Ist DMARC Pflicht? Was NIS2, DSGVO und BSI verlangen

Inhalt in Kürze

• Kein Gesetz nennt DMARC beim Namen. Art. 32 DSGVO und § 30 BSIG verlangen aber Schutzmaßnahmen nach dem Stand der Technik – und die BSI TR-03182 beschreibt, wie dieser Stand bei der E-Mail-Authentifizierung aussieht.
• Google, Yahoo und Microsoft verlangen DMARC schon heute – von Großversendern (Google und Microsoft: mehr als 5.000 Mails pro Tag, Yahoo ohne feste Grenze), mindestens im Modus p=none.
• p=none schützt niemanden. Die BSI TR-03182 erwartet quarantine oder reject, langfristig reject.
• Die Mehrheit der gemessenen Unternehmen erfüllt das nicht: Nur 37,8 % von 9.935 gemessenen Unternehmensdomains sind wirksam gegen gefälschte Absender geschützt.

Ist DMARC Pflicht? Die kurze Antwort: Ausdrücklich vorgeschrieben ist DMARC für ein normales Unternehmen in Deutschland nicht. Die lange Antwort ist unbequemer. Wer seine Absenderdomain nicht gegen Fälschung absichert, muss erklären können, warum seine Maßnahmen trotzdem dem Stand der Technik entsprechen – gegenüber der Datenschutzaufsicht, dem BSI oder einem Auftraggeber, der seine Lieferkette prüft.

Was DMARC macht – in drei Sätzen

SPF legt fest, welche Server im Namen Ihrer Domain Mails verschicken dürfen. DKIM versieht jede ausgehende Mail mit einer Signatur, die der Empfänger über einen DNS-Eintrag Ihrer Domain prüfen kann. DMARC verknüpft beides mit der Absenderadresse, die im Postfach angezeigt wird, und sagt dem empfangenden Server, was er mit einer Mail tun soll, die weder per SPF noch per DKIM passend zu dieser Adresse bestätigt wird: nichts (p=none), aussortieren (p=quarantine) oder abweisen (p=reject).

Dazu kommt der Berichtsteil. Über die rua-Adresse im DMARC-Eintrag schicken empfangende Server Sammelberichte zurück. Daran sehen Sie, wer in Ihrem Namen Mails verschickt – Ihre eigenen Systeme und die Fälscher.

Ist DMARC Pflicht? Was Gesetz, BSI und Mail-Anbieter verlangen

DSGVO: Art. 32 verlangt den Stand der Technik, kein bestimmtes Verfahren

Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche zu Maßnahmen, die dem Risiko angemessen sind. Zu berücksichtigen sind unter anderem der Stand der Technik und die Implementierungskosten. Ein konkretes Verfahren schreibt die Vorschrift nicht vor.

Konkreter wird die Datenschutzkonferenz. In ihrer Orientierungshilfe zur Übermittlung per E-Mail vom 27. Mai 2021 empfiehlt sie Verantwortlichen, eingehende Mails per DKIM zu prüfen und fehlerhaft signierte Nachrichten zu markieren oder – wenn der Absender das per DMARC-Eintrag festgelegt hat – zurückzuweisen. Das funktioniert nur, wenn die Absender ihren Teil liefern. Ohne DMARC-Eintrag haben Empfänger keine Anweisung, Fälschungen unter Ihrem Namen abzuweisen.

Wie Sie solche Maßnahmen im TOM-Dokument festhalten, zeigen unsere TOM-Beispiele für KMU.

NIS2: § 30 BSIG – Stand der Technik mit Haftung der Geschäftsleitung

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungsgesetz. Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen ergreifen, die den Stand der Technik einhalten sollen. Zu den Mindestbereichen zählen Konzepte und Prozesse für kryptografische Verfahren (Nr. 8) sowie gesicherte Sprach-, Video- und Textkommunikation (Nr. 10). DMARC steht dort nicht.

Unsere Einschätzung: Eine NIS2-pflichtige Einrichtung, deren Domain für Fälschungen offen steht, wird kaum begründen können, dass sie den Stand der Technik einhält – das BSI beschreibt ihn für E-Mail-Authentifizierung schließlich selbst. Die Geschäftsleitung muss die Maßnahmen umsetzen und ihre Umsetzung überwachen (§ 38 Abs. 1 BSIG).

