E-Mail-Authentifizierung – DMARC

Ab Februar 2024 verlangen Gmail und Yahoo eine DKIM- und DMARC-Authentifizierung für E-Mails. Es wird dringend empfohlen, DKIM und DMARC einzurichten.

Weitere Details findest du im Blogbeitrag zu den Authentifizierungsänderungen von Google und Yahoo im Jahr 2024.

• Was ist DMARC?
• Was ist ein DMARC-Eintrag?
• Wie funktioniert DMARC?
• DMARC-Zustellfehler bei geteilten LC Email-Domains beheben

​

Was ist DMARC?

P = NONE
Überwacht den E-Mail-Verkehr. Es werden keine weiteren Maßnahmen ergriffen.

P = QUARANTINE
Verschiebt unberechtigte E-Mails in den Spam-Ordner.

P = REJECT
Die finale Richtlinie und das eigentliche Ziel der DMARC-Implementierung. Diese Richtlinie stellt sicher, dass unberechtigte E-Mails gar nicht erst zugestellt werden.

​

Was ist ein DMARC-Eintrag?

Hier ist ein Beispiel für einen einfachen DMARC-Eintrag:
v=DMARC1; p=none;

• Standard: DMARC1
• Bedeutung: Gibt die Version des DMARC-Protokolls an. Muss immer auf “DMARC1” gesetzt sein. Fehlt dieser Wert oder ist er falsch, wird der gesamte DMARC-Eintrag ignoriert.

• Standard: none
• Bedeutung: Legt die Aktion für E-Mails fest, die DMARC-Prüfungen nicht bestehen.
  • none: Sammelt Feedback, ohne den bestehenden Versand zu beeinflussen.
  • quarantine: Behandelt verdächtige E-Mails gesondert, meist durch Zustellung in den Spam-Ordner.
  • reject: Weist alle fehlschlagenden E-Mails direkt ab.

• Standard: r
• Bedeutung: Legt den Abgleichmodus für DKIM-Signaturen fest.
  • “r” (Relaxed Mode): Erlaubt DKIM-Domains, die zur selben übergeordneten Domain (Organizational Domain) gehören.
  • “s” (Strict Mode): Erfordert eine exakte Übereinstimmung zwischen der DKIM-Domain und der Absender-Domain im E-Mail-Header (“From”).

• Standard: r
• Bedeutung: Ähnlich wie adkim, jedoch für die SPF-Authentifizierung.
  • “r” (Relaxed Mode): Erlaubt SPF-Domains, die zur selben übergeordneten Domain gehören.
  • “s” (Strict Mode): Erfordert eine exakte Übereinstimmung zwischen der SPF-Domain und der Absender-Domain im E-Mail-Header (“From”).

• Standard: Wert von p=
• Bedeutung: Ermöglicht das explizite Veröffentlichen einer Richtlinie für Subdomains unter diesem DMARC-Eintrag.

• Standard: 0
• Bedeutung: Bestimmt die Bedingungen für das Erstellen forensischer Berichte.
  • “0”: Erstellt Berichte, wenn alle Authentifizierungsmechanismen fehlschlagen.
  • “1”: Erstellt Berichte, wenn irgendein Mechanismus fehlschlägt.
  • “d”: Erstellt Berichte, wenn die DKIM-Signatur fehlschlägt.
  • “s”: Erstellt Berichte, wenn SPF fehlschlägt.

• Standard: none
• Bedeutung: Gibt an, wohin forensische Berichte gesendet werden sollen (URIs im Format “mailto:adresse@beispiel.de”).

• Standard: none
• Bedeutung: Gibt an, wohin aggregierte XML-Feedbackberichte gesendet werden sollen (URIs im Format “mailto:adresse@beispiel.de”).

• Standard: afrf
• Bedeutung: Bestimmt das Berichtsformat für einzelne forensische Berichte.

• Standard: 100
• Bedeutung: Gibt den Prozentsatz der fehlschlagenden E-Mails an, auf die die Richtlinie angewendet werden soll. Die Richtlinie muss “quarantine” oder “reject” lauten, damit das Prozent-Tag greift.

• Standard: 86400
• Bedeutung: Legt das Intervall für den Empfang aggregierter XML-Berichte fest.

​

Wie funktioniert DMARC?

• SPF/DKIM-Prüfung:
  • Empfangende Server überprüfen die SPF- oder DKIM-Authentifizierungsmethoden.
• Domain-Abgleich (Alignment):
  • Prüft, ob die SPF-Domain (Return-Path) oder DKIM-Domain (d=) mit der “From”-Domain im E-Mail-Header übereinstimmt.
• DMARC-Richtlinie:
  • Liest die DMARC-Richtlinie aus dem DNS-Eintrag der “From”-Domain aus und wendet sie an.

Beispielkonfigurationen:

Wenn SPF erfolgreich ist und mit der "From"-Domain übereinstimmt, ist die DMARC-Authentifizierung erfolgreich.
v=DMARC1; p=none; aspf=r;

Wenn DKIM erfolgreich ist und mit der "From"-Domain übereinstimmt, ist die DMARC-Authentifizierung erfolgreich.
v=DMARC1; p=none; adkim=s;

Wenn sowohl SPF als auch DKIM fehlschlagen, schlägt die DMARC-Authentifizierung fehl.
v=DMARC1; p=reject;

• Relaxed-Modus (r):
  • Erlaubt Subdomains bei SPF/DKIM-Prüfungen im Abgleich mit der “From”-Domain.
• Strict-Modus (s):
  • Erfordert eine exakte Übereinstimmung der SPF/DKIM-Domains mit der “From”-Domain.

• Aggregierte Berichte:
  • Enthalten Erfolgs- und Fehlerergebnisse in periodischen Berichten, die über das rua-Tag an die angegebenen E-Mail-Adressen gesendet werden.
• Forensische Berichte:
  • Detaillierte Fehlerberichte, die an die angegebenen Adressen (ruf) gesendet werden. Viele Anbieter versenden diese aufgrund sensibler Daten jedoch nicht.
• Berichtsintervall (ri):
  • Bestimmt die Häufigkeit des Versands aggregierter XML-Berichte.

Beispielkonfigurationen:

Aggregierte Berichte alle 24 Stunden senden:
v=DMARC1; p=none; rua=mailto:postmaster@meinedomain.de; ri=86400;

Forensische Berichte alle 7 Tage senden:
v=DMARC1; p=none; ruf=mailto:postmaster@meinedomain.de; ri=604800;

• DMARC-Richtlinie (p):
  • Definiert, wie Server mit fehlgeschlagenen DMARC-Prüfungen umgehen.
• Prozentsatz (pct):
  • Gibt den Prozentsatz des E-Mail-Verkehrs an, der der DMARC-Prüfung unterliegt.

Beispielkonfigurationen:

Zu Testzwecken mit einer Quarantine-Richtlinie und 50 % Überprüfung starten:
v=DMARC1; p=quarantine; pct=50;

Später zu einer Reject-Richtlinie wechseln und das pct-Tag für eine vollständige Durchsetzung entfernen: v=DMARC1; p=reject;

​

DMARC-Zustellfehler bei geteilten LC Email-Domains beheben

DMARC ist nicht erforderlich, um E-Mails über die geteilten Domains des LC Email-Systems zu versenden.