Ihre ersten DMARC-Berichte enthalten fast immer eine Überraschung: eine IP-Adresse, die Sie nicht kennen und die Tausende Nachrichten mit Ihrer Domain im Absenderfeld verschickt. Manchmal ist es ein Tool, für das sich Ihr Vertriebsteam im letzten Frühjahr angemeldet hat. Manchmal ein Weiterleitungsdienst. Gelegentlich jemand, der sich als Sie ausgibt. Dieser Leitfaden gibt Ihnen ein wiederholbares Vorgehen, um jede unbekannte Quelle zu identifizieren, einzuordnen und zu entscheiden, was zu tun ist, ohne zu raten und ohne legitime E-Mails zu gefährden.
Die kurze Antwort#
Um einen unbekannten Absender in einem DMARC-Bericht zu identifizieren, nehmen Sie seine Quell-IP und gehen vier Prüfungen der Reihe nach durch: den Reverse-DNS-Namen (PTR) der IP, ob die IP von einem SPF-include abgedeckt ist, den Sie oder ein Anbieter veröffentlichen, die Domain in der DKIM-Signatur (d=) aus dem Rohbericht und den Inhaber des IP-Blocks aus einer Registerabfrage. Ordnen Sie die Quelle dann ein: vergessener Dienst, eigener Server oder eigenes Skript, Weiterleitung, der Mailbox-Provider Ihrer Mitarbeitenden oder Spoofer. Authentifizieren Sie die legitimen, ignorieren Sie die meisten Weiterleitungen und überlassen Sie den Spoofer p=reject. Blockieren oder „reparieren“ Sie eine Quelle nie, bevor Sie wissen, zu welcher Gruppe sie gehört. Die kostenlose Reverse-DNS-Abfrage übernimmt den ersten Schritt, und mit dem kostenlosen DMARC-Berichtsanalyzer können Sie die Rohfelder eines einzelnen Berichts untersuchen.
Beginnen Sie mit dem, was der Bericht bereits verrät#
Sammeln Sie, bevor Sie etwas nachschlagen, alles, was die Zeile Ihnen liefert. Notieren Sie für jede unbekannte IP:
- Die IP-Adresse und wie viele Nachrichten sie gesendet hat.
- SPF- und DKIM-Ergebnisse und ob jedes mit Ihrer Absenderdomain ausgerichtet war.
- Die Disposition, also was der Empfänger getan hat: none, quarantine oder reject.
- Die Domains, die in den rohen SPF- und DKIM-Prüfungen verwendet wurden, sofern Sie das rohe XML sehen können.
Der letzte Punkt ist nützlicher, als er klingt. Eine Zeile, in der DKIM mit d=example.com bestanden hat, bedeutet: Der Absender signiert mit einem Schlüssel, der unter Ihrer Domain veröffentlicht ist, also haben Sie oder ein von Ihnen konfigurierter Anbieter ihn eingerichtet. Eine Zeile, in der DKIM mit d=vendor.example.net bestanden hat und SPF für die Bounce-Domain des Anbieters, bedeutet: Der Anbieter sendet authentifizierte E-Mails für sich selbst, und Ihre Domain steht nur im Absenderfeld. Das ist der klassische nicht ausgerichtete Drittanbieter-Absender. Eine Zeile, in der SPF und DKIM beide fehlgeschlagen oder nicht vorhanden sind, deutet viel stärker auf Spoofing oder ein nicht konfiguriertes Relay hin.
Wenn Ihr Monitoring-Tool bereits einen sprechenden Namen für die Quelle anzeigt, betrachten Sie ihn als Hinweis, nicht als Beweis. Namen werden aus Reverse-DNS-Mustern abgeleitet, und Sie sollten sie trotzdem mit den folgenden Schritten bestätigen.
Schritt 1: Den Reverse-DNS-Namen nachschlagen#
Die meisten legitimen Absender veröffentlichen einen PTR-Record für ihre Sende-IPs. Führen Sie eine Reverse-Abfrage durch:
dig -x 203.0.113.42 +short
mail-42.sendingplatform.example.net.