Ob Ihr Betrieb selbst betroffen ist, klärt der NIS2-Schnellcheck. Auch wenn nicht: Ihre Auftraggeber müssen die Sicherheit ihrer Lieferkette berücksichtigen (§ 30 Abs. 2 Nr. 4 BSIG) und können Anforderungen an Sie weitergeben – wie Sie darauf antworten, steht im Leitfaden zum NIS2-Lieferantenfragebogen.

BSI TR-03182: Hier ist DMARC eine Muss-Anforderung

Die Technische Richtlinie „E-Mail-Authentifizierung“ richtet sich an E-Mail-Diensteanbieter und an Organisationen, die ihren E-Mail-Dienst selbst betreiben. Sie verlangt unter anderem:

• Einen SPF-Eintrag, bei dem nicht berechtigte Server „Fail“ oder „SoftFail“ ergeben.
• DKIM-Signaturen für ausgehende Mails.
• Einen DMARC-Eintrag mit mindestens einer Berichtsadresse. Als Richtlinie erwartet die TR quarantine oder reject, weil nur diese Empfänger schützen. Langfristiges Ziel ist reject.
• Gesperrte Domains, die keine Mails versenden: Null-MX, ein SPF-Eintrag, der niemanden berechtigt, und DMARC reject.

Ein Gesetz ist die TR nicht. Wer will, kann die Konformität seines E-Mail-Dienstes nachweisen lassen. Als Maßstab dafür, was beim Absenderschutz Stand der Technik ist, ist sie aus unserer Sicht der beste Anhaltspunkt, den es in Deutschland gibt.

Auch an Unternehmen, die mit eigener Domain mailen, wendet sich das BSI direkt: In seinen Empfehlungen zur E-Mail-Sicherheit in Unternehmen vom 26. Mai 2025 nennt es eine sorgfältigere Umsetzung von SPF, DKIM und DMARC als Maßnahme.

Google, Yahoo, Microsoft: die Pflicht, die tatsächlich durchgesetzt wird

Google verlangt seit dem 1. Februar 2024 von Absendern, die mehr als 5.000 Nachrichten pro Tag an Gmail-Konten schicken, SPF, DKIM und DMARC (Leitfaden für E-Mail-Absender). Yahoo stellt seit Februar 2024 vergleichbare Anforderungen (Sender Best Practices). Microsoft weist seit dem 5. Mai 2025 nicht konforme Mails solcher Absender an Outlook.com, Hotmail und Live mit dem Fehler „550; 5.7.515 Access denied“ ab (Ankündigung im Microsoft-Blog).

Alle drei akzeptieren p=none. Das ist die Eintrittskarte für den Massenversand, kein Schutz.

Wo deutsche Unternehmen stehen

Wie weit die Praxis davon entfernt ist, zeigt eine Messung von 9.935 Unternehmensdomains vom 8. Oktober 2026. Ausgewertet wurden die öffentlichen DNS-Einträge von Unternehmen mit Sitz in Deutschland, ohne Konzerne mit mehr als 5.000 Beschäftigten. (Die Studie stammt von kjello, einem Angebot von hagel IT – dem IT-Unternehmen unseres Mitgründers Jens Hagel.)

Jedes vierte Unternehmen erfüllt damit nicht einmal die Mindestanforderung, die Google, Yahoo und Microsoft an Großversender stellen. Von den vorhandenen DMARC-Einträgen beobachten 42 % nur. Und die im DNS prüfbaren Kernanforderungen der BSI TR-03182 – SPF mit -all oder ~all, durchgesetztes DMARC, Berichtsadresse – erfüllen 27,0 %.

Die Stichprobe stammt aus Wikidata und enthält vor allem bekanntere Firmen. Die Autoren werten ihre Zahlen deshalb eher als Obergrenze.

Aus der Praxis

Die Messung zeigt ein Muster, das wir aus Beratungen kennen: Je kleiner das Unternehmen, desto seltener ist die Domain geschützt. Dabei sind gerade kleine Zulieferer interessante Absender für Betrüger – ihre Mails landen bei großen Kunden.

Viele Unternehmer denken, ich bin doch zu klein für das ganze Thema Datenschutz. Wir haben Mandanten mit drei, vier, fünf Mitarbeitern – die arbeiten für große Kunden mit enormen Ansprüchen an den Datenschutz.

