Einen DMARC-Record zu veröffentlichen ist eine einmalige Aufgabe. Ihn zu überwachen ist der Teil, der nie endet, und dort zerfallen die meisten Domains unbemerkt: Ein neues Marketing-Tool beginnt, in Ihrem Namen zu senden, ein Anbieter ändert sein Signatur-Setup, eine DNS-Änderung entfernt die rua=-Adresse, und monatelang merkt es niemand. Dieser Leitfaden behandelt die laufende Routine, nachdem der Record live ist: worauf Sie achten, wie oft, wer es verantworten sollte, welche Schwellenwerte einen Alarm wert sind und was Aggregatdaten Ihnen nicht sagen können.
Die kurze Antwort#
DMARC-Monitoring bedeutet, die täglichen Aggregatberichte zu sammeln, die Mailbox-Anbieter an Ihre rua=-Adresse senden, sie in eine Ansicht pro Quelle zu überführen und diese Ansicht regelmäßig durchzusehen. Sie achten auf vier Dinge: eine neue Absenderquelle, die Sie nicht autorisiert haben, eine bekannte Quelle, deren Erfolgsquote sinkt, einen Rückgang des Berichtsvolumens (oft eine defekte rua=-Adresse) und Richtlinien-Drift im Record selbst. Eine wöchentliche Durchsicht von zehn Minuten plus ein Alarm bei plötzlichen Fehlschlägen deckt die meisten Domains ab. Um eine einzelne Berichtsdatei zu lesen, genügt der kostenlose DMARC-Berichtsanalyzer. Um weiter zu beobachten, ohne XML zu öffnen, brauchen Sie etwas, das die Berichte für Sie empfängt. Die Daten sind immer ein bis zwei Tage alt und umfassen nur Anbieter, die Berichte senden, behandeln Sie sie also als Rauchmelder, nicht als Live-Feed.
Berichte lesen oder sie überwachen#
So lesen Sie DMARC-Berichte erklärt, was in einer XML-Datei steht: die Quell-IP, die Nachrichtenzahl und die SPF- und DKIM-Ergebnisse. Diese Fähigkeit ist wichtig, beantwortet aber eine einmalige Frage: Was hat dieser Empfänger an diesem Tag gesehen?
Überwachung beantwortet andere Fragen über die Zeit:
- Hat eine Quelle, die letzten Monat bestand, diese Woche zu scheitern begonnen?
- Ist eine Quelle aufgetaucht, die nie zuvor in unserem Namen gesendet hat?
- Hat sich die Gesamtzahl der gemeldeten Nachrichten halbiert?
- Ist der Record noch der, den wir veröffentlicht haben?
Das können Sie nicht aus einem Ordner ungelesener Anhänge beantworten. Eine stark genutzte Domain erhält Dutzende Berichte pro Tag von verschiedenen Empfängern, jeder mit eigener IP-Liste. Jemand oder etwas muss sie pro Domain zu einer Tabelle zusammenführen und das Heute mit der Vergangenheit vergleichen. Haben Sie noch keinen Record mit aktiviertem Reporting veröffentlicht, beginnen Sie mit DMARC einrichten und kommen Sie zurück, sobald die ersten Berichte eintreffen, was meist 24 bis 48 Stunden dauert.
Worauf Sie achten sollten, nach Priorität#
Nicht jede Zahl verdient Aufmerksamkeit. Diese Signale haben bei echten Domains ein Ergebnis verändert, ungefähr von dringend bis weniger dringend.
