DMARC erklärt: So schützen Sie Ihre E-Mails und fügen einen DMARC-Eintrag zum DNS hinzu

E-Mail-Vertrauen beeinflusst alles, von der Kundenkommunikation bis hin zu Bestellbestätigungen. Ohne ordnungsgemäße Authentifizierung können selbst legitime E-Mails im Spam-Ordner landen oder blockiert werden. DMARC schützt Ihre Domain vor Spoofing und verbessert gleichzeitig die Zustellbarkeit. Es gibt E-Mail-Servern klare Anweisungen, wie sie mit fehlgeschlagenen Nachrichten umgehen sollen. Die korrekte Einrichtung ist heutzutage unerlässlich.

Wichtigste Erkenntnisse

• DMARC schützt Ihre Domain vor E-Mail-Spoofing und Identitätsdiebstahl
• Es arbeitet mit SPF und DKIM zusammen, um die Authentizität des Absenders zu überprüfen
• Ein DMARC-Eintrag ist im DNS als TXT-Eintrag unter dem Hostnamen _dmarc gespeichert
• Die Einführung einer Überwachungsrichtlinie hilft, Zustellungsprobleme zu vermeiden
• Auch Domains, die keine E-Mails versenden, sollten einen DMARC-Eintrag veröffentlichen
• Eine korrekte DMARC-Konfiguration verbessert die Posteingangszuordnung und das Vertrauen in E-Mails

Was ist DMARC und warum existiert es?

DMARC steht für Domain-basierte Nachrichtenauthentifizierung, Berichterstattung und Konformität. Vereinfacht ausgedrückt handelt es sich um eine Reihe von Anweisungen, die empfangenden E-Mail-Servern mitteilen, wie sie mit E-Mails umgehen sollen, die vorgeben, von Ihrer Domain zu stammen.

Vor DMARC basierte die E-Mail-Authentifizierung hauptsächlich auf SPF und DKIM. Diese Systeme überprüfen, ob der Server berechtigt ist, E-Mails für die jeweilige Domain zu versenden, und bestätigen, dass der Nachrichteninhalt unverändert bleibt. Obwohl sie nützlich sind, geben sie den empfangenden Servern keine Anweisungen, wie sie im Fehlerfall vorgehen sollen.

Diese Sicherheitslücke ermöglichte es Angreifern, Domains durch Fälschung von Absenderadressen auszunutzen. Sie konnten gefälschte E-Mails so gestalten, dass sie den Anschein erweckten, von vertrauenswürdigen Marken zu stammen, indem sie diese von nicht autorisierten Servern versendeten. DMARC schließt diese Lücke.

DMARC sorgt für mehr Transparenz, indem es festlegt, wie empfangende Server mit E-Mails umgehen, deren Authentifizierung fehlschlägt. Es entscheidet, ob Server die Nachricht zustellen, sie in den Spam-Ordner verschieben oder sie vollständig blockieren. Dadurch wird DMARC zu einer entscheidenden Ebene des E-Mail-Vertrauens und nicht nur zu einer weiteren technischen Einstellung.

Wie DMARC in die E-Mail-Authentifizierung passt

SPF und DKIM fungieren als Identitätsprüfungen. DMARC hingegen trifft die Entscheidungen. Es wertet die Ergebnisse dieser Prüfungen aus und setzt eine Richtlinie gemäß Ihren Vorgaben durch. Ohne DMARC müssen E-Mail-Anbieter raten, wie sie mit verdächtigen Nachrichten umgehen sollen. Mit DMARC befolgen sie Ihre Regeln.

Wie DMARC im Hintergrund funktioniert

Wenn eine E-Mail versendet wird, durchläuft sie mehrere Server, bevor sie den Empfänger erreicht. Dabei prüft der empfangende Server verschiedene Aspekte, um die Authentizität zu bestätigen.

Zunächst überprüft SPF, ob der sendende Server berechtigt ist, E-Mails für die Domain zu versenden. Anschließend bestätigt DKIM, dass die Nachricht intakt ist und von einem autorisierten Absender signiert wurde.

DMARC greift dann ein und prüft die Domain-Ausrichtung . Ausrichtung bedeutet, dass die in der Absenderadresse verwendete Domain mit den von SPF und DKIM verifizierten Domains übereinstimmt. Schlägt die Ausrichtung fehl, wird DMARC durchgesetzt.

Gemäß Ihrer DMARC-Richtlinie lässt der empfangende Server die Nachricht entweder zu, leitet sie in den Spam-Ordner weiter oder blockiert sie vollständig. Dies geschieht automatisch im Hintergrund, ohne dass Sie eingreifen müssen.

