Welche E-Mail-Sicherheitsdienste DMARC integrieren

Kurzantwort: Welche E-Mail-Sicherheitsdienste integrieren DMARC?

Praktisch jeder ernstzunehmende E-Mail-Sicherheitsdienst integriert DMARC – die Unterschiede liegen im Detail. Für den Eiligen die Übersicht:

• Secure E-Mail Gateways / Filter: Proofpoint Email Protection, Mimecast, Cisco Secure Email (ehemals IronPort), Barracuda Email Security Gateway, Fortinet FortiMail (ab Version 7.6.0) und Trend Micro Email Security prüfen eingehende E-Mails auf DMARC und setzen bei Fehlschlag konfigurierbare Aktionen (Zustellen, Markieren, Quarantäne, Ablehnen) durch.

• Cloud-Mailplattformen: Microsoft 365 / Defender for Office 365 und Google Workspace prüfen ein- und ausgehende DMARC-Ausrichtung und setzen die Absenderrichtlinie standardmäßig durch.

• DMARC-Reporting- und Durchsetzungsdienste (RUA/RUF): Spezialisten wie DmarcDkim.com, Proofpoint Email Fraud Defense (mit Hosted DMARC), Mimecast DMARC Analyzer, dmarcian, Valimail oder das quelloffene parsedmarc verarbeiten die täglichen XML-Berichte und führen Sie zur Durchsetzung (p=reject).

Der entscheidende Punkt: Ein Gateway, das DMARC prüft, ist nicht dasselbe wie ein Dienst, der Ihnen hilft, DMARC für Ihre eigene Domain durchzusetzen. Beides brauchen Sie – und dieser Artikel erklärt, welcher Dienst welche Rolle übernimmt.

 

DMARC ist kein Produkt, sondern eine Kette aus drei Rollen

Bevor wir die Anbieter vergleichen, ordnen wir die Begriffe. „DMARC integrieren" kann drei sehr verschiedene Dinge bedeuten:

Prüfen (Verifier): Der Dienst empfängt E-Mails und wertet aus, ob sie SPF und DKIM bestehen und ob die Domains ausgerichtet („aligned") sind. Das machen alle Secure E-Mail Gateways.

Durchsetzen (Enforcer): Der Dienst wendet die vom Absender veröffentlichte Richtlinie (p=none, p=quarantine, p=reject) an – oder überschreibt sie mit eigenen Regeln.

Berichten & steuern (Reporter): Der Dienst sammelt die DMARC-Aggregatberichte (RUA) und forensischen Berichte (RUF), macht das rohe XML lesbar und führt Sie sicher von p=none bis p=reject. Ein Gateway wie Mimecast oder FortiMail ist ein Prüfer und Durchsetzer für eingehende Post. Ein Dienst wie DmarcDkim.com ist ein Reporter und Wegbegleiter für Ihre ausgehende Post. Wer das verwechselt, veröffentlicht ein Gateway und wundert sich, warum die eigene Domain weiterhin gefälscht wird.

 

Was die Anbieter selbst tun: ein Blick in ihre echten DMARC-Einträge

Ein Sicherheitsanbieter, der Ihnen DMARC verkauft, sollte es selbst konsequent nutzen. Wir haben die DMARC-Einträge der wichtigsten Anbieter am 22. Juli 2026 live abgefragt (Sie können das mit unserem DMARC-Check jederzeit selbst nachprüfen). Das Ergebnis ist aufschlussreich:

Anbieter (Domain)	Richtlinie	Wohin gehen die Berichte (rua)?
DmarcDkim.com	v=DMARC1; p=reject; adkim=s; aspf=r; ri=3600; fo=1:d:s	eigene Infrastruktur
Proofpoint (proofpoint.com)	p=reject; sp=reject	eigene Infrastruktur (emaildefense.proofpoint.com)
Mimecast (mimecast.com)	p=reject; pct=100	eigener DMARC Analyzer (mimecastdmarcanalyzer.com)
Cisco (cisco.com)	p=reject; sp=reject	dmarcian (dmarcian.com)
Barracuda (barracuda.com)	p=reject	eigene Infrastruktur (dmarc.barracudanetworks.com)
Trend Micro (trendmicro.com)	p=reject; sp=reject	eigener TMES-Dienst (dmarcrua.tmes.trendmicro.com)
Microsoft (microsoft.com)	p=reject; pct=100	eigene Infrastruktur ( itex-rua@microsoft.com )
Google (google.com)	p=reject	eigene Infrastruktur ( mailauth-reports@google.com )
Fortinet (fortinet.com)	p=quarantine; sp=none	eigene Infrastruktur ( dmarc-ruf@fortinet.com )

