Anleitung
DMARC prüfen: einen DMARC-Eintrag Tag für Tag lesen
DMARC sagt empfangenden Mailservern, was sie mit Nachrichten tun sollen, die angeblich von Ihrer Domain stammen, aber SPF und DKIM nicht bestehen. Ein falscher Eintrag bedeutet, dass gefälschte Mails durchkommen oder Ihre eigenen Mails im Spam landen. So prüfen Sie ihn.
Wo der DMARC-Eintrag liegt
DMARC ist ein TXT-Eintrag unter _dmarc. vor Ihrer Domain. Für example.com fragen Sie den TXT-Eintrag von _dmarc.example.com ab:
_dmarc.example.com. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com; pct=100"Es darf genau einen solchen Eintrag geben. Bei zwei DMARC-Einträgen ignorieren Empfänger beide.
Die wichtigen Tags
| Tag | Bedeutung | Beispiel |
|---|---|---|
v | Version. Muss an erster Stelle stehen und DMARC1 lauten. | v=DMARC1 |
p | Richtlinie für die Domain: none (nur berichten), quarantine (als verdächtig behandeln, meist Spam-Ordner) oder reject (Nachricht ablehnen). | p=reject |
sp | Richtlinie für Subdomains. Standardmäßig gleich p. | sp=quarantine |
pct | Anteil der fehlschlagenden Nachrichten, auf den die Richtlinie angewendet wird, 0–100. Standard ist 100. | pct=25 |
rua | Wohin aggregierte Berichte gesendet werden. | rua=mailto:dmarc@example.com |
ruf | Wohin Fehlerberichte gesendet werden. Viele Anbieter verschicken sie nicht. | ruf=mailto:forensic@example.com |
adkim, aspf | Alignment-Modus für DKIM und SPF: r relaxed (Subdomains passen, Standard) oder s strict. | adkim=s |
p=none, quarantine oder reject?
- p=none schützt nichts; Empfänger schicken nur Berichte. Nutzen Sie es einige Wochen lang, um zu sehen, wer Mails im Namen Ihrer Domain versendet.
- p=quarantine verschiebt fehlschlagende Mails in den Spam. Ein sicherer Schritt, sobald alle Ihre Dienste bestehen.
- p=reject blockiert gefälschte Mails vollständig. Das Ziel für die meisten Domains.
Ein Eintrag mit p=none und ohne rua bietet weder Schutz noch Berichte, er bewirkt also gar nichts.
Wie DMARC entscheidet: Alignment
Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und die dabei geprüfte Domain mit der Domain im From-Header übereinstimmt. SPF prüft den Envelope-Absender (Return-Path); DKIM prüft die d=-Domain in der Signatur. Ein Newsletter-Dienst, der mit seiner eigenen Domain signiert, besteht DKIM, fällt aber beim DMARC-Alignment durch, bis Sie bei diesem Dienst DKIM für Ihre Domain einrichten.
Häufige Fehler
- Der Eintrag liegt direkt auf der Domain statt unter
_dmarc. - Zwei DMARC-Einträge oder ein DMARC-Eintrag innerhalb eines SPF-Eintrags.
pctnach dem Testen unter 100 gelassen, sodass die meisten gefälschten Mails weiterhin zugestellt werden.- Wechsel zu
p=reject, bevor jeder versendende Dienst (CRM, Helpdesk, Newsletter) SPF oder DKIM mit Alignment besteht. - Berichte an eine Adresse einer anderen Domain, ohne dass diese Domain den Berechtigungseintrag dafür hat.
Prüfen Sie auch SPF und DKIM
DMARC hängt von den beiden anderen ab. Ein SPF-Eintrag muss innerhalb von 10 DNS-Abfragen bleiben, verschachtelte includes eingeschlossen, sonst schlägt er mit einem permanenten Fehler fehl. DKIM-Schlüssel liegen unter einem Selektornamen (zum Beispiel google._domainkey), den DNS nicht auflisten kann, daher müssen Sie den Selektor Ihres Anbieters kennen.