Der Hostname nennt oft direkt den Dienst. Zwei Vorsichtsmaßnahmen:
- Bestätigen Sie ihn per Vorwärtsabfrage. Schlagen Sie den A-Record dieses Hostnamens nach und prüfen Sie, ob er dieselbe IP zurückgibt. Ein PTR-Record wird von dem kontrolliert, dem die IP gehört, also kann jeder jeden beliebigen Namen behaupten. Vertrauen verdient nur ein Name, der auf dieselbe IP zurückführt.
- Ein fehlender oder generischer PTR ist selbst eine Information. Hostnamen wie
static-203-0-113-42.hosting.examplebedeuten meist einen gemieteten Server oder einen Privatanschluss, keine Mailplattform. Das passt eher zu einem Spoofer oder einem selbst gehosteten Skript als zu einem seriösen Anbieter.
Die Abfrage geht mit dem Reverse-DNS-Tool in einem Klick, wenn Sie kein Terminal zur Hand haben.
Schritt 2: Prüfen, ob die IP in Ihrem SPF-Bereich liegt#
Sehen Sie sich Ihren eigenen SPF-Record an und prüfen Sie, ob diese IP direkt oder über ein include abgedeckt ist:
example.com. TXT "v=spf1 include:_spf.google.com include:sendingplatform.example.net ~all"
Wenn der Anbietername aus Schritt 1 bereits in einem include: auftaucht, hat ihn irgendwann jemand autorisiert. Die Quelle gehört Ihnen, und die offene Frage ist, warum das Alignment fehlschlägt. Meist liegt das daran, dass das SPF des Anbieters für dessen eigene Bounce-Domain besteht, die nicht mit Ihrer Absenderdomain ausgerichtet ist, und nie eine DKIM-Signierung für Ihre Domain eingerichtet wurde. Die Lösung liegt auf der DKIM-Seite und ist in DMARC-Alignment-Fehler beschrieben.
Wenn die IP nicht abgedeckt ist und der PTR auf einen Anbieter zeigt, von dem Sie noch nie gehört haben, haben Sie entweder einen vergessenen Dienst oder einen Fremden. Machen Sie weiter. Sie können die Domain auch durch den SPF-, DKIM- und DMARC-Prüfer laufen lassen, um zu sehen, was Ihr SPF-Record heute enthält.
Schritt 3: Die DKIM-Signaturdomain lesen#
Wenn der Rohbericht ein DKIM-Ergebnis auflistet, nennt er die signierende Domain und den Selektor. Drei Ergebnisse sind üblich:
d=ist Ihre Domain. Ein internes System oder ein von Ihnen konfigurierter Anbieter signiert mit Ihrem Schlüssel. Finden Sie den Selektor in Ihrem DNS, um zu sehen, um welchen Schlüssel es sich handelt. Wenn Sie den Selektor nicht kennen, lesen Sie So finden Sie einen DKIM-Selektor.d=ist die Domain des Anbieters. Authentifiziert für den Anbieter, nicht für Sie. Behebbar, sobald Sie den Anbieter identifiziert haben.- Gar kein DKIM-Ergebnis. Der Absender signiert nicht. Kleine Skripte, Drucker, alte CMS-Plugins und Spoofer sehen alle so aus.
Wenn Sie nur einen Header einer empfangenen Nachricht statt eines Berichts haben, zeigt der E-Mail-Header-Analyzer das DKIM-Urteil und ob eine Signatur vorhanden ist, die d=-Domain lesen Sie selbst aus der Zeile DKIM-Signature.
Schritt 4: Herausfinden, wem der IP-Block gehört#
Wenn der PTR fehlt oder nicht weiterhilft, fragen Sie das regionale Internetregister nach der Adresse ab (WHOIS- oder RDAP-Abfrage). Das Ergebnis nennt die Organisation, die den Block hält, oft ein Hosting-Unternehmen oder einen Cloud-Anbieter. Das sagt Ihnen, woher der Verkehr kommt, nicht wer dafür verantwortlich ist. Nutzen Sie es also, um die Suche einzugrenzen, nicht um jemanden zu beschuldigen. Ein Block, der einer bekannten E-Mail-Plattform gehört, stützt die Theorie vom „vergessenen Anbieter“. Ein Block, der einem Billig-Hoster ohne Reverse-DNS gehört, spricht für das Gegenteil.
