DMARC-Implementierung

  • Aktualisiert

DMARC steht für Domain-Based Message Authentication Reporting and Conformance (DMARC) und ist ein Mechanismus, der dem sogenannten E-Mail-Spoofing entgegenwirken soll. Unter E-Mail-Spoofing versteht man den Versand von Spam-E-Mails mit gefälschten Versand-Domains, meist im Namen von bekannten Unternehmen und Marken, die sich dieses Missbrauchs gar nicht bewusst sind. Diese führen oft zu hohen Bounce-Raten, Spam-Fallen-Treffern und Spam-Beschwerden, welche technisch auch dem wirklichen Domain-Eigentümer angehaftet werden und sich negativ auf die Reputation seiner Domain und damit Versendungen auswirken.

DMARC trägt also in großem Maße zum Schutz der Online-Reputation Ihrer Domains und Ihrer Marke bei, indem dieser den Domain-Missbrauch verhindert oder zumindest reduziert. Weiterhin vergeben teilnehmende Internet Service Provider Versendern mit einem DMARC-Eintrag eine bessere Reputation und ermöglichen so auch bessere Zustellungsergebnisse. Zusätzlich ist DMARC ein Basiskriterium für die Einrichtung von BIMI (Brand Indicators for Message Identification).

DMARC wird bereits u. a. von folgenden ISPs unterstützt: Gmail, Yahoo, AOL, Microsoft, Netease (126.com, 163.com), Tencent (qq.com), Mail.ru, Comcast, AT&T, British Telecom, Virgin Media, Italia Online. 1&1 (GMX, Web.de) befindet sich in der Implementierung.

Funktionsweise und Voraussetzungen

Der Umgang mit potenziellen Spam-E-Mails liegt in der Regel in der Verantwortung des empfangenden Internetdienstanbieters (ISP), der verschiedene Sicherheitsmechanismen wie das Sender Policy Framework (SPF) und DomainKeys Identified Mail (DKIM) einsetzt, um die Postfächer seiner Empfänger vor Spam-, Betrugs- oder Phishing-E-Mails zu schützen.a

Mithilfe von DMARC können Sie als Absender dem empfangenden E-Mail-Anbieter nun eigenständig mitteilen, wie dieser mit E-Mails verfahren soll, wenn diese nicht über SPF und DKIM authentifiziert werden können. DMARC gilt als dritte Schutzebene, die auf den bestehenden Authentifizierungsmechanismen SPF und DKIM basiert und diese ergänzt.

Damit eine E-Mail DMARC sicher besteht, muss sie zwei unterschiedliche Schritte entweder für SPF oder DKIM erfüllen:

  • Die technische Prüfung: Das zugrunde liegende Protokoll (SPF oder DKIM) muss die Authentifizierung erfolgreich bestehen.
  • Identifikationsabgleich (der Kern von DMARC): Die durch SPF oder DKIM validierte Domain muss mit der Domain übereinstimmen, die für den Nutzer im „From:“-Header sichtbar ist.

Die Implementierung aller drei Authentifizierungsstandards ist bei Optimizely während des Onboardings oder bei der Einrichtung zusätzlicher Versanddomains erforderlich.

Darüber hinaus macht die DMARC-Berichtsfunktion Fälle von Domain-Missbrauch erstmals sichtbar. Dies hilft Ihnen, aktuelle Zustelltrends Ihrer E-Mails zu verstehen und Ihre Reputation zu überwachen.

DMARC-Eintrag

DMARC kann generell für die gesamte Haupt-Domain oder speziell für eine zum Versand genutzte Subdomain eingerichtet werden. Idealerweise wird DMARC für die Haupt-Domain gesetzt, um die komplette Domain, alle zugehörigen Subdomains und damit auch die Marke als Ganzes vor Missbrauch zu schützen. Wichtig für die Zustellung ist das Bestehen eines DMARC-Eintrags für die Sender Domain.

