Wie lange dauert die Migration zu p=reject?

Typischerweise 3 bis 6 Wochen, abhängig von der Anzahl Versandquellen. Einfache Setups mit einem Mailserver und einem Newsletter-Tool sind schneller, Multi-Domain-Umgebungen mit vielen SaaS-Diensten brauchen länger.

Modul 1 — DNS & Protocol Foundation

Managed DMARC: Ihre Domain wird unfälschbar. Ohne dass eine legitime Mail verloren geht.

Q: Was passiert, wenn DMARC falsch konfiguriert wird?

Eine zu früh durchgesetzte DMARC-Policy (p=reject) blockiert legitime E-Mails aus nicht erfassten Versandquellen. Sentrust migriert deshalb datenbasiert: erst beobachten (p=none), dann anhand der DMARC-Reports jede Quelle authentifizieren, erst danach durchsetzen.

Q: Muss unser IT-Team mitarbeiten?

Nein. Sentrust benötigt einmalig Zugang zur DNS-Verwaltung (oder delegierte Einträge) und eine Liste Ihrer bekannten Versandtools. Alle Konfigurationen, Analysen und Anpassungen übernehmen wir.

Wir auditieren, konfigurieren und überwachen SPF, DKIM und DMARC — und führen Ihre Domain kontrolliert bis p=reject. Tool-gestützt, aber vollständig von uns betrieben. Ihr IT-Team bleibt frei für sein Kerngeschäft.

Domain-Audit anfordern Migrationsprozess ansehen ↓

100%Spoofing-Schutz mit p=reject

0verlorene legitime Mails — dank datenbasierter Migration

3–6Wochen bis zur vollen Durchsetzung

Warum DMARC?

Drei Protokolle, eine Beweiskette

E-Mail wurde 1982 ohne Absender-Verifikation entworfen. SPF, DKIM und DMARC rüsten diese Verifikation nach — aber nur DMARC verbindet alles zu einer durchsetzbaren Richtlinie.

📍

SPF — Wer darf senden?

Ein TXT-Record im DNS listet alle autorisierten Versand-Server. Empfänger prüfen: Kommt diese Mail von einer erlaubten IP? Problem: SPF bricht bei Weiterleitungen und prüft nur den unsichtbaren Envelope-Absender.

🔏

DKIM — Ist die Mail echt & unverändert?

Jede Mail wird kryptographisch signiert (asymmetrisches Verfahren, z. B. RSA-2048). Der öffentliche Schlüssel liegt im DNS. Manipulation unterwegs? Die Signatur bricht — die Prüfung schlägt fehl.

⚖️

DMARC — Was geschieht mit Fälschungen?

DMARC verlangt, dass SPF oder DKIM zur sichtbaren Absenderadresse passen (Alignment) — und weist Empfänger an: beobachten, filtern oder abweisen. Erst DMARC macht aus Technik eine Richtlinie.

So sieht das konkret aus — drei DNS-Einträge:

DNS · TXT-Records (Beispiel ihre-firma.ch)Zone-File

;; SPF — autorisierte Versandquellen
ihre-firma.ch.            TXT  "v=spf1 include:_spf.google.com include:spf.mailversand.ch -all"

;; DKIM — öffentlicher Schlüssel, Selektor «st2026»
st2026._domainkey.ihre-firma.ch.  TXT  "v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOC…"

;; DMARC — durchsetzende Policy mit Reporting an Sentrust
_dmarc.ihre-firma.ch.     TXT  "v=DMARC1; p=reject; rua=mailto:reports@sentrust-monitor.ch; adkim=s; aspf=s"

Jede Direktive hat Konsequenzen für Zustellbarkeit und Sicherheit. Genau deshalb setzen wir diese Einträge für Sie — nicht Sie nach Anleitung. Alle Begriffe erklärt unser Fachglossar.

Der Migrationsprozess

Von `p=none` zu `p=reject` — in fünf kontrollierten Schritten

Der häufigste Fehler bei DMARC: zu früh durchsetzen und eigene Mails blockieren. Oder aus Angst davor: nie durchsetzen und ungeschützt bleiben. Unser Prozess schliesst beide Fehler aus.

Inventar & Baseline-Audit

Wir erfassen alle Versandquellen: Mailserver, CRM, Marketing-Automation, Ticketsystem, Buchhaltung, Signatur-Dienste. Dazu prüfen wir bestehende SPF/DKIM/DMARC-Einträge auf Fehler und Altlasten.

Warum? Im Schnitt senden 5–15 Systeme im Namen einer Unternehmens-Domain — die Hälfte davon ist der IT nicht bekannt (Shadow-Sender). Was nicht erfasst ist, wird später blockiert.

Woche 1

DMARC im Monitor-Modus (`p=none`) + Reporting aktivieren

Wir setzen DMARC auf p=none mit RUA-Reporting an unsere Analyse-Plattform. Ab jetzt sehen wir täglich, welche Server weltweit mit Ihrer Domain senden — legitime wie bösartige.

Warum? p=none verändert nichts an der Zustellung, liefert aber vollständige Sichtbarkeit. Ohne diese Daten wäre jede Enforcement-Entscheidung Blindflug.

