Blog
Cyberbedrohungen
DMARC-Richtlinien: Warum DMARC fehlschlägt (und wie Sie es schnell beheben)
DMARC Policy: Why DMARC Fails (and How to Fix It Fast)

DMARC-Richtlinien: Warum DMARC fehlschlägt (und wie Sie es schnell beheben)

Share with your network!
Craig Temple

Übersicht

  • Das DMARC-Protokoll stellt sicher, dass E-Mails tatsächlich von Ihrer Domain und von autorisierten Absendern stammen, und sorgt so für eine bessere Zustellbarkeit und geringere Nachahmerrisiken.
  • DMARC-Fehler entstehen typischerweise durch Fehler bei der Einrichtung. Dazu gehören zum Beispiel fehlende autorisierte Absender, ungültige Signaturen, Richtlinienfehler, Veränderungen durch Weiterleitungen oder neu hinzugefügte Drittanbieter-Tools ohne Anpassung des DNS.
  • So stellen Sie schnell eine Diagnose: Suchen Sie in DMARC-Berichten nach Mustern, überprüfen Sie die Header nicht authentifizierter Nachrichten, und prüfen Sie, ob Ihre Versand-Domains immer mit der Absenderadresse übereinstimmen.
  • Mit folgenden Maßnahmen können Sie Probleme schnell beheben: Bringen Sie Ihren SPF-Datensatz auf den neuesten Stand, aktivieren und validieren Sie DKIM, und wechseln Sie bei DMARC-Protokoll vom Überwachungs- in den Erzwingungsmodus. Dadurch werden Probleme beim Absenderabgleich behoben und alle autorisierten Drittanbieter, die E-Mails in Ihrem Namen senden, werden gezwungen, die E-Mail-Authentifizierung zu bestehen.
  • Um die Wirksamkeit von DMARC zu gewährleisten, sind eine kontinuierliche Überwachung, Richtlinien für Subdomains, regelmäßige Audits, Mitarbeiterschulungen und die unterstützende Nutzung von Proofpoint-Tools erforderlich.

———

DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist ein E-Mail-Authentifizierungsprotokoll, das Ihre Domain vor Missbrauch schützt. DMARC-Fehler sind jedoch eine der Hauptursachen für Zustellbarkeitsprobleme und machen Ihr Unternehmen anfälliger für Phishing- und Spoofing-Angriffe.

In diesem Blog-Beitrag untersuchen wir die häufigsten Ursachen für DMARC-Fehler. Zudem stellen wir Ihnen Schritt-für-Schritt-Anleitungen zur Fehlerbehebung sowie optimale Konfigurationen, empfohlene Vorgehensweisen und Tools vor, mit denen Sie ihre E-Mail-Sicherheit stärken können.

Warum ist DMARC für Unternehmen wichtig?

Die DMARC-Authentifizierung bestätigt, dass eine offenbar von Ihrer Domain aus versendete E-Mail tatsächlich autorisiert ist. Das schützt Ihre Domains vor Nachahmung und verbessert die Zustellbarkeit. Angesichts zunehmender Bedrohungen wird DMARC immer häufiger implementiert. Diese Entwicklung zeigt, wie akut der Bedarf an stärkerer E-Mail-Authentifizierung ist.

Die meisten großen E-Mail-Anbieter verlangen mittlerweile die Einhaltung der DMARC-Standards. Und wer diese Anforderungen nicht erfüllt, muss mit Einschränkungen bei der Zustellbarkeit rechnen. Absender, die täglich mehr als 5.000 E-Mails versenden und deren Nachrichten die SPF-, DKIM- und DMARC-Prüfungen nicht bestehen, riskieren, dass ihre Nachrichten im Spam-Ordner landen oder direkt abgelehnt werden. Obwohl sich diese Regeln an Massenversender richten, sollten alle Unternehmen DMARC, SPF und DKIM als Standardverfahren in Betracht ziehen.

Neben der verbesserten Zustellbarkeit bietet DMARC auch folgende Vorteile:

  • Sicherheit: Verringerung von Phishing- und anderen E-Mail-basierten Angriffen
  • Transparenz: Bereitstellung von Berichten, anhand derer Administratoren überprüfen können, ob Absender, die die Domain verwenden, authentifiziert sind
  • Markenschutz: Blockierung gefälschter Nachrichten, die das Kundenvertrauen schädigen könnten
  • Compliance: Unterstützung für Unternehmen bei der Einhaltung von Sicherheitsanforderungen und gesetzlichen Vorgaben
  • Kundenvertrauen: Beweis für das Engagement zum Schutz von Kunden und deren Daten

SPF und DKIM

SPF und DKIM sind die Mechanismen, die das DMARC-Protokoll zur Authentifizierung von E-Mails verwendet.

