Microsoft 365 DMARC-Einführungsleitfaden: Von „none“ zu „reject“, ohne den E-Mail-Versand zu unterbrechen

Von Mirko Peters · 2026-10-21

Erfahren Sie, wie Sie DMARC in Microsoft 365 sicher einführen – von der reinen Überwachung bis zur strikten Ablehnung –, ohne die legitime E-Mail-Zustellung Ihres Unternehmens zu gefährden.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Einführung von E-Mail-Authentifizierungsprotokollen in einem Microsoft 365-Mandanten kann sich wie die Entschärfung einer Bombe anfühlen, wenn die Schritte in der falschen Reihenfolge erfolgen. Dieser schrittweise Leitfaden zur DMARC-Einführung in Microsoft 365 zeigt IT-Administratoren, wie sie von der anfänglichen Überwachung sicher zu einer strikten Ablehnungsrichtlinie übergehen – ohne dabei versehentlich geschäftliche Rechnungen, Marketingkampagnen oder automatisierte Warnmeldungen ins Leere zu schicken.

Das Wichtigste in Kürze

• Führen Sie die E-Mail-Authentifizierung immer in der richtigen Reihenfolge ein: zuerst SPF, dann DKIM und zuletzt DMARC.
• Starten Sie Ihre DMARC-Richtlinie mit p=none, um den Datenverkehr zu überwachen und alle legitimen sowie unerwünschten Versanddienste zu erfassen.
• Vermeiden Sie das Erreichen des SPF-Limits von 10 DNS-Abfragen, indem Sie Drittanbieterdienste wie Marketingplattformen und Helpdesk-Systeme sorgfältig prüfen.
• Gehen Sie schrittweise über Quarantäne und Prozentsatz-Einstellungen vor, bevor Sie eine strikte Ablehnungsrichtlinie (reject) anwenden.
• Richten Sie die Aggregatberichte so ein, dass sie an ein gemeinsames Postfach und nicht an den Posteingang einer einzelnen Person gesendet werden, damit die Transparenz dauerhaft gewährleistet ist.

Die goldene Regel der Bereitstellungsreihenfolge

Wenn Sie sich während Ihres Sicherheitsprojekts nur an einen Grundsatz erinnern, dann an die Reihenfolge der Bereitstellung. Unternehmen geraten häufig in Schwierigkeiten, weil sie Standards in der falschen Reihenfolge umsetzen. Da das E-Mail-System auf ältere Protokolle wie SMTP setzt, die auf Vertrauen statt auf Überprüfung ausgelegt wurden, führt eine strikte Durchsetzungsrichtlinie vor der Kartierung Ihrer Infrastruktur dazu, dass legitime E-Mails fehlschlagen.

Die richtige Reihenfolge baut in jeder Phase ein Sicherheitsnetz auf. Zuerst legen Sie die Gästeliste fest, bringen Ihre fälschungssicheren Siegel an und führen erst dann den Schiedsrichter ein, der alles zusammenhält. Wer vorauseilt, tappt bei den eigenen E-Mail-Strömen im Dunkeln – und Raten ist der schnellste Weg, dass die E-Mails Ihres Unternehmens von externen Empfängern blockiert werden.

Schritt eins: SPF einrichten und die Gefahren der Lookup-Limits

Ihr erster Schritt ist die Veröffentlichung eines Sender Policy Framework (SPF)-Eintrags auf der Stammebene Ihrer Domain. Stellen Sie sich das wie die Gästeliste am Eingang eines exklusiven Clubs vor. Er legt ausdrücklich fest, welche Server E-Mails mit Ihrem Domainnamen versenden dürfen.

Wenn Sie Ihren ersten Microsoft 365-SPF-Eintrag erstellen, schließen Sie ihn mit einem Soft Fail (~all) statt eines Hard Fail (-all) ab. Damit werden nicht autorisierte E-Mails von den empfangenden Servern zwar verdächtigt, aber nicht sofort abgelehnt. Diese Schonfrist gibt Ihnen Raum, Dienste zu finden, die Sie möglicherweise übersehen haben.