Woche 1–2

Quellen authentifizieren: SPF konsolidieren, DKIM pro Quelle signieren

Jede legitime Quelle aus den Reports wird sauber authentifiziert: SPF-Include ergänzt (unter Beachtung des 10-Lookup-Limits), DKIM-Schlüssel erzeugt und mit eigenem Selektor publiziert, Alignment geprüft.

Warum? DMARC besteht nur, wenn SPF oder DKIM mit korrektem Alignment bestehen. Jede Quelle, die das nicht erfüllt, würde bei Enforcement verworfen — auch Ihre Lohnabrechnung.

Woche 2–4

Stufenweises Enforcement: `quarantine` mit `pct`-Steuerung

Sobald die Reports zeigen, dass ≥99% der legitimen Mails DMARC bestehen, erhöhen wir schrittweise: p=quarantine; pct=25 → pct=100. Fälschungen landen jetzt im Spam-Ordner der Empfänger.

Warum? Der pct-Parameter wirkt wie ein Dimmer: Wir testen die Durchsetzung an einem Teil des Verkehrs, bevor sie für alles gilt. Restrisiken werden sichtbar, bevor sie Schaden anrichten.

Woche 4–5

Volle Durchsetzung: `p=reject` + Dauerbetrieb

Gefälschte Mails werden von Gmail, Outlook & Co. bereits bei der Zustellung abgewiesen — sie erreichen kein Postfach mehr. Ab jetzt überwachen wir die Reports laufend und passen Records bei jedem Infrastruktur-Wechsel an.

Warum weiter überwachen? Neues Newsletter-Tool? CRM-Wechsel? Jede Änderung kann Authentifizierung brechen. Managed Compliance hält Ihr p=reject dauerhaft sicher — und ist die stabile Basis für BIMI.

ab Woche 5

Leistungsumfang

Was Managed DMARC konkret enthält

Leistung	Setup (einmalig)	Managed Service (Abo)
Versandquellen-Inventar & DNS-Audit	✓	Re-Audit jährlich
SPF-Konsolidierung inkl. Lookup-Limit-Auflösung	✓	Anpassung bei neuen Quellen
DKIM-Schlüssel & Selektoren pro Versandquelle	✓	Schlüsselrotation nach Plan
DMARC-Migration none → quarantine → reject	✓	Policy-Wartung & Schutz vor Regression
RUA-Report-Monitoring (Aggregate Reports, XML)	Einrichtung	✓ laufend, mit Alerts
Management-Report (Kennzahlen statt XML)	Abschlussbericht	✓ monatlich
Lookalike-Domain-Überwachung	—	✓ (Premium & Enterprise)
Support bei Infrastruktur-Wechsel (z. B. neues CRM)	—	✓ inklusive

Die Paketpreise inkl. klarer Trennung von einmaligen und wiederkehrenden Kosten finden Sie auf der Preisseite.

FAQ

Häufige Fragen zu Managed DMARC

Was passiert, wenn DMARC falsch konfiguriert wird?

Eine zu früh durchgesetzte Policy blockiert legitime Mails aus nicht erfassten Quellen — etwa Rechnungen aus der Buchhaltungssoftware. Deshalb migrieren wir datenbasiert: Erst wenn die Reports zeigen, dass alle legitimen Quellen bestehen, wird durchgesetzt. Während der gesamten Migration gilt unsere Zustellbarkeits-Garantie.

Wir nutzen Microsoft 365 / Google Workspace — reicht deren Standard-Setup nicht?

Nein. M365 und Workspace liefern SPF/DKIM nur für ihre eigenen Server. Ihr CRM, Newsletter-Tool und Ticketsystem senden daran vorbei — und genau dort entstehen DMARC-Fehler und Spoofing-Lücken. Zudem setzt keiner der Anbieter automatisch eine durchsetzende DMARC-Policy.

Muss unser IT-Team mitarbeiten?

Praktisch nicht. Wir benötigen einmalig DNS-Zugang (oder Sie delegieren die Einträge an uns) und eine Liste der Ihnen bekannten Versandtools. Den Rest — Analyse, Konfiguration, Reports, Eskalationen — übernehmen wir. Das ist der Kern unserer Zero-Friction-Implementierung.

Wir hatten bereits einen Spoofing-Vorfall. Wie schnell können Sie schützen?

Im Notfall-Verfahren erreichen wir eine schützende Policy in 10–14 Tagen, indem wir Inventar und Authentifizierung parallelisieren. Kontaktieren Sie uns mit Vermerk «Incident» — wir priorisieren entsprechend.

Was ist mit Subdomains?

DMARC vererbt sich auf Subdomains, sofern keine eigene Policy gesetzt ist — Angreifer nutzen gerne vergessene Subdomains. Wir setzen die Subdomain-Policy (sp=) explizit und sichern auch nicht-sendende Domains ab (SPF -all, leerer DKIM, DMARC reject).

Wie spoofbar ist Ihre Domain heute?

Kostenloses Audit mit Befund in Managementsprache — innert 24 Stunden.

Audit anfordern →