So liest du DMARC-Sammelberichte (rua)

Was das bedeutet

Wenn dein DMARC-Eintrag eine rua=-Adresse enthält, schicken dir Empfänger wie Google, Microsoft und Yahoo eine tägliche Zusammenfassung, den sogenannten Sammelbericht (Aggregate Report). Er listet jede IP-Adresse auf, die E-Mails mit deiner Domain gesendet hat, wie viele E-Mails es waren und ob sie SPF und DKIM bestanden haben.

v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com

Die Berichte kommen als komprimierte Anhänge (.zip oder .gz) mit einer XML-Datei darin. Sie sind für Maschinen geschrieben, aber du kannst sie lesen.

Warum das wichtig ist

• Sie zeigen alle deine Absender, auch die, die du vergessen hast: ein Rechnungstool, einen alten Server, die App eines Kollegen.
• Sie decken Leute auf, die versuchen, gefälschte E-Mails mit deiner Domain zu senden.
• Du brauchst sie, bevor du DMARC von p=none auf quarantine oder reject umstellst, um sicher zu sein, dass nichts Legitimes blockiert wird.

Die Hauptteile eines Berichts

Wer den Bericht gesendet hat

In report_metadata: org_name (zum Beispiel google.com), eine report_id und ein date_range, meist 24 Stunden, als Unix-Zeitstempel angegeben.

Deine veröffentlichte Richtlinie

In policy_published: der DMARC-Eintrag, den der Empfänger gesehen hat, etwa p=none und die Ausrichtungsmodi.

Ein Block pro Quelle

Jeder record beschreibt eine sendende IP:

<source_ip>203.0.113.10</source_ip>
<count>42</count>
<disposition>none</disposition>
<dkim>pass</dkim>
<spf>fail</spf>
<header_from>yourdomain.com</header_from>

• count: Zahl der E-Mails von dieser IP.
• disposition: was der Empfänger gemacht hat (none, quarantine, reject).
• dkim und spf unter policy_evaluated: das DMARC-Ergebnis, bei dem die Domain zu deiner From-Domain passen muss. Ein Bestehen reicht, damit DMARC besteht.
• auth_results: die rohen SPF- und DKIM-Prüfungen, mit der Domain, die tatsächlich geprüft wurde. Vergleiche sie mit header_from, um Ausrichtungsfehler zu verstehen.

So nutzt du sie

1. Identifiziere jede IP. Schlag ihren Reverse-DNS-Namen oder ihren Inhaber nach. Namen wie google.com, outlook.com oder die Domain deines Newsletter-Tools gehören meist zu dir.
2. Sortiere in drei Gruppen:
   • Deine Dienste, bestanden: nichts zu tun.
   • Deine Dienste, durchgefallen: Füge sie zu SPF hinzu oder richte in diesem Dienst DKIM mit deiner Domain ein.
   • Unbekannte IPs, die bei allem durchfallen: wahrscheinlich Spoofing. Deine künftige reject-Richtlinie wird sie blockieren.
3. Beobachte die Entwicklung ein paar Wochen lang, bevor du deine Richtlinie verschärfst.

Hinweis: Weitergeleitete E-Mails und Mailinglisten tauchen oft als Fehlschläge von IPs auf, die du nicht kennst. Eine kleine Zahl ist normal.

Mach es dir leichter

XML von Hand zu lesen wird mühsam, sobald du viele Berichte bekommst. Nutze ein eigenes Postfach für rua und zieh ein Tool in Betracht, das die Berichte sammelt und zusammenfasst. Das DMARC-Monitoring im kostenpflichtigen Dashboard macht das für deine Domains.

Prüfe, ob es funktioniert

Scanne deine Domain unter /domain-scanner, um zu bestätigen, dass der DMARC-Eintrag eine gültige rua-Adresse hat. Berichte kommen meist innerhalb von ein oder zwei Tagen an, von den Anbietern, die deine Empfänger nutzen.