Nachdem Sie Ihre E-Mail-Authentifizierung überprüft haben, ist der nächste logische Schritt die Einrichtung von DMARC für Ihre Domain. Die Konfiguration mag auf den ersten Blick technisch erscheinen, lässt sich aber mit der richtigen Anleitung systematisch umsetzen. In diesem Artikel erfahren Sie konkret, wie Sie einen DMARC-Eintrag in Ihrem DNS erstellen und welche Parameter Sie dabei beachten müssen.
Bevor Sie DMARC einrichten können, müssen zwei grundlegende E-Mail-Authentifizierungsverfahren bereits auf Ihrer Domain aktiv sein: SPF und DKIM. DMARC baut auf diesen beiden Mechanismen auf und kann ohne sie nicht funktionieren. Stellen Sie daher sicher, dass beide Verfahren korrekt konfiguriert sind, bevor Sie mit der DMARC-Einrichtung beginnen.
Außerdem benötigen Sie Zugriff auf die DNS-Verwaltung Ihrer Domain. Dies erfolgt in der Regel über das Control Panel Ihres Domain-Providers oder Hosting-Anbieters. Halten Sie Ihre Zugangsdaten bereit, da Sie einen neuen TXT-Eintrag erstellen werden.
Ein DMARC-Eintrag ist ein spezieller DNS-TXT-Eintrag, der unter einem festgelegten Subdomain-Namen veröffentlicht wird. Die grundlegende Struktur besteht aus mehreren Tag-Wert-Paaren, die durch Semikolons getrennt werden.
Der Hostname für den DMARC-Eintrag folgt immer demselben Schema: _dmarc.ihredomain.de
Wenn Ihre Domain beispielsweise "beispiel.de" lautet, erstellen Sie den TXT-Eintrag für "_dmarc.beispiel.de". Dieser exakte Name ist zwingend erforderlich, damit empfangende Mail-Server Ihren DMARC-Eintrag finden können.
Jeder DMARC-Eintrag muss mit dem Tag "v=DMARC1" beginnen. Dies kennzeichnet die verwendete DMARC-Version. Danach folgt die Richtlinie, die angibt, wie empfangende Server mit E-Mails umgehen sollen, die die Authentifizierung nicht bestehen:
Diese beiden Parameter sind die einzigen absolut erforderlichen Bestandteile eines DMARC-Eintrags.
Beginnen Sie mit einem einfachen DMARC-Eintrag für die Überwachungsphase. Ein Beispiel für einen Basis-Eintrag sieht so aus:
v=DMARC1; p=none; rua=mailto:dmarc-reports@ihredomain.de
Dieser Eintrag aktiviert DMARC im Überwachungsmodus, ohne dass fehlgeschlagene E-Mails blockiert werden. Der Parameter "rua" gibt an, an welche E-Mail-Adresse aggregierte Berichte gesendet werden sollen. Diese Berichte enthalten wertvolle Informationen über alle E-Mails, die von Ihrer Domain gesendet werden.
Loggen Sie sich in die DNS-Verwaltung Ihres Domain-Providers ein und erstellen Sie einen neuen TXT-Eintrag mit folgenden Daten:
Speichern Sie den Eintrag. Die Änderung kann je nach Provider zwischen wenigen Minuten und mehreren Stunden dauern, bis sie weltweit sichtbar ist.
Nach der Einrichtung sollten Sie kontrollieren, ob der Eintrag korrekt veröffentlicht wurde. Sie können dazu verschiedene Online-Tools nutzen oder einen DNS-Lookup durchführen. Für eine umfassende Prüfung Ihrer DMARC-Konfiguration bietet sich ein spezialisiertes Prüfwerkzeug an, das auch potenzielle Fehler in der Syntax erkennt.
Für eine professionelle DMARC-Implementierung sollten Sie weitere optionale Parameter hinzufügen, die Ihnen mehr Kontrolle und detailliertere Informationen bieten.
ruf: Gibt an, wohin forensische Berichte gesendet werden sollen. Diese enthalten Beispiele einzelner fehlgeschlagener E-Mails.
Beispiel: ruf=mailto:dmarc-forensic@ihredomain.de
pct: Legt fest, auf welchen Anteil der E-Mails die DMARC-Richtlinie angewendet wird. Nützlich für schrittweises Rollout.
