Kann jemand in eurem Namen Mails verschicken?
Der Check liest eure öffentlichen DNS-Einträge und sagt in zehn Sekunden, ob SPF, DKIM und DMARC zusammen wirklich schützen, oder nur so aussehen.
Ohne Anmeldung, mit dem fertigen Eintrag zum Kopieren.
Drei Einträge, die nur zusammen wirken
SPF
Was er festlegt: Welche Server für eure Domain senden dürfen.
Was ohne ihn passiert: Jeder Server darf in eurem Namen senden.
DKIM
Was er festlegt: Eine kryptografische Unterschrift auf jeder Mail.
Was ohne ihn passiert: Der Empfänger kann Änderungen unterwegs nicht erkennen.
DMARC
Was er festlegt: Was der Empfänger tun soll, wenn eine Mail durchfällt, und wohin die Berichte gehen.
Was ohne ihn passiert: SPF und DKIM bleiben folgenlos: Die Mail wird trotzdem zugestellt.
Warum
p=nonenichts schütztBei
p=nonebeobachtet der Empfänger nur. Gefälschte Mails stellt er trotzdem zu. Das ist als Startpunkt richtig: Man sammelt einige Wochen Berichte und sieht, welche Systeme überhaupt in eurem Namen senden. Als Dauerzustand ist es eine Attrappe. Der Weg führt überp=quarantinezup=reject, und zwar erst, wenn die Berichte zeigen, dass alle eigenen Systeme sauber durchkommen.Die Grenze von zehn Lookups bei SPF
Ein SPF-Eintrag darf beim Auswerten höchstens zehn DNS-Abfragen auslösen. Wer darüber liegt, dessen SPF gilt als fehlerhaft, und wird von manchen Empfängern komplett ignoriert. Jedes
include:zählt, und zwar samt allem, was dahinter wieder eingebunden ist. Wer Microsoft 365, ein Newslettersystem, ein CRM und einen Shop einbindet, ist schneller darüber, als er denkt. Der Check zählt rekursiv mit und zeigt den Stand an.MTA-STS und TLS-RPT: der Teil, den fast niemand einrichtet
MTA-STS erzwingt, dass eingehende Mail verschlüsselt übertragen wird; TLS-RPT sorgt dafür, dass ihr es erfahrt, wenn das scheitert. Beide sind seit Jahren Standard und bei den meisten Domains, die wir prüfen, nicht vorhanden. Sie schützen nicht gegen Fälschung, sondern gegen Mitlesen, und sie sind an einem Nachmittag eingerichtet.