Der DMARC-Eintrag vererbt sich auf die jeweils zur DMARC-Domain gehörenden Subdomains. Wird er also auf der Haupt-Domain gesetzt, so findet er auf allen darunterliegenden Subdomains Anwendung.

Für den DMARC-Eintrag muss dazu eine Subdomain mit dem Namen _dmarc zu der Domain angelegt werden, für welche letztendlich DMARC Anwendung finden soll. Der von Optimizely empfohlene Eintrag lautet wie folgt:

  • Beispieldomain. example.com
  • DMARC-Domain. _dmarc.example.com
  • Record-Typ. TXT
  • DMARC-Record. v=DMARC1; p=reject; rua=mailto:dmarc@example.com;

DMARC-Policies

Einer der wichtigsten Bestandteile des DMARC ist der Policy-Tag. Damit gibt der Domain-Inhaber an, wie ein DMARC-unterstützender ISP mit E-Mails verfahren soll, die sich nicht korrekt mit SPF und DKIM authentifizieren können. Die folgenden drei Policies können gesetzt werden. Optimizely empfiehlt das Setzen der Reject-Policy.

  • p=reject. Weist den Empfänger an, eine E-Mail abzulehnen, die sich nicht mit SPF und DKIM authentifizieren kann.
  • p=quarantine. Weist den Empfänger an, eine E-Mail in den Spamordner zuzustellen, die sich nicht mit SPF und DKIM authentifizieren kann.
  • p=none. Weist den Empfänger an, keine spezielle Policy auf eine E-Mail anzuwenden, die sich nicht mit SPF und DKIM authentifizieren kann.

Mit der Reject-Policy können Sie E-Mails, die ein nicht autorisierter Dritter im Rahmen eines Spam-Angriffs in Ihrem Namen zu senden versucht, vom empfangenden ISP ablehnen lassen.

Wenn für eine Domain schon seit längerer Zeit DMARC eingerichtet ist, ohne dass die Richtlinie von none auf quarantine oder reject geändert wurde, lässt sich die Eigentümerschaft am E-Mail-Strom nicht zuverlässig überprüfen. Einige E-Mail-Postfachanbieter wie Microsoft lehnen die E-Mails daher ab.

DMARC-Tags

Die folgende Tabelle gibt einen Überblick über die möglichen DMARC-Tags. In dem von Optimizely empfohlenen DMARC-Eintrag werden dabei nur drei explizit gesetzt.

—Tabelle: DMARC-Tags—
Tag Bedeutung Empfehlung
v Version Die Version muss standardmäßig mit v=DMARC1 gesetzt werden.
p Policy Die DMARC-Policy muss standardmäßig gesetzt werden. Optimizely empfiehlt die stärkste Policy p=reject zu setzen, um Spam-E-Mails von Ihrer Domain ablehnen zu lassen.
sp Subdomain Policy Soll auf Subdomains eine andere DMARC-Policy greifen, so kann diese mit dem sp-Tag angegeben werden, z. B. sp=quarantine. Dieses Setting ist optional.
rua Aggregate Report Optimizely empfiehlt eine Reporting-Adresse für den Erhalt von aggregierten DMARC-Reports anzugeben, z. B. rua=mailto:dmarc@example.com.
ruf (Forensic) Failure Report Optimizely empfiehlt auf die Nutzung von forensischen Reports zu verzichten. Sie beinhalten E-Mail-Adressen von Spam-Empfängern und sind damit möglicherweise nicht DSGVO-konform.
adkim DKIM Alignment Es ist kein separater Tag nötig, somit greift das Default-Setting: adkim=r (Relaxed).
aspf SPF Alignment Es ist kein separater Tag nötig, somit greift das Default-Setting: aspf=r (Relaxed).
fo Failure Reporting Options

Es ist kein separates Tag erforderlich, daher gilt die Standardeinstellung: fo=0. Im Allgemeinen stehen folgende Optionen zur Verfügung:

  • fo=0. Es soll ein Bericht gesendet werden, wenn die SPF- und die DKIM-Prüfung gleichzeitig fehlschlagen.
  • fo=1. Es sollte ein Bericht gesendet werden, wenn entweder die SPF- oder die DKIM-Prüfung fehlschlägt.
  • fo=d. Es sollte ein Bericht gesendet werden, wenn nur die DKIM-Prüfung fehlschlägt.
  • fo=s. Es sollte ein Bericht gesendet werden, wenn nur die SPF-Prüfung fehlschlägt.
np Negative Policy Mit dem np-Tag können Domaininhaber eine Richtlinie (wie reject oder quarantine) ausdrücklich für Subdomains ohne DNS-Einträge festlegen, während das sp-Tag für Subdomains mit DNS-Einträgen gedacht ist.
psd Publix Suffix Domain Wenn psd=y gesetzt ist, können die sub-Domains den DMARC-Eintrag nicht erben.
t Testing Obwohl pct entfernt wurde, signalisiert das t-Tag den Empfängern, dass sich die Domain in einer Testphase befindet.

DMARC Identifier Alignment

Die DMARC-Prüfung selbst basiert auf dem sogenannten DMARC Identifier Alignment. Dieses verlangt, dass zumindest eine der Domains, die per SPF und DKIM authentifiziert werden, gleich der Versand-Domain ist.

Im Falle des SPF Alignment muss die Return-Path-Domain (RFC5321) der Versand-Domain (RFC5322) entsprechen, und eine der beiden Varianten erfüllen:

  • Relaxed SPF Alignment. Die Return-Path-Domain und die Versand-Domain haben die gleiche Haupt-Domain.
  • Strict SPF Alignment. Die Return-Path-Domain und die Versand-Domain haben die gleiche Subdomain.

Im Falle des DKIM Alignment muss die Domain, welche mit DKIM signiert wird und damit im E-Mail-Header unter dem d= Parameter zu finden ist, der Versand-Domain entsprechen, und eine der beiden Varianten erfüllen:

  • Relaxed DKIM Alignment. Die DKIM-Domain und die Versand-Domain haben die gleiche Haupt-Domain.
  • Strict DKIM Alignment. Die DKIM-Domain und die Versand-Domain haben die gleiche Subdomain.

DMARC Identifier Alignment ist bei Ihrem Domain-Setup mit Optimizely Campaign standardmäßig eingerichtet.

DMARC-Reporting

Ein zusätzliches Feature, welches SPF und DKIM nicht bieten, ist die Einrichtung von DMARC-Reports. Mittels diesem Reporting werden Sie benachrichtigt, wenn bei E-Mails, die mit Ihrer Domain versendet werden, Authentifizierungsfehler des SPF und DKIM festgestellt werden und somit ein potenzieller Missbrauch Ihrer Domain stattfindet.

DMARC-Reports können Ihnen helfen zu verstehen, ob und wie stark Domain-Missbrauch vorliegt. Spam-E-Mails, die in Ihrem Namen und mit Ihrer Domain versendet werden, wirken sich letztendlich auch negativ auf Ihre Sender Reputation und Zustellungs-Performance aus. Zudem können die gelieferten Informationen Ihnen Aufschluss über die Herkunft von Spam-Attacken geben und Ihnen dabei helfen, diese zu bekämpfen.

Optimizely empfiehlt die Einrichtung von sogenannten aggregierten Reports.

—Bild: DMARC-Report—
sample report.png

Quelle: https://datatracker.ietf.org/doc/html/rfc9990

Der Bericht enthält im Bereich <report_metadata> allgemeine Informationen zum Absender und zum Berichtszeitraum. Darüber hinaus werden im Bereich <policy_published> die angewendete DMARC-Richtlinie und weitere verwendete Tags angezeigt. Der letzte und wichtigste Abschnitt <record> enthält die Absender-IP und die Domain, die einen SPF- und/oder DKIM-Fehler verursacht haben. <dkim>pass</dkim> zeigt an, dass die Domänen-Signatur verifiziert werden kann, während <spf>fail</spf> darauf hinweist, dass die Absender-IP nicht im SPF-Eintrag der sendenden Domäne enthalten war.