  • Mithilfe des Sender Policy Framework (SPF) können Domain-Inhaber angeben, welche IP-Adressen autorisiert sind, in ihrem Namen E-Mails zu versenden. Dies verhindert, dass Angreifer die Domain des Unternehmens als Absenderadresse missbrauchen.
  • DomainKeys Identified Mail (DKIM) fügt jeder Nachricht eine kryptografische Signatur hinzu, um zu bestätigen, dass sie tatsächlich von der angegebenen Domain stammt und während der Übertragung nicht manipuliert wurde.

So funktioniert DMARC

Bevor wir uns mit den Ursachen von DMARC-Fehlern befassen, werfen wir einen kurzen Blick darauf, wie DMARC funktioniert.

Damit eine Nachricht die DMARC-Prüfung besteht, muss sie eine SPF-Prüfung oder eine DKIM-Prüfung bestehen, und die Domain muss mit der „From“-Zeile im Header übereinstimmen. Sollte dies nicht der Fall sein, wendet der Mailserver, der die Nachricht empfängt, eine von drei DMARC-Richtlinien an:

  • Keine Aktion (p=none): Die Nachricht wird zugestellt, und der Domain-Inhaber erhält einen DMARC-Bericht.
  • Quarantäne (p=quarantine): Die Nachricht wird als verdächtig/Junk/Spam gekennzeichnet.
  • Zurückweisen (p=reject): Die Nachricht wird blockiert.

Die meisten Unternehmen beginnen mit der DMARC-Richtlinie „Keine Aktion“, um alle legitimen Absender zu identifizieren. Wenn alle Authentifizierungsprobleme behoben sind, wird das Protokoll in der Regel so eingestellt, dass eine der beiden Richtlinien „Quarantäne“ oder „Zurückweisen“ erzwungen wird.

Sichere E-Mail-Gateways sollten DMARC erzwingen, um Anwender vor eingehenden Bedrohungen zu schützen.

Häufige Gründe für DMARC-Fehler

Die meisten DMARC-Fehler werden durch Probleme mit SPF, DKIM oder dem DMARC-Protokoll selbst verursacht. Es gibt jedoch auch Ausnahmen. Im Folgenden sind die häufigsten Ursachen beschrieben.

SPF-Konfigurationsfehler oder -Fehlabgleiche

Der SPF-Datensatz muss korrekt konfiguriert sein und mit der „From“-Domain übereinstimmen. Häufige Probleme sind:

  • IP-Adressen oder Services von Absendern fehlen – in Ihrem SPF-Datensatz wurde autorisierte Absender nicht eingetragen.
  • Nachrichten bestehen die SPF-Prüfung, der Abgleich schlägt jedoch fehl – die SMTP-Absender-Domain stimmt nicht mit der angezeigten „From“-Domain überein.
  • SPF-Syntaxfehler oder Überschreitung des Abfrage-Limits – der SPF-Datensatz überschreitet das Limit von 10 DNS-Abfragen oder enthält ungültige Syntax.

DKIM-Konfigurationsfehler

DKIM-Probleme entstehen oft durch Fehler bei der Einrichtung oder Veränderungen von Nachrichten nach der Signierung. Häufig ist Folgendes die Ursache:

  • Falscher oder fehlender DKIM-Selektor – der empfangende Server kann den korrekten öffentlichen Schlüssel nicht finden.
  • Nachricht wurde nach der Signierung verändert – Mailinglisten, Fußzeilen oder Man-in-the-Middle-Angriffe verändern Header und Nachrichteninhalte.
  • Domain-Abweichungen – die „d=“-Domain in der DKIM-Signatur stimmt nicht mit der „From“-Domain überein.

