DMARC (domänenbasierte Nachrichtenauthentifizierung)

Was ist DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein E-Mail-Authentifizierungsprotokoll, das prüft, ob eine per SPF oder DKIM authentifizierte Domain mit der Domain im From-Adressfeld einer Nachricht übereinstimmt. Ein Domaininhaber kann für Nachrichten, die die DMARC-Validierung nicht bestehen, eine gewünschte Behandlung veröffentlichen und aggregierte oder nachrichtenbezogene Fehlerberichte anfordern.

Warum DMARC unerlässlich ist

SPF und DKIM authentifizieren Absenderkennungen. Für sich allein prüfen sie nicht, ob eine authentifizierte Kennung mit der Domain im From-Adressfeld übereinstimmt, und legen auch keine Behandlungsvorgabe des Domaininhabers für fehlgeschlagene Nachrichten fest.

DMARC löst dieses Problem durch:

• Festlegen einer Behandlungsvorgabe: Keine Behandlung, Quarantäne oder Ablehnung für Nachrichten, die DMARC nicht bestehen
• Prüfen des Alignments: Mindestens eine authentifizierte SPF- oder DKIM-Kennung muss mit der From-Domain übereinstimmen
• Anfordern von Berichten: Aggregierte und nachrichtenbezogene Fehlerberichte geben Einblick in die beobachteten Authentifizierungsergebnisse

So funktioniert DMARC

1. Der Absender veröffentlicht die DMARC-Richtlinie im DNS (TXT-Record unter _dmarc.domain.com)

2. Die E-Mail wird gesendet mit From: [email protected]

3. Der Empfänger prüft SPF und DKIM

4. Der Empfänger prüft das Alignment: Stimmt die authentifizierte Domain mit dem From-Header überein?

5. Behandlungsentscheidung: Der Empfänger berücksichtigt die angeforderte Richtlinie und andere Signale

6. Berichte können gesendet werden: Teilnehmende Empfänger können die angeforderten aggregierten oder nachrichtenbezogenen Fehlerberichte senden

DMARC-Alignment

DMARC erfordert ein Alignment: Die Domain im From-Header muss unter dem im Record festgelegten lockeren oder strikten Modus mit mindestens einer authentifizierten Kennung übereinstimmen:

• SPF-Alignment: Die per SPF validierte MAIL-FROM-Domain oder die HELO-Domain, wenn MAIL FROM leer ist
• DKIM-Alignment: Die d=Domain in einer gültigen DKIM-Signatur

Ohne Alignment kann SPF oder DKIM erfolgreich sein, während DMARC fehlschlägt. DMARC begegnet direkt bestimmten Formen des Spoofings, bei denen exakt die From-Domain verwendet wird. Ähnlich aussehende Domains oder den Missbrauch des Anzeigenamens des Absenders erkennt DMARC nicht.

Format eines DMARC-Records

DMARC-Records sind TXT-Records unter _dmarc.yourdomain.com:

_dmarc.example.com.    IN    TXT    "v=DMARC1; p=reject; rua=mailto:[email protected]"

DMARC-Tags

Das Tag pct ist historisch. Der aktuelle DMARC-Standard verwendet es nicht mehr, um eine Richtlinie auf einen Prozentsatz der fehlgeschlagenen Nachrichten anzuwenden. Das Tag p wird empfohlen, ist aber optional. Ein ansonsten gültiger Record ohne dieses Tag wird als p=none behandelt.

DMARC-Richtlinien

v=DMARC1; p=none; rua=mailto:[email protected]

v=DMARC1; p=quarantine; rua=mailto:[email protected]

v=DMARC1; p=reject; rua=mailto:[email protected]

Weg zur DMARC-Implementierung

Phase 1: Überwachen (p=none)

Beginnen Sie mit der Überwachung, um Ihr E-Mail-Ökosystem zu verstehen:

v=DMARC1; p=none; rua=mailto:[email protected]

Analysieren Sie die Berichte, um Folgendes zu erkennen:

• Legitime Versanddienste, bei denen SPF/DKIM fehlt
• Nicht autorisierte Absender (Spoofing)
• Alignment-Probleme

Phase 2: Quarantäne (p=quarantine)

Sobald legitime Quellen authentifiziert sind:

v=DMARC1; p=quarantine; rua=mailto:[email protected]

Prüfen Sie die Berichte und bestätigen Sie, dass legitime E-Mails authentifiziert sind, bevor Sie eine strengere Richtlinie auswählen. Der aktuelle DMARC-Standard definiert keinen prozentualen Rollout.

Phase 3: Ablehnen (p=reject)

Fordern Sie die Ablehnung von Nachrichten an, die DMARC nicht bestehen:

v=DMARC1; p=reject; rua=mailto:[email protected]

DMARC-Berichte

Aggregierte Berichte (rua)

Empfängern wird empfohlen, täglich oder häufiger aggregierte XML-Berichte zu senden. Berichte fassen beobachtete Nachrichtenströme zusammen. Verfügbarkeit und Abdeckung hängen daher von den berichtenden Empfängern ab:

• E-Mail-Volumen
• Bestehens- und Fehlerraten für SPF, DKIM und DMARC
• Sendende IP-Adressen
• Empfängerorganisationen

Fehlerberichte (ruf)

Nachrichtenbezogene Berichte können Nachrichten-Header oder Inhalte enthalten. Nicht alle Empfänger senden sie, häufig aus Datenschutzgründen:

• Details zum Authentifizierungsfehler

Verarbeitung von Berichten

Aggregierte DMARC-Berichte liegen im XML-Format vor und können schwer zu lesen sein. Verwenden Sie Dienste wie:

• DMARC Analyzer
• Dmarcian
• Valimail
• Postmark DMARC

DMARC prüfen

Die authentifizierte DomScan Email Authentication API kostet 3 Credits pro Domain und gibt den DMARC-Record sowie die geparsten Tags zurück.

dig _dmarc.example.com TXT

curl -H "X-API-Key: $DOMSCAN_API_KEY" "https://domscan.net/v1/email-auth?domain=example.com"
# Check dmarc.record and dmarc.tags in the JSON response

Häufige DMARC-Probleme

DMARC ergänzt SPF und DKIM um Alignment, eine gewünschte Behandlungsvorgabe und Berichte. Prüfen Sie Ihre Versandquellen und Berichte, bevor Sie eine strengere Behandlung anfordern.