DMARC erklärt
Was ist DMARC genau?
DMARC ist die dritte und übergreifende Säule der E-Mail-Authentifizierung, oben auf SPF und DKIM. Der Name steht für Domain-based Message Authentication, Reporting and Conformance. SPF und DKIM prüfen jeweils ein Stück (welcher Server versenden darf, und ob die Nachricht unverändert ist), aber sie sagen nichts darüber aus, was geschehen soll, wenn eine solche Prüfung fehlschlägt. Diese Lücke füllt DMARC.
DMARC tut zwei Dinge zugleich. Es legt eine Richtlinie fest: Was soll der Empfänger mit einer Nachricht tun, die SPF und DKIM nicht besteht? Und es regelt Berichte: Sie empfangen regelmäßig Übersichten, wer im Namen Ihrer Domain versendet, auch die Parteien, die das zu Unrecht tun.
Dabei spielt ein wichtiger Begriff eine Rolle: Alignment. DMARC verlangt nicht nur, dass SPF oder DKIM besteht, sondern auch, dass die Domain in dieser Prüfung mit der Domain übereinstimmt, die der Leser im Absender sieht. So verhindern Sie, dass jemand mit einer gültigen Signatur eines anderen Namens trotzdem in Ihrem Namen zu mailen scheint.
Was tut DMARC für Sie?
DMARC liefert drei Dinge, von denen Sie wirklich etwas haben.
- Kontrolle über Missbrauch. Sie bestimmen, was mit gefälschter Mail geschieht, die sich als Ihre Domain ausgibt. So machen Sie Spoofing und Phishing in Ihrem Namen viel schwerer.
- Einblick über Berichte. Die Berichte zeigen, welche Server im Namen Ihrer Domain mailen. Praktisch, um legitime Quellen zu erkennen und Missbrauch aufzuspüren.
- Bessere Zustellbarkeit und mehr Vertrauen. Eine korrekte DMARC-Richtlinie gibt großen Mailanbietern zusätzliche Sicherheit, dass Ihre Mail echt ist.
Seit 2024 verlangen große Mailanbieter von Massenversendern, mindestens eine DMARC-Richtlinie zu veröffentlichen. Landet Ihre Mail trotzdem im Spam, lesen Sie auch warum Ihre Mail im Spam landet.
Wie richten Sie DMARC richtig ein?
Ein DMARC-Record ist ein DNS-Record vom Typ TXT auf _dmarc.ihredomain.de. Darin steht Ihre Richtlinie und die Adresse, an die die Berichte gehen dürfen.
Ein vereinfachtes Beispiel:
v=DMARC1; p=none; rua=mailto:berichte@ihredomain.de
v=DMARC1gibt an, dass es sich um einen DMARC-Record handelt.p=ist Ihre Richtlinie:none(nur beobachten),quarantine(in den Spam) oderreject(abweisen).rua=ist die Adresse, an die die zusammenfassenden Berichte gehen.
Die Empfehlung ist, in Ruhe aufzubauen:
- Beginnen Sie mit
p=none. Sie ändern noch nichts an der Zustellung, sammeln aber Berichte. - Sehen Sie in diesen Berichten, welche Quellen in Ihrem Namen mailen, und sorgen Sie dafür, dass alle legitimen über SPF und DKIM bestehen.
- Schieben Sie dann auf
p=quarantineund schließlich aufp=reject, sobald Sie sicher wissen, dass nichts Legitimes mehr wegfällt.
Worauf Sie achten müssen:
- Setzen Sie DMARC nie sofort auf
reject. Ohne zuerst zu beobachten, riskieren Sie, dass Ihre eigene Mail abgewiesen wird. - Sorgen Sie dafür, dass SPF und DKIM zuerst stimmen. DMARC baut darauf; stehen die nicht gut, wirkt DMARC kontraproduktiv.
- Lesen Sie Ihre Berichte. Die Berichterstattung ist der halbe Nutzen von DMARC; ignorieren Sie sie nicht.
Möchten Sie es selbst tun, folgen Sie dem separaten Leitfaden über das DMARC einrichten. Eine knappe Definition finden Sie in der Begriffserklärung über DMARC.
DMARC stützt sich auf SPF und DKIM
DMARC funktioniert nur, wenn die zwei Schichten darunter in Ordnung sind: SPF bestimmt, welche Server versenden dürfen, DKIM signiert Ihre Nachrichten, und DMARC bindet alles mit einer Richtlinie und Berichten zusammen. Die drei gemeinsam einrichten tun Sie mit dem Leitfaden über SPF, DKIM und DMARC gemeinsam einrichten.
Wie Mailflux das für Sie regelt
Bei Mailflux müssen Sie selbst keine Richtlinie schreiben oder Berichte entziffern. Wir verwalten SPF, DKIM und DMARC für Ihre Domain und überwachen die IP-Reputation unserer versendenden Server, sodass Ihre Mail zuverlässig ankommt und Ihr Name geschützt bleibt. Jede Formel filtert zudem mit maschinellem Lernen gegen Spam, Phishing und Malware, mit standardmäßigem Antivirus, Antispam, Antimalware und automatischen Back-ups.
Sie bekommen professionelle E-Mail auf Ihrer eigenen Domain, gehostet in Europa und DSGVO-konform, mit optional Zwei-Faktor-Authentifizierung. Die Richtlinie hinter den Kulissen regeln wir.
FAQ
Häufig gestellte Fragen
Was ist der Unterschied zwischen DMARC, SPF und DKIM?
SPF bestimmt, welche Server in Ihrem Namen versenden dürfen, DKIM signiert Ihre Nachricht, sodass eine Manipulation auffällt, und DMARC bindet diese zwei zusammen: Es koppelt die Prüfung an den sichtbaren Absender und bestimmt, was bei einer fehlgeschlagenen Prüfung geschieht. DMARC fügt außerdem Berichte darüber hinzu, wer in Ihrem Namen mailt.
Was bedeutet `p=none`, `quarantine` und `reject`?
Das ist Ihre DMARC-Richtlinie. none ändert nichts an der Zustellung und lässt Sie nur über Berichte beobachten. quarantine schickt nicht bestandene Mail in den Spam. reject weist sie ganz ab. Sie bauen von none zu reject auf, sobald Sie sicher wissen, dass legitime Mail nicht wegfällt.
Was tue ich mit DMARC-Berichten?
Die Berichte zeigen, welche Server im Namen Ihrer Domain mailen, einschließlich unberechtigter Nutzung. Sie verwenden sie, um zu prüfen, ob all Ihre legitimen Quellen durch SPF und DKIM kommen, und um Missbrauch aufzuspüren. Erst wenn das stimmt, verschärfen Sie Ihre Richtlinie Schritt für Schritt.