DMARC bei IONOS, Strato, All-Inkl und domainfactory: Was Ihr Hoster gesetzt hat und was Sie ändern sollten

Die kurze Antwort

Prüfen Sie zuerst Ihren DMARC-Eintrag, denn Ihr Hoster hat vielleicht schon einen gesetzt. Bei IONOS ist die typische Voreinstellung p=none ohne Berichte. Ergänzen Sie also eine Berichtsadresse und gehen Sie schrittweise zur Durchsetzung. Bei Strato ist die typische Voreinstellung p=reject. Stellen Sie also sicher, dass jedes System, das in Ihrem Namen sendet, DKIM besteht, und legen Sie einen SPF-Eintrag an. Bei All-Inkl und domainfactory gibt es meist keine Voreinstellung, den Eintrag legen Sie also selbst an. Mit unserem kostenlosen E-Mail-Check testen Sie Ihre Domain in Sekunden.

Was die Daten zeigen

Die Zahlen stammen aus unserer DMARC-Studie mit 23.488 Firmendomains aus Deutschland, Österreich und der Schweiz, gruppiert nach der Mail-Plattform im MX-Eintrag.

Solche Abstände lassen sich nicht mit dem Verhalten der Firmen erklären. Bei IONOS und Strato sind die Kunden überwiegend kleine und mittlere Unternehmen, trotzdem setzen beim einen 12,6 % DMARC durch und beim anderen 80,2 %. Es entscheidet die Voreinstellung des Hosters.

Um diese Voreinstellungen direkt zu sehen, haben wir im November 2026 die genauen Einträge in einer Stichprobe von 4.000 Domains abgefragt. Von den IONOS-Domains dieser Stichprobe trugen 76 von 129 exakt v=DMARC1; p=none;. Von den Strato-Domains trugen 35 von 62 exakt v=DMARC1; p=reject;. Die übrigen hatten individuelle Einträge. Die Stichprobe ist klein, lesen Sie die Zahlen also als Muster und nicht als genaue Anteile.

IONOS: DMARC ist da, bewirkt aber noch nichts

Ein Eintrag mit p=none sagt empfangenden Servern, dass sie bei fehlgeschlagener Prüfung nichts unternehmen sollen. Ohne rua-Adresse bekommt außerdem niemand Berichte. Die Domain sieht in einem einfachen Test also gut aus, während jeder weiter gefälschte Mails in ihrem Namen senden kann, ohne dass Sie davon erfahren.

Das ist zu tun:

1. Ergänzen Sie im Eintrag eine Berichtsadresse, etwa ein Postfach oder einen Berichtsdienst. Was zurückkommt, erklärt unser Ratgeber DMARC-Berichte lesen.
2. Sammeln Sie zwei bis vier Wochen lang Berichte und ermitteln Sie jeden Absender.
3. Gehen Sie zu p=quarantine und dann zu p=reject, wie in Von p=none auf reject umstellen beschrieben.

SPF ist meist schon vorhanden. In unserer Stichprobe nutzen die meisten IONOS-Domains include:_spf-eu.ionos.com. Wenn Sie auch über Microsoft 365 oder ein Newsletter-Tool senden, gehören diese Absender in denselben Eintrag, denn eine Domain darf nur einen SPF-Eintrag haben.

Strato: streng, und eine Falle für andere Absender

Ein Eintrag mit p=reject fordert empfangende Server auf, Nachrichten abzuweisen, die DMARC nicht bestehen. Das ist der Schutz, den Sie wollen, solange Ihre legitimen Mails durchkommen. Strato signiert die eigenen ausgehenden Mails mit DKIM, Mails über Strato kommen also normalerweise an, auch ohne SPF.

Das Problem beginnt bei allem anderen. Ein Onlineshop, ein CRM, ein Newsletter-Tool oder ein Scanner, der ohne eigene DKIM-Signatur für Ihre Domain in Ihrem Namen sendet, fällt durch, und der Empfänger sieht die Nachricht womöglich nie. Wenn Kunden sagen, dass Rechnungen oder Newsletter nicht ankommen, prüfen Sie das zuerst.

Das ist zu tun:

1. Legen Sie einen SPF-Eintrag an. In unserer Stichprobe von 98 Strato-Domains hatten 42 keinen. Die übrigen nutzen meist redirect=_spf.strato.com oder include:_spf.strato.com. Wenn Sie auch über andere Dienste senden, nehmen Sie die include-Form, damit Sie diese ergänzen können.
2. Richten Sie DKIM für Ihre Domain in jedem externen Tool ein, das in Ihrem Namen sendet.
3. Ergänzen Sie eine Berichtsadresse, damit Sie Fehler sehen. Der Standardeintrag schickt Ihnen keine Berichte.
4. Wenn Sie einen wichtigen Absender nicht kurzfristig reparieren können, lässt sich die voreingestellte DMARC-Regel in den DNS-Einstellungen von Strato abschalten. Sehen Sie das als vorübergehenden Schritt.

All-Inkl und domainfactory: nichts, bis Sie es anlegen

Beide setzen keine DMARC-Voreinstellung, das erklärt die niedrigen Werte. In unserer Stichprobe nutzen die meisten All-Inkl-Domains für SPF include:spf.kasserver.com und die meisten domainfactory-Domains include:ispgateway.de.

Das ist zu tun:

1. Legen Sie unter _dmarc.ihredomain.de einen TXT-Eintrag mit v=DMARC1; p=none; rua=mailto:ihre-adresse an.
2. Aktivieren Sie DKIM in den Mail-Einstellungen des Hosters oder bei Ihrem Mail-Anbieter. Die genauen Schritte hängen vom Paket ab, sehen Sie also in die aktuelle Hilfe Ihres Hosters.
3. Lesen Sie die Berichte und verschärfen Sie die Richtlinie dann Schritt für Schritt.

Die vollständige Einrichtung, mit genauen Einträgen für Google Workspace und Microsoft 365, steht in SPF, DKIM und DMARC einrichten.

Vor jeder Änderung: Absender erfassen

Die meisten DMARC-Probleme kommen von Absendern, an die niemand gedacht hat. Gehen Sie diese Liste mit Ihrer IT durch:

Ist das für den Vertrieb wichtig?

Ja, aus zwei Gründen. Wenn Ihre eigenen Mails im Spam landen oder abgewiesen werden, kommen Angebote und Rechnungen nicht an. Und große Postfachanbieter machen Authentifizierung zur Bedingung für Massenversender: Google und Yahoo seit 2024, Microsoft seit 2025. Wenn Sie Outbound-Kampagnen planen, senden Sie überhaupt nicht von Ihrer Hauptdomain. Wir nutzen eigene Versanddomains, wie in unserem Ratgeber zur Zustellbarkeit beschrieben.