DMARC Quarantine vs. Reject: welche Richtlinie Sie nutzen sollten (und wann Sie wechseln)

Ein DMARC-Eintrag ohne durchsetzende Richtlinie ist wie eine Überwachungskamera, die nicht aufzeichnet. Erst mit dem Tag p= beginnt DMARC, Ihre Domain tatsächlich zu schützen, und die Wahl zwischen quarantine und reject ist wichtiger, als den meisten Absendern bewusst ist.

Dieser Ratgeber erklärt, was jede Richtlinie bewirkt, wann Sie welche nutzen und wie Sie am sichersten von p=none zur Durchsetzung kommen.

Die drei DMARC-Richtlinien

DMARC kennt drei Werte für den Tag p=:

Richtlinie	Was mit E-Mails passiert, die DMARC nicht bestehen	Wann einsetzen
p=none	Normal zugestellt; an Sie gemeldet	Tag 1 (nur Sichtbarkeit)
p=quarantine	In den Spam-Ordner zugestellt	Übergangsphase
p=reject	Abgewiesen (nicht zugestellt)	Endzustand: voller Schutz

Mit dem Tag pct= aus RFC 7489 lässt sich die Richtlinie auf einen Prozentsatz der E-Mails anwenden. So bittet p=quarantine; pct=25 die Empfänger, 25 % der fehlschlagenden E-Mails unter Quarantäne zu stellen und den Rest durchzulassen. Der aktuelle Standard, RFC 9989 (Mai 2026), streicht pct und behält nur dessen Testfunktion als t=y; betrachten Sie Prozentsätze also als Bitte, die viele Empfänger nur locker umsetzen.

Was p=quarantine tatsächlich bewirkt

E-Mails, die DMARC nicht bestehen, landen im Spam-Ordner des Empfängers. Der Empfänger kann die Nachricht dort noch finden und zurückholen, was nützlich ist, solange Sie noch legitime Absender entdecken, die noch nicht im Alignment sind.

Stärken:

• Hält die meisten gefälschten E-Mails vom Posteingang fern.
• Macht fehlgeschlagenes Alignment sichtbar, ohne echte E-Mails abzuweisen.
• Geringes Risiko, legitime E-Mails während des Übergangs zu beschädigen.

Schwächen:

• Manche Mailbox-Provider behandeln Quarantine uneinheitlich (Microsoft ist strenger als Gmail).
• Hindert den Empfänger nicht daran, gefälschte E-Mails von Hand zurückzuholen.
• Bietet nur teilweisen Markenschutz.

Was p=reject tatsächlich bewirkt

E-Mails, die DMARC nicht bestehen, werden vom Empfängerserver direkt abgelehnt. Sie landen nirgends. Der Absender erhält einen Bounce.

Stärken:

• Der stärkste mögliche Schutz vor Spoofing.
• Voraussetzung für BIMI (Logoanzeige in unterstützten E-Mail-Programmen).
• Entspricht den Empfehlungen von Gmail/Yahoo für Massenversender.

Schwächen:

• Jeder legitime Absender ohne korrektes Alignment verschwindet still.
• Fehlkonfigurationen führen dazu, dass echte Kunden-E-Mails abgewiesen werden.
• Jeder Absender aus der Schatten-IT muss vorher gefunden und ins Alignment gebracht werden.

Wann Sie welche wählen

Nutzen Sie diesen Entscheidungsbaum:

• Sie haben DMARC gerade veröffentlicht → p=none mit rua-Berichten. Bleiben Sie dabei, bis Ihre Aggregatberichte zeigen, dass 99 % oder mehr der legitimen E-Mails im Alignment sind.
• Aggregatberichte zeigen über 99 % Alignment bei legitimen Absendern, mit ein paar Unbekannten → p=quarantine; pct=10. Wöchentlich prüfen, pct schrittweise erhöhen.
• Aggregatberichte zeigen 100 % Alignment der legitimen E-Mails, keine Bedenken wegen Spoofing → p=quarantine; pct=100.
• Sie wollen maximalen Schutz UND jeder legitime Absender ist nachweislich im Alignment → p=reject; pct=100.
• Sie sind eine Bank, im Gesundheitswesen, eine Behörde oder eine häufig gefälschte Marke → wechseln Sie zügig zu p=reject. Das Risiko eines Schadens durch Spoofing übersteigt das Risiko einer Fehlkonfiguration.

Der sichere Weg von p=none zu p=reject

Der übliche Zeitplan, der Katastrophen verhindert:

Woche	Richtlinie	Was zu tun ist
1-4	p=none	Eintrag veröffentlichen, Aggregatberichte auswerten, alle Absender ermitteln
5-6	p=none	Alle Absender ohne Alignment ausrichten (eigene Domains, CNAMEs des ESP)
7-8	p=quarantine; pct=10	Beobachten, neue Fehler beheben
9-10	p=quarantine; pct=50	Ebenso
11-12	p=quarantine; pct=100	Ebenso
13-16	p=reject; pct=10 dann 50 dann 100	Letzte Steigerung

Insgesamt: etwa 4 Monate von der Veröffentlichung von DMARC bis zur vollen Durchsetzung mit p=reject. Schneller ist möglich, erhöht aber das Risiko, legitime E-Mails zu verlieren.

