# Keine DMARC-Richtlinie gefunden

> Eine Domain ohne durchgesetzte DMARC-Richtlinie kann jeder fälschen. Warum das zählt, wenn eine Rechnung Sie zur Änderung der Bankverbindung auffordert.

Canonical: https://vetthisvendor.com/de/guide/no-dmarc-policy
Published: 2026-08-02. Updated: 2026-08-03.
Author: Jose Pollman, VetThisVendor.

Wenn die Prüfung der Absender-Domain **keine durchgesetzte DMARC-Richtlinie** gemeldet
hat, heißt das: Jeder im Internet kann E-Mails versenden, die von dieser Domain zu
stammen scheinen, und den empfangenden Mailservern wurde nicht gesagt, dass sie diese
abweisen sollen.

## Warum das neben einer USt-Prüfung steht

Bei den meisten Rechnungsbetrügereien ist keine Scheinfirma im Spiel. Es geht um einen
echten Lieferanten, eine echte Rechnung und geänderte Bankdaten — zugestellt per E-Mail,
die von der Domain des Lieferanten selbst zu kommen scheint.

Diese E-Mail überzeugt gerade deshalb, weil die Domain echt ist. Eine Registerprüfung
besteht sie. Das Unternehmen existiert, die USt-IdNr. ist gültig, die Geschäftsbeziehung
ist real. Falsch ist einzig die Kontonummer, und das einzige technische Signal, das vorab
zur Verfügung steht, ist die Frage, ob diese Domain überhaupt fälschbar war.

## Die drei Einträge und was jeder tut

- **SPF** listet auf, welche Server für die Domain Mail versenden dürfen. Für sich
  genommen ist er beratend — er sagt, was geschehen *sollte*, nicht was Empfänger tun
  müssen.
- **DKIM** signiert Nachrichten kryptografisch, sodass Manipulationen erkennbar sind.
- **DMARC** ist die Anweisung, die den beiden anderen Zähne verleiht. Sie sagt den
  empfangenden Servern, was zu tun ist, wenn eine Nachricht diese Prüfungen nicht besteht.

Ohne DMARC kann eine gefälschte Nachricht, die SPF nicht besteht, trotzdem im Posteingang
landen.

## Die Richtlinie lesen

| Richtlinie | Was Empfänger tun | Was das für Sie bedeutet |
|---|---|---|
| `p=reject` | Gefälschte Mail wird rundweg abgewiesen | Am stärksten. Fälschung wird weitgehend verhindert |
| `p=quarantine` | Gefälschte Mail landet im Spam | Gut. Fälschungen erreichen den Posteingang meist nicht |
| `p=none` | Nichts — die Domain sammelt nur Berichte | **Kein Schutz.** Nur Beobachtungsmodus |
| *kein Eintrag* | Nichts | **Kein Schutz** |

`p=none` ist der Fall, der Leute in die Irre führt. Die Domain hat einen DMARC-Eintrag,
eine oberflächliche Prüfung meldet also „DMARC: ja“, doch die Anweisung an die Empfänger
lautet, gar nichts zu tun. Dieses Werkzeug meldet das als nicht durchgesetzt, denn genau
das ist es.

## Was zu tun ist

**Wenn das Ihr Lieferant ist:** Behandeln Sie jede Aufforderung zur Änderung der
Bankverbindung von dieser Domain mit besonderer Vorsicht. Antworten Sie nicht auf die
E-Mail, um sie zu bestätigen — ist das Postfach kompromittiert oder die Nachricht
gefälscht, bestätigen Sie beim Betrüger. Rufen Sie eine Nummer an, die Sie bereits hatten.

**Wenn das Ihre eigene Domain ist:** Sie können das beheben. Veröffentlichen Sie SPF und
DKIM, fügen Sie dann einen DMARC-Eintrag mit `p=none` hinzu, um Berichte zu sammeln, und
gehen Sie zu `p=quarantine` und schließlich `p=reject` über, sobald diese Berichte zeigen,
dass Ihre legitime Mail durchkommt. Das Schwesterwerkzeug unter
[notspoofed.com](https://notspoofed.com) führt genau da durch und erzeugt die Einträge für
Sie.

## Was es Ihnen nicht sagt

Eine durchgesetzte DMARC-Richtlinie bedeutet, dass die Domain schwer zu fälschen ist. Sie
bedeutet nicht, dass das Postfach nicht kompromittiert wurde — ein Angreifer, der aus
einem echten Konto heraus sendet, besteht jede einzelne dieser Prüfungen. Die telefonische
Bestätigung der Bankverbindung bleibt die Kontrolle, die das aufdeckt.