Weiterleitungen und Mailinglisten

Durch das Weiterleiten von Nachrichten verliert die Authentifizierung häufig ihre Gültigkeit – selbst wenn der ursprüngliche Absender korrekt konfiguriert ist. Zu den Herausforderungen gehören:

  • Weiterleitungen, die SPF oder DKIM ungültig machen – weitergeleitete E-Mails kommen oft von einer nicht gelisteten IP-Adresse oder verlieren ihre Signaturgültigkeit.
  • Mailinglisten, die Nachrichten verändern – Änderungen von Betreffs, das Hinzufügen von Fußzeilen oder das Umschreiben von Headern führen dazu, dass die DKIM-Signaturen ihre Gültigkeit verlieren.

E-Mail-Dienste von Drittanbietern

Darüber hinaus kann die DMARC-Authentifizierung auch einfach deshalb fehlschlagen, weil ein neuer Service hinzugefügt wurde, ohne den DNS-Eintrag entsprechend anzupassen. Häufig passiert Folgendes:

  • Externe Anbieter werden nicht zum SPF- oder DKIM-Datensatz hinzugefügt – Marketing-, CRM- oder Transaktionssysteme erhalten somit keine Autorisierung.
  • Neue Services werden ohne DNS-Anpassungen eingebunden – legitime Absender bestehen Prüfung erst dann, wenn die SPF- und DKIM-Datensätze angepasst wurden.

Lücken in DMARC-Richtlinien und -Berichten

Auch wenn der DMARC-Datensatz selbst Probleme verursachen kann, bestimmt er nur die Richtlinien (das Vorgehen des Empfängers bei Fehlern) und die Berichtspflichten. Das Ergebnis „bestanden“ oder „nicht bestanden“ wird jedoch nicht überprüft. Häufig kommt es daher zu folgenden Problemen:

  • Kein DMARC-Datensatz veröffentlicht – die Empfänger können keine Richtlinie anwenden.
  • DMARC-TXT-Syntaxfehler – falsch formatierte Datensätze werden von Empfängern ignoriert.
  • Fehlende Subdomain-Richtlinien oder Berichtsadressen – Subdomain-Richtlinien (sp=none) für Subdomains oder Berichtsfelder „RUA/RUF“ wurden nicht hinterlegt.

So untersuchen Sie DMARC-Fehler

Hier ist ein praktischer Workflow, mit dem Sie schnell feststellen können, wo DMARC-Fehler auftreten.

1. Prüfen Sie zunächst die DMARC-Berichte (RUA und RUF)

DMARC-Berichte bieten Ihnen einen Überblick darüber, was mit den E-Mails Ihrer Domain geschieht.

  • Aggregierte Berichte (RUA) fassen Absender, Datenverkehrsvolumen, Erfolgs- und Fehlerquoten sowie die Ergebnisse der Abgleichprüfung für alle Anbieter zusammen und helfen Ihnen, Muster wie unbekannte Absender, nicht abgeglichenen Datenverkehr oder erhöhte Fehlerquoten zu erkennen.
  • Forensische Berichte (RUF) enthalten detaillierte Informationen auf Nachrichtenebene zu einzelnen Fehlern und helfen daher bei der Diagnose von Konfigurationsfehlern oder verdächtigen Aktivitäten.

Die Berichte werden im XML-Format bereitgestellt. Verwenden Sie daher ein DMARC-Berichtsanalyse-Tool oder eine Überwachungsplattform, um verwertbare Erkenntnisse daraus zu gewinnen.

2. Analysieren Sie die Nachrichten-Header

Mit der Header-Analyse können Sie unmittelbar bestätigen, ob ein Fehler auf einen Konfigurationsfehler im DNS-Eintrag, eine Adressenabweichung, eine fehlerhafte Signatur oder eine Veränderung der Nachricht zurückzuführen ist.

  • Rufen Sie die Rohdaten der E-Mail-Header aus Ihrem E-Mail-Client oder -Gateway ab.
  • Schauen Sie sich die Felder für die SPF-, DKIM- und DMARC-Ergebnisse an. Diese zeigen in der Regel, ob die jeweilige Prüfung erfolgreich war oder nicht, oder ob ein temporärer Fehler aufgetreten ist.

Mithilfe von Tools wie Google Admin Toolbox lassen sich wichtige Authentifizierungsergebnisse hervorheben und auftretende Fehler genau feststellen.

3. Überprüfen Sie den Abgleich mit den SPF- und DKIM-Einträgen

Selbst wenn die SPF- und DKIM-Prüfungen bestanden werden, wird die DMARC-Prüfung fehlschlagen, wenn nicht mindestens eine der beiden Datensätze mit der Domain im „From“-Header der Nachricht übereinstimmt.

