DMARC Schritt für Schritt bis p=reject

Eine DMARC-Richtlinie mit p=none beobachtet nur. Um andere daran zu hindern, E-Mails in Ihrem Namen zu versenden, muss die Richtlinie auf p=quarantine (fehlschlagende E-Mails landen im Spam) und dann auf p=reject (fehlschlagende E-Mails werden abgewiesen) umgestellt werden. Zu früh umgestellt, stoppt eine strengere Richtlinie auch Ihre eigenen Newsletter oder Rechnungen. Die Karte DMARC: Schritt für Schritt zu p=reject sagt Ihnen anhand der Berichte, wann jeder Schritt sicher ist.

Wann die Karte erscheint

Auf der Seite einer verifizierten Domain, ab dem Solo-Tarif, sobald die DMARC-Berichte eingeschaltet sind. Hat die Domain noch keinen DMARC-Eintrag, veröffentlichen Sie zuerst einen (der DMARC-Befund Ihres Berichts liefert einen kopierfertigen Eintrag): Die Schritte beginnen bei der Beobachtung, p=none.

Die drei Stufen

Stufe	Richtlinie	Was mit E-Mails geschieht, die DMARC nicht bestehen
Beobachtung	p=none	Wie gewohnt zugestellt; die Berichte zeigen sie.
Quarantäne	p=quarantine	In den Spam verschoben.
Abweisung	p=reject	Abgewiesen.

Wann der nächste Schritt bereit ist

Die Karte meldet, dass die Domain für die nächste Richtlinie bereit ist, wenn die Berichte der großen Postfachanbieter (Google, Microsoft, Yahoo) seit der Veröffentlichung der aktuellen Richtlinie all das zeigen:

• Zeit: mindestens 14 Tage unter der aktuellen Richtlinie, damit jeder Dienst, der in Ihrem Namen sendet, Zeit hatte, aufzutauchen;
• Umfang: mindestens 3 Berichte und 50 Nachrichten;
• Erfolg: mindestens 98 % der Nachrichten bestehen DMARC;
• kein fehlschlagender Absender, abgesehen von denen, die Sie als nicht Ihre eigenen markiert haben.

Bis dahin listet die Karte auf, was den Schritt aufhält: die verbleibenden Tage, die fehlenden Berichte, den Anteil der bestehenden Nachrichten oder die Absender mit fehlschlagenden E-Mails. Ist kein aktueller Bericht eingegangen, sagt sie das: Prüfen Sie, ob Ihr Eintrag die Berichte noch an uns sendet.

Ein Dienst, der sehr wenige E-Mails versendet, taucht in den Berichten der großen Anbieter möglicherweise nicht auf. Prüfen Sie daher auch Ihre eigene Liste der Absender, bevor Sie weitergehen.

Was bei jedem fehlerhaften Absender zu tun ist

Neben jedem Absender mit fehlgeschlagenen E-Mails sagt die Karte, wer er ist und was zu tun ist:

• ein Versanddienst, den wir kennen (Google Workspace, Microsoft 365, SendGrid, Mailchimp, Brevo, Amazon SES und etwa zwanzig weitere): Seine E-Mails wurden im Namen des Dienstes signiert oder gesendet, nicht in Ihrem. Die Karte nennt den Dienst und die Stelle in seinen Einstellungen, an der Sie Ihre Domain authentifizieren; dort erhalten Sie DKIM-Einträge zum Veröffentlichen;
• Ihre eigene Domain: oft weitergeleitete E-Mails oder solche über eine Mailingliste (einige wenige sind normal), sonst einer Ihrer Server, der in SPF fehlt und nicht signiert;
• eine bloße Adresse: ein Server, der weder signiert noch eine Domain verwendet. Gehört er Ihnen (Website, Anwendung, Drucker), senden Sie über Ihren E-Mail-Dienst oder nehmen Sie ihn in SPF auf;
• ein Absender, den wir nicht kennen: ein Dienst, den Sie nutzen und einrichten müssen, oder jemand, der Ihren Namen nutzt.

Unter der Liste sagt die Karte, wie viele der gesehenen Nachrichten ungefähr im Spam landen oder abgewiesen würden, wenn die nächste Richtlinie heute gälte.

Absender, die nicht Ihre sind

Ein Absender, den Sie nicht kennen, verwendet Ihren Namen, und genau das unterbindet der nächste Schritt. Klicken Sie daneben auf Nicht meiner: Seine fehlschlagenden E-Mails halten den Schritt nicht mehr auf. Doch meiner nimmt das zurück.

Den Schritt gehen

Ist die Domain bereit, zeigt die Karte den zu veröffentlichenden Eintrag: Ihren aktuellen Eintrag mit der neuen Richtlinie, ohne pct=, damit die Richtlinie für jede Nachricht gilt, mit einer schwächeren Subdomain-Richtlinie (sp=), die mit angehoben wird, und mit unserer Berichtsadresse.

• Kopieren Sie ihn in Ihre DNS-Zone, oder
• wenden Sie ihn in den Agency-Tarifen mit einem verbundenen DNS-Anbieter mit einem Klick an. Der Schritt wird im Moment des Anwendens erneut geprüft und wie die anderen DNS-Korrekturen mit Rückgängig-Möglichkeit protokolliert. Nur auf diesem Weg schreibt die Anwendung jemals p=reject für Sie.

Das nächste Audit liest die neue Richtlinie, und die Berichte folgen ihr ab dem nächsten Tag.

Die Benachrichtigung

Sobald eine Domain für ihren nächsten Schritt bereit ist, geht einmalig eine Benachrichtigung an die Kanäle der Seite „Benachrichtigungen“, die auf „Änderungen“ oder „Immer“ eingestellt sind. Das Datum erscheint auch im Fristenkalender.

Steht die Domain auf p=reject, sagt die Karte das. Die Berichte zeigen weiterhin, wer in Ihrem Namen sendet.

Die Technische Richtlinie BSI TR-03182 („E-Mail-Authentifizierung“) beschreibt die Anforderungen an SPF, DKIM und DMARC, auf die dieser Weg hinführt.