DMARC
DMARC (Domain-based Message Authentication, Reporting and Conformance) legt fest, wie E-Mail-Empfänger mit Nachrichten umgehen sollen, die SPF- oder DKIM-Prüfungen nicht bestehen, und liefert Berichte darüber an den Domaininhaber.
Kurz erklärt
DMARC baut auf SPF und DKIM auf und ergänzt zwei wichtige Funktionen: eine klare Richtlinie (Policy), was mit nicht authentifizierten E-Mails geschehen soll (none, quarantine oder reject), sowie ein Berichtssystem, über das Domaininhaber regelmäßig Rückmeldungen erhalten, welche Server in ihrem Namen E-Mails versenden - auch potenziell missbräuchliche.
Beispiel
v=DMARC1; p=reject; rua=mailto:dmarc-reports@beispiel.deDieser DMARC-Eintrag weist Mailserver an, E-Mails, die weder SPF noch DKIM erfolgreich bestehen, abzulehnen, und aggregierte Berichte an die angegebene Adresse zu senden.
Warum ist das relevant?
DMARC schließt eine wichtige Lücke von SPF und DKIM: Ohne DMARC-Richtlinie können Angreifer weiterhin E-Mails mit gefälschter Absenderadresse versenden, selbst wenn SPF oder DKIM fehlschlagen, da viele Mailserver solche E-Mails ohne klare Anweisung dennoch zustellen. Eine strikte DMARC-Richtlinie (p=reject) ist ein wirksamer Schutz gegen Domain-Spoofing und Phishing im eigenen Namen.
Häufige Missverständnisse
Eine DMARC-Richtlinie sollte nicht ohne Vorbereitung direkt auf p=reject gesetzt werden - ohne vorherige Analyse der DMARC-Berichte besteht das Risiko, dass auch legitime, aber noch nicht korrekt autorisierte E-Mail-Quellen (z. B. ein neues Marketing-Tool) blockiert werden. Üblich ist ein schrittweises Vorgehen von p=none (nur Beobachtung) über p=quarantine bis zu p=reject.