beobachtet nur: Gefälschte Mails werden ganz normal zugestellt. Schutz gibt es erst mit p=quarantine (Spam-Ordner) und p=reject (Ablehnung). Das nutzen nur 41,7 % von 23.488 Firmen-Domains im DACH-Raum.
- Vor dem Verschärfen gehört jeder Dienst auf die Liste, der mit Ihrer Domain als Absender verschickt: Microsoft 365, CRM, Newsletter-Tool, Rechnungsprogramm, Kontaktformular. Jeder muss SPF oder DKIM passend zu Ihrer Domain bestehen.
- Verschärfen Sie in Stufen: zwei bis vier Wochen p=none mit Berichtsadresse, dann quarantine, auf Wunsch mit pct schrittweise, dann reject, sobald die Berichte nur noch bekannte Absender zeigen.
- Weiterleitungen und Verteiler brechen SPF, DKIM bleibt meist intakt. Deshalb sorgt erst DKIM mit Ihrer eigenen Domain dafür, dass echte Mails unter p=reject weiter ankommen.

## Die kurze Antwort

Um DMARC sicher von p=none auf p=reject umzustellen, sammeln Sie zuerst zwei bis vier Wochen lang DMARC-Berichte. Darin sehen Sie jeden Dienst, der mit Ihrer Domain Mails verschickt. Jeden davon bringen Sie dazu, SPF oder DKIM passend zu Ihrer Domain zu bestehen. Dann stellen Sie auf p=quarantine, beobachten weitere zwei bis vier Wochen und setzen schließlich p=reject. In dieser Reihenfolge blockieren Sie gefälschte Mails, aber nicht Ihre eigenen Rechnungen, Newsletter oder Vertriebsmails.

Wichtig ist das, weil die meisten Firmen den zweiten Schritt nie gehen. In unserer [DMARC-Statistik](https://knkoutbound.com/de/dmarc-statistik/) über 23.488 Firmen-Domains aus Deutschland, Österreich und der Schweiz stehen 33,1 % auf p=none, und nur 41,7 % setzen DMARC überhaupt durch. 15,5 % aller Domains haben p=none sogar ohne Berichtsadresse. Sie schützen nichts und sehen auch nichts.

## Was die drei Richtlinien bewirken

DMARC sagt dem empfangenden Server, was er mit einer Mail tun soll, die angeblich von Ihrer Domain kommt, aber die Prüfung nicht besteht. Die Richtlinie steht im p-Wert des TXT-Eintrags unter _dmarc.ihre-domain.de.

| Richtlinie | Was Empfänger mit durchgefallenen Mails tun | Schutz vor Spoofing | Typischer Einsatz |
|---|---|---|---|
| p=none | Normal zustellen, Bericht schicken | Keiner | Start, Bestandsaufnahme |
| p=quarantine | In den Spam-Ordner legen | Teilweise | Übergang nach sauberen Berichten |
| p=reject | Annahme verweigern | Voll | Zielzustand |

Eine Mail besteht DMARC, wenn SPF oder DKIM bestanden ist und die geprüfte Domain zur sichtbaren Absenderdomain passt. Diese Übereinstimmung heißt Alignment, und genau dort liegen die meisten Probleme: Ein Newsletter-Tool kann SPF für seine eigene Domain bestehen und trotzdem bei DMARC für Ihre Domain durchfallen.

## Schritt 1: Alle Absender finden

Schreiben Sie auf, was alles Ihre Domain in die Absenderzeile setzt. In einem typischen B2B-Mittelständler ist das mehr, als man denkt:

- die Mail-Plattform, meist Microsoft 365 oder Google Workspace
- das CRM und seine Sequenzen, zum Beispiel HubSpot
- das Newsletter- oder Marketing-Tool
- Rechnungsprogramm, Buchhaltung und ERP
- Kontaktformular und Shop der Website
- Ticketsystem, Bewerber- und HR-Tools
- Kopierer und Scanner, die per Mail versenden

Die DMARC-Berichte aus dem nächsten Schritt vervollständigen diese Liste. Was dort auftaucht und niemand erklären kann, ist entweder ein vergessenes Tool oder jemand, der in Ihrem Namen sendet.

## Schritt 2: Mit p=none und Berichtsadresse starten

Wenn Sie noch keinen DMARC-Eintrag haben, legen Sie ihn im Beobachtungsmodus an:

    v=DMARC1; p=none; rua=mailto:dmarc-berichte@ihre-domain.de

An die rua-Adresse schicken Google, Microsoft, Yahoo und viele andere täglich Sammelberichte. Das sind XML-Dateien, deshalb nutzen die meisten Teams einen DMARC-Dienst mit kostenlosem Einstieg, der daraus eine lesbare Absenderliste macht. Wie Sie die Berichte selbst lesen, steht in unserer Anleitung [DMARC-Berichte lesen](https://knkoutbound.com/de/blog/dmarc-berichte-lesen/).

## Schritt 3: Alignment für jeden Absender herstellen

Jede echte Quelle aus den Berichten muss passend zu Ihrer Domain bestehen:

- **Zuerst DKIM.** Schalten Sie in jedem Tool die DKIM-Signatur mit Ihrer eigenen Domain ein. Meist sind das zwei CNAME- oder TXT-Einträge, die das Tool vorgibt. DKIM übersteht Weiterleitungen, SPF nicht.
- **Dann SPF.** Nehmen Sie den Dienst mit include in Ihren einzigen SPF-Eintrag auf und bleiben Sie unter zehn DNS-Abfragen.
- **Massenversand auf eine Subdomain legen,** etwa news.ihre-domain.de, wenn ein Tool nicht mit Ihrer Hauptdomain signieren kann. Die genauen Einträge für die großen Anbieter stehen in unserer [Anleitung zu SPF, DKIM und DMARC](https://knkoutbound.com/de/blog/spf-dkim-dmarc-einrichten/).