Ein einfaches praktisches Beispiel für die Anwendung von DMARC

Stellen Sie sich vor, jemand versucht, eine gefälschte E-Mail im Namen Ihrer Firmenabrechnung zu versenden. Die Absenderadresse wird geändert, die Nachricht jedoch von einem nicht autorisierten Server gesendet. SPF und DKIM schlagen fehl. DMARC erkennt dies und wendet Ihre Richtlinie an. Lautet Ihre Richtlinie „Ablehnen“, erreicht die E-Mail niemals den Posteingang. Der Angriff wird gestoppt, bevor er überhaupt beginnen kann.

Was ist ein DMARC-Eintrag?

Ein DMARC-Eintrag enthält Ihre DMARC-Richtlinie. Er wird als TXT-Eintrag im DNS Ihrer Domain gespeichert. Das DNS ist im Wesentlichen die Bedienungsanleitung, die dem Internet erklärt, wie Ihre Domain funktioniert.

dmarc.yourdomain.com gespeichert . Dadurch können empfangende Server ihn leicht finden und lesen.

Es ist wichtig zu verstehen, dass DMARC kein spezieller DNS-Eintragstyp ist. Es handelt sich lediglich um Text, der in einem TXT-Eintrag gespeichert ist. Dadurch ist es mit allen gängigen DNS-Anbietern kompatibel.

DMARC-Richtlinienoptionen verstehen

DMARC-Richtlinien legen fest, was bei einem Authentifizierungsfehler geschieht. Die Wahl der richtigen Richtlinie hängt davon ab, wie sicher Sie sich Ihrer E-Mail-Konfiguration fühlen.

Richtlinie Keine

Diese Richtlinie weist empfangende Server an, bei fehlgeschlagenen E-Mails keine Maßnahmen zu ergreifen. Nachrichten werden weiterhin zugestellt, es werden jedoch Berichte erstellt. Dies ist ideal für die Überwachung. Sie können so sehen, wer im Namen Ihrer Domain E-Mails versendet, ohne Zustellungsprobleme zu riskieren.

Quarantänerichtlinie

Diese Richtlinie weist Server an, fehlgeschlagene E-Mails als verdächtig zu behandeln. Die meisten Anbieter verschieben sie in den Spam-Ordner. Die Quarantäne dient oft als Übergangsschritt zwischen Überwachung und vollständiger Durchsetzung der Richtlinie.

Richtlinienablehnung

Dies ist die strengste Option. E-Mails, die die DMARC-Prüfung nicht bestehen, werden sofort abgewiesen. Sie erreichen den Empfänger nie. Diese Richtlinie bietet den stärksten Schutz vor Spoofing und Identitätsdiebstahl, sobald Ihre Einrichtung verifiziert ist.

Erläuterung der wichtigsten Bestandteile eines DMARC-Eintrags

Ein DMARC-Eintrag besteht aus durch Semikolons getrennten Tags und Werten. Jeder Teil erfüllt eine spezifische Funktion.

Versionskennzeichen v

Dies teilt den Servern mit, welche DMARC-Version der Eintrag verwendet. Aktuell ist dies immer DMARC1.

Richtlinien-Tag p

Hiermit wird die Vorgehensweise bei einem Authentifizierungsfehler festgelegt. Gültige Werte sind „none“, „quarantäne“ oder „reject“.

Meldetag rua

Hier wird festgelegt, wohin aggregierte DMARC-Berichte gesendet werden sollen. Berichte werden üblicherweise an ein dediziertes Postfach oder einen externen Überwachungsdienst gesendet.

Optionale Ausrichtungs- und Berichtskennzeichnungen

Tags wie adkim und aspf steuern die Strenge der Ausrichtungsregeln. Andere wie fo und pct passen das Berichtsverhalten und die Durchsetzungsprozentsätze an. Diese sind optional und können später hinzugefügt werden, wenn Ihre Konfiguration ausgereifter ist.

Was ist ein DMARC-Bericht und warum ist er wichtig?

DMARC-Berichte geben Einblick in die Nutzung Ihrer Domain im E-Mail-Verkehr. Sie zeigen, welche Server E-Mails versenden, wie die Authentifizierungsprüfungen ablaufen und ob Nachrichten die DMARC-Prüfung bestehen oder nicht.

Diese Berichte werden üblicherweise als XML-Dateien versendet und können auf den ersten Blick unübersichtlich wirken. Deshalb verwenden viele Unternehmen Reporting-Tools, um sie in übersichtliche Dashboards umzuwandeln.

