Was ist DMARC?
DMARC (Domain-based Message Authentication, Reporting and Conformance) verbindet SPF und DKIM zu einer Policy: Es legt fest, was ein Empfänger mit einer Mail tun soll, die weder SPF noch DKIM besteht, und wohin er Berichte darüber schicken soll. Der Record steht als TXT-Record unter _dmarc.deine-domain.de.
Ohne DMARC kann jeder eine Mail mit deiner Domain als sichtbarem Absender verschicken. SPF und DKIM allein verhindern das nicht, weil sie den technischen Absender prüfen, nicht die Adresse, die der Empfänger sieht. DMARC schließt genau diese Lücke.
Die wichtigsten Tags
Ein DMARC-Record besteht aus Tag-Wert-Paaren, getrennt durch Semikolon:
- v=DMARC1: Version, muss der erste Tag sein.
- p=none | quarantine | reject: Die Policy. none bedeutet nur beobachten, quarantine schickt nicht bestandene Mails in den Spam, reject lehnt sie ab.
- sp=: Policy für Subdomains, falls sie von p abweichen soll.
- pct=: Anteil der Mails, auf den die Policy angewendet wird. Nützlich für die schrittweise Einführung, sollte am Ende 100 sein.
- rua=mailto:...: Adresse für aggregierte Berichte. Ohne rua fehlt jede Rückmeldung darüber, wer im Namen der Domain sendet.
- ruf=mailto:...: Adresse für forensische Einzelberichte. Von vielen Empfängern nicht mehr unterstützt.
- adkim= und aspf=: Alignment-Modus für DKIM und SPF, r (relaxed) oder s (strict).
Von p=none zu p=reject
Der sichere Weg führt über drei Stufen. Zuerst p=none mit einer rua-Adresse, um vier bis acht Wochen lang Berichte zu sammeln und alle legitimen Versender zu finden: Newsletter-Tool, CRM, Rechnungssystem, Drucker, Website-Formulare. Dann p=quarantine, gern zunächst mit pct=25, und die Berichte weiter beobachten. Zuletzt p=reject mit pct=100.
Der häufigste Fehler ist, bei p=none stehen zu bleiben. Die Policy bietet dann keinen Schutz, obwohl technisch ein DMARC-Record existiert. Der Checker markiert das als Hinweis.
v=DMARC1; p=reject; sp=reject; pct=100; rua=mailto:dmarc-reports@beispiel.de; adkim=s; aspf=sHäufige Fehler
Was der Checker erkennt:
- Kein Record unter _dmarc: Die Domain ist ungeschützt.
- Mehrere Records: Empfänger ignorieren dann alle.
- p fehlt oder hat einen ungültigen Wert.
- rua-Adresse ohne mailto: oder mit Tippfehler.
- pct unter 100 im Dauerbetrieb.
- Schwächere Subdomain-Policy als Hauptpolicy: Angreifer weichen auf Subdomains aus.
DMARC dauerhaft überwachen
Eine versehentlich von p=reject auf p=none abgeschwächte Policy fällt niemandem auf, bis die ersten gefälschten Rechnungen im Namen des Kunden unterwegs sind. DomainWarn erkennt genau diese Änderung innerhalb von Minuten und meldet sie als kritisch.
Häufige Fragen
- Brauche ich DMARC, wenn ich SPF und DKIM habe?
- Ja. SPF und DKIM prüfen technische Absender, DMARC prüft zusätzlich, ob diese zur sichtbaren Absenderadresse passen, und legt fest, was bei Verstößen passiert.
- Was bedeutet p=none?
- Nur beobachten. Empfänger behandeln Verstöße nicht anders als sonst, schicken aber Berichte an die rua-Adresse. Sinnvoll als Startpunkt, nicht als Dauerzustand.
- Wohin sollen die Berichte gehen?
- An ein Postfach, das jemand auswertet, oder an einen Report-Dienst. Aggregierte Berichte sind XML-Dateien und ohne Werkzeug mühsam zu lesen.
- Wie lange dauert der Umstieg auf p=reject?
- Typisch sechs bis zwölf Wochen: Berichte sammeln, Versender nachziehen, quarantine, dann reject.
- Braucht jede Subdomain einen eigenen DMARC-Record?
- Nein. Hat eine Subdomain keinen eigenen Record, gilt nach RFC 7489 der Record der Hauptdomain, und zwar mit ihrer Subdomain-Policy sp= (ohne sp= mit p=). Prüfst du shop.beispiel.de, zeigt der Checker deshalb die geerbte Policy von beispiel.de.