| Signal | Was es meist bedeutet | Erste Maßnahme |
|---|---|---|
| Neue Quelle mit fehlschlagenden E-Mails | Ein vergessenes Tool, eine Weiterleitung oder jemand, der Ihre Domain fälscht | Die sendende IP identifizieren, siehe den Leitfaden zu unbekannten Absendern |
| Bekannte Quelle fällt unter ihre normale Erfolgsquote | Ein Anbieter hat seine Signaturdomain geändert, ein DKIM-Schlüssel wurde entfernt oder SPF enthält ihn nicht mehr | Aktuelle Authentifizierungseinstellungen des Anbieters und Ihr DNS prüfen |
| Gesamtes gemeldetes Volumen sinkt stark | Die rua=-Adresse ist defekt, oder ein Absender hat aufgehört | Den aktuellen Record prüfen, siehe Berichte kommen nicht an |
| Fehleranteil steigt, während die Quellen gleich bleiben | Weiterleitungen oder Mailinglisten oder eine geänderte Bewertung bei einem Empfänger | Nach Empfänger vergleichen und siehe Alignment-Fehler |
| Record geändert | Jemand hat das DNS bearbeitet: Richtlinie gelockert, rua= entfernt, ein zweiter Record hinzugefügt | Mit Ihrem letzten bekannten guten Record vergleichen |
Ein Wort zur zweiten Zeile, denn sie wird am häufigsten missverstanden. DMARC besteht, wenn entweder SPF oder DKIM besteht und im Alignment mit der sichtbaren From-Domain ist. Eine Quelle kann jeden Tag beim SPF-Alignment scheitern und trotzdem 100 Prozent DMARC-Erfolg zeigen, weil DKIM sie trägt. Das ist in Ordnung, bis der DKIM-Schlüssel rotiert oder entfernt wird, und dann stürzt die Quelle ab. Sehen Sie sich bei einer Quelle beide Spalten an, nicht nur das kombinierte Ergebnis.
Eine wöchentliche Routine, die zehn Minuten dauert#
Tägliche Durchsicht ist für die meisten Teams übertrieben, monatliche zu langsam. Ein wöchentlicher Durchgang ist ein vernünftiger Mittelweg. Hier eine Routine, die Sie anpassen können:
- Öffnen Sie die letzten 7 Tage für jede Domain, die Ihnen gehört, auch für geparkte Domains oder solche, die nie E-Mails senden.
- Sortieren Sie die Quellen nach Volumen. Bestätigen Sie, dass die obersten fünf Ihren Erwartungen entsprechen.
- Suchen Sie neue IPs oder Namen, die in der Liste der Vorwoche nicht standen. Notieren Sie jede mit dem Datum, an dem Sie sie zuerst gesehen haben.
- Prüfen Sie jede Quelle unter 100 Prozent DMARC-Erfolg. Entscheiden Sie jeweils: beheben oder als Weiterleitungsrauschen akzeptieren.
- Vergleichen Sie das Gesamtvolumen mit der Vorwoche. Ein starker Rückgang verdient zuerst einen Blick auf den Record.
- Notieren Sie die Richtlinie (
p=undsp=) und bestätigen Sie, dass sie dem entspricht, was Sie zuletzt gesetzt haben.
Führen Sie eine einfache Inventartabelle mit einer Zeile pro legitimer Quelle: Dienstname, Verantwortlicher in Ihrem Unternehmen, welche E-Mails sie sendet und wie sie sich authentifiziert (DKIM mit eigener Domain, SPF-Include oder beides). Die Berichte sagen, was sendet. Nur Ihre Tabelle sagt, ob es senden sollte.
Source Owner Mail type Authenticates via
Google Workspace IT Staff mail DKIM d=example.com
Newsletter tool Marketing Campaigns DKIM d=example.com, include in SPF
Billing system Finance Invoices DKIM d=example.com
Wer es verantworten sollte#
DMARC-Monitoring scheitert am häufigsten, weil es niemandem gehört. Das DNS liegt bei der IT, die Versandtools bei Marketing, Produkt, Support und Finanzen, und die Berichte landen in einem gemeinsamen Postfach, das eine Person angelegt und später verlassen hat.
Bestimmen Sie pro Domain einen namentlich benannten Verantwortlichen und geben Sie ihm zwei Befugnisse: jeden Bericht sehen zu können und die Autorität, andere Teams zu fragen, was eine Quelle ist. Ein neuer Absender sollte eine Anfrage sein, die diesen Verantwortlichen vor dem Start erreicht, keine Überraschung, die drei Wochen später in einem Bericht entdeckt wird. Betreibt Ihr Unternehmen viele Domains, weisen Sie den Verantwortlichen pro Domain zu, nicht pro Unternehmen, denn die Menschen, die wissen, welche Tools als shop.example.com senden, sind selten dieselben, die über example.com Bescheid wissen.