Zusammengefasste Berichte vs. forensische Berichte

Aggregierte Berichte liefern zusammenfassende Daten im Zeitverlauf. Forensische Berichte bieten detaillierte Informationen zu einzelnen fehlgeschlagenen Nachrichten. Beide helfen, Fehlkonfigurationen und Missbrauchsversuche zu identifizieren.

Benötigen alle Domains einen DMARC-Eintrag?

Ja. Auch Domains, die nie E-Mails versenden, sollten einen DMARC-Eintrag veröffentlichen. Ohne diesen können Angreifer den Domainnamen in Phishing-E-Mails mit geringem Widerstand missbrauchen.

Für Domains, die keine E-Mails versenden, stellt eine Ablehnungsrichtlinie sicher, dass alle unautorisierten E-Mails blockiert werden. Dies schützt Ihre Markenidentität, selbst wenn Sie E-Mails nie direkt nutzen.

Schritt für Schritt zur Erstellung eines DMARC-Eintrags

Die Einrichtung von DMARC funktioniert am besten, wenn sie strukturiert erfolgt. Ein übereiltes Festlegen einer strikten Richtlinie ohne vorherige Überprüfung kann die Zustellung legitimer E-Mails beeinträchtigen. Diese Schritte helfen Ihnen, einen DMARC-Eintrag sicher und zuverlässig zu erstellen.

Schritt 1: Prüfen, ob bereits ein DMARC-Eintrag existiert

Bevor Sie etwas Neues hinzufügen, sollten Sie prüfen, ob bereits ein DMARC-Eintrag für Ihre Domain existiert. Eine Domain kann nur einen DMARC-Eintrag haben. Das Hinzufügen eines zweiten Eintrags führt zu Validierungsfehlern.

Sie können jedes beliebige Online-DMARC-Lookup-Tool verwenden, um dies zu überprüfen. Falls ein Eintrag existiert, prüfen Sie ihn sorgfältig, anstatt ihn unreflektiert zu ersetzen.

Schritt 2: Legen Sie Ihre politische Strategie fest

Wenn Sie DMARC zum ersten Mal verwenden, beginnen Sie mit einem Monitoring-Ansatz. Eine auf „Keine“ gesetzte Richtlinie ermöglicht es Ihnen, Berichte zu sammeln, ohne die E-Mail-Zustellung zu beeinträchtigen.

Sobald Sie bestätigt haben, dass legitime E-Mails die Authentifizierung bestehen, können Sie sie in Quarantäne verschieben und schließlich ablehnen. Dieses schrittweise Vorgehen verringert das Risiko, echte Nachrichten zu blockieren.

Schritt 3: Wählen Sie eine E-Mail-Adresse für die Berichterstattung

DMARC-Berichte werden an die in Ihrem Datensatz hinterlegte E-Mail-Adresse gesendet. Diese Adresse sollte aktiv überwacht oder mit einem Meldedienst verbunden werden.

Vermeiden Sie die Nutzung eines privaten Posteingangs. Berichte können häufig und technisch anspruchsvoll sein. Viele Organisationen richten ein separates Postfach ein oder nutzen einen externen DMARC-Berichtsdienst.

Schritt 4: DMARC-Datensatzwert vorbereiten

Ein einfacher DMARC-Eintrag enthält eine Version, eine Richtlinie und eine Reporting-Adresse. Diese einfache Struktur genügt, um mit der sicheren Überwachung zu beginnen und Transparenz aufzubauen.

Wie man einen DMARC-Eintrag zum DNS hinzufügt

Sobald Ihr DMARC-Eintrag fertig ist, müssen Sie ihn als Nächstes zu den DNS-Einstellungen Ihrer Domain hinzufügen. Die DNS-Einstellungen werden von demjenigen verwaltet, der Ihre Domain-Einträge kontrolliert.

Wo wird DNS verwaltet?

Die DNS-Verwaltung kann je nach Domain-Konfiguration an verschiedenen Stellen erfolgen. Übliche Verwaltungsstellen sind Ihr Domain-Registrar, Ihr Webhosting-Anbieter oder ein CDN wie Cloudflare .

Wenn Sie nicht sicher sind, wo die DNS-Verwaltung erfolgt, überprüfen Sie die Nameserver Ihrer Domain. Diese geben in der Regel den für die DNS-Verwaltung zuständigen Anbieter an.

Hinzufügen des DMARC-TXT-Eintrags

Erstellen Sie in Ihrem DNS-Manager einen neuen TXT-Eintrag.

• Der Datensatzname sollte je nach Anbieter entweder dmarc oder dmarc.yourdomain.com
• Das Wertfeld sollte Ihren vollständigen DMARC-Richtlinientext enthalten.
• Die TTL-Funktion kann in der Regel auf Automatik belassen werden.

