DMARC von p=none zu p=reject: Schritt für Schritt, ohne Ihre eigenen E-Mails zu blockieren

Sie gehen in vier Schritten von p=none zu p=reject: zuerst wochenlang Berichte sammeln, dann jeden Versender in Ordnung bringen, der im Namen Ihrer Domain mailt, anschließend Quarantäne auf einen kleinen Prozentsatz und erst zuletzt Ablehnen. Wer einen Schritt überspringt, blockiert in der Regel seine eigene Buchhaltungssoftware oder seinen Onlineshop. Rechnen Sie mit einigen Monaten, nicht mit einem Nachmittag.

Warum nicht sofort auf reject

DMARC sagt dem Empfänger, was er mit E-Mails tun soll, die sich als Ihre Domain ausgeben, aber die Prüfung nicht bestehen. Das Problem ist, dass „die Prüfung nicht bestehen“ auch für Ihre eigenen legitimen E-Mails gilt, solange sie nicht korrekt ausgerichtet sind. Ein Rechnungsmodul, das über einen alten Server versendet, ein Kontaktformular auf der Website, ein Lieferant, der in Ihrem Namen eine Umfrage verschickt: Die scheitern alle, bis Sie sie regeln. Setzen Sie heute p=reject, verschwinden diese E-Mails morgen ohne Fehlermeldung bei Ihnen.

Schritt 1: p=none mit Berichten

Veröffentlichen Sie einen DMARC-Eintrag mit der Richtlinie none und einer Berichtsadresse. Das blockiert nichts; es sorgt nur dafür, dass Empfänger Ihnen täglich mitteilen, wer im Namen Ihrer Domain versendet hat und ob das gelungen ist. Verwenden Sie kein persönliches Postfach als Berichtsadresse: Die Berichte sind XML-Dateien, und es werden viele. Lassen Sie sie von einem Tool verarbeiten, das sie pro versendender Quelle zusammenfasst.

Schritt 2: mindestens vier Wochen lesen

Lassen Sie den Eintrag einen Monat stehen. Die Fakturierung läuft monatlich, manche Erinnerungen quartalsweise, und Sie wollen sie alle sehen. Erstellen Sie eine Liste jeder Quelle, die in den Berichten auftaucht, und entscheiden Sie pro Quelle: Ist das von uns, und wenn ja, wer verwaltet es? Sie finden fast immer mehr als gedacht. Ein altes Formular auf der Website, ein Kassensystem in der Filiale, ein CRM, das ein Mitarbeiter einmal angebunden hat.

Schritt 3: jede legitime Quelle in Ordnung bringen

Pro Quelle gibt es drei Möglichkeiten. Entweder Sie fügen die Quelle Ihrem SPF-Eintrag hinzu und sorgen dafür, dass die Absenderdomain übereinstimmt. Oder Sie lassen die Quelle mit DKIM für Ihre Domain signieren, was robuster ist, weil es die Weiterleitung überlebt. Oder Sie ziehen die Quelle auf ein SMTP-Relay um, wo beides bereits geregelt ist und jede Anwendung einen eigenen Login erhält. Dieser letzte Weg ist meist der kürzeste, vor allem bei Systemen, zu denen niemand mehr den Zugang kennt. Was Sie nicht als legitim erkennen, lassen Sie scheitern: Genau dafür ist DMARC da.

Achten Sie bei SPF auf das Limit von zehn DNS-Abfragen. Wer jeden Lieferanten blind hinzufügt, überschreitet es, und dann scheitert SPF für alle. Entfernen Sie, was nicht mehr genutzt wird.

Schritt 4: Quarantäne auf einen kleinen Prozentsatz

Sobald die Berichte einige Wochen lang nur noch erfolgreiche legitime Quellen zeigen, setzen Sie die Richtlinie auf quarantine mit einem Prozentsatz von zum Beispiel zehn. Nur ein Zehntel der scheiternden E-Mails wird dann in den Spam gelegt. Merkt niemand etwas, erhöhen Sie auf fünfzig und später auf hundert. Lesen Sie die Berichte weiter; eine Quelle, die nur einmal pro Quartal versendet, kann jetzt erst auftauchen.

Schritt 5: reject

Wenn Quarantäne auf hundert Prozent ein paar Wochen ohne Beschwerden läuft, setzen Sie die Richtlinie auf reject. Scheiternde E-Mails werden jetzt abgewiesen statt in den Spam gelegt. Vergessen Sie Ihre Subdomains nicht: Ohne eigene Einstellung erben sie die Richtlinie der Hauptdomain, was meist gewollt ist, aber prüfen Sie, ob keine versendende Subdomain dabei ist, die noch nicht in Ordnung ist.

Was Sie danach weiterhin tun

Berichte weiter lesen, seltener, aber regelmäßig. Jeder neue Lieferant, der in Ihrem Namen mailt, gehört zuerst in die Authentifizierung und erst dann in die Produktion. Nehmen Sie das in die Checkliste beim Anbinden eines neuen Systems auf, sonst beginnt die Geschichte von vorn. Wer die Berichte verstehen will, findet auf unserer Seite über Zustellbarkeit, was die Zahlen bedeuten.

Häufig gestellte Fragen

Wie lange dauert der gesamte Weg?

Bei einem kleinen Unternehmen mit drei versendenden Systemen zwei bis drei Monate. Bei einer Organisation mit vielen Abteilungen und Lieferanten länger. Die Zeit steckt nicht in den DNS-Änderungen, sondern im Aufspüren all derer, die mailen.

Was, wenn ein Lieferant kein DKIM für meine Domain kann?

Dann bleibt SPF, mit der Einschränkung, dass weitergeleitete E-Mails dann scheitern. Erwägen Sie in diesem Fall, den Lieferanten von einer eigenen Subdomain versenden zu lassen, damit Ihre Hauptdomain streng bleiben kann.

Ist p=quarantine nicht gut genug?

Für viele Anwendungen schon. Aber nur bei reject wissen Sie sicher, dass gefälschte E-Mails nicht einmal in einem Spam-Ordner landen, und manche Anwendungen, wie ein Logo im Posteingang, setzen Durchsetzung voraus.