Die Falle der zehn Lookups vermeiden

Ein großes Problem bei der SPF-Verwaltung ist das strikte Limit von zehn Lookups. Jedes Mal, wenn ein empfangender Server Ihren SPF-Eintrag auswertet und auf einen Mechanismus stößt, der eine separate DNS-Abfrage erfordert – etwa eine Marketing-Automatisierungsplattform eines Drittanbieters, ein Helpdesk-System für den Kundensupport oder ein Lohnabrechnungsdienstleister –, verbraucht er einen Lookup aus Ihrem Kontingent.

Wenn Ihr Unternehmen zu viele externe Dienste einbindet, überschreiten die Lookups insgesamt zehn, und die gesamte SPF-Auswertung schlägt fehl. Untersuchungen von Millionen Domains zeigen, dass ein erstaunlich hoher Anteil der Unternehmen auf diese Weise unbeabsichtigt die eigene E-Mail-Sicherheit untergräbt. Prüfen Sie Ihre Dienste daher regelmäßig, damit Ihr SPF-Eintrag schlank bleibt.

Schritt zwei: DKIM in Microsoft 365 aktivieren

Sobald Ihre Gästeliste veröffentlicht ist, brauchen Sie einen Weg, um sicherzustellen, dass Nachrichten auf dem Transportweg nicht manipuliert werden. DomainKeys Identified Mail (DKIM) wirkt wie ein digitales Wachssiegel, das auf jede ausgehende Nachricht gedrückt wird. Es enthält eine kryptografische Signatur, die die Betreffzeile, den Nachrichtentext und die sichtbare Absenderadresse abdeckt.

In Microsoft 365 werden E-Mails, die von Ihrer standardmäßigen onmicrosoft.com-Domäne gesendet werden, automatisch signiert. Ihre eigene Unternehmensdomäne bleibt jedoch unsigniert, bis Sie DKIM im Admin Center ausdrücklich konfigurieren. Richtig umgesetzt, müssen Sie beide Selector-Einträge (selector1 und selector2) in Ihrer öffentlichen DNS-Zone anlegen. Dieses Setup mit zwei Einträgen ermöglicht es Microsoft, die Signaturschlüssel später nahtlos zu rotieren, ohne dass es zu Ausfallzeiten kommt.

Google und andere große Anbieter empfehlen, SPF und DKIM mindestens 48 Stunden lang störungsfrei laufen zu lassen, bevor Sie DMARC anfassen. Diese Eingewöhnungsphase stellt sicher, dass Ihre grundlegenden Prüfungen stabil sind, bevor der Schiedsrichter ins Spiel kommt.

Schritt drei: DMARC im Überwachungsmodus bereitstellen

Domain-based Message Authentication, Reporting and Conformance (DMARC) übernimmt die Rolle des Schiedsrichters. Eine eigene Prüfung des Nachrichteninhalts führt es nicht durch. Stattdessen wertet es die Ergebnisse Ihrer SPF- und DKIM-Prüfungen aus und kontrolliert, ob diese mit dem sichtbaren Domainnamen in der Zeile „Von“ übereinstimmen.

Wenn Sie Ihren DMARC-TXT-Eintrag erstmals unter _dmarc.yourdomain.com veröffentlichen, sollten Sie den Richtlinienparameter strikt auf den Überwachungsmodus setzen: p=none. Von links nach rechts gelesen, teilt dieser Eintrag den empfangenden Servern Folgendes mit: „Dies ist ein DMARC-Eintrag. Ergreifen Sie vorerst keine Durchsetzungsmaßnahmen, wenn Prüfungen fehlschlagen, und senden Sie zusammengefasste Berichte an diese E-Mail-Adresse.“

Überspringen Sie diese Überwachungsphase niemals. Die täglichen zusammengefassten Berichte (RUA) im XML-Format decken jeden Dienst auf, der in Ihrem Namen E-Mails versendet, egal ob legitim oder schädlich. Leiten Sie diese Berichte an ein überwachtes gemeinsames Postfach statt an das Postfach einer einzelnen Mitarbeiterin oder eines einzelnen Mitarbeiters. So gehen sie während Urlaubszeiten nicht verloren.