Beispiel: pct=25 (wendet die Richtlinie auf ein Viertel der E-Mails an)
sp: Definiert die Richtlinie für Subdomains, falls diese von der Hauptdomain-Richtlinie abweichen soll.
Beispiel: sp=quarantine
adkim und aspf: Bestimmen den Alignment-Modus für DKIM und SPF. Mögliche Werte sind "r" (relaxed, Standard) oder "s" (strict).
Beispiel: adkim=s; aspf=r
v=DMARC1; p=quarantine; pct=50; rua=mailto:dmarc-reports@ihredomain.de; ruf=mailto:dmarc-forensic@ihredomain.de; fo=1; adkim=r; aspf=r
Dieser Eintrag setzt die Richtlinie auf "quarantine" für die Hälfte der E-Mails, fordert sowohl aggregierte als auch forensische Berichte an und verwendet relaxed Alignment für beide Authentifizierungsmethoden.
Die Einrichtung von DMARC sollte schrittweise erfolgen, um unerwartete Probleme mit legitimen E-Mails zu vermeiden.
Starten Sie mit der Richtlinie "none" und sammeln Sie für mehrere Wochen Berichte. Analysieren Sie diese Daten, um zu verstehen, welche Systeme in Ihrem Namen E-Mails versenden und ob alle legitimen Quellen korrekt authentifiziert sind.
Sobald Sie sicher sind, dass alle legitimen E-Mail-Quellen korrekt konfiguriert sind, wechseln Sie zu "quarantine". Beginnen Sie mit einem niedrigen pct-Wert und erhöhen Sie diesen schrittweise, während Sie die Berichte weiterhin überwachen.
Wenn die Quarantäne-Phase ohne Probleme verläuft, können Sie zur strengsten Richtlinie "reject" übergehen. Dies bietet den maximalen Schutz gegen Domain-Spoofing und Phishing-Angriffe.
Bei der Konfiguration können verschiedene Fehler auftreten, die die Funktionsfähigkeit beeinträchtigen. Achten Sie darauf, dass keine Leerzeichen vor oder nach den Semikolons stehen und dass der Eintrag in einer Zeile ohne Zeilenumbrüche steht. Die Syntax ist streng, und bereits kleine Abweichungen können dazu führen, dass der Eintrag nicht erkannt wird.
Stellen Sie außerdem sicher, dass die angegebene E-Mail-Adresse für Berichte tatsächlich existiert und regelmäßig überprüft wird. Ohne die Auswertung der DMARC-Berichte entgeht Ihnen wertvolles Feedback über Ihre E-Mail-Infrastruktur.
Wenn Sie Unterstützung bei der Erstellung des korrekten DMARC-Eintrags benötigen, kann ein DMARC Record Generator hilfreich sein, der die Syntax automatisch korrekt zusammenstellt.
Die Arbeit endet nicht mit der Veröffentlichung des DMARC-Eintrags. Richten Sie einen Prozess ein, um die eingehenden DMARC-Berichte regelmäßig auszuwerten. Diese Berichte zeigen Ihnen, ob unbekannte Quellen versuchen, E-Mails in Ihrem Namen zu versenden, und ob Ihre eigenen E-Mail-Systeme korrekt authentifizieren.
Passen Sie Ihre DMARC-Konfiguration bei Bedarf an, wenn Sie neue E-Mail-Dienste hinzufügen oder Ihre Infrastruktur ändern. Die Grundlagen von DMARC bleiben dabei konstant, aber die konkrete Konfiguration sollte sich an Ihre tatsächliche E-Mail-Nutzung anpassen.
Die Einrichtung von DMARC ist ein wichtiger Schritt zur Absicherung Ihrer E-Mail-Domain. Mit der richtigen Vorgehensweise – von der Erstellung des DNS-Eintrags über die schrittweise Implementierung bis zur kontinuierlichen Überwachung – können Sie Ihre Domain wirksam vor Missbrauch schützen. Beginnen Sie mit einem einfachen Monitoring-Eintrag, sammeln Sie Erfahrungen mit den Berichten und verschärfen Sie die Richtlinien dann schrittweise, sobald Sie Vertrauen in Ihre Konfiguration gewonnen haben.