Prüfen Sie folgende Daten, um sicherzustellen, dass der Absenderabgleich erfolgreich verläuft:

  • Envelope-MAIL-FROM-Domain (wird in SPF verwendet)
  • DKIM-Domain „d=“ (wird in DKIM-Signaturen verwendet)
  • „From“-Domain im Header (wird dem Empfänger angezeigt)

Diese drei Domains müssen nicht exakt übereinstimmen. Sie müssen jedoch je nach gewähltem Abgleichmodus („relaxed“ oder „strict“) unter dieselbe Hauptdomain des Unternehmens fallen. Wenn weder der SPF- noch der DKIM-Datensatz mit der „From“-Domain übereinstimmen, schlägt DMARC fehl – selbst wenn die Authentifizierung erfolgreich war.

Schritt-für-Schritt-Anleitung zur Behebung von DMARC-Fehlern

1. Überprüfen Sie Ihre SPF-Datensätze

  • Im Datensatz sollten alle autorisierten Absender und Services (Microsoft 365, Google Workspace, Marketing-Tools, CRM-Systeme, SaaS-Anbieter) enthalten sein. Tragen Sie nur die IP-Adressen ein, die im Namen Ihres Unternehmens Datenverkehr versenden.
  • Verwenden Sie ein SPF-Lookup-Tool, um die Syntax zu überprüfen, und um sicherzustellen, dass alle Mechanismen korrekt aufgelöst werden. Zudem können Sie damit prüfen, ob das DNS-Limit von 10 Lookups überschritten wurde.

2. Gleichen Sie Ihre DKIM-Einstellungen ab und testen Sie sie

  • Aktivieren Sie die DKIM-Signierung für alle Versand-Domains, über die Ihr Unternehmen E-Mails sendet.
  • Bestätigen Sie, dass die Selektordatensätze korrekt sind und prüfen Sie, ob die DKIM-Signaturen in den E-Mail-Headern ordnungsgemäß validiert werden.

3. Optimieren Sie Ihre DMARC-Richtlinie

  • Beginnen Sie mit der DMARC-Richtlinie „p=none“, um den Datenverkehr zu beobachten und Berichte zu sammeln.
  • Wechseln Sie zu „p=quarantine“, sobald alle legitimen Absender korrekt konfiguriert sind.
  • Wechseln Sie zu „p=reject“ für die vollständige DMARC-Durchsetzung und stellen Sie pct=100 ein, wenn Sie dazu bereit sind.

4. Beheben Sie Probleme mit der Weiterleitung

  • Aktivieren Sie Authenticated Received Chain (ARC), sofern es unterstützt wird, um die Gültigkeit der Authentifizierung über alle Zwischeninstanzen hinweg aufrechtzuerhalten.
  • Stellen Sie sicher, dass weitergeleitete Nachrichten die SPF-/DKIM-Signale möglichst nicht verlieren.

5. Autorisieren Sie alle Absender von Drittanbietern

  • Passen Sie die SPF- und DKIM-Einstellungen für alle Ihre E-Mail-Anbieter an.
  • Prüfen Sie regelmäßig die Versand-Domains und die Anbieter.

6. Testen und überwachen Sie die Konfiguration kontinuierlich

  • Überwachen Sie die DMARC-Konfiguration zum Beispiel mit einem Tool wie Google Admin Toolbox, um Probleme frühzeitig zu erkennen.

Häufige Ursachen und Lösungen für DMARC-Fehler

Ursache Auswirkung Lösung
Fehler beim SPF-Abgleich E-Mails werden als Spam gekennzeichnet oder als verdächtig eingestuft Autorisierte Absender in SPF-Datensätze eintragen; Abgleich mit „From“-Domain überprüfen
DKIM-Fehler Authentifizierungsfehler, die Zustellbarkeit und Vertrauen beeinträchtigen DKIM-Signierung aktivieren; Korrektheit von Selektoren prüfen; überprüfen, dass Signaturen während der Übertragung nicht verändert werden
Fehlender DMARC-Datensatz Fehlende Richtlinien oder Durchsetzung; Empfänger können Echtheit nicht überprüfen Gültigen DMARC-Datensatz mit korrekten Richtlinien und Berichtsadressen veröffentlichen
Weiterleitungsprobleme SPF/DKIM-Prüfungen schlagen fehl, wodurch Nachrichten DMARC-Prüfung nicht bestehen Wenn möglich ARC aktivieren; sicherstellen, dass DKIM-Signaturen erhalten bleiben
Drittanbieter-Services Legitime E-Mails werden wegen fehlender DNS-Anpassung nicht authentifiziert Alle externen Absender durch entsprechendes Anpassen der SPF- und DKIM-Datensätze autorisieren

 

Empfohlene Vorgehensweisen, um DMARC-Fehler künftig zu vermeiden

Mit den folgenden empfohlenen Vorgehensweisen können Sie die langfristige Funktionsfähigkeit der DMARC-Authentifizierung sicherstellen und das Risiko unerwarteter Zustellungsprobleme minimieren.