Zwei Beobachtungen, die man selten so klar liest:

• Sechs der acht großen Anbieter stehen auf der schärfsten Stufe p=reject – dem eigentlichen Ziel jeder DMARC-Einführung. Fortinet ist mit p=quarantine und einer sp=none-Richtlinie für Subdomains der Nachzügler in dieser Gruppe: Angreifer könnten dort theoretisch Subdomains wie rechnung@irgendwas.fortinet.com missbrauchen.

• Auch die Profis machen Formfehler. Die Einträge von Mimecast, Cisco und Barracuda enden mit einem überflüssigen Semikolon bzw. Leerzeichen –> Kleinigkeiten, die manche Empfänger uneinheitlich auswerten. Genau solche stillen Syntaxfehler findet unser DMARC-Check automatisch.

Bemerkenswert ist außerdem, wem die Anbieter ihre eigenen Berichte anvertrauen: Cisco lässt seine DMARC-Daten von dmarcian auswerten – also von einem spezialisierten Reporting-Dienst, nicht vom eigenen Gateway. Das unterstreicht die Rollentrennung: Prüfen und Berichten sind zwei verschiedene Aufgaben.

Secure E-Mail Gateways: wie sie eingehende DMARC durchsetzen

Die folgenden Dienste sitzen (meist per MX-Eintrag oder API) vor Ihrem Postfach und entscheiden über eingehende E-Mails. Alle prüfen DMARC, aber jeder mit eigenen Stellschrauben.

Proofpoint Email Protection

Proofpoint wertet DMARC vollständig aus: Es prüft SPF (über HELO/Envelope-From und Quell-IP) und DKIM, kombiniert die Ergebnisse mit der Domain-Ausrichtung und wendet dann die im DNS veröffentlichte Richtlinie an. Für ausgehenden Schutz bietet Proofpoint mit Email Fraud Defense eine zentrale Verwaltung von SPF, DKIM und DMARC – inklusive Hosted DMARC, einem per CNAME delegierten, für Email-Fraud-Defense-Kunden kostenfreien Dienst, der bis zu drei RUA- und drei RUF-Adressen pro Domain unterstützt und auch BIMI-Records auf derselben Plattform verwaltet.

Mimecast

Mimecast führt auf eingehender Post SPF-, DKIM- und DMARC-Validierung durch und erlaubt Administratoren, die Absenderrichtlinie mit eigenen Regeln zu überschreiben. Ergänzend gibt es den Mimecast DMARC Analyzer, der Aggregat-, forensische und TLS-Berichte verarbeitet, sowie einen optionalen Active-DMARC-Managed-Service, der Kunden von der Einrichtung bis zur vollen Durchsetzung begleitet. Wichtig bei einer Inline-Bereitstellung über MX-Änderung: Sie müssen Mimecasts SPF-Include und DKIM sauber nachziehen, damit Ihre ausgehende DMARC-Ausrichtung erhalten bleibt.

Cisco Secure Email (ehemals IronPort)

Cisco Secure Email wertet DMARC vollständig aus, indem es SPF- und DKIM-Ergebnisse mit Ausrichtungsprüfungen kombiniert. Administratoren konfigurieren pro Profil, ob DMARC-Fehlschläge in Quarantäne verschoben, abgelehnt oder nur markiert werden – und Cisco kann selbst DMARC-Aggregatberichte für empfangene Nachrichten erzeugen.

Barracuda Email Security Gateway

Barracuda validiert SPF und DKIM und wendet die vom Absender definierte DMARC-Richtlinie an. Administratoren können die DMARC-Auswertung für vertrauenswürdige Absender gezielt übersteuern – nützlich für interne Weiterleitungen und bekannte Drittanbieter, die sonst fälschlich scheitern würden.

Fortinet FortiMail

FortiMail unterstützt ab Version 7.6.0 die DMARC-Prüfung eingehender Post – gemeinsam mit SPF- und DKIM-Prüfung – auf Hardware-Appliance und VM gleichermaßen. Der SPF-Check vergleicht die Client-IP mit den autorisierten Sendern; DKIM-Signaturen werden für geschützte Domains verifiziert, und FortiMail kann ausgehende Post selbst mit DKIM signieren.