Speichern Sie den Eintrag nach der Eingabe. DNS-Änderungen werden nicht sofort wirksam, daher ist Geduld erforderlich.

Häufige Formatierungsfehler, die Sie vermeiden sollten

Viele DMARC-Probleme werden durch kleine Formatierungsfehler verursacht. Die Verwendung des Wurzelsymbols anstelle von _dmarc führt zu einem Fehler im Datensatz. Auch zusätzliche Leerzeichen oder fehlende Semikolons können die Validierung beeinträchtigen.

Bitte Rechtschreibung und Satzbau vor dem Speichern überprüfen.

Wie lange es dauert, bis DMARC funktioniert

DMARC wird nicht sofort aktiviert. DNS-Änderungen müssen sich erst im Internet verbreiten. Dies dauert in der Regel einige Minuten, kann aber je nach Anbieter bis zu 48 Stunden dauern.

Während dieser Zeit kann es vorkommen, dass einige Server den neuen Datensatz sehen, andere jedoch nicht. Dies ist normales Verhalten und löst sich von selbst.

So überprüfen Sie, ob Ihr DMARC-Eintrag funktioniert

Nach der Weiterleitung sollten Sie überprüfen, ob der DMARC-Eintrag aktiv und lesbar ist. Online-DMARC-Lookup-Tools können dies sofort bestätigen.

Ein gültiger Datensatz enthält die Richtlinie, die Meldeadresse und die Ausrichtungseinstellungen. Falls Fehler auftreten, enthalten diese in der Regel klare Fehlermeldungen, die erläutern, was behoben werden muss.

Sie können auch Test-E-Mails versenden und DMARC-Berichte überprüfen, um das korrekte Verhalten zu bestätigen.

Häufige DMARC-Fehler und wie man sie behebt

Schon kleine Fehler können zum Fehlschlagen von DMARC führen. Das Verständnis häufiger Probleme hilft, diese schneller zu beheben.

Kein DMARC-Eintrag gefunden

Dies bedeutet in der Regel, dass der Datensatzname falsch ist oder der Datensatz noch nicht propagiert wurde. Überprüfen Sie den Hostnamen und warten Sie, bevor Sie mit der weiteren Fehlerbehebung fortfahren.

DMARC-Ausrichtungsfehler

Ausrichtungsfehler treten auf, wenn die Domain in der Absenderadresse nicht mit den SPF- oder DKIM-Domains übereinstimmt. Dies kommt häufig vor, wenn E-Mail-Dienste ohne korrekte Konfiguration verwendet werden.

Legitime E-Mails landen im Spam-Ordner

Dies geschieht häufig, wenn eine strenge Richtlinie zu früh aktiviert wird. Durch die Rückkehr zu einer Überwachungsrichtlinie während der Berichtsprüfung können verlorene E-Mails vermieden werden.

Fehler: Mehrere DMARC-Einträge

Pro Domain ist nur ein DMARC-Eintrag zulässig. Entfernen Sie Duplikate und verwenden Sie eine einzige, konsolidierte Richtlinie.

DMARC und WordPress-E-Mail-Zustellbarkeit

WordPress -Websites sind stark auf E-Mails angewiesen. Kontaktformulare, Passwortzurücksetzungen, Bestellbestätigungen und Benachrichtigungen benötigen alle eine zuverlässige Zustellung.

Ohne DMARC WordPress-E-Mails häufiger als verdächtig eingestuft. Dies gilt insbesondere, wenn E-Mails mit den Standardservereinstellungen versendet werden.

DMARC funktioniert am besten in Kombination mit einer korrekten SMTP-Konfiguration und authentifizierten Absenderdiensten. Zusammen verbessern sie die Zustellung und das Vertrauen in den Posteingang deutlich.

Schlussbetrachtung: Warum DMARC nicht länger optional ist

DMARC ist längst nicht mehr nur eine Sicherheitsverbesserung. Es ist eine Grundvoraussetzung für das Vertrauen in E-Mails. E-Mail-Anbieter erwarten es, Kunden verlassen sich darauf, und Angreifer nutzen aktiv Domains aus, denen es fehlt.

Mit Monitoring gewinnen Sie zunächst risikofrei Transparenz. Die schrittweise Einführung strengerer Richtlinien schützt Ihre Marke und verbessert die Zustellbarkeit Ihrer E-Mails.

Unabhängig davon, ob Ihre Domain E-Mails versendet oder nicht, ist die Veröffentlichung eines DMARC-Eintrags einer der einfachsten und effektivsten Schritte, die Sie unternehmen können, um Ihre Online-Präsenz zu sichern.

Häufig gestellte Fragen zu DMARC