Die Quelle einordnen, dann handeln#
Nach den vier Prüfungen fallen die meisten Quellen in eine von fünf Gruppen.
| Klasse | Wie sie in Berichten aussieht | Was zu tun ist |
|---|---|---|
| Vergessener oder nicht genehmigter Dienst | PTR nennt eine bekannte Plattform; SPF oder DKIM besteht für die Domain des Anbieters, nicht für Ihre | Fragen Sie den Inhaber. Wenn die E-Mails gewollt sind, richten Sie DKIM-Signierung für Ihre Domain ein. Wenn nicht, schließen Sie das Konto |
| Ihr eigener Server oder Ihr eigenes Skript | IP gehört zu Ihrem Hosting; oft kein DKIM; geringes Volumen zu ungewöhnlichen Zeiten | Leiten Sie es über Ihr echtes Mailsystem oder signieren Sie es mit Ihrem Schlüssel |
| Weiterleitung oder Mailingliste | Quelle ist ein Mailbox-Provider oder Listen-Host; SPF schlägt fehl, DKIM besteht oder bricht, wenn die Nachricht verändert wird | Meist ignorieren; verlassen Sie sich auf DKIM-Alignment und jagen Sie nicht jeder Weiterleitung hinterher |
| Mailbox-Provider, der die E-Mails Ihrer Mitarbeitenden weiterleitet | Entspricht dem Provider, den Sie für E-Mails Ihrer Mitarbeitenden nutzen | Bestätigen Sie, dass dieser Provider im SPF steht und mit Ihrem DKIM-Schlüssel signiert |
| Spoofer | Keine Beziehung zu Ihnen; kein oder ein generischer PTR; SPF und DKIM schlagen fehl; plötzliches Volumen | Lassen Sie es scheitern; dafür gibt es eine reject-Richtlinie |
Das Risiko, das Sie vermeiden sollten, ist, alles Unbekannte für einen Spoofer zu halten. Wer die Richtlinie verschärft, während ein vergessenes Rechnungstool noch am Alignment scheitert, lehnt am Ende die eigenen Rechnungen ab. Sortieren Sie zuerst. Die sichere Reihenfolge beim Verschärfen ist in Von p=none zu p=reject wechseln beschrieben.
Die Identifikation beim nächsten Mal günstiger machen#
Der erste Durchgang ist langsam. Danach sollte er es nicht mehr sein. Einige Gewohnheiten helfen:
- Führen Sie ein Inventar. Eine Zeile pro legitimer Quelle mit Verantwortlichem, E-Mail-Art und Authentifizierungsweg. DMARC-Monitoring führt durch eine einfache Tabelle.
- Fragen Sie vor dem Start nach neuen Tools. Ein kurzer Eingangsschritt („Sendet dieses Tool mit unserer Domain als Absender?“) verhindert die meisten unbekannten Quellen.
- Prüfen Sie alte Konten erneut. Kostenlose Testversionen und weiterlaufende Agentur-Tools sind eine häufige Quelle überraschender Absender.
- Halten Sie Entscheidungen fest. Wenn Sie eine Quelle als Weiterleitungsrauschen einstufen, schreiben Sie das auf, damit die nächste Person die Untersuchung nicht wiederholt.
DMARC-Berichte helfen bei der Benennung. Sie lösen den Reverse-DNS jeder Quell-IP auf und erkennen etwa 25 gängige Absender, etwa Google, Microsoft 365, Amazon SES, SendGrid und Mailchimp. Was nicht erkannt wird, erscheint als roher Hostname oder als „Unknown sender“. Sie können eine Quelle nicht taggen, beschriften oder auf eine Allowlist setzen, daher bleibt Ihre Inventartabelle das führende System. Sie zeigen außerdem weder die DKIM-Signaturdomain noch den Selektor einer Quelle, für Schritt 3 brauchen Sie also einen Rohbericht oder den Header einer empfangenen Nachricht. Wenn Sie Rohdateien wollen, behalten Sie zusätzlich eine Mailbox-Adresse in Ihrer rua=-Liste.