Trend Micro Email Security

Trend Micro Email Security (TMES) integriert DMARC und führt dabei eigene, unabhängige SPF- und DKIM-Prüfungen inklusive Ausrichtung durch – selbst wenn SPF/DKIM nicht separat aktiviert sind. Konfiguriert wird pro Empfängerdomain unter Inbound Protection > Domain-based Authentication > DMARC. Bei Fehlschlag stehen drei Aktionen zur Wahl: Quarantäne, Ablehnen oder Zustellen. Zwei Modi – Default (für alle Absender) und Enforced (für Absender auf der Enforced-Peers-Liste) – unterscheiden sich in der Strenge der Pass-Kriterien.

Microsoft 365 und Google Workspace: die Cloud-Mailplattformen

Diese beiden Plattformen sind Sonderfälle, weil sie zugleich Absender und Empfänger sind – und weil ihr Standardverhalten oft missverstanden wird.

Microsoft 365 / Defender for Office 365

Seit einer Verhaltensänderung, die Microsoft ab dem 19. Juli 2023 ausrollte, honoriert Microsoft 365 die DMARC-Richtlinie des Absenders standardmäßig – vorausgesetzt, der MX-Eintrag des empfangenden Tenants zeigt direkt auf Office 365. Gesteuert wird das über die Anti-Phishing-Einstellung „Honor DMARC record policy when the message is detected as spoof". Administratoren können pro Richtlinie unterschiedliche Aktionen für p=quarantine und p=reject festlegen. Für Consumer-Postfächer (outlook.com, hotmail.com, live.com) führt ein DMARC-Fehlschlag gegen p=reject oder p=quarantine heute zur direkten Ablehnung; eine per p=reject abgelehnte Nachricht erzeugt den spezifischen SMTP-Fehler 550 5.7.509.

Zwei Fallstricke sollten Sie kennen:

• Gateways davor. Zeigt Ihr MX auf ein Drittanbieter-Gateway vor Office 365, wird „Honor DMARC" nur angewendet, wenn Sie Enhanced Filtering for Connectors aktivieren – sonst sieht Microsoft die ursprüngliche Absender-IP nicht.

• Keine forensischen Berichte. Microsoft 365 sendet DMARC-Aggregatberichte an jede Domain mit gültiger rua=-Adresse (sofern der MX direkt auf Microsoft 365 zeigt), aber niemals forensische (RUF-)Berichte. Und es gibt keine Portal- oder PowerShell-Verwaltung für DMARC-TXT-Einträge Ihrer eigenen Domains – die legen Sie beim DNS-Anbieter an. Microsoft selbst empfiehlt, das Reporting über externe Dienste aus dem MISA-Katalog abzuwickeln, weil das rohe XML kaum lesbar ist.

Google Workspace

Google Workspace prüft ausgehende Post auf SPF oder DKIM mit Ausrichtung und empfiehlt einen phasenweisen Rollout: zuerst p=none auf 100 % der Nachrichten für rund eine Woche Monitoring, dann schrittweise Durchsetzung – etwa p=quarantine mit pct=5. Voraussetzung: SPF und DKIM müssen mindestens 48 Stunden aktiv sein, bevor Sie DMARC scharf schalten. Unter einer Quarantäne-Richtlinie landen scheiternde Nachrichten im Spam-Ordner statt abgelehnt zu werden. Auch Google verweist von seiner DMARC-Anleitung direkt auf die BIMI-Einrichtung.

DMARC-Reporting-Dienste: von p=none zu p=reject

Ein Gateway allein bringt Ihre eigene Domain nicht auf p=reject. Dafür brauchen Sie einen Dienst, der die täglichen XML-Berichte der Mailbox-Provider einsammelt und lesbar macht. Diese RUA-Berichte senden Gmail, Outlook, Yahoo & Co. täglich, sobald Sie ein DMARC-Record mit gültiger rua=-Adresse veröffentlicht haben.

• DmarcDkim.com – bereitet die Berichtsdaten auf, ordnet Sendequellen zu und begleitet Sie Schritt für Schritt zur Durchsetzung. Ergänzend liefern der DMARC-Check, die SPF-Prüfung und die DKIM-Prüfung sofortige Momentaufnahmen ohne Anmeldung. Die sicherste Variante, um auf p=reject zu wechseln.