Neben dem aggregierten Bericht gibt es noch ein zweites Berichtsformat, den forensischen Fehlerbericht. Dieser Bericht enthält jedoch personenbezogene Daten wie die E-Mail-Adressen unbeteiligter Empfänger und wird daher als nicht DSGVO-konform eingestuft; von seiner Verwendung wird abgeraten.

DMARC implementieren

Um DMARC zu implementieren, führen Sie die folgenden Schritte aus:

  1. Domain auswählen
  2. Domain überprüfen
  3. E-Mail-Adresse auswählen
  4. DMARC-Eintrag einrichten
  5. Ergebnisse analysieren

Domain auswählen

Wählen Sie die Domain aus, auf der Sie DMARC implementieren möchten. Dabei haben Sie zwei Möglichkeiten:

  • Wählen Sie eine Domain aus, die ausschließlich zum Versand mit Optimizely benutzt wird. Dies ist im Regelfall eine Subdomain.
  • Wählen Sie die Haupt-Domain aus. Diese Domain kann die bei Optimizely aufgesetzte Versand-Domain sein oder auch nicht.

Damit DMARC für Ihre Versendungen und Zustellbarkeit sinnvoll ist, muss dieser zumindest für die bei Optimizely genutzte Versand-Domain gesetzt werden. Empfohlen ist jedoch die Einrichtung von DMARC auf Ihrer Haupt-Domain, um die gesamte Domain und Marke zu schützen.

DMARC wird auf alle Subdomains der DMARC-Domain vererbt, außer wenn Sie den Tag psd=y in ihrem DMARC-Eintrag setzen.

Domain überprüfen

Wenn Sie eine Domain verwenden, die zum Versand mit Optimizely genutzt wird, werden Domain Alignment sowie beide Authentifizierungsmechanismen SPF und DKIM beim Domain-Setup eingerichtet. Prüfen Sie, ob Domain Alignment, SPF und DKIM korrekt implementiert sind.

  • Senden Sie Test-E-Mails und prüfen Sie im E-Mail-Header, ob Ihre Versand-Domain der Returnpath-Domain oder der DKIM-Domain, aufgeführt unter dem d= Header, zumindest auf Ebene der Haupt-Domain, entspricht.
  • Prüfen Sie zudem im E-Mail-Header, ob diese sich per SPF und DKIM authentifizieren können. Finden Sie in Ihrem Campaign-Account keinen Warnhinweis auf ein fehlerhaftes DNS-Setup, sind die E-Mails höchstwahrscheinlich korrekt authentifiziert.

Für die Implementierung von DMARC auf der Haupt-Domain müssen eventuelle weitere Mailstreams wie E-Mails über Ihre eigene Infrastruktur oder andere E-Mail-Service Provider berücksichtigt werden und Domain Alignment, SPF und DKIM anwenden. Andernfalls kann DMARC zum ungewollten Blocking dieser E-Mails führen.

Reporting-Adresse auswählen

Um DMARC-Reports zu erhalten, müssen Sie eine E-Mail-Adresse festlegen. Es wird empfohlen, dass die Reporting-Adresse auf derselben Haupt-Domain basiert wie Ihre DMARC-Domain. Da Sie möglicherweise viele Reports erhalten werden, macht es Sinn, ein eigenes Postfach dafür anzulegen.

Möchten Sie eine andere als Ihre Versand-Domain oder deren Haupt-Domain verwenden, so ist dies mit einer zusätzlichen DNS-Konfiguration möglich.