Schritt vier: Von der Quarantäne zur Ablehnung übergehen

Sobald Ihre wöchentlichen Überprüfungen zeigen, dass alle legitimen E-Mail-Ströme sauber die Ausrichtung bestehen, ist es Zeit, die Schrauben anzuziehen. Der DMARC-Richtlinienparameter durchläuft drei klar definierte Betriebsstufen:

• None (p=none): Der Wachturm. Rein beobachtend, dient er der Prüfung und dem Sammeln zusammengefasster Berichtsdaten.
• Quarantine (p=quarantine): Der Warnhinweis. Er weist empfangende Server an, verdächtige oder fehlgeschlagene E-Mails zu markieren, und leitet sie in der Regel direkt in den Junk- bzw. Spam-Ordner der Empfängerin oder des Empfängers um.
• Reject (p=reject): Die verschlossene Tür. Sie weist Empfänger an, nicht authentifizierte oder gefälschte Nachrichten vollständig zu verwerfen, bevor sie überhaupt ein Postfach erreichen.

Damit dieser Übergang möglichst reibungslos verläuft, nutzen Sie die Prozentwerte von DMARC (pct=). Sie können Quarantäne oder Ablehnung zunächst auf einen kleinen Anteil fehlschlagender E-Mails anwenden, etwa 10 %, dann 25 % und anschließend 50 %, bevor Sie vollständig umstellen. Diese schrittweise Steigerung verhindert plötzliche Betriebsstörungen, falls ein nicht erfasstes Newsletter-Tool durch das Raster rutscht.

Fazit

Die E-Mail-Infrastruktur Ihrer Organisation gegen Business Email Compromise (BEC) und Domänen-Spoofing abzusichern, erfordert Geduld und eine methodische Einführungsstrategie. Indem Sie SPF einrichten, DKIM aktivieren und Ihre DMARC-Richtlinie von der reinen Beobachtung behutsam bis zur strikten Ablehnung steigern, schützen Sie den Namen Ihres Unternehmens und stellen sicher, dass Ihre authentischen Nachrichten immer ihr Ziel erreichen.

Wenn Sie tiefer in die Funktionsweise der E-Mail-Authentifizierungsprotokolle einsteigen möchten, hören Sie sich die vollständige Episode an. Dort erhalten Sie fundierte Einblicke, praxisnahe Architekturstrategien und praktische Anleitungen für Ihren Microsoft-365-Mandanten.

Häufige Fragen

Wie lange sollte ich meine DMARC-Richtlinie in Microsoft 365 auf none belassen?

Google und E-Mail-Sicherheitsexperten empfehlen, die DMARC-Richtlinie mindestens eine Woche lang auf p=none zu belassen. So erfassen Sie umfassende zusammengefasste Berichte, die wöchentliche und zyklische Geschäftsmail-Ströme abdecken.

Warum muss ich DKIM aktivieren, bevor ich DMARC einschalte?

DKIM signiert die Nachricht kryptografisch und wandert mit ihr mit. Dadurch übersteht es Weiterleitungen, bei denen SPF häufig versagt. Wenn sowohl SPF als auch DKIM korrekt konfiguriert sind, besteht die DMARC-Ausrichtung zuverlässig.

Versendet Microsoft 365 DMARC-Forensikberichte?

Nein. Microsoft 365 sendet zwar aggregierte (RUA-)Berichte an Ihre angegebene Berichtsadresse, erstellt bzw. versendet jedoch keine forensischen (RUF-)Berichte, selbst wenn dies in Ihrem DMARC-Eintrag angefordert wird.

Was passiert, wenn ich zwei DMARC-Einträge für meine benutzerdefinierte Domäne veröffentliche?

Wenn mehrere DMARC-Einträge veröffentlicht werden, können empfangende Mailserver nicht mehr eindeutig entscheiden, welche Richtlinie gilt, und wenden schlimmstenfalls gar keine Richtlinie an. Ihre Sicherheitsmaßnahmen sind dann wirkungslos. Stellen Sie daher immer sicher, dass Ihre Domäne genau einen DMARC-TXT-Eintrag besitzt.