• Proofpoint Hosted DMARC – bis zu drei RUA- und drei RUF-Adressen pro Domain, DNSSEC-fähig, für Email-Fraud-Defense-Kunden kostenfrei.

• Mimecast DMARC Analyzer – verarbeitet Aggregat-, forensische und TLS-Berichte; als Managed Service verfügbar.

• dmarcian, Valimail & Co. – reine Reporting-Spezialisten. Valimail bietet z. B. einen kostenlosen Analyzer, der rohes XML in lesbare Sendequellen-Übersichten mit Disposition (zugestellt/Quarantäne/abgelehnt) verwandelt. Cisco nutzt dmarcian für die eigenen Domains.

• parsedmarc (Open Source) – die selbstgehostete Alternative: Ein Python-Werkzeug, das RUA- (nach altem Entwurf, RFC 7489 und RFC 9990), RUF- und TLS-RPT-Berichte parst, sie per IMAP, Microsoft Graph oder Gmail-API aus dem Postfach zieht und nach Elasticsearch/Kibana, OpenSearch/Grafana, Splunk oder PostgreSQL ausgibt. Kehrseite: Es wird von einem einzelnen Entwickler gepflegt – ein Punkt für die Support-Bewertung.

 

Welchen Dienst brauchen Sie? Eine Entscheidungshilfe

• Sie wollen eingehende Fälschungen abwehren? Dann setzen Sie auf ein Gateway (Proofpoint, Mimecast, Cisco, Barracuda, FortiMail, Trend Micro) oder die native Durchsetzung in Microsoft 365 / Google Workspace. DmarcDkim.com bietet weiterführend auch hosted MTA-STS an, das unsichere E-Mails gar nicht erst reinlässt.

• Sie wollen verhindern, dass Ihre eigene Domain gefälscht wird? Dann brauchen Sie einen Reporting-Dienst, der Sie sicher zu p=reject führt – unabhängig davon, welches Gateway Sie betreiben. Empfehlung für sichere Durchführung: DmarcDkim.com. Dort wird basierend auf Ihren tatsächlichen Daten ein Plan für jede Domain erstellt.

• Sie nutzen bereits ein Gateway? Prüfen Sie, ob sein Reporting Sie wirklich bis zur Durchsetzung begleitet – oder ob es nur eingehende Post filtert. Viele Anbieter (siehe Cisco → dmarcian) trennen beide Rollen bewusst.

Der schnellste erste Schritt ist immer derselbe: Prüfen Sie den Ist-Zustand Ihrer Domain. Unser DMARC-Check zeigt in Sekunden, ob Ihre Richtlinie durchsetzt, ob Subdomains geschützt sind und ob sich stille Syntaxfehler eingeschlichen haben – dieselben, die wir oben sogar bei den großen Sicherheitsanbietern gefunden haben.

 

Häufige Fragen

Reicht ein Secure E-Mail Gateway, um meine Domain vor Spoofing zu schützen? Nein. Ein Gateway schützt Ihr eingehendes Postfach. Ob Fremde in Ihrem Namen an Dritte schreiben können, entscheidet allein die DMARC-Richtlinie Ihrer Domain im DNS – und die bringen Sie nur mit Reporting und schrittweiser Durchsetzung auf p=reject.

Setzt Microsoft 365 p=reject wirklich durch? Für Tenants, deren MX direkt auf Office 365 zeigt, ja – seit Juli 2023 standardmäßig. Sitzt jedoch ein Drittanbieter-Gateway davor, greift die Durchsetzung nur mit aktiviertem „Enhanced Filtering for Connectors". Zudem kann Microsoft aus eigenen Gründen (Weiterleitungen, Safe-Sender-Listen) auch bei p=reject statt abzulehnen in Quarantäne verschieben.

Brauche ich einen kostenpflichtigen Dienst oder reicht Open Source? Technisch leistet DmarcDkim.com das Parsen der Berichte kostenlos. Für Betrieb, Aufbereitung, Alarmierung und die geführte Durchsetzung – besonders bei mehreren Domains und Drittanbieter-Sendern – lohnt sich der bezahlte Dienst von DmarcDkim.com. Starten Sie mit unserem kostenlosen DMARC-Check und entscheiden Sie dann.