Was die DMARC-Berichte sind, die per E-Mail eintreffen

Wenn Ihr DMARC-Eintrag eine rua-Adresse enthält, können Anbieter wie Google, Microsoft oder Yahoo regelmäßig Nachrichten mit Betreffzeilen wie Report Domain und einer XML-Datei schicken, meist als ZIP oder GZIP komprimiert.

Das sind keine Bounces. Ihr Eingang bedeutet für sich genommen nicht, dass ein Problem besteht oder dass die Domain Spam verschickt hat: Es sind Aggregatberichte über die Systeme, die Nachrichten mit Ihrer Domain zugestellt haben, und über das Ergebnis von SPF, DKIM und DMARC. Die beobachtete IP kann zum ursprünglichen Absender, zu einem Relay oder zu einem Weiterleitungsdienst gehören; stufen Sie sie nicht als autorisiert oder bösartig ein, ohne den Weg und das Alignment zu prüfen.

Was der Bericht enthält

Die XML-Datei fasst unter anderem folgende Informationen zusammen:

• IP des Systems, das die Nachrichten an den berichtenden Empfänger zugestellt hat.
• Anzahl der beobachteten Nachrichten.
• Ergebnis von SPF und DKIM.
• Angewandte DMARC-Richtlinie.
• Sichtbare Domain im From-Header.

Das reine Ergebnis von SPF oder DKIM entspricht für sich allein nicht dem DMARC-Ergebnis. Prüfen Sie auch, ob die authentifizierte Domain mit der sichtbaren Domain in From übereinstimmt (Alignment): DMARC besteht, wenn bei SPF oder bei DKIM Alignment vorliegt.

Aggregatberichte enthalten normalerweise nicht den vollständigen Inhalt der Nachrichten. Veröffentlichen Sie die Dateien trotzdem nicht, denn sie enthalten technische Informationen über Ihre Versandquellen.

Unterschied zwischen rua und ruf

• rua fordert Aggregatberichte an und ist die übliche Option für das Monitoring.
• ruf fordert forensische Fehlerberichte an. Viele Anbieter verschicken sie nicht, und wenn doch, können sie Header, Ausschnitte oder sogar die ursprüngliche Nachricht enthalten. Aktivieren Sie sie nicht, ohne festzulegen, wer darauf zugreifen darf und wie lange sie aufbewahrt werden.

Berichte abbestellen oder den Empfänger ändern

Bearbeiten Sie den TXT-Eintrag von _dmarc.ihredomain.com und ändern Sie die Adresse oder entfernen Sie das gesamte Tag rua= oder ruf=. Löschen Sie nicht den ganzen DMARC-Eintrag, nur um die Berichte zu stoppen, denn damit entfernen Sie auch die Richtlinie, die die Domain vor Identitätsfälschung schützt.

Es darf nur einen DMARC-Eintrag geben. Wenn Sie die XML-Dateien auswerten möchten, ohne sie in einem persönlichen Postfach zu empfangen, verwenden Sie eine eigene Adresse oder einen Dienst zur Berichtsauswertung.

Gehört die Adresse in rua oder ruf zu einer anderen Organisationsdomain als der, die die Richtlinie veröffentlicht, muss die empfangende Domain diese Berichte per DNS autorisieren. Für eine Richtlinie auf ihredomain.com, die an dmarc@informes.example sendet, muss zum Beispiel ein TXT-Eintrag mit diesem Namen existieren:

ihredomain.com._report._dmarc.informes.example

Sein Wert ist v=DMARC1. Ohne diese Autorisierung ignorieren standardkonforme Berichtsersteller dieses externe Ziel. Der Anbieter, der die Berichte empfängt, sollte den genauen Eintrag nennen. Eine Adresse unter einer anderen Subdomain derselben Organisationsdomain benötigt diese externe Autorisierung nicht.

Worauf Sie bei den Ergebnissen achten sollten

Suchen Sie nach unbekannten IP-Adressen mit vielen Nachrichten und nach legitimen Quellen, bei denen das SPF- oder DKIM-Alignment fehlschlägt. Bevor Sie die Richtlinie von p=none auf quarantine oder reject verschärfen, ermitteln und authentifizieren Sie alle autorisierten Dienste: Hosting, Formulare, Shop, CRM, Microsoft 365, Google Workspace oder Marketingplattformen. Führen Sie die Änderung schrittweise ein und prüfen Sie die Berichte; p=reject ist erst angebracht, wenn sicher ist, dass keine legitimen Quellen blockiert werden.

Die Anleitung DMARC-Eintrag einrichten erklärt die Richtlinie und ihre wichtigsten Tags.

Einen Fall lesen, ohne die Ergebnisse zu verwechseln

Zeigt eine Zeile ein gültiges DKIM für eine Domain der Plattform, während der sichtbare Absender zu Ihrem Unternehmen gehört, prüfen Sie das Alignment, bevor Sie es als korrekt ansehen. Die Signatur kann gültig sein und trotzdem nicht ausreichen, um DMARC für Ihre Domain zu bestehen. Umgekehrt kann DMARC über ein passendes SPF bestanden werden, auch wenn diese Signatur kein Alignment hat.

Ordnen Sie jede IP und Domain einem bekannten Dienst und dem Berichtszeitraum zu. Ein unerwartetes Volumen verdient eine Prüfung, aber eine einzelne unbekannte IP kann ein Weiterleitungsdienst sein. Autorisieren Sie nicht automatisch alle IP-Adressen, die in der XML-Datei auftauchen.

Die Berichte beschreiben, was jeder Empfänger beobachtet hat; sie sind weder eine vollständige Liste aller Ihrer Sendungen noch eine Messung der Zustellung in den Posteingang. Vergleichen Sie gleichartige Zeiträume und notieren Sie, wann Sie die Richtlinie geändert haben, um die Entwicklung einordnen zu können.