DMARC sp-Tag (Subdomain-Richtlinie)

Was ist das DMARC sp-Tag?

Das DMARC sp-Tag definiert die Richtlinie, die bei der Auswertung von DMARC-Authentifizierungsergebnissen für die Subdomains einer Domain gilt. Es erlaubt Domaininhabern, für Subdomains eine andere Durchsetzungsstufe festzulegen als für die Organisationsdomain. Das Tag ist optional, aber besonders nützlich für Organisationen, die den Mailverkehr ihrer Subdomains strenger oder lockerer steuern möchten.

Ein Unternehmen kann zum Beispiel einen DMARC-Eintrag veröffentlichen, der auf der Hauptdomain eine Reject-Richtlinie durchsetzt, für die Subdomains aber eine mildere Quarantine- oder None-Richtlinie verwendet. Diese Flexibilität hilft Administratoren, die DMARC-Durchsetzung schrittweise über komplexe Domainstrukturen auszurollen, ohne den legitimen Mailfluss zu unterbrechen.

So funktioniert das DMARC sp-Tag

Das sp-Tag ist Teil des DMARC-TXT-Eintrags in der DNS-Konfiguration der Domain. Die Syntax folgt diesem Format:

In diesem Beispiel verwendet die primäre Domain eine Reject-Richtlinie (p=reject), während für alle Subdomains eine Quarantine-Richtlinie gilt (sp=quarantine). Nachrichten von einer Subdomain, die die DMARC-Authentifizierung nicht bestehen, werden in Quarantäne verschoben statt direkt abgelehnt.

Zulässige Werte für das sp-Tag sind:

• sp=none – Keine Durchsetzung; Mail wird überwacht, aber nicht gefiltert
• sp=quarantine – Verdächtige Mail wird in den Spam- oder Quarantäneordner zugestellt
• sp=reject – Nicht autorisierte Mail von Subdomains wird vollständig abgelehnt

Fehlt das sp-Tag, erben Subdomains automatisch die DMARC-Richtlinie der Hauptdomain.

Anwendungsfälle und Best Practices

Das DMARC sp-Tag ist besonders nützlich für große Organisationen, Marken mit vielen Subdomains und Unternehmen, die Mail-Dienste von Drittanbietern nutzen. Es erlaubt ihnen, die Schutzstufen fein abzustimmen und schrittweise zu einer strengeren Durchsetzung überzugehen.

Typische Szenarien sind:

• sp=none während des Testens der Subdomain-Authentifizierung
• sp=quarantine, um das Risiko während des Rollouts zu senken, ohne Mail zu blockieren
• sp=reject, sobald alle legitimen Subdomain-Absender DMARC bestehen
• Isolierung anbieterspezifischer Subdomains mit eigenen Richtlinien für delegierte Mailströme

Achten Sie für ein konsistentes Setup darauf, dass jede Subdomain auch über gültige SPF- und DKIM-Konfigurationen verfügt, die mit der Organisationsdomain im Alignment stehen. Die regelmäßige Auswertung aggregierter DMARC-Berichte (rua) bestätigt, dass legitimer Subdomain-Verkehr erfolgreich authentifiziert wird.

DMARC sp-Tag und DMARCeye

DMARCeye bietet volle Sichtbarkeit darüber, wie Ihre Subdomain-Richtlinien angewendet und durchgesetzt werden. Die Plattform verfolgt die Auswirkungen des sp-Tags über alle Domains hinweg und zeigt, welche Subdomains unter Ihrer DMARC-Konfiguration bestehen, in Quarantäne landen oder abgelehnt werden.

Die Berichts-Engine der Plattform hebt Inkonsistenzen zwischen Haupt- und Subdomain-Richtlinien hervor und empfiehlt Anpassungen für eine reibungslose Durchsetzung. Durch die Überwachung der Authentifizierungsergebnisse in Echtzeit ermöglicht DMARCeye einen sicheren, schrittweisen Rollout des DMARC-Schutzes über jede Ebene Ihrer Domainhierarchie.

Möchten Sie wissen, wie gut Ihre eigene Domain geschützt ist? Führen Sie eine kostenlose DMARC-Prüfung durch:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.