Domain-based Message Authentication, Reporting & Conformance (DMARC) ist ein E-Mail-Authentifizierungsprotokoll, das entwickelt wurde, um E-Mail-Spoofing zu erkennen und zu verhindern. Durch die Konfiguration von DMARC für Ihre Domain können Sie Empfangsservern mitteilen, wie mit E-Mails umzugehen ist, die SPF- oder DKIM-Prüfungen nicht bestehen. Diese Anleitung führt Sie durch das Einrichten einer DMARC-Richtlinie, einschließlich der Erstellung des notwendigen TXT-Eintrags, der Ausrichtung mit SPF und DKIM sowie dem Verständnis von Berichten.

Verständnis von DMARC-Richtlinien

Eine DMARC-Richtlinie wird in einem TXT-Eintrag für Ihre Domain definiert und umfasst mehrere wesentliche Komponenten:

  • p=none: Dies weist Empfangsserver an, E-Mails zu überwachen, aber keine Aktionen bei fehlgeschlagenen Authentifizierungsprüfungen durchzuführen. Es wird empfohlen, mit dieser Einstellung zu beginnen, um Daten zu sammeln, ohne die E-Mail-Zustellung zu beeinträchtigen.
  • p=quarantine: E-Mails, die die Authentifizierung nicht bestehen, werden als Spam oder Junk markiert, wodurch das Risiko von Phishing-Angriffen reduziert wird, während gleichzeitig legitime E-Mails weitergeleitet werden.
  • p=reject: Diese Richtlinie weist Server an, E-Mails vollständig abzulehnen, die Authentifizierungsprüfungen nicht bestehen. Verwenden Sie diese Einstellung mit Vorsicht nachdem Sie sichergestellt haben, dass alle legitimen E-Mails ordnungsgemäß authentifiziert sind.

Erstellen des _dmarc TXT-Eintrags

Zur Implementierung einer DMARC-Richtlinie müssen Sie einen TXT-Eintrag in den DNS-Einstellungen Ihrer Domain erstellen. Befolgen Sie diese Schritte:

  1. Melden Sie sich bei Ihrem Domain-Registrar oder Ihrem DNS-Verwaltungsportal an.
  2. Navigieren Sie zum Abschnitt zur Verwaltung von DNS-Einträgen.
  3. Erstellen Sie einen neuen TXT-Eintrag mit den folgenden Details:
    • Name/Host/Alias: _dmarc
    • Type: TXT
    • TTL (Time to Live): 3600 Sekunden oder wie von Ihrem DNS-Anbieter empfohlen.
    • Wert/Antwort/Ziel: v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com; ruf=mailto:dmarc-forensic@yourdomain.com
  4. Speichern Sie den neuen TXT-Eintrag.
  5. Erlauben Sie einige Zeit (bis zu 48 Stunden) für die DNS-Änderungen, bis diese sich ausbreiten.

Erklärung der Komponenten des DMARC-Eintrags

v=DMARC1; p=none; rua=mailto:dmarc-reports@yourdomain.com; ruf=mailto:dmarc-forensic@yourdomain.com
  • v=DMARC1: Gibt die verwendete DMARC-Version an.
  • p=none: Setzt die Richtlinie auf Überwachung, keine Aktion wird bei fehlgeschlagenen E-Mails durchgeführt.
  • rua=mailto:dmarc-reports@yourdomain.com: E-Mail-Adresse, an die aggregierte Berichte gesendet werden. Ersetzen Sie dies durch Ihre tatsächliche E-Mail-Adresse.
  • ruf=mailto:dmarc-forensic@yourdomain.com: E-Mail-Adresse für forensische Berichte zu fehlgeschlagenen E-Mails. Ersetzen Sie dies durch Ihre tatsächliche E-Mail-Adresse.

Ausrichtung von DMARC mit SPF und DKIM

Damit DMARC effektiv ist, müssen Sie sicherstellen, dass Ihre Domain ordnungsgemäß mit SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) konfiguriert ist. Hierzu:

  • SPF: Stellen Sie sicher, dass Ihr SPF-Eintrag alle legitimen E-Mail-Server enthält, die E-Mails im Namen Ihrer Domain senden. Beispiel: v=spf1 include:_spf.google.com ~all
  • DKIM: Richten Sie DKIM-Signierung für ausgehende E-Mails ein, um die Identität des Absenders zu überprüfen. Dies beinhaltet in der Regel das Hinzufügen eines TXT-Eintrags mit Ihrem öffentlichen Schlüssel.

DMARC-Berichterstattung

Sobald Ihre DMARC-Richtlinie eingerichtet ist, erhalten Sie Berichte, die Einblicke in die Ergebnisse der E-Mail-Authentifizierung bieten. Verwenden Sie diese Berichte, um:

  • Nicht autorisierte Nutzung Ihrer Domain zu identifizieren und anzugehen.
  • Die Effektivität Ihrer SPF- und DKIM-Konfigurationen zu überwachen.
  • Ihre DMARC-Richtlinie nach Bedarf anhand der Rückmeldungen anzupassen.

Fehlerbehebung

Wenn Sie Probleme mit Ihrer DMARC-Einrichtung haben, berücksichtigen Sie Folgendes:

  • Keine Berichte erhalten: Überprüfen Sie, ob die E-Mail-Adressen in Ihrem DMARC-Eintrag korrekt und zugänglich sind. Suchen Sie nach Tippfehlern oder falscher Formatierung.
  • E-Mails werden unerwartet abgelehnt: Überprüfen Sie Ihre SPF- und DKIM-Konfiguration, um sicherzustellen, dass alle legitimen E-Mail-Server und Signaturdomänen enthalten sind. Bei Verwendung von p=reject erwägen Sie eine vorübergehende Umstellung auf p=quarantine für feineren Kontrollzugriff.
  • DNS-Propagationsverzögerung: Erlauben Sie bis zu 48 Stunden, bis DNS-Änderungen sich im Internet ausbreiten. Verwenden Sie Online-Tools wie DNSChecker, um Ihren TXT-Eintrag zu überprüfen.

Durch das Befolgen dieser Schritte und Empfehlungen können Sie DMARC für Ihre Domain effektiv implementieren, die E-Mail-Sicherheit erhöhen und Ihre Markenreputation schützen.