1. Richten Sie die DMARC-Überwachung gleich am ersten Tag ein

  • Aktivieren Sie die Überwachung, sobald Sie von Ihrer Domain aus E-Mails versenden, um nicht autorisierte Aktivitäten oder Konfigurationsfehler frühzeitig zu erkennen.
  • Verwenden Sie eine DMARC-Berichtsplattform, um aus XML-Berichten übersichtliche Dashboards zu generieren und eine Basislinie für den normalen Datenverkehr zu etablieren.

2. Überprüfen Sie bei der Einbindung neuer Anbieter die SPF-, DKIM- und DMARC-Datensätze erneut

Beachten Sie Folgendes, wenn Sie ein Marketing-Tool, ein CRM-System, eine Support-Plattform oder einen anderen neuen Absender einrichten:

  • Fügen Sie die Versand-IP-Adressen oder Mechanismen des Anbieters zum SPF-Datensatz hinzu.
  • Überprüfen Sie den DKIM-Schlüssel des Anbieters und stellen Sie sicher, dass die Signierung aktiviert ist.
  • Prüfen Sie, ob Ihre DMARC-Richtlinie noch immer zu Ihrer Authentifizierungsstrategie passt.

3. Verwenden Sie Subdomain-spezifische Richtlinien, um Lücken zu vermeiden

Da Angreifer häufig ungeschützte Subdomains ausnutzen, sollten Sie die folgenden Kontrollen verschärfen, um leichte Einfallstore zu schließen.

  • Wenden Sie die DMARC-Richtlinie für jede Subdomain individuell an, da die Richtlinie der Hauptdomain nicht zwangsläufig alle Subdomains abdeckt.
  • Legen Sie explizite Richtlinien für von Drittanbieter-Services verwendete Subdomains fest. Bei Bedarf bieten die Richtlinien „Quarantäne“ oder „Zurückweisen“ zusätzlichen Schutz.

4. Setzen Sie vierteljährliche DNS- und Richtlinienprüfungen an

Durch regelmäßige Überprüfungen verhindern Sie unbemerkte Konfigurationsfehler oder Infrastrukturänderungen, die sonst zu Problemen bei der E-Mail-Zustellbarkeit führen können. Überprüfen Sie Folgendes mindestens einmal im Quartal:

  • SPF-Datensätze für veraltete Einträge
  • DKIM-Schlüssel, um sie regelmäßig zu rotieren
  • DMARC-Berichte auf Anomalien oder nicht autorisierte Absender
  • Neue Subdomains oder Services, für die DNS-Datensätze angepasst werden müssen

5. Schulen Sie IT- und Marketingteams zu korrekten E-Mail-Authentifizierungsabläufen

Gut geschulte Teams erkennen Probleme frühzeitig und wissen, wie sie Konfigurationsfehler vermeiden, die die Authentifizierung beeinträchtigen können. Folgendes sollten die Teams verstehen:

  • Wie SPF, DKIM und DMARC zusammenarbeiten
  • Warum DNS-Anpassungen bei der Implementierung neuer Tools oder Kampagnen wichtig sind
  • Wie sie DMARC-Berichte lesen
  • Empfohlene Vorgehensweisen für das Anbieter-Onboarding und die Domain-Verwaltung

So kann Proofpoint Ihnen helfen

Proofpoint bietet eine Vielzahl von Services und Ressourcen, die Ihnen bei der Überprüfung und Pflege von DMARC-Datensätzen helfen:

Sind Sie bereit, Ihre E-Mail-Sicherheit zu stärken und Domain-Spoofing zu stoppen? Proofpoint unterstützt Sie bei der sicheren Implementierung und Verwaltung von DMARC.

→ Kontaktieren Sie uns, um loszulegen

Previous Blog Post
Next Blog Post