Nils OehmichenDatenschutzberater bei frag.hugo

In fünf Schritten zur DMARC-Richtlinie, die schützt

1. Domains erfassen. Alle, auch die, über die nie Mails laufen. Der kostenlose E-Mail-Sicherheitscheck zeigt je Domain, was fehlt.
2. Versender auflisten. Microsoft 365, Newsletter-Tool, Buchhaltung, Ticketsystem, Webshop: Jeder Dienst, der in Ihrem Namen verschickt, muss in SPF stehen oder per DKIM signieren.
3. Mit p=none und Berichtsadresse starten. Die Berichte enthalten laut BSI personenbezogene Daten. Lassen Sie sie in der EU auswerten, schließen Sie mit dem Dienstleister einen Vertrag zur Auftragsverarbeitung und verzichten Sie auf Fehlerberichte (ruf).
4. Auf quarantine, dann reject umstellen. Sobald die Berichte nur noch eigene, sauber authentifizierte Systeme zeigen.
5. Ungenutzte Domains sperren und alles dokumentieren. Null-MX, v=spf1 -all, DMARC reject – und die Maßnahme ins TOM-Dokument bzw. ins NIS2-Risikomanagement aufnehmen.

Welche Lösungen über DMARC hinaus eingehende Mails filtern, vergleicht unser Überblick E-Mail-Sicherheit im Unternehmen.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Ihr nächster Schritt

Prüfen Sie zuerst Ihre Hauptdomain. Steht dort p=none oder gar kein DMARC-Eintrag, ist das der Ausgangspunkt für Ihre TOM und, falls Sie betroffen sind, für Ihr NIS2-Risikomanagement.

Häufige Fragen (FAQ)

Ist DMARC gesetzlich Pflicht?

Ein deutsches oder europäisches Gesetz, das DMARC ausdrücklich vorschreibt, gibt es für normale Unternehmen nicht. Art. 32 DSGVO und – für NIS2-pflichtige Einrichtungen – § 30 BSIG verlangen aber Schutzmaßnahmen nach dem Stand der Technik. Die BSI TR-03182 führt einen DMARC-Eintrag als Muss-Anforderung. Google und Microsoft verlangen DMARC von Absendern mit mehr als 5.000 Mails pro Tag, Yahoo von Großversendern, ohne eine feste Mengengrenze zu nennen.

Reicht DMARC mit p=none aus?

Für die Mindestanforderung von Google, Yahoo und Microsoft ja – die akzeptieren p=none. Schutz bietet p=none aber nicht: Der Eintrag liefert nur Berichte, gefälschte Mails werden trotzdem zugestellt. Die BSI TR-03182 erwartet quarantine oder reject, langfristig reject.

Muss ich DMARC unter NIS2 einführen?

§ 30 BSIG nennt DMARC nicht. Die Vorschrift verlangt Risikomanagementmaßnahmen, die den Stand der Technik einhalten sollen. Weil das BSI in der TR-03182 beschreibt, wie sichere E-Mail-Authentifizierung aussieht, ist es aus unserer Sicht schwer zu begründen, warum eine NIS2-pflichtige Einrichtung ihre Absenderdomain ohne durchgesetztes DMARC betreibt.

Sind DMARC-Berichte datenschutzrechtlich relevant?

Ja. Laut BSI TR-03182 enthalten DMARC-Berichte personenbezogene Daten. Ihre Verarbeitung muss der DSGVO entsprechen und soll in der EU stattfinden. Wertet ein Dienstleister die Berichte für Sie aus, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung. Auf Fehlerberichte (ruf) soll laut TR verzichtet werden.

Was mache ich mit Domains, die keine E-Mails versenden?

Nach BSI TR-03182 bekommen sie einen Null-MX-Eintrag, einen SPF-Eintrag, der niemanden zum Versand berechtigt, und eine DMARC-Richtlinie reject mit Berichtsadresse. Dann kann niemand die Domain als Absender für gefälschte Mails missbrauchen.

Wie prüfe ich, ob meine Domain geschützt ist?

Der kostenlose E-Mail-Sicherheitscheck von frag.hugo liest SPF, DKIM, DMARC, DNSSEC und MTA-STS Ihrer Domain aus und zeigt, was fehlt. Die geprüfte Domain wird nicht gespeichert.