Mailinglisten und Google Groups machen DMARC kaputt

Was das bedeutet

Eine Diskussionsliste (Google Groups, Mailman, eine Gruppenadresse in Microsoft 365, viele Forum-Tools) empfängt deine E-Mail und schickt eine Kopie an jedes Mitglied. Unterwegs passiert dabei oft Folgendes:

• Sie sendet sie von ihren eigenen Servern, sodass dein SPF nicht mehr passt;
• sie verändert den Inhalt: Sie fügt dem Betreff ein Kürzel wie [club] hinzu oder eine Fußzeile mit Abmeldelink, was deine DKIM-Signatur kaputtmacht.

Sind SPF und DKIM für deine Domain beide kaputt, scheitert DMARC. Nutzt deine Domain p=quarantine oder p=reject, bekommen Mitglieder deine Nachricht womöglich nie.

Warum das wichtig ist

• Deine Beiträge an eine Liste landen bei manchen Mitgliedern unbemerkt im Spam.
• Scheitern viele Kopien, zählt die Liste womöglich Bounces und meldet Mitglieder sogar automatisch ab.
• Deine DMARC-Berichte zeigen Fehlschläge von Servern, die du nicht kennst, was nach Spoofing aussehen kann.

Wie Listen das lösen

Das From umschreiben

Die meisten modernen Listen-Tools ändern den From-Header, wenn die Domain des Absenders eine strenge DMARC-Richtlinie hat:

From: Jane Smith via Club Members <club@lists.example.com>
Reply-To: jane@yourdomain.com

Die E-Mail kommt jetzt von der Domain der Liste, die ihr eigenes DMARC besteht. Antworten erreichen trotzdem den Absender. Google Groups macht das automatisch. Such in Mailman nach den Einstellungen zur DMARC-Abmilderung („munge From“ oder „wrap message“).

ARC

Mit ARC (Authenticated Received Chain) kann die Liste einen versiegelten Vermerk hinzufügen, der besagt: „SPF und DKIM haben bestanden, als ich das empfangen habe“. Große Empfänger wie Gmail und Microsoft können diesem Vermerk von bekannten Zwischenstellen vertrauen. Google Groups fügt ARC hinzu. Das hilft, aber jeder Empfänger entscheidet selbst, ob er ihm vertraut.

Was du tun kannst

Wenn du eine Liste betreibst

1. Schalte das Umschreiben des From ein für Absender, deren Domains p=quarantine oder p=reject nutzen (oder für alle).
2. Vermeide es, Nachrichten zu verändern, wenn du kannst: Ohne Betreff-Kürzel und Fußzeilen bleibt DKIM intakt.
3. Authentifiziere die eigene Domain der Liste mit SPF, DKIM und DMARC.
4. Für Empfänger bei Microsoft 365 kann ein Admin einen Listendienst zu den vertrauenswürdigen ARC-Versieglern hinzufügen.

Wenn du an Listen sendest

• Stell sicher, dass DKIM jede E-Mail signiert; bei Listen, die Nachrichten nicht verändern, übersteht DKIM den Weg.
• Prüfe, bevor du auf p=reject umstellst, deine DMARC-Berichte auf Listenserver und bitte die Listenbetreiber, das Umschreiben des From zu aktivieren.
• Das DMARC-Monitoring von Delivmail im kostenpflichtigen Dashboard hilft dir, diese Quellen in deinen Berichten zu erkennen.

Prüfe, ob es behoben ist

Sende zuerst eine Test-E-Mail direkt über die Delivmail-Startseite: Sie sollte SPF, DKIM und DMARC bestehen, was beweist, dass deine eigene Einrichtung stimmt. Schreib dann an die Liste und frag ein Mitglied bei Gmail oder Outlook, ob die Nachricht im Posteingang angekommen ist, mit dem Namen der Liste im From.