DMARCbis erklärt: Was RFC 9989 für Newsletter-Absender bedeutet

DMARC ist für Newsletter längst kein Spezialthema mehr. Wer regelmäßig an Gmail-, Microsoft- oder Unternehmenspostfächer sendet, wird an SPF, DKIM und DMARC gemessen, auch wenn die eigene Liste vergleichsweise klein ist. Mit RFC 9989 liegt seit Mai 2026 die überarbeitete DMARC-Spezifikation vor. Dazu kommen RFC 9990 für Aggregate Reports und RFC 9991 für Failure Reports.

Für KMU und Marketing-Teams bedeutet das nicht, dass heute Nacht alle DNS-Einträge neu geschrieben werden müssen. Es bedeutet aber: Das Thema ist gereift, die Begriffe sind sauberer getrennt und die operative Prüfung der Absenderdomain sollte nicht nur bei einem Relaunch oder Providerwechsel passieren. Der folgende Leitfaden übersetzt DMARCbis in konkrete Aufgaben für Newsletter-Absender im DACH-Raum.

Was DMARCbis eigentlich ändert

DMARCbis ist keine komplett neue Authentifizierungsmethode. Die Grundlage bleibt gleich: Empfangende Mailserver prüfen, ob eine Nachricht über SPF oder DKIM authentifiziert ist und ob die authentifizierte Domain zur sichtbaren From-Domain passt. Dieses Zusammenspiel heißt Alignment. Der Domaininhaber veröffentlicht außerdem eine Policy, die empfangenden Systemen signalisiert, wie sie mit Nachrichten umgehen sollen, die diese Prüfung nicht bestehen.

Neu ist vor allem die sauberere Standardisierung. RFC 9989 ersetzt die frühere DMARC-Spezifikation und beschreibt den Kernmechanismus. Die Reporting-Themen sind stärker getrennt: RFC 9990 behandelt aggregierte Berichte, RFC 9991 einzelne Fehlerberichte. Das hilft Teams, weil sie DNS-Setup, Monitoring und Datenschutzfragen nicht mehr in einen einzigen großen Topf werfen müssen.

Wichtig ist auch: DMARC ist kein Zustellbarkeits-Zauberstab. Ein korrekter Eintrag verbessert nicht automatisch jede Öffnungsrate. Er verhindert aber, dass legitime Kampagnen unnötig Authentifizierungsprobleme erzeugen, und erschwert Missbrauch deiner Domain durch Spoofing oder Phishing.

Warum Newsletter-Absender jetzt hinschauen sollten

Große Mailbox-Provider verlangen seit 2024 deutlich konsequenter, dass Absender ihre Domains authentifizieren. Die Gmail-Absenderleitlinien nennen für größere Versender SPF, DKIM und DMARC, Alignment, niedrige Spamraten und einfache Abmeldung als zentrale Anforderungen. Microsoft empfiehlt für eigene Domains ebenfalls einen schrittweisen DMARC-Rollout: zuerst beobachten, dann kontrolliert auf strengere Policies wechseln.

Diese Provider-Regeln sind nicht identisch mit DMARCbis, zeigen aber in dieselbe Richtung: Der sichtbare Absender, die technische Versanddomain und die tatsächlichen Versandquellen müssen zusammenpassen. Wer mehrere Tools nutzt, etwa Shop-System, CRM, Rechnungssoftware und Newsletter-Plattform, sollte deshalb regelmäßig prüfen, ob alle legitimen Quellen im SPF-/DKIM-/DMARC-Konzept vorkommen.

Falls du gerade erst startest, lohnt sich zuerst der grundlegende Aufbau. Der Mailaura-Leitfaden zum Newsletter erstellen hilft beim Kampagnenprozess; die DNS-Authentifizierung solltest du parallel mit deiner Domain- oder IT-Verantwortung abstimmen. Für technische Integrationen ist zusätzlich die Mailaura API-Referenz relevant, damit automatisierte Versandquellen sauber dokumentiert bleiben.

Die fünf wichtigsten Prüfungen nach DMARCbis

1. Alle Versandquellen erfassen

Beginne nicht beim DNS-Record, sondern bei der Realität. Welche Systeme senden E-Mails mit deiner Domain im From-Header? Typische Quellen sind Newsletter, Transaktionsmails, Rechnungen, Support-Systeme, Bewerbungssoftware, Event-Tools und interne Benachrichtigungen. Notiere pro Quelle: sichtbare From-Adresse, Envelope-From beziehungsweise Return-Path, DKIM-Domain, Versand-IP oder Versanddienst und zuständiges Team.

Diese Inventarliste ist die Basis für alles Weitere. Ohne sie ist eine strengere DMARC-Policy riskant, weil legitime Quellen plötzlich nicht mehr sauber durchkommen. Gerade bei KMU entstehen Probleme oft nicht durch böse Absicht, sondern durch alte Tools, vergessene Subdomains oder Agentur-Setups, die nie dokumentiert wurden.

2. SPF und DKIM auf Alignment prüfen

DMARC besteht eine Nachricht, wenn SPF oder DKIM authentifiziert und aligned ist. In der Praxis ist DKIM für Newsletter besonders wichtig, weil Weiterleitungen SPF brechen können. Prüfe deshalb, ob jede Newsletter-Plattform mit einer Domain signiert, die zu deiner sichtbaren Absenderdomain passt. Wenn deine Kampagne von newsletter.example.at kommt, sollte die DKIM-Signatur nicht dauerhaft auf einer fremden Provider-Domain hängen bleiben.

