DMARC-Berichte verstehen und mit Gmail-Filtern sortieren

Publié le 06 novembre 2026

Leuchtendes Neon-Briefumschlagsymbol auf schwarzem Hintergrund als Hinweis auf E-Mail-Sicherheit und DMARC-Berichte

Eines Morgens landet eine E-Mail von Google in Ihrem Postfach: „Report domain: votre-domaine.fr Submitter: google.com Report-ID: …“, dazu ein komprimierter Anhang. Am nächsten Tag folgt Microsoft, dann Yahoo und weitere Anbieter. Kein Text, keine Erklärung, nur eine Datei. Phishing? Ein Angriff? Weder noch: Das sind aggregierte DMARC-Berichte, und sie sind eigentlich eine gute Nachricht.

Hier erfahren Sie, was darin steht, wie Sie die Berichte in zwei Minuten lesen und vor allem, wie Sie sie aus dem Posteingang entfernen, ohne sie zu verlieren – mit einer kaum bekannten Gmail-Funktion: dem Import von Filtern aus einer XML-Datei.

DMARC in dreißig Sekunden

Wenn ein Server eine E-Mail erhält, die angeblich von votre-domaine.fr stammt, prüft er zwei Dinge:

SPF: Steht die sendende IP-Adresse auf der Liste der von Ihrer Domain autorisierten Server?
DKIM: Hat die Nachricht eine gültige kryptografische Signatur eines Servers, der den Schlüssel Ihrer Domain besitzt?

DMARC verbindet beides. Mindestens eine Prüfung muss erfolgreich und „ausgerichtet“ sein, also dieselbe Domain betreffen, die der Empfänger im sichtbaren „Von:“-Feld sieht. Über einen einfachen DNS-TXT-Eintrag unter _dmarc.votre-domaine.fr legt DMARC zudem fest, was bei einem Fehlschlag geschehen soll:

v=DMARC1; p=none; rua=mailto:dmarc@votre-domaine.fr

Der Parameter p bestimmt die Richtlinie: none (nur beobachten), quarantine (in den Spamordner) oder reject (vollständig ablehnen). Und der Parameter rua erklärt die rätselhaften E-Mails.

Warum Sie diese Berichte erhalten

rua steht für reporting URI for aggregate reports. Damit werden große E-Mail-Anbieter gebeten, meist einmal täglich eine Zusammenfassung der Nachrichten zu senden, die sie im Namen Ihrer Domain empfangen haben. Wenn Sie diese Berichte bekommen, ist Ihre Adresse dort eingetragen.

Häufig haben Sie das nicht selbst eingerichtet. Seit Februar 2024 verlangen Gmail und Yahoo von Massenversendern einen DMARC-Eintrag. Viele Hoster, Dienstleister und Einrichtungsassistenten legen ihn automatisch an und tragen die Kontaktadresse der Domain unter rua ein. Dann kommen die Berichte ohne Vorwarnung.

Wichtig: Ein Bericht ist keine Warnmeldung. Google verschickt ihn auch dann, wenn alles einwandfrei funktioniert. Er ist eine Übersicht, kein Alarm.

Einen Bericht ohne Spezialtool lesen

Der Anhang enthält eine komprimierte XML-Datei: bei Google als .zip, bei Microsoft und den meisten anderen als .gz. Entpacken Sie die Datei und öffnen Sie sie im Browser oder Texteditor. Unter dem Kopfbereich mit Absender und Berichtszeitraum (Unix-Zeitstempel lassen sich online in Datumsangaben umrechnen) sieht jeder <record>-Block etwa so aus:

<record>
  <row>
    <source_ip>203.0.113.25</source_ip>
    <count>14</count>
    <policy_evaluated>
      <disposition>none</disposition>
      <dkim>pass</dkim>
      <spf>fail</spf>
    </policy_evaluated>
  </row>
  <identifiers>
    <header_from>votre-domaine.fr</header_from>
  </identifiers>
</record>

Das bedeutet: 14 Nachrichten wurden von der IP-Adresse 203.0.113.25 im Namen Ihrer Domain versendet. DKIM war erfolgreich, SPF schlug fehl. Da eine erfolgreiche Prüfung genügt, besteht die Nachricht DMARC. disposition zeigt, wie der Empfänger die Nachrichten behandelt hat: none bedeutet normale Zustellung.

Drei typische Fälle

Überall pass bei den IP-Adressen Ihres Mailhosters: Das ist normal, Sie müssen nichts tun.
SPF fehlgeschlagen, DKIM erfolgreich: Das kommt bei automatischen Weiterleitungen und Mailinglisten häufig vor, weil sie Nachrichten über eigene Server weiterleiten. Solange DKIM gültig bleibt, besteht die Nachricht die Prüfung.
Überall fail bei einer unbekannten IP: Entweder haben Sie einen legitimen Dienst nicht autorisiert (Newsletter-Tool, CRM, Website-Benachrichtigungen), oder jemand missbraucht Ihre Domain. Eine IP-Recherche hilft meist bei der Unterscheidung.