Was, wenn die Quelle ein Spoofer ist?#
Wenn die Hinweise zeigen, dass die Quelle nichts mit Ihnen zu tun hat, gibt es kaum etwas zu reparieren. Ihre Aufgabe ist, dafür zu sorgen, dass das Scheitern Folgen hat. Mit einer reject-Richtlinie und authentifizierten legitimen E-Mails werden Empfänger, die DMARC beachten, die gefälschten Nachrichten ablehnen oder in den Spam-Ordner verschieben. Sie können einen Spoofer nicht am Senden hindern. Sie können nur dafür sorgen, dass seine E-Mails dort scheitern, wo Empfänger Ihre Richtlinie durchsetzen.
Einige zusätzliche Schritte sind sinnvoll:
- Notieren Sie Volumen und Daten, damit Sie spätere Wochen vergleichen können.
- Prüfen Sie die Sende-IP mit dem Blacklist-Prüfer gegen öffentliche Blocklisten.
- Wenn die Kampagne groß ist und Ihre Kunden anvisiert, sagen Sie Ihrem Support-Team, wie die Nachrichten aussehen.
Berichte kleiner Empfänger, die keine Aggregatdaten senden, zeigen Ihnen nie das volle Ausmaß. Deuten Sie also eine ruhige Woche nicht als Ende einer Missbrauchskampagne.
Häufig gestellte Fragen
01Wie finde ich heraus, wem eine IP-Adresse in einem DMARC-Bericht gehört?
Beginnen Sie mit einer Reverse-DNS-Abfrage (PTR) und bestätigen Sie per Vorwärtsabfrage, dass der Hostname wieder auf dieselbe IP auflöst. Prüfen Sie dann, ob die IP von einem SPF-include in Ihrem Record abgedeckt ist, und lesen Sie die DKIM-Signaturdomain aus dem Rohbericht. Wenn das nicht weiterhilft, nennt eine WHOIS- oder RDAP-Abfrage die Organisation, die den IP-Block hält. Das grenzt die Suche ein, beweist aber keine Verantwortung.
02Ist eine unbekannte Quelle in meinem DMARC-Bericht immer ein Spoofer?
Nein. Viele unbekannte Quellen in einem ersten Bericht sind legitim: ein Marketing- oder Rechnungstool, für das sich jemand angemeldet hat, ein Weiterleitungsdienst oder Ihr eigener Server, auf dem ein Skript läuft. Jede unbekannte IP als Angreifer zu behandeln riskiert, Ihre eigenen E-Mails abzulehnen, sobald Sie die Richtlinie verschärfen. Ordnen Sie die Quelle zuerst ein und behandeln Sie sie nur dann als Spoofer, wenn sie keinerlei Beziehung zu Ihnen hat.
03Warum scheitert eine Weiterleitung in den Berichten an DMARC?
Wenn eine Nachricht weitergeleitet wird, steht die IP des weiterleitenden Servers nicht in Ihrem SPF-Record, sodass SPF fehlschlägt oder nicht ausgerichtet ist. DKIM kann trotzdem bestehen, wenn die Nachricht nicht verändert wurde, weshalb DKIM-Alignment der verlässlichere Weg ist. Weiterleitungsrauschen lässt man meist besser in Ruhe, statt es Quelle für Quelle zu verfolgen.
04Kann ich einen unbekannten Absender sperren, indem ich ihn auf eine Sperrliste setze?
DMARC kennt keine Sperrliste. Sie steuern das Ergebnis über Ihre Richtlinie: Legitime Absender authentifizieren sich im Alignment, alle anderen scheitern. Bei einer reject-Richtlinie lehnen Empfänger, die DMARC beachten, fehlschlagende E-Mails ab oder verschieben sie in den Spam-Ordner. Sie können niemanden daran hindern, mit Ihrer Domain als Absender zu senden, sondern nur dafür sorgen, dass diese E-Mails bei Empfängern scheitern, die Ihre Richtlinie durchsetzen.
Zu wissen, wer mit Ihrer Domain sendet, ist die eine Hälfte der Mail-Hygiene; die andere Hälfte ist die Liste, an die Sie senden. Der kostenlose Tarif auf der Preisseite bietet 100 Credits, um die vollständige Verifizierung für eine Liste durchzuführen, und der kostenlose E-Mail-Checker deckt einzelne Adressen ab. Eine saubere Authentifizierung braucht trotzdem eine gesunde Liste dahinter.
