DMARC-Check

Hintergrund

Drei Einträge, die entscheiden, ob Ihre Post ankommt

Was ist DMARC?

DMARC ist ein Eintrag im DNS Ihrer Domain, der Empfängern zwei Dinge sagt: was mit Post geschehen soll, die sich als Ihre Domain ausgibt und die Prüfung nicht besteht — und wohin Berichte darüber geschickt werden sollen.

DMARC arbeitet nicht allein. Es baut auf SPF und DKIM auf und legt nur fest, welche Folge ein Fehlschlag hat. Ohne die beiden anderen ist ein DMARC-Eintrag eine Regel ohne Grundlage. Deshalb prüft der Check alle drei zusammen und bewertet sie als ein System, nicht als drei Häkchen.

Mail-Spoofing: wie Absenderfälschung funktioniert

Das Mailprotokoll stammt aus einer Zeit, in der sich alle Beteiligten kannten. Es prüft von Haus aus nicht, ob der eingetragene Absender stimmt. Die Absenderzeile einer E-Mail ist so verbindlich wie der Absender auf einem Briefumschlag: hingeschrieben, nicht geprüft.

Genau das nutzt Spoofing. Jemand trägt Ihre Adresse als Absender ein und schreibt in Ihrem Namen — an Ihre Kunden, an Ihre Buchhaltung, an Lieferanten. Die verbreitetste Masche im Mittelstand ist die gefälschte Rechnung mit geänderter Bankverbindung, gefolgt von der angeblichen Bitte der Geschäftsführung um eine eilige Überweisung.

SPF, DKIM und DMARC schließen diese Lücke, jedes auf seine Weise: SPF nennt die Server, die für Sie senden dürfen. DKIM unterschreibt jede Nachricht kryptografisch. DMARC sagt, was passieren soll, wenn beides nicht zutrifft. Erst zusammen ergeben sie einen Schutz — und nebenbei sorgen sie dafür, dass Ihre eigene Post seltener im Sammelordner landet.

SPF: wer darf für Sie senden?

Der SPF-Eintrag ist ein TXT-Eintrag, der mit v=spf1 beginnt und die berechtigten Absender auflistet — Ihren Mailserver, den Newsletterdienst, das Rechnungsprogramm. Empfänger schlagen dort nach, bevor sie eine Nachricht annehmen.

Der häufigste Fehler ist mehr als ein SPF-Eintrag. Erlaubt ist genau einer; bei zweien gilt die Prüfung als ungültig, und der Schutz ist weg. Das passiert meist unbemerkt, wenn ein neuer Versanddienst einen eigenen Eintrag anlegt, statt den bestehenden zu ergänzen. Der zweite Klassiker ist ein Eintrag, der einen inzwischen abgeschafften Dienst noch aufführt — und den neuen nicht.

DKIM: die Unterschrift unter jeder Nachricht

DKIM hängt an jede ausgehende Nachricht eine kryptografische Unterschrift. Der passende öffentliche Schlüssel liegt im DNS, und zwar unter einem frei wählbaren Namen — dem Selektor. Empfänger lesen den Selektor aus dem Nachrichtenkopf, holen den Schlüssel und prüfen die Unterschrift.

Diese freie Namenswahl ist der Grund, warum DKIM von außen nur eingeschränkt prüfbar ist: Ohne den Selektor weiß niemand, wo nachzusehen ist. Der Check probiert zwölf verbreitete Namen durch, die Google, Microsoft und gängige Versanddienste benutzen. Findet er nichts, heißt das nicht, dass kein Schlüssel existiert. Ihren eigenen Selektor finden Sie im Kopf jeder von Ihnen versendeten E-Mail, im Feld DKIM-Signature hinter s= — und können ihn oben im Zusatzfeld eintragen.

In welcher Reihenfolge richte ich das ein?

Erst SPF, dann DKIM, dann DMARC — und DMARC zunächst mit der Regel p=none. Diese Reihenfolge ist keine Förmlichkeit, sondern der Unterschied zwischen Schutz und Selbstblockade.

Der Grund: DMARC weist Post ab, die SPF und DKIM nicht besteht. Wer DMARC scharf schaltet, bevor beide für alle Versandwege vollständig sind, blockiert die eigene Post — und merkt es oft erst, wenn sich Kunden über ausbleibende Antworten wundern. Vergessen werden meist die Nebenwege: das Kontaktformular der Website, die Rechnungssoftware, das Ticketsystem, der Newsletter.

Mit p=none passiert zunächst nichts außer, dass Berichte gesammelt werden. Aus diesen Berichten sehen Sie, wer tatsächlich in Ihrem Namen sendet — regelmäßig sind darunter Dienste, an die niemand mehr gedacht hat. Erst wenn die Berichte über Wochen sauber sind, folgt quarantine, zuletzt reject.

Was none, quarantine und reject bedeuten

p=none — nichts passiert, es wird nur berichtet. Der richtige Anfang, aber kein Schutz. Wer hier stehen bleibt, hat einen Eintrag ohne Wirkung.

p=quarantine — auffällige Post landet im Sammelordner. Sie kommt an, wird aber selten gelesen.

p=reject — auffällige Post wird abgewiesen. Das ist der eigentliche Schutz, und das Ziel. Große Anbieter verlangen DMARC inzwischen von Absendern mit höherem Versandaufkommen; wer nichts hat, wird zunehmend schlechter zugestellt — auch ohne dass je jemand die Domain gefälscht hätte.

Was dieser Check nicht prüft

Er liest öffentliche DNS-Einträge und bewertet sie syntaktisch grob. Er ist kein vollständiger Regelwerksprüfer und keine Garantie für Zustellbarkeit: Ob eine bestimmte Nachricht ankommt, hängt zusätzlich vom Ruf der sendenden Adresse, vom Inhalt und von der Empfängerseite ab.

DKIM ist ohne bekannten Selektor nur eingeschränkt prüfbar (siehe oben). SPF wird auf Vorhandensein, Eindeutigkeit und grobe Form geprüft, nicht auf inhaltliche Richtigkeit jedes Eintrags. Für die übrigen DNS-Einträge einer Domain gibt es den DNS-Check, für Zertifikat und HTTPS den SSL-Check. Das Ergebnis ist eine technische Ersteinschätzung, keine Rechtsberatung.