SPF bleibt dennoch relevant. Der SPF-Record sollte alle legitimen Versanddienste enthalten, aber nicht zu einer unlesbaren Sammlung historischer Includes werden. Entferne alte Anbieter erst nach Prüfung, aber halte den Record schlank genug, damit DNS-Lookups nicht zum Problem werden.

3. DMARC-Policy kontrolliert ausrollen

Ein pragmatischer Startpunkt ist häufig p=none mit Aggregate Reporting. Damit beobachtest du, wer im Namen deiner Domain sendet, ohne empfangenden Servern bereits eine Quarantäne- oder Reject-Entscheidung vorzuschlagen. Erst wenn legitime Quellen sauber authentifizieren, wechselst du schrittweise zu p=quarantine und später zu p=reject.

Für Marketing-Teams ist wichtig: Eine strengere Policy sollte nicht am Tag einer großen Kampagne oder direkt vor einer Verkaufsaktion eingeführt werden. Plane ein Zeitfenster mit überschaubarem Versandvolumen und beobachte Bounce-, Deferral- und Beschwerdesignale. Mehr dazu findest du im Mailaura-Beitrag zu Bounce-Management und Absenderreputation.

4. Reports nutzbar machen

Aggregate Reports zeigen, welche Quellen deine Domain verwenden und wie SPF, DKIM und DMARC bewertet wurden. Sie sind für operative Entscheidungen meist wichtiger als einzelne Failure Reports. Lege eine dedizierte Reporting-Adresse oder einen spezialisierten Auswertungsdienst fest, sonst landen XML-Anhänge schnell ungelesen im Postfach.

Failure Reports können hilfreiche Details liefern, enthalten aber je nach Konfiguration und Empfänger potenziell sensible Nachrichtenausschnitte oder Header-Informationen. Bevor du solche Berichte aktiv nutzt, solltest du Datenschutz, Zweck, Zugriff und Aufbewahrung intern sauber klären. Das ist keine individuelle Rechtsberatung, sondern eine praktische Vorsichtsmaßnahme für Teams, die mit personenbezogenen Daten arbeiten.

5. Versandarten trennen

Newsletter, Transaktionsmails und interne Systemmails haben unterschiedliche Erwartungen. Marketing-Mails brauchen klare Abmeldung, Consent, stabile Frequenz und gute Segmentierung. Transaktionsmails müssen schnell, zuverlässig und inhaltlich strikt zweckgebunden bleiben. Die technische Trennung über Subdomains oder getrennte From-Adressen erleichtert Monitoring und verhindert, dass Probleme einer Versandart alles andere belasten. Der Praxisleitfaden zu Transaktionsmails und Newslettern zeigt, wie diese Trennung organisatorisch funktioniert.

Praxis-Checkliste für dein nächstes Domain-Audit

• Erstelle eine Liste aller Tools, die E-Mails mit deiner Domain senden.
• Prüfe pro Tool, ob DKIM aktiv ist und zur sichtbaren From-Domain passt.
• Kontrolliere, ob der SPF-Record nur aktuelle legitime Versandquellen enthält.
• Veröffentliche oder überprüfe einen DMARC-Record für die relevante Domain und wichtige Subdomains.
• Aktiviere Aggregate Reporting an eine Adresse oder einen Dienst, der wirklich ausgewertet wird.
• Wechsle von p=none zu strengeren Policies erst nach Datenprüfung und Testversand.
• Beobachte nach jeder Änderung Bounces, Deferrals, Spamrate und Domainreputation.
• Dokumentiere Verantwortliche, DNS-Änderungen und Versandquellen zentral.

Wie Mailaura in den Workflow passt

Mailaura ersetzt nicht die DNS-Verantwortung deiner Domain, hilft aber beim strukturierten Kampagnenbetrieb: klare Listen, saubere Segmente, planbare Kampagnen, nachvollziehbare Automationen und konsistente Templates. Das reduziert operative Fehler, die neben technischer Authentifizierung ebenfalls auf Zustellbarkeit einzahlen.

Wenn du das Thema vertiefen möchtest, starte mit dem Mailaura-Grundlagenartikel zur E-Mail-Zustellbarkeit und prüfe danach deine konkrete Domainkonfiguration. Für Teams mit mehreren Systemen lohnt sich ein kurzer monatlicher Absender-Review: neue Tools, neue Subdomains, geänderte DKIM-Schlüssel, auffällige Reports und Kampagnenkennzahlen werden gemeinsam betrachtet.

Fazit

DMARCbis macht E-Mail-Authentifizierung nicht komplizierter, sondern klarer. Für Newsletter-Absender ist die wichtigste Konsequenz: Behandle SPF, DKIM, DMARC und Reporting als laufenden Betriebsprozess, nicht als einmalige DNS-Aufgabe. Wer Versandquellen dokumentiert, Alignment prüft, Reports liest und Policies kontrolliert verschärft, schützt seine Marke und verbessert die technische Grundlage für verlässliche Newsletter-Zustellbarkeit.

Quellen

• IETF RFC 9989: Domain-Based Message Authentication, Reporting, and Conformance (DMARC)
• IETF RFC 9990: DMARC Aggregate Reporting
• IETF RFC 9991: DMARC Failure Reporting
• Google Workspace Admin Help: Email sender guidelines
• Microsoft Learn: Set up DMARC to validate email in Microsoft 365