Wiederholen Sie das, bis in den Berichten nur noch bekannte Quellen bestehen und die übrigen Fehler von IP-Adressen kommen, die Sie nicht kennen.

## Schritt 4: Erst quarantine, dann reject

Sobald eine volle Woche Berichte sauber aussieht, stellen Sie auf quarantine:

    v=DMARC1; p=quarantine; rua=mailto:dmarc-berichte@ihre-domain.de

Wer sanfter umstellen will, nutzt den pct-Wert. Er wendet die Richtlinie nur auf einen Teil der durchgefallenen Mails an, zum Beispiel erst pct=25, dann 50, dann 100. Die Berichtsadresse bleibt die ganze Zeit drin. Nach weiteren zwei bis vier Wochen ohne Überraschungen setzen Sie p=reject. Mit sp=reject gilt die Richtlinie ausdrücklich auch für Subdomains. Lesen Sie die Berichte danach weiter, denn jedes neue Tool, das jemand bucht, ist ein neuer Absender.

## Die Fallen, die echte Mails blockieren

- **Weiterleitungen und Verteiler.** Eine weitergeleitete Mail behält Ihre Absenderadresse, kommt aber von einem fremden Server. SPF fällt durch, DKIM meist nicht. Deshalb braucht jede Quelle DKIM.
- **Tools, die mit ihrer eigenen Domain signieren.** Die Mail besteht DKIM für das Tool, nicht für Sie, und fällt bei DMARC durch. Suchen Sie im Tool nach einer Einstellung für die eigene Domain.
- **Vergessene Absender.** Der Scanner im Büro oder ein alter Webserver, der Passwort-Mails verschickt. Die Berichte zeigen sie, aber nur, wenn jemand sie liest.
- **Ein zweiter SPF-Eintrag.** Zwei SPF-Einträge lassen SPF jedes Mal scheitern und ziehen DMARC mit.

## Was das mit Kaltakquise zu tun hat

DMARC auf der Hauptdomain schützt Ihre Marke. Für Outbound versenden wir Kaltakquise-Mails grundsätzlich nie von der Hauptdomain. Wir richten eigene Versanddomains mit SPF, DKIM und DMARC ein, bevor die erste Mail rausgeht, so wie in unserem Leitfaden zur [Cold-E-Mail-Infrastruktur](https://knkoutbound.com/de/blog/cold-email-infrastructure-domains-inboxes/) beschrieben. So gefährdet keine Kampagne die Domain, über die Ihre Kunden und Rechnungen laufen. Wenn Sie das aufgebaut und betrieben haben wollen, finden Sie hier unsere [Cold-E-Mail-Agentur](https://knkoutbound.com/de/cold-email-agentur/).

Wo Ihre Domain gerade steht, sehen Sie mit unserem kostenlosen [E-Mail-Check](https://knkoutbound.com/de/e-mail-check/): aktuelle DMARC-Richtlinie, Berichtsadresse und was noch fehlt.

## Häufige Fragen

### Was bedeutet p=none bei DMARC?

p=none ist der Beobachtungsmodus. Empfänger stellen Mails, die SPF und DKIM nicht bestehen, ganz normal zu und schicken nur Berichte an die rua-Adresse. Als Start ist das richtig, schützt aber nicht davor, dass jemand in Ihrem Namen Mails verschickt.

### Soll ich p=quarantine oder p=reject nehmen?

Ziel ist p=reject, weil gefälschte Mails dann gar nicht angenommen werden. p=quarantine legt sie in den Spam-Ordner und ist ein sinnvoller Zwischenschritt, solange Sie prüfen, ob alle echten Absender bestehen. Meist bleibt man zwei bis vier Wochen auf quarantine.

### Wie lange sollte ich auf p=none bleiben?

So lange, bis Sie jeden Absender gesehen haben, meist zwei bis vier Wochen. Monatliche Tools wie Rechnungsversand oder Newsletter tauchen erst auf, wenn sie senden. Decken Sie deshalb mindestens einen vollen Rechnungs- und Newsletter-Zyklus ab.

### Kann p=reject meine eigenen Mails blockieren?

Ja, wenn ein echter Dienst mit Ihrer Domain als Absender verschickt und weder SPF noch DKIM passend zu Ihrer Domain besteht. Deshalb beheben Sie jeden Absender aus den Berichten vor der Umstellung und lesen die Berichte auch danach weiter.

### Verbessert DMARC p=reject die Zustellbarkeit?

Indirekt. Gmail, Yahoo und Microsoft verlangen von Massenversendern einen DMARC-Eintrag, dafür reicht p=none. Eine durchgesetzte Richtlinie schützt vor allem Ihre Marke vor Spoofing und damit auf Dauer auch den Ruf Ihrer Domain.

## Über KNK Outbound

KNK Outbound baut und betreibt Outbound-Systeme für B2B-Unternehmen in DACH und den USA: Cold E-Mail, LinkedIn, Content und Anzeigen, komplett für den Kunden erledigt, inklusive Antwortbearbeitung. Ab 3.300 € im Monat, alles inklusive (Tools, Daten, Domains, Postfächer), drei Monate Startphase, danach monatlich. Preise: https://knkoutbound.com/de/preise/ · Gespräch buchen: https://knkoutbound.com/de/book-a-call/ · Agenten-Zugang (MCP): https://knkoutbound.com/mcp