Wenn Sie mehrere Domains verwalten oder viele Nachrichten versenden, verwandeln spezialisierte Dienste (Postmark, dmarcian, EasyDMARC und andere) diese Dateien in übersichtliche Dashboards, oft mit einem kostenlosen Tarif. Dazu tragen Sie deren Adresse unter rua ein.

Der Trick: Gmail-Filter aus einer XML-Datei importieren

Die Berichte sind hilfreich, wenn etwas schiefläuft, müssen aber nicht täglich im Posteingang auftauchen. Natürlich können Sie einen Filter manuell erstellen. Schneller und einfacher weiterzugeben ist diese Lösung: Gmail kann fertige Filter importieren, und zwar aus einer XML-Datei. Das ist dasselbe Format, das Gmail beim Export verwendet. So lässt sich eine Regel mit wenigen Klicks auf einem anderen Konto einrichten.

Kopieren Sie den folgenden Text in eine Textdatei namens filtre-dmarc.xml:

<?xml version='1.0' encoding='UTF-8'?>
<feed xmlns='[http://www.w3.org/2005/Atom](http://www.w3.org/2005/Atom)' xmlns:apps='[http://schemas.google.com/apps/2006](http://schemas.google.com/apps/2006)'>
  <title>Mail Filters</title>
  <id>tag:mail.google.com,2008:filters:1</id>
  <updated>2026-11-06T12:00:00Z</updated>
  <entry>
    <category term='filter'></category>
    <title>Mail Filter</title>
    <id>tag:mail.google.com,2008:filter:1</id>
    <updated>2026-11-06T12:00:00Z</updated>
    <content></content>
    <apps:property name='subject' value='&quot;Report domain&quot;'/>
    <apps:property name='hasAttachment' value='true'/>
    <apps:property name='label' value='Rapports DMARC'/>
    <apps:property name='shouldArchive' value='true'/>
    <apps:property name='shouldMarkAsRead' value='true'/>
    <apps:property name='shouldNeverSpam' value='true'/>
  </entry>
</feed>

Das Kriterium kombiniert den Betreff „Report domain“, den der DMARC-Standard empfiehlt und den Google, Microsoft und die meisten Anbieter verwenden, mit einem vorhandenen Anhang. Die Aktionen versehen die Nachricht mit dem Label „Rapports DMARC“, entfernen sie aus dem Posteingang, markieren sie als gelesen und verhindern die Spam-Einstufung.

Filter importieren

Erstellen Sie in Gmail zunächst das Label Rapports DMARC (links unter „Labels“ über die Schaltfläche +).
Klicken Sie oben rechts auf das Zahnrad und dann auf Alle Einstellungen aufrufen.
Öffnen Sie den Tab Filter und blockierte Adressen.
Klicken Sie ganz unten auf Filter importieren, wählen Sie filtre-dmarc.xml und klicken Sie auf Datei öffnen.
Gmail zeigt den gefundenen Filter an. Aktivieren Sie Neue Filter auch auf bestehende Konversationen anwenden, um bereits empfangene Berichte einzuordnen, und bestätigen Sie mit Filter erstellen.

Eine Datei kann mehrere <entry>-Blöcke enthalten. So können Sie alle Regeln bündeln und auf einem neuen Konto gemeinsam einrichten. Als Vorlage können Sie im selben Tab einen vorhandenen Filter auswählen und auf Exportieren klicken: Gmail liefert die zugehörige XML-Datei.

Und wenn Sie gar keine Berichte mehr erhalten möchten?

Löschen Sie keinesfalls den DMARC-Eintrag: Er schützt Ihre Domain vor Identitätsmissbrauch und unterstützt die Zustellung bei Gmail und Yahoo. Entfernen Sie lediglich den Parameter rua=… aus dem TXT-Eintrag _dmarc in Ihrer DNS-Zone oder ersetzen Sie ihn durch eine eigene Adresse. Nach der DNS-Übernahme, meist innerhalb von 24 bis 48 Stunden, enden die Berichte.

Ein Tipp: Bewahren Sie die Berichte mindestens einige Wochen unter ihrem Label auf. Nur so können Sie prüfen, ob alle Versanddienste korrekt autorisiert sind, bevor Sie die Richtlinie von p=none auf p=quarantine und schließlich auf p=reject verschärfen – den eigentlichen Schutz vor Domain-Spoofing.