Beispiel: Ihre Versand- bzw. Haupt-Domain lautet example.com, jedoch möchten Sie Ihre DMARC-Reports an eine E-Mail-Adresse mit der Domain otherdomain.com schicken. Die Reporting-Domain otherdomain.com muss nun erst für den Erhalt von DMARC-Reports authorisiert werden, da andernfalls Missbrauch mit dieser Adresse betrieben werden könnte.

Legen Sie dafür ein zusätzliches Domain-Konstrukt nach folgendem Beispiel für die Authorisierungsprüfung an: example.com._report._dmarc.otherdomain.com

Und setzen Sie folgenden DNS-Record auf die externe Reporting-Domain:

  • Reporting Domain: otherdomain.com
  • Record-Typ. TXT
  • DMARC-Record. v=DMARC1;

Nun können Ihre DMARC-Reports an die angegebene Reporting-Adresse versendet werden.

Sollten Sie ein offizielles Tool zur DMARC-Analyse nutzen wollen, wird Ihnen häufig eine E-Mail-Adresse vorgegeben.

DMARC-Eintrag einrichten

Für den DMARC-Eintrag muss ein TXT-Record mit dem Präfix _dmarc zu der Domain angelegt werden, für welche DMARC Anwendung finden soll. Der von Optimizely empfohlene Eintrag lautet wie folgt:

  • Beispieldomain. example.com
  • DMARC-Domain. _dmarc.example.com
  • Record-Typ. TXT
  • DMARC-Record. v=DMARC1; p=reject; rua=mailto:dmarc@example.com;

Senden Sie Test-E-Mails und prüfen Sie im E-Mail-Header, ob diese sich per SPF, DKIM und DMARC authentifizieren können. Dies ist in einem Gmail-Header besonders gut sichtbar.

Ergebnisse analysieren

Sollte Ihre Domain für den Versand von Spam-E-Mails missbraucht werden, werden Sie DMARC-Reports an Ihre festgelegte Reporting E-Mail-Adresse erhalten. Idealerweise können Sie dadurch Rückschlüsse auf Ihre aktuelle Zustellbarkeits-Situation ziehen. Gleichzeitig bekommen Sie Gewissheit, wie viele potenzielle Spam-E-Mais von Ihrer Domain geblockt wurden und den Empfänger nie erreicht haben.

Zudem können folgende oder ähnliche Tools zur Analyse und Visualisierung benutzt werden:

Möglicherweise fallen zur Nutzung dieser Kosten an. Die Nutzung des DMARC selbst ist kostenlos.

Optionen zur stufenweisen Einführung

Optimizely empfiehlt, die Ablehnungsrichtlinie in vollem Umfang anzuwenden.

Wenn Sie sich nicht sicher sind, ob alle E-Mail-Ströme Ihrer DMARC-Domain bereits mit SPF und DKIM authentifiziert sind oder ob Sie weitere legitime E-Mails ohne Authentifizierung versenden, können Sie zunächst eine Testphase einlegen und Ihre Berichte auswerten. Ist eine schrittweise Einführung geplant, lässt sich diese wie folgt umsetzen:

  • Richtlinienstufe. Beginnen Sie mit der Richtlinie „none“, damit DMARC den Versand nicht beeinträchtigt. Sobald Sie überprüft haben, dass die Funktionalität wie beabsichtigt funktioniert, ändern Sie das Richtlinien-Tag auf quarantine und schließlich auf reject.
  • Das Test-Tag t signalisiert den Empfängern, dass sich die Domain in einer Testphase befindet, und leitet sie dazu an, Authentifizierungsfehler schonender zu behandeln, ohne die bestehende Richtlinienvererbung zu unterbrechen.

Technische Referenzen

Für IT- und Netzwerkadministratoren ist der aktualisierte Standard in den offiziellen IETF-Dokumenten zu den vorgeschlagenen Standards detailliert beschrieben:

  • Kernprotokoll: IETF RFC 9989 (beschreibt das neue np-Tag in Abschnitt 4.7)
  • Aggregierte Berichterstattung: IETF RFC 9990
  • Fehlerberichterstattung: IETF RFC 9991