PCT-Tag (DMARC)

Was ist das PCT-Tag (DMARC)?

Das pct-Tag in einem DMARC-Eintrag legte fest, auf welchen Prozentsatz der fehlgeschlagenen Nachrichten die Richtlinie der Domain angewendet wurde. Es war die einzige protokollinterne Möglichkeit in DMARC, die Durchsetzung schrittweise einzuführen: einen niedrigen Prozentsatz veröffentlichen, die Ergebnisse beobachten und den Wert dann in Richtung vollständiger Abdeckung anheben. DMARCbis (RFC 9989, veröffentlicht im Mai 2026) entfernt das pct-Tag, weil empfangende Mailserver es uneinheitlich umsetzten und es selten dem entsprach, was Betreiber beabsichtigten.

Statusaktualisierung: DMARCbis entfernt das pct-Tag, und das ist kein Grund zur Eile. Bestehende Einträge bleiben gültig, und empfangende Mailserver ändern die Behandlung Ihrer E-Mails nicht über Nacht. Die praktische Änderung besteht darin, dass ein DMARCbis-konformer Empfänger jedes pct<100 wie pct=100 behandelt, ein Teilprozentsatz hält Nachrichten also nicht mehr zurück. An seine Stelle tritt in DMARCbis das t-Tag (Testing): t=y versetzt eine Richtlinie in den Testmodus und stuft sie eine Stufe herab, sodass sich p=reject mit t=y wie p=quarantine verhält, während t=n die angegebene Richtlinie durchsetzt. Einen Prozentsatz gibt es dabei nicht, es handelt sich also um einen einstufigen Schalter statt einer echten stufenweisen Einführung.

Ein Beispiel: Eine Organisation hat p=reject; pct=25 veröffentlicht und erwartet, dass nur 25 % der nicht authentifizierten Nachrichten abgelehnt werden, während der Rest weiter überwacht wird. Weil Zwischenwerte im Empfänger-Ökosystem unzuverlässig umgesetzt wurden, stimmten die veröffentlichte Abdeckung und die tatsächlich erreichte Abdeckung selten überein.

So funktionierte das PCT-Tag

Das pct-Tag stand im DMARC-TXT-Eintrag im DNS und folgte diesem Format:

In diesem Beispiel sollten die empfangenden Mailserver die Quarantäne-Richtlinie auf 50 % der Nachrichten anwenden, die die DMARC-Authentifizierung nicht bestehen, wobei die Auswahl zufällig erfolgte. Ziel war statistisch aussagekräftiges Testen ohne vollständige Durchsetzung.

Wichtige Details zum Verhalten von pct:

• Der Standardwert war 100 (Richtlinie galt für alle Nachrichten)
• Zulässig war jede ganze Zahl zwischen 1 und 100
• Wirkte nur bei den Richtlinien quarantine oder reject
• Hatte bei p=none keine Wirkung
• Wurde von jedem Empfänger unabhängig ausgewertet, die tatsächliche Abdeckung variierte also; genau diese Uneinheitlichkeit führte dazu, dass DMARCbis das Tag entfernt

Was das PCT-Tag ersetzt hat

DMARCbis bietet keinen prozentbasierten Ersatz. Für einen beaufsichtigten Test einer strengeren Richtlinie ist das t-Tag (Testing) die spezifikationskonforme Option, nicht ein Teilprozentsatz. Alles andere, was pct nützlich machte, vor allem die Rückkopplungsschleife, liefern weiterhin aggregierte Berichte.

Wenn Ihre Einträge noch pct enthalten:

• Lassen Sie den Eintrag vorerst bestehen; er bleibt gültig, und nichts geht kaputt, wenn die Spezifikation greift
• Erreichen Sie vollständiges SPF- und DKIM-Alignment, bevor ein Teilprozentsatz Ihre Richtlinie nicht mehr abmildert
• Nutzen Sie t=y für einen beaufsichtigten Test und behandeln Sie ihn als einstufige Herabstufung
• Verfolgen Sie den Fortschritt über aggregierte Berichte statt über einen Stichprobenprozentsatz

Das PCT-Tag und DMARCeye

DMARCeye deckt genau den Bereich ab, bei dem pct helfen sollte: vor der Verschärfung einer Richtlinie zu sehen, was dabei brechen würde. Die Plattform korreliert Authentifizierungsergebnisse, Fehlerraten und Subdomain-Aktivität, damit Sie den Schritt von der Überwachung zur vollständigen Durchsetzung auf Basis von Belegen statt einer Vermutung gehen können.

Mit visuellen Berichten und einer Schritt-für-Schritt-Anleitung zeigt DMARCeye, welche Quellen das Alignment noch nicht bestehen, und markiert veraltete Tags wie pct, damit Sie sie sauber entfernen können. So geht keine legitime Quelle verloren, sobald eine Reject-Richtlinie für alle E-Mails gilt.

Möchten Sie wissen, wie gut Ihre eigene Domain geschützt ist? Führen Sie eine kostenlose DMARC-Prüfung durch:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.