DMARC einrichten: von p=none zu p=reject ohne verlorene Mails

Was DMARC prüft

SPF und DKIM prüfen jeweils eine Domain, aber nicht unbedingt die aus der From-Zeile. DMARC (RFC 9989, Nachfolger von RFC 7489) stellt diesen Bezug her. Eine Mail besteht DMARC, wenn mindestens eins von beiden zutrifft:

• SPF ergibt pass, und die Umschlagdomain passt zur From-Domain.
• DKIM ergibt pass, und die Domain in d= passt zur From-Domain.

„Passt“ heißt im Normalfall: gleiche Organisationsdomain. mail.beispiel.de passt also zu beispiel.de. Mit aspf=s bzw. adkim=s verlangst Du eine exakte Übereinstimmung, was selten nötig ist.

Fällt eine Mail durch, greift Deine Richtlinie.

Der DMARC-Eintrag

DMARC ist ein TXT-Record unter _dmarc Deiner Domain:

_dmarc.beispiel.de.  TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.de"

Angabe	Bedeutung
p=	Richtlinie: none (nur beobachten), quarantine (Spam-Ordner), reject (abweisen)
rua=	Adresse für die täglichen Sammelberichte
sp=	eigene Richtlinie für Subdomains, sonst gilt p=
pct=	Anteil der Mails, für den die Richtlinie gilt (Standard 100); in RFC 9989 entfallen, dort gibt es t=y für einen Testbetrieb
adkim= / aspf=	r (relaxed, Standard) oder s (strict)

Was die Berichte zeigen

Mit rua schicken Dir die großen Mailanbieter jeden Tag eine XML-Datei. Darin steht, welche IP-Adressen Mails mit Deiner Domain verschickt haben, wie viele und ob SPF und DKIM gepasst haben. So tauchen Versender auf, von denen niemand mehr wusste, etwa die alte Website oder der Dienstleister für Umfragen. Auch der Mitarbeiter, der über seinen privaten Anbieter mit Firmenadresse schreibt, steht dann in den Berichten, genauso wie Fälscher, die Deine Domain für Phishing nutzen.

Liegt die Berichtsadresse bei einer anderen Domain, etwa bei einem Auswertungsdienst, muss diese den Empfang freigeben. Dafür braucht es dort einen Eintrag wie beispiel.de._report._dmarc.auswertung.example mit dem Inhalt v=DMARC1. Fehlt er, schicken regelkonforme Berichtssender keine Berichte dorthin.

Die XML-Dateien liest kaum jemand gern von Hand. Ein Auswertungswerkzeug wie das DMARC-Monitoring von ZwoMailHygiene fasst sie zusammen.

Der Weg zu p=reject

Wer sofort p=reject einträgt, sperrt im Zweifel seine eigenen Rechnungen aus. Sicherer ist ein Vorgehen in Stufen:

1. Beobachten. p=none mit rua eintragen und zwei bis vier Wochen Berichte sammeln.
2. Aufräumen. Jeden legitimen Versender in SPF aufnehmen oder, besser, mit eigener DKIM-Signatur Deiner Domain ausstatten. Was niemand kennt, abklären.
3. Verschärfen. Auf p=quarantine gehen und die Berichte weiter verfolgen.
4. Abschließen. p=reject für alle Mails.

p=none ist für die Beobachtungsphase gedacht und schützt niemanden. Google und Yahoo verlangen seit Februar 2024 von Massenversendern einen DMARC-Eintrag, und die Mails müssen DMARC bestehen; p=none genügt dafür. Google zieht die Grenze bei 5000 Mails am Tag an Gmail-Konten, Yahoo nennt keine Zahl. Gegen Phishing mit Deiner Domain hilft erst quarantine oder reject.

Typische Fehler

• Zwei DMARC-Einträge unter _dmarc. Dann werten Empfänger keinen davon aus.
• Ein vergessenes Semikolon oder p=rejected statt p=reject. Ein ungültiger p-Wert nimmt dem Eintrag die Wirkung, Empfänger behandeln ihn bestenfalls wie p=none.
• p=reject, während der Newsletter-Dienst noch mit seiner eigenen Domain signiert. Die Mails fallen durch und kommen nicht an.
• Subdomains übersehen. Sie erben die Richtlinie der Hauptdomain, sofern sie keinen eigenen _dmarc-Eintrag haben und sp= nichts anderes sagt. Für Subdomains, die selbst senden, lohnt ein eigener Blick in die Berichte.

DMARC prüfen

Schick eine Testmail an ZwoMailCheck. Das Ergebnis nennt Richtlinie, Berichtsadresse und Subdomain-Regel und zeigt vor allem, ob Deine Mail DMARC über SPF, über DKIM oder gar nicht besteht.