Kein DMARC-Eintrag auf deiner Domain

Was das bedeutet

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein DNS-Eintrag, der SPF und DKIM verbindet. Er sagt empfangenden Servern zwei Dinge:

• Was sie tun sollen mit einer E-Mail, die angeblich von deiner Domain kommt, aber bei den Prüfungen scheitert: zustellen, in den Spam verschieben oder ablehnen.
• Wohin sie Berichte schicken sollen darüber, wer E-Mails mit deinem Domainnamen sendet.

Warum das wichtig ist

• Gmail und Yahoo verlangen einen DMARC-Eintrag von allen, die große Mengen senden, und Microsoft Outlook geht in dieselbe Richtung.
• Ohne DMARC können Betrüger gefälschte Rechnungen oder Phishing-E-Mails senden, die aussehen, als kämen sie von dir.
• Die Berichte zeigen dir jeden Dienst, der in deinem Namen sendet, auch die, die du vergessen hast.

So prüfst du es

Delivmail prüft das auf zwei Arten für dich:

• Sende eine Test-E-Mail: Kopiere auf der Startseite deine einmalige Testadresse, schick eine ganz normale E-Mail von dem Postfach, das du prüfen willst, und öffne dann den Bericht. Die DMARC-Zeile zeigt, dass deine Domain keine Richtlinie hat.
• Nutze den Domain-Scanner: Gib deine Domain unter /domain-scanner ein, um deine DNS-Einträge zu lesen, ohne etwas zu senden.

So behebst du es

1. Richte zuerst SPF und DKIM ein. DMARC baut auf ihnen auf.
2. Wähle eine Adresse für die Berichte. Berichte sind XML-Dateien, die Gmail, Microsoft, Yahoo und andere täglich schicken. Ein eigenes Postfach wie dmarc@yourdomain.com ist eine gute Idee.
3. Öffne deinen DNS-Anbieter und füge einen TXT-Eintrag mit dem Namen _dmarc hinzu.
4. Starte im Überwachungsmodus (p=none). Nichts wird blockiert, du bekommst nur Berichte.

_dmarc.yourdomain.com  TXT  "v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com"

Was jeder Teil bedeutet

• v=DMARC1: Das ist ein DMARC-Eintrag. Das muss am Anfang stehen.
• p=none: die Richtlinie. none überwacht nur, quarantine verschiebt gescheiterte E-Mails in den Spam, reject lehnt sie ab.
• rua=mailto:...: wohin die täglichen Zusammenfassungen gehen.

Tipps

• Nur ein DMARC-Eintrag pro Domain. Bei zwei ignorieren Empfänger DMARC komplett.
• Der Name ist _dmarc (mit Unterstrich). Manche DNS-Anbieter wollen nur _dmarc, andere den vollständigen Namen _dmarc.yourdomain.com.
• Die Berichte sind von Hand schwer zu lesen. Die DMARC-Überwachung von Delivmail im kostenpflichtigen Dashboard empfängt sie und fasst sie für dich zusammen.
• Der Überwachungsmodus ist ein erster Schritt, nicht das Ziel. Nach ein paar Wochen mit sauberen Berichten wechselst du zu p=quarantine, dann zu p=reject. Siehe die Anleitung zum Wechsel von DMARC auf quarantine oder reject.

Prüfe, ob es behoben ist

DNS-Änderungen wirken nicht sofort. Die meisten sind nach wenigen Minuten sichtbar, bei manchen Anbietern dauert es aber bis zu 24 bis 48 Stunden.

Starte den Domain-Scanner: DMARC sollte gefunden werden, mit deiner Richtlinie und deiner Berichtsadresse. Sende dann eine Test-E-Mail über die Startseite. Die DMARC-Zeile sollte bestanden zeigen, solange SPF oder DKIM für deine Domain besteht.

Mehr Hilfe: DMARC-Anleitung von Google.