Von p=none zu p=reject, ohne eine einzige E-Mail zu verlieren
Der sichere Weg zu einer durchgesetzten DMARC-Richtlinie: was Sie bei jedem Schritt prüfen, wie pct und sp wirken, wie lange Sie warten und was bei Fehlern hilft.
Ein DMARC-Eintrag mit p=none schützt nichts. Er bittet die Anbieter um Berichte, was nützlich ist, sagt ihnen aber, gefälschte E-Mails genau wie bisher zuzustellen. Die meisten Domains mit DMARC bleiben jahrelang bei p=none, weil niemand derjenige sein will, der die Rechnungen blockiert hat. Dieser Leitfaden ist der Weg heraus, in Schritten, die so klein sind, dass nichts kaputtgeht.
Bevor Sie beginnen
Sie brauchen zwei Wochen Berichte. Hat Ihr Eintrag keine rua=-Adresse, fügen Sie jetzt eine hinzu und warten Sie: Ohne Berichte verschärfen Sie blind. Lesen Sie sie wie in DMARC-Berichte lesen beschrieben, bis jeder Ihrer Dienste mit DKIM besteht, das auf Ihre Domain ausgerichtet ist.
Prüfen Sie auch Ihren SPF-Eintrag: Braucht er mehr als zehn DNS-Abfragen, scheitert er für alle (permerror), und DMARC stützt sich dann allein auf DKIM. Der SPF-Check zählt sie.
Schritt 1: einen kleinen Anteil in Quarantäne
v=DMARC1; p=quarantine; pct=10; rua=mailto:dmarc@ihre-domain.depct=10 bittet die Anbieter, die Richtlinie auf 10 Prozent der scheiternden Nachrichten anzuwenden und den Rest wie p=none zu behandeln. Scheiternde E-Mails landen nun im Spam, eine von zehn. Beobachten Sie eine Woche lang die Berichte und Ihr Support-Postfach. Sagt ein Kunde, Ihre Rechnungen seien im Spam gelandet, zeigen die Berichte, welcher Dienst sie verschickt hat.
Schritt 2: alles in Quarantäne
Erhöhen Sie pct auf 25, 50 und dann 100, jeweils eine Woche, oder direkt auf 100, wenn die Berichte keinen eigenen Dienst als scheiternd zeigen. Beachten Sie, dass pct ungleich umgesetzt wird: Manche Anbieter behandeln jeden Wert unter 100 wie 0 oder wie 100. Es verlangsamt die Umstellung, ist aber kein genauer Regler. (Die Überarbeitung DMARCbis ersetzt pct durch ein einfaches Testkennzeichen, t=y; die heutigen Anbieter lesen weiterhin pct.)
Schritt 3: ablehnen
v=DMARC1; p=reject; rua=mailto:dmarc@ihre-domain.deGefälschte E-Mails werden jetzt abgewiesen, bevor sie ein Postfach erreichen. Diese Einstellung verhindert, dass jemand „Bitte zahlen Sie auf diese neue IBAN“ von Ihrer Adresse aus verschickt.
Subdomains: sp=
Ohne sp= übernehmen Subdomains p=. Haben Sie einmal sp=none gesetzt, um eine sendende Subdomain zu schonen, entfernen Sie es wieder, sonst nutzen Angreifer einfach rechnung.ihre-domain.de. Subdomains, die nie E-Mails senden, brauchen nichts weiter: Eine durchgesetzte Richtlinie auf der übergeordneten Domain deckt sie ab.
Domains, die nie E-Mails senden
Defensiv registrierte Domains, alte Markennamen, die .com, die Sie zum Schutz der .de gekauft haben: Setzen Sie dort direkt p=reject, mit einem leeren SPF:
ihre-domain.com. TXT "v=spf1 -all"
_dmarc.ihre-domain.com. TXT "v=DMARC1; p=reject;"Zu beobachten gibt es nichts, denn von dort wird nichts Legitimes verschickt.
Wenn etwas Legitimes scheitert
Das kommt vor: ein neues Tool, ein Partner, der in Ihrem Auftrag sendet, ein alter Drucker, der Scans per E-Mail verschickt. Gehen Sie nicht zurück auf p=none. Suchen Sie den Dienst in den Berichten, richten Sie seine Domain-Authentifizierung ein (DKIM mit Ihrer Domain), und die E-Mails kommen wieder an. Zurück auf none zu gehen, öffnet die Tür für alle, um einen einzigen Absender zu reparieren.
Wie lange es dauert
Für die meisten kleinen Unternehmen: zwei Wochen Berichte, ein bis zwei Wochen Korrekturen, dann drei bis fünf Wochen Schritte. Sechs bis zehn Wochen insgesamt, überwiegend Warten.
Lassen Sie die Berichte entscheiden
Perimetry Cloud liest Ihre DMARC-Berichte täglich und schlägt jeden Schritt erst vor, wenn die Berichte zeigen, dass er gefahrlos ist: keine eigene Quelle scheitert im letzten Zeitraum, genug Volumen für ein Urteil. In den Agency-Tarifen kann es den Schritt für Sie in Ihrem DNS bei Cloudflare, OVHcloud oder Gandi anwenden, mit einer Schaltfläche zum Rückgängigmachen.
Ist die Richtlinie durchgesetzt, kann die Domain in Postfächern, die BIMI unterstützen, auch ihr Logo zeigen: Der kostenlose BIMI-Check liest den Eintrag, das Logo und das Markenzertifikat.