Was Ihnen Aggregatberichte verraten

Die rua-Aggregatberichte von DMARC kommen täglich als XML-Anhänge von jedem empfangenden Provider. Sie zeigen:

• Welche IPs E-Mails gesendet haben, die angeblich von Ihrer Domain stammen.
• Wie viele Nachrichten mit SPF, DKIM, beiden oder keinem im Alignment waren.
• Welche Behandlung der Empfänger angewendet hat (none/quarantine/reject).

Werten Sie sie in einem Dashboard aus, denn rohes XML ist in größerer Menge unlesbar. Der kostenlose DMARC-Report-Analyzer liest die Berichte, die Sie öffnen, direkt in Ihrem Browser.

Häufige Fehler, die echte E-Mails beschädigen

• Direkt zu p=reject springen, ohne Aggregatberichte auszuwerten. Bei der Bestandsaufnahme tauchen immer legitime Absender auf, die Sie vergessen hatten.
• Subdomains vergessen. Ein p=reject auf der Hauptdomain gilt auch für ihre Subdomains, sofern kein sp=-Tag etwas anderes sagt; ein übrig gebliebenes sp=none nimmt also stillschweigend jede Subdomain aus.
• ESP ohne Alignment eingerichtet. Ihr ESP signiert DKIM standardmäßig mit seiner eigenen Domain; für das Alignment müssen Sie eine eigene DKIM-Domain einrichten.
• Tools für Marketing-Automatisierung. Viele SaaS-Tools senden „von“ Ihrer Domain über SendGrid/Postmark usw. Jedes muss einzeln ins Alignment gebracht werden.

p=quarantine vs. Quarantäne des Spamfilters

Ein häufiger Irrtum: p=quarantine weist den empfangenden Server an, fehlschlagende E-Mails als verdächtig zu behandeln. Der Empfänger wendet darüber hinaus weiterhin seine eigene Spamfilterung an. E-Mails, die DMARC unter p=quarantine nicht bestehen, landen also im Spam oder werden noch härter aussortiert. Die beiden Filter verstärken sich.

Häufige Fragen

Ist p=reject sicher? Ja, sobald Sie geprüft haben, dass jeder legitime Absender im Alignment ist. Das Risiko liegt darin, durchzusetzen, bevor Sie alle Absender kennen.

Was bewirkt pct=0? Für neue E-Mails praktisch dasselbe wie p=none. Ein alter Trick, um Richtlinienänderungen zu testen, ohne die Zustellung zu beeinflussen. RFC 9989 ersetzt ihn durch t=y und hält fest, dass pct-Werte außer 0 und 100 von Empfänger zu Empfänger uneinheitlich angewendet wurden.

Betrifft p=reject E-Mails über Mailinglisten? Ja. Das ist die häufigste Ursache für verlorene legitime E-Mails nach der Durchsetzung. ARC (Authenticated Received Chain) hilft Mailinglisten, das Alignment zu erhalten. Die meisten großen Listen unterstützen ARC inzwischen; prüfen Sie Ihre.

Sollte die Richtlinie für Subdomains der Hauptdomain entsprechen? Meist ja. Setzen Sie sp=reject ausdrücklich. Haben Sie Subdomains ohne Authentifizierung, setzen Sie sie vorübergehend auf sp=quarantine und beheben Sie das.

Brauche ich DMARC, wenn ich SPF und DKIM habe? Ja. SPF und DKIM prüfen einzelne Mechanismen; nur DMARC setzt das Alignment durch und liefert Ihnen Berichte. Gmail und Yahoo verlangen DMARC von Massenversendern.

Fazit

p=none dient dem Lernen. p=quarantine dient dem Übergang. p=reject dient dem Schutz. Direkt zu p=reject zu springen ist der häufigste Weg, echte Kunden-E-Mails zu verlieren. Nehmen Sie sich die vier Monate. Den Schutz richtig umzusetzen lohnt sich.

👉 Weiterlesen: SPF, DKIM und DMARC reparieren · Absenderanforderungen von Gmail und Yahoo · Den DMARC-Generator ausprobieren

Quellen

• RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC), der aktuelle DMARC-Standard: die Richtlinien p, sp und np, das Testflag t und warum pct entfernt wurde.
• RFC 7489: DMARC (2015 informational version), die Fassung von 2015, die pct definierte, und die Regel, dass p für Subdomains gilt, wenn sp fehlt.
• RFC 8617: The Authenticated Received Chain (ARC) Protocol, wie Zwischenstationen wie Mailinglisten Authentifizierungsergebnisse weitergeben, an denen DMARC sonst scheitern würde.
• Set up DMARC (Google Workspace Help), Googles Empfehlung, mit p=none zu beginnen und beim Lesen der Berichte schrittweise zur Durchsetzung überzugehen.