Am 20. Mai 2026 veröffentlichte die Internet Engineering Task Force RFC 9989 und ersetzte damit offiziell die DMARC-Spezifikation von 2015. Das Protokoll wird nun nicht mehr als Informationsdokument, sondern als offizieller Standards Track der IETF eingestuft. Für Unternehmen, Marketer und Growth-Teams hat diese Verschiebung direkte Auswirkungen: Die Regeln für die Authentifizierung Ihrer E-Mails, deren Zustellung und den Schutz vor Identitätsdiebstahl erhalten ihre bedeutendste Aktualisierung seit über einem Jahrzehnt.
Was RFC 9989 konkret ändert
RFC 9989 ist ein Standards-Track-Dokument, das im Mai 2026 veröffentlicht wurde. Es ersetzt sowohl RFC 7489 als auch RFC 9091 und ist das Ergebnis der IETF-Community mit Genehmigung der Internet Engineering Steering Group. Das Update ist Teil einer Veröffentlichung von drei Dokumenten. Die aktualisierte Spezifikation, bekannt als DMARCbis, ist in drei dedizierte Dokumente aufgeteilt: RFC 9989 behandelt den DMARC-Kernmechanismus, während RFC 9990 die Aggregatberichterstattung regelt.
Das ist keine grundlegende Neugestaltung. Das Protokoll funktioniert weitgehend gleich, DMARC-Records beginnen immer noch mit v=DMARC1, und die meisten Domain-Besitzer müssen ihre bestehenden Richtlinien nicht ändern. RFC 9989 klärt hauptsächlich die Terminologie, präzisiert Definitionen und standardisiert Verhalten, das zuvor inkonsistent implementiert wurde.
Die technisch bedeutsamste Änderung betrifft die Bestimmung Ihrer organisatorischen Domain durch empfangende Server. RFC 9989 ersetzt den Public-Suffix-List-Ansatz durch einen DNS-Tree-Walk-Algorithmus, der sich sowohl auf die DMARC-Policy-Erkennung als auch auf die Identifier-Alignment unter relaxierten Einstellungen auswirkt. Nach RFC 7489 nutzten Implementierungen eine Public Suffix List zur Bestimmung der organisatorischen Domain, aber der RFC schrieb keine spezifische Quelle oder Update-Strategie vor, was zu inkonsistentem Verhalten zwischen Implementierungen führte.
Trotz dieses umfassenden Updates führt DMARCbis keine Breaking Changes ein. Die neuen Tags und überarbeiteten Regeln sind so aufgebaut, dass Server, die den Legacy-Standard verwenden, diese sicher ignorieren können, ohne Fehler zu verursachen.
Warum die Formalisierung für die E-Mail-Zustellbarkeit wichtig ist
Der Wechsel zu Standards Track ist nicht nur administrativ. Mit RFC 9989 hat DMARC offiziell den IETF Proposed Standard Status erreicht. In der Praxis bedeutet dies, dass Mailbox-Provider weltweit das Protokoll konsistenter interpretieren und implementieren, mit klareren Definitionen, besseren Beispielen und aussagekräftigerer Anleitung für Administratoren.
Für Marketer führt konsistente Implementierung über alle Provider hinweg direkt zu vorhersagbarer Inbox-Platzierung. Die Einsätze bei der Zustellbarkeit sind hier erheblich. Laut Digital Appleds E-Mail-Marketing-Analyse von 2026 beträgt der Unterschied bei der Inbox-Platzierung zwischen authentifizierten und nicht authentifizierten Absendern 45 Prozentpunkte. Vollständig authentifizierte Domains (SPF + DKIM + DMARC) erzielen eine 2,7x höhere Wahrscheinlichkeit für Inbox-Platzierung im Vergleich zu nicht authentifizierten E-Mails.
E-Mail-Marketing generiert durchschnittlich 36 bis 42 Euro Umsatz pro ausgegebenem Euro und übertrifft damit konsistent Paid Ads, Social Media und SEO als der Kanal mit der höchsten Rendite. Diese Rendite hängt aber vollständig davon ab, ob Ihre E-Mails tatsächlich den Posteingang erreichen.
Die Durchsetzungslücke, die noch geschlossen werden muss
Trotz der Reife des Protokolls bleibt die Adoption ohne Durchsetzung das dominierende Muster. Der EasyDMARC DMARC-Adoption Report von 2026 zeigt, dass die globale DMARC-Adoption unter den Top-1,8-Millionen-Domains 52,1% erreicht hat, ein Anstieg gegenüber 47,7% im Jahr 2025. Aber von den 937.931 Domains mit gültigen DMARC-Records sind mehr als die Hälfte still bei p=none steckengeblieben, der Monitoring-only-Policy, die null Schutz vor Spoofing bietet.
DMARC-Pass-Raten erreichten weltweit 88,99% im Q1 2026, ein Anstieg gegenüber 86,42% im Q1 2025, aber Pass-Rate und Enforcement-Policy sind verschiedene Dinge. DMARC-Adoption unter E-Mail-sendenden Domains liegt bei 64%, was bedeutet, dass über ein Drittel immer noch überhaupt keine DMARC-Policy hat.
Die großen Mailbox-Provider haben bereits eine harte Linie gezogen. Google, Yahoo (Februar 2024), Microsoft (Mai 2025) und La Poste (September 2025) verlangen jetzt SPF-, DKIM- und DMARC-Authentifizierung für Massen-E-Mail-Versender. Nicht konforme E-Mails werden abgelehnt oder in Spam verschoben. Seit November 2025 lehnt Gmail nicht konforme E-Mails auf SMTP-Ebene aktiv ab.
Die geschäftliche Konsequenz, dies zu ignorieren, ist messbar. Die Inbox-Platzierung bei Microsoft Office 365 sank um 26,7 Prozentpunkte year-over-year, und Outlook/Hotmail sank um 22,6 Prozentpunkte. Organisationen, die monatlich 1 Million oder mehr E-Mails versenden, erlebten einen Rückgang der Inbox-Platzierung um 22,35 Prozentpunkte, was auf nur 27,63% sank.
Was Geschäftsinhaber und Marketer jetzt tun sollten
Die Veröffentlichung von RFC 9989 schließt eine lange bestehende Mehrdeutigkeit darüber, wie sich DMARC über verschiedene Mail-Systeme hinweg verhalten sollte. Aus praktischer Sicht sieht das Protokoll, das Sie heute implementieren, genauso aus wie zuvor, aber die Durchsetzungs- und Reporting-Infrastruktur basiert nun auf einer stabilen, eindeutigen Grundlage.
Die Lücke, die geschlossen werden muss, ist Durchsetzung, nicht nur die Einrichtung. Der Wechsel von p=none zu p=quarantine oder p=reject ist der Ort, an dem die Schutz- und Zustellbarkeitsvorteil tatsächlich entstehen. Eines der überzeugendsten Ergebnisse im EasyDMARC Report von 2025 ist die direkte Korrelation zwischen nationalen DMARC-Mandaten und Phishing-Ergebnissen. Die USA, die regierungliche DMARC-Mandate für Bundesbehörden haben, sahen erfolgreiche Phishing-E-Mail-Zustellung von 69% auf 14% fallen. Die Niederlande, die keine Durchsetzungsmandates haben, sahen die Phishing-Anfälligkeit auf 97% ansteigen.
Für Teams, die noch nicht bei Durchsetzung sind, ist der Weg unkompliziert: Überprüfen Sie Ihre aktuellen SPF-, DKIM- und DMARC-Records, bestätigen Sie die Alignment-Konsistenz über alle Versendungsquellen, überprüfen Sie Ihre DMARC-Aggregatberichte und verschieben Sie Ihre Policy progressiv in Richtung Rejection. Das RFC-9989-Update verbessert die DMARC-Interoperabilität, Reporting-Klarheit, Internationalisierungsunterstützung und Sicherheitsleitlinien, um den Phishing- und Spoofing-Schutz für Domains weltweit zu verstärken. Der Standard ist jetzt formal. Die Frage ist, ob Ihre Domain bereit ist, ihn zu erfüllen.
