DMARC sicher von p=none auf quarantine oder reject umstellen

Was das bedeutet

Mit p=none sammelt dein DMARC-Eintrag nur Berichte. Empfänger stellen E-Mails, die bei den Prüfungen scheitern, trotzdem zu, auch gefälschte, die Betrüger in deinem Namen senden.

• p=quarantine: E-Mails, die bei DMARC scheitern, landen im Spam-Ordner.
• p=reject: E-Mails, die bei DMARC scheitern, werden abgelehnt. Das ist voller Schutz.

Warum das wichtig ist

Phishing und gefälschte Rechnungen mit deiner Domain schaden deinen Kunden und deinem Ruf. Eine strenge DMARC-Richtlinie blockiert sie. Sie ist außerdem nötig, um dein Logo in Gmail und anderen Postfächern anzuzeigen (BIMI). Das Risiko ist, zu schnell vorzugehen: Wenn eines deiner echten Versand-Tools nicht richtig eingerichtet ist, werden auch seine E-Mails blockiert.

So prüfst du, wo du stehst

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die DMARC-Zeile zeigt deine aktuelle Richtlinie.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

Plan Schritt für Schritt

Schritt 1: 2 bis 4 Wochen überwachen

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Lies die Berichte und liste jede Quelle auf, die mit deiner Domain sendet: deinen Postfach-Anbieter, dein Newsletter-Tool, deinen Shop, deine Rechnungssoftware, dein CRM, deinen Helpdesk. Die DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard gruppiert sie für dich.

Schritt 2: jede legitime Quelle in Ordnung bringen

Jede echte Quelle muss SPF oder DKIM für deine Domain bestehen. Richte in jedem Tool DKIM ein und füge es zu SPF hinzu. Sende von jedem Tool einen Delivmail-Test, um das zu bestätigen. Quellen, die du nicht kennst, sind oft Fälschungen: Genau die wird DMARC blockieren.

Schritt 3: quarantine, nach und nach

Nutze das Tag pct, um die Richtlinie zuerst nur auf einen Teil der gescheiterten E-Mails anzuwenden:

v=DMARC1; p=quarantine; pct=25; rua=mailto:dmarc@yourdomain.com

Warte ein bis zwei Wochen, prüfe die Berichte und die Rückmeldungen deiner Kunden und erhöhe dann auf 50, danach auf 100:

v=DMARC1; p=quarantine; rua=mailto:dmarc@yourdomain.com

Schritt 4: reject

Nach ein paar sauberen Wochen mit vollem quarantine:

v=DMARC1; p=reject; rua=mailto:dmarc@yourdomain.com

Du kannst wieder pct nutzen, um sanfter umzusteigen. Behalte die rua-Adresse: Die Berichte bleiben für immer nützlich.

Subdomains

Standardmäßig folgen Subdomains deiner Hauptrichtlinie. Steht in deinem Eintrag sp=none, werden gefälschte E-Mails von jeder Subdomain weiterhin zugestellt. Entferne es oder setze sp=reject, sobald du sicher bist, dass keine Subdomain unsignierte E-Mails sendet.

Warnzeichen, auf die du achten solltest

• Kunden sagen, dass deine Rechnungen oder Newsletter im Spam gelandet sind.
• Ein bekanntes Tool erscheint in den Berichten als gescheitert.
• Ein Kollege hat ein neues Tool ohne DNS-Einrichtung hinzugefügt.

Wenn etwas kaputtgeht, kannst du jederzeit einen Schritt zurückgehen, indem du den Eintrag bearbeitest. Bring die Quelle in Ordnung und geh dann wieder weiter.

Domains, die nie E-Mails senden

Für Domains, die dir gehören, die du aber nicht für E-Mails nutzt, gehst du direkt auf reject, zusammen mit einem leeren SPF:

_dmarc.example.com  TXT  "v=DMARC1; p=reject;"
example.com         TXT  "v=spf1 -all"

Prüfe, ob es behoben ist

Starte nach jeder Änderung den Domain-Scanner, um zu prüfen, dass die neue Richtlinie veröffentlicht ist. Sende Test-E-Mails von jedem deiner Tools: DMARC sollte für alle bestehen.