Sinnvolle Alarm-Schwellenwerte#
Alarme sollten selten genug sein, dass Menschen sie noch lesen. Diese Schwellenwerte sind Ratschläge, keine Standards, passen Sie sie also an Ihr Volumen an:
- Jede neue Quelle, die fehlschlagende E-Mails sendet, sobald sie eine kleine Untergrenze überschreitet (zum Beispiel 5 fehlschlagende Nachrichten an einem Tag), damit eine einzelne verirrte Weiterleitung niemanden alarmiert.
- Eine Gesamtzahl fehlschlagender Nachrichten über einem festen Wert für den Tag (zum Beispiel 10 Nachrichten) bei Domains mit moderatem Volumen. Bei großen Domains verwenden Sie stattdessen einen Prozentsatz des Volumens.
- Eine bekannte Quelle, die an zwei Tagen in Folge unter ihre übliche Erfolgsquote fällt, was Rauschen eines einzelnen Tages herausfiltert.
- Berichtsvolumen, das sich von Woche zu Woche halbiert.
Worauf Sie nicht alarmieren sollten: ein einzelner Empfänger, der wenige Fehlschläge meldet, Schwankungen der Erfolgsquote von ein bis zwei Punkten und alles, was nur p=none-Rauschen ist, solange Sie noch Absender entdecken.
DMARC-Berichte von Qualisend deckt die Basisversion davon ab. Es wertet jeden Tag den vorherigen UTC-Tag aus und benachrichtigt Sie per E-Mail, wenn eine Domain 10 oder mehr Nachrichten hat, die sowohl SPF als auch DKIM nicht bestanden haben, oder wenn eine Quelle, die es für diese Domain in den letzten 30 Tagen nicht gesehen hat, 5 oder mehr fehlschlagende Nachrichten sendet. Es alarmiert nicht bei Rückgängen der Erfolgsquote, die unter diesen Zahlen bleiben, bei Richtlinienänderungen oder bei Spoofing, das kein Anbieter gemeldet hat, behalten Sie also Ihre wöchentliche Durchsicht bei.
Grenzen von Aggregatdaten#
Aggregatberichte sind nützlich und unvollständig. Kennen Sie die Grenzen, bevor Sie ihnen für eine Entscheidung vertrauen:
- Sie sind verzögert. Anbieter senden typischerweise einmal täglich, Sie sehen also gestern oder vorgestern. Das ist keine Echtzeitansicht.
- Sie kommen nur von Empfängern, die sie senden. Große Mailbox-Anbieter tun das. Viele kleinere Empfänger nicht. Ihre Zahlen beschreiben den berichtenden Ausschnitt, nicht alle Ihre E-Mails.
- Sie enthalten keine Nachrichteninhalte. Sie erhalten Zählungen und Authentifizierungsergebnisse pro Quelle, nie Betreffzeilen oder Empfänger. Das ist gewollt und datenschutzfreundlich, und es bedeutet auch, dass Sie nicht sehen, welche Nachricht genau gescheitert ist.
- Sie können Spoofing nicht zeigen, das niemand gemeldet hat. Sendet ein Empfänger keine Berichte, ist an ihn gefälschte Post für Sie unsichtbar.
- Forensische (Fehler-)Berichte sind selten verfügbar. Das Tag
ruf=fordert Fehlerberichte pro Nachricht an, aber viele große Anbieter senden sie nicht, planen Sie also nur mit Aggregatdaten. DMARC-Berichte empfängt überhaupt keine Fehlerberichte. - Das Volumen pro Quelle ist eine Zahl von Nachrichten, nicht von Empfängern. Eine Quelle mit 3 Nachrichten und 3 Fehlschlägen ist ein anderes Problem als eine mit 30.000 Nachrichten und 3 Fehlschlägen.
Nichts davon macht die Daten weniger wertvoll. Es bedeutet, dass ein sauberes Dashboard sagt „nichts Falsches in dem, was gemeldet wurde“, nicht „nichts Falsches“.
Wo Monitoring im gesamten Sicherheitskreislauf steht#
DMARC-Monitoring ist eine Ebene. Der Record kann perfekt sein und trotzdem durch ein anderes DNS-Problem zunichtegemacht werden, etwa einen SPF-Record über dem Abfragelimit oder einen gelöschten DKIM-Schlüssel. Die umfassendere Routine beschreibt der Leitfaden zur Domain-Zustand-Überwachung, der die Records behandelt, von denen DMARC abhängt. Sind Ihre Berichte sauber und stabil, ist der nächste Schritt die Verschärfung der Richtlinie, behandelt in der Weg von p=none zu p=reject. Wenn Sie Tools für das Sammeln abwägen, listet so wählen Sie ein DMARC-Monitoring-Tool die Kriterien auf und vergleicht echte Preise.
Zu den Regeln, die all das in der Praxis wichtig machen, siehe die Absenderanforderungen von Google und Yahoo, und für das größere Bild, warum authentifizierte E-Mails trotzdem im Spam landen, den Leitfaden zur E-Mail-Zustellbarkeit.
Häufig gestellte Fragen
01Was ist DMARC-Monitoring?
DMARC-Monitoring ist die laufende Praxis, die Aggregatberichte zu sammeln, die Mailbox-Anbieter an Ihre rua-Adresse senden, sie zu einer Ansicht pro Quelle zusammenzuführen und Änderungen über die Zeit zu prüfen. Sie achten auf neue Absenderquellen, bekannte Quellen mit sinkender Erfolgsquote, fallendes Berichtsvolumen und Änderungen an Ihrem Record. Das unterscheidet sich vom Lesen einer einzelnen XML-Datei, die nur einen Tag von einem Empfänger zeigt.
02Wie oft sollte ich DMARC-Berichte prüfen?
Für die meisten Domains genügt eine wöchentliche Durchsicht von etwa zehn Minuten, ergänzt durch einen Alarm bei plötzlichen Fehlschlägen. Tägliche Durchsicht ist meist mehr Aufwand, als die Daten rechtfertigen, weil Berichte einmal täglich und mit Verzögerung eintreffen. Prüfen Sie häufiger, solange Sie Absender entdecken oder kurz bevor Sie Ihre Richtlinie verschärfen, und fallen Sie dann in den wöchentlichen Rhythmus.
03Können DMARC-Berichte Spoofing in Echtzeit zeigen?
Nein. Anbieter senden Aggregatberichte typischerweise einmal täglich, Sie sehen also gestern oder vorgestern. Es sind nur Empfänger enthalten, die Berichte senden, an einen nicht berichtenden Empfänger gefälschte Post ist daher unsichtbar. Betrachten Sie Berichte als Rauchmelder für das Gemeldete und verlassen Sie sich auf eine reject-Richtlinie, damit gefälschte E-Mails scheitern.
04Welche Alarm-Schwellenwerte sind für DMARC sinnvoll?
Das sind Ratschläge, keine Standards. Alarmieren Sie bei einer neuen Quelle mit fehlschlagenden E-Mails, sobald sie eine kleine Untergrenze wie 5 fehlschlagende Nachrichten pro Tag überschreitet, bei einer täglichen Fehlersumme wie 10 Nachrichten für Domains mit moderatem Volumen, bei einer bekannten Quelle, die zwei Tage unter ihrer üblichen Erfolgsquote liegt, und wenn sich das Berichtsvolumen von Woche zu Woche halbiert. Vermeiden Sie Alarme bei winzigen Ausschlägen eines einzelnen Empfängers.
Monitoring sagt Ihnen, wer als Ihre Domain sendet; es kann nicht sagen, ob die Liste hinter diesen E-Mails gesund ist. Starten Sie mit dem kostenlosen Tarif (Preise) und setzen Sie die 100 Credits für eine echte Liste ein, um ihr Bounce-Risiko zu sehen. Auch eine gut überwachte Domain braucht eine saubere Liste, um den Posteingang zu erreichen.
