DMARC-Datensatz-Analysator

DMARC (Domain-based Message Authentication, Reporting and Conformance, RFC 7489) ist ein E-Mail-Authentifizierungsprotokoll, das auf SPF und DKIM aufbaut. Es teilt empfangenden Mail-Servern mit, was zu tun ist, wenn eine E-Mail SPF- oder DKIM-Prüfungen nicht besteht. DMARC fügt zwei Dinge hinzu, die SPF/DKIM fehlen: (1) Ausrichtung — es erfordert, dass die From:-Header-Domain mit der authentifizierten SPF- oder DKIM-Domain übereinstimmt, was Display-Name-Spoofing verhindert. (2) Berichterstattung — DMARC sendet täglich aggregierte XML-Berichte (rua=) an Ihre E-Mail, damit Sie überwachen können, wer E-Mails im Namen Ihrer Domain sendet.

p=none: Überwachungsmodus — Berichte sammeln, aber keine Maßnahmen bei nicht autorisierten E-Mails ergreifen. Verwenden Sie dies beim Start mit DMARC, um Ihre E-Mail-Flows zu verstehen, bevor Sie Richtlinien durchsetzen. p=quarantine: Nicht konforme E-Mails in den Spam/Junk-Ordner verschieben. Ein guter Zwischenschritt, sobald Sie sich bei Ihrer Einrichtung sicher sind. p=reject: Nicht autorisierte E-Mails vollständig ablehnen — sie erreichen den Posteingang nie. Dies ist der stärkste Schutz gegen Phishing und Spoofing und was Google/Yahoo jetzt für Massenversender fordern. Migrationspfad: none → quarantine → reject.

rua= gibt an, wohin DMARC-Aggregatberichte gesendet werden (z. B. rua=mailto:[email protected]). Diese täglichen XML-Berichte von großen Anbietern (Google, Microsoft, Yahoo) zeigen: welche IPs E-Mails als Ihre Domain senden, welche E-Mails SPF und DKIM bestanden/nicht bestanden haben, und die DMARC-Disposition. Ohne rua= haben Sie keine Transparenz über unbefugte Nutzung Ihrer Domain. Kostenlose Tools wie Google Postmaster Tools oder DMARC Digests können beim Parsen dieser XML-Berichte helfen. Setzen Sie p=reject niemals, ohne zuvor rua=-Berichte über Wochen zu überwachen.

Ausrichtung stellt sicher, dass der From:-Header mit der authentifizierten Domain übereinstimmt. adkim= (DKIM-Ausrichtung): r=relaxed erlaubt subdomain.example.com, sich mit example.com auszurichten. s=strict erfordert eine exakte Übereinstimmung. aspf= (SPF-Ausrichtung): dieselbe relaxed/strict-Unterscheidung für SPF. Der Relaxed-Modus (der Standard) ist in der Regel die richtige Wahl — strenge Ausrichtung kann dazu führen, dass legitime Transaktions-E-Mails von Subdomains DMARC nicht bestehen. Die wichtigste Erkenntnis: Ohne Ausrichtung könnten Sie eine E-Mail haben, die SPF für eine völlig andere Domain besteht als die, die im From:-Header steht.

Google Workspace: Ihr DKIM-Selektor ist standardmäßig "google". Authentifizieren Sie in der Google Admin-Konsole. SPF sollte include:_spf.google.com enthalten. Microsoft 365: Verwendet selector1 und selector2 (automatisch rotiert). SPF sollte include:spf.protection.outlook.com enthalten. DMARC für beide: Beginnen Sie mit "v=DMARC1; p=none; rua=mailto:[email protected]". Nach 2–4 Wochen Überwachung von Berichten wechseln Sie zu p=quarantine, dann p=reject. Die Google/Yahoo-Anforderungen für Massenversender 2024 verlangen ein DMARC-Minimum von p=none für den Versand an deren Domains.