E-Mail-Sicherheit · E-Mail-Sicherheit
Was ist DMARC? Richtlinie, Berichte und schrittweise Einführung
DMARC ist der Schlussstein der E-Mail-Authentifizierung. Er verbindet SPF und DKIM mit der sichtbaren Absenderadresse und entscheidet, was mit gefälschten Mails passiert.
Kurz beantwortet
DMARC, kurz für Domain-based Message Authentication, Reporting and Conformance, ist ein DNS-Eintrag, der festlegt, wie empfangende Server mit Mails umgehen, die im Namen einer Domain verschickt werden, aber weder SPF noch DKIM passend zur sichtbaren Absenderadresse bestehen. Die Richtlinie lautet zustellen, in den Spam verschieben oder ablehnen. Zusätzlich liefert DMARC Berichte darüber, wer im Namen der Domain sendet.
Was DMARC leistet
SPF und DKIM prüfen technische Domains, die der Empfänger nie zu sehen bekommt. DMARC schließt diese Lücke mit dem sogenannten Alignment: Eine Mail besteht DMARC nur, wenn SPF oder DKIM bestanden wurde und die dabei geprüfte Domain zur Domain in der sichtbaren Absenderadresse passt. Wie die drei zusammenspielen, zeigt der Artikel SPF, DKIM und DMARC erklärt.
Dazu kommen zwei Dinge, die SPF und DKIM fehlen: eine klare Anweisung, was mit durchgefallenen Mails geschehen soll, und Berichte an den Inhaber der Domain.
Wie der Eintrag aufgebaut ist
Der DMARC-Eintrag ist ein TXT-Eintrag unter _dmarc.ihre-domain.de.
DMARC: Einstieg mit Beobachtung_dmarc.example.de TXT "v=DMARC1; p=none; rua=mailto:dmarc@example.de"
- pRichtlinie
- Was mit durchgefallenen Mails passieren soll:
nonenur beobachten,quarantinein den Spam,rejectablehnen. - ruaSammelberichte
- Adresse, an die empfangende Server regelmäßig zusammengefasste Berichte schicken.
- spSubdomains
- Eigene Richtlinie für Subdomains, sonst gilt die der Hauptdomain.
- pctAnteil
- Auf welchen Anteil der Mails die Richtlinie angewendet wird, hilfreich beim schrittweisen Verschärfen.
- adkim / aspfStrenge
- Ob die Domains genau übereinstimmen müssen (
s) oder Subdomains genügen (r, Standard).
Die Berichte: sehen, wer in Ihrem Namen sendet
Mit der Angabe rua schicken große Postfachanbieter in regelmäßigen Abständen Berichte im XML-Format. Sie zeigen, von welchen Servern Mails mit Ihrer Domain kamen und ob sie SPF, DKIM und DMARC bestanden haben. So fallen vergessene Absender auf, etwa die Buchhaltungssoftware, und ebenso Versuche, die Domain zu missbrauchen.
Die Rohberichte sind schwer lesbar. Es gibt Dienste, die sie aufbereiten, teils mit kostenlosen Einstiegstarifen. Ohne Berichtsadresse bleibt p=none eine Beobachtung, bei der niemand zuschaut.
DMARC in drei Stufen einführen
Beobachten mit p=none
Eintrag mit Berichtsadresse setzen. Einige Wochen Berichte sammeln und alle legitimen Absender in SPF und DKIM aufnehmen.
Quarantäne mit p=quarantine
Wenn die Berichte nur noch bekannte, sauber authentifizierte Absender zeigen, umstellen. Mit
pctlässt sich zunächst nur ein Teil der Mails erfassen.Ablehnen mit p=reject
Der volle Schutz: Gefälschte Mails mit Ihrer Domain werden abgewiesen. Erst umstellen, wenn die Quarantänephase ohne Probleme verlaufen ist.
Typische Fehler
- DMARC ohne Berichtsadresse, sodass niemand sieht, was passiert
- jahrelang bei
p=nonestehen bleiben, ohne die Berichte je auszuwerten - Dienste, die mit der eigenen Domain als Absender senden, aber weder SPF noch DKIM passend eingerichtet haben
- Subdomains vergessen, die Betrüger dann ungeschützt nutzen können
Aus der Praxis von KKM-Design
Häufige Fragen
Schützt p=none vor gefälschten Mails?
Nein, nicht direkt. Mit p=none werden durchgefallene Mails normal zugestellt. Die Stufe dient dazu, mit den Berichten alle legitimen Absender zu erfassen, bevor man verschärft.
Brauche ich DMARC als kleines Unternehmen?
Ja. Ein einfacher Eintrag mit p=none ist schnell gesetzt, verbessert die Zustellbarkeit bei großen Anbietern und ist die Grundlage für späteren Schutz.
Was bedeutet Alignment?
Die Übereinstimmung zwischen der Domain, die SPF oder DKIM geprüft haben, und der Domain in der sichtbaren Absenderadresse. Ohne diese Übereinstimmung besteht eine Mail DMARC nicht, selbst wenn SPF oder DKIM für sich bestanden wurde.
Kay Strack · Webdesigner und Cloud Engineer · KKM-Design