Defaults.Exposed › Berichte

„quarentine", „ninguno", „non": Die häufigsten DMARC-Tippfehler des Internets (2026)

Veröffentlicht 2026-06-29

Stand der Zahlen: 2026-06-29 · Methodik v7. Aggregierte Zensusdaten: das p=-Policy-Token jedes veröffentlichten _dmarc-Eintrags über 261 Millionen bewertete Domains hinweg, pro Domain dedupliziert. Siehe wie wir bewerten.

Die Einrichtung von DMARC ist fummelig, und die Daten zeigen es: 48.648 Domains haben einen DMARC-Eintrag veröffentlicht, dessen Policy falsch geschrieben, in der falschen Sprache verfasst oder ganz fehlend ist — sodass er nichts bewirkt. Sie haben den schweren Teil erledigt (einen Eintrag veröffentlicht) und sind am letzten Wort gescheitert. Eine DMARC-Policy schützt Sie nur, wenn sie exakt p=quarantine oder p=reject lautet; alles andere, und empfangende Mailserver ignorieren sie, und die Domain kann weiterhin missbraucht werden.

Wie ein DMARC-Tippfehler aussieht

DMARC kennt genau drei gültige Policies: none (nur Überwachung), quarantine und reject. Die letzten beiden sind diejenigen, die E-Mail-Imitation tatsächlich stoppen. Aber die Policy ist nur Text, den ein Mensch in einen DNS-Eintrag tippt — und über 65 Millionen DMARC-Einträge hinweg sind hier die häufigsten Dinge, die Menschen anstelle einer gültigen Policy getippt haben:

Zwei Arten von Fehlern tauchen auf. Strukturelle Fehler — ein Eintrag ganz ohne p=-Token oder das wörtliche Wort policy oder ein bloßes p — bedeuten, dass die Syntax verpatzt wurde. Sprachliche Fehler sind menschlicher: quarentine und quarantaine sind schlicht Falschschreibungen von „quarantine”, während ninguno (Spanisch für „none”) und non (Französisch) Inhaber sind, die das Policy-Wort in ihrer eigenen Sprache schreiben. Jeder einzelne davon ist ungültig, und jeder einzelne bedeutet dasselbe: kein Schutz, obwohl ein DMARC-Eintrag vorhanden ist.

Warum das wichtiger ist, als es aussieht

Eine falsch geschriebene Policy ist wohl schlimmer als gar kein DMARC, weil sie fertig aussieht. Der Eintrag existiert; ein kurzer Blick — oder ein einfaches Compliance-Häkchen — sagt „DMARC: vorhanden.” Aber Empfänger lehnen alles ab, was kein gültiges Policy-Schlüsselwort ist, sodass die Domain vollständig spoofbar bleibt. Der Inhaber glaubt, geschützt zu sein; Angreifer wissen, dass er es nicht ist.

Zum Vergleich: nur 10,59% aller Domains erreichen eine gültige durchsetzende Policy (27.639.358 Domains). Die 48.648 mit einer kaputten Policy sind ein kleiner Anteil der existierenden DMARC-Einträge — aber sie sind das vermeidbarste Versagen in der E-Mail-Sicherheit: ein einziges falsch getipptes Wort zwischen einem Unternehmen und einer funktionierenden Verteidigung.

Häufig gestellte Fragen

Was sind die gültigen DMARC-Policies? Genau drei: p=none (nur Überwachung, kein Schutz), p=quarantine und p=reject. Nur die letzten beiden stoppen Imitation. Alles andere — eine Falschschreibung, eine andere Sprache oder ein fehlendes p= — ist ungültig und wird ignoriert.

Warum würde „quarentine” oder „ninguno” in einem DMARC-Eintrag erscheinen? Menschliches Versagen. quarentine/quarantaine sind Falschschreibungen von „quarantine”; ninguno (Spanisch) und non (Französisch) sind Inhaber, die das Wort in ihrer eigenen Sprache schreiben. DMARC akzeptiert nur die exakten englischen Schlüsselwörter, sodass all diese stillschweigend versagen.

Ist eine falsch geschriebene DMARC-Policy schlimmer als keine? In der Wirkung ja — sie bietet denselben Nullschutz, sieht aber wie eine konfigurierte Kontrolle aus, sodass das Problem unbemerkt bleibt.

Wie weiß ich, ob meine DMARC-Policy gültig ist? Prüfen Sie Ihre Domain (unten) — sie liest Ihre tatsächlich veröffentlichte Policy und sagt Ihnen, ob sie durchsetzend, nur überwachend oder ungültig ist.

Prüfen Sie, ob Ihre DMARC-Policy tatsächlich gültig ist

Ein funktionierender Eintrag ist nur ein falsch getipptes Wort von einem kaputten entfernt. Prüfen Sie Ihren privat und kostenlos — Sie sehen Ihre genaue Policy und wie Sie sie beheben.

Prüfen Sie Ihre Domain → · DMARC beheben → · Kann jemand Ihre Domain fälschen? → · Nur aggregierte Daten. Daten in der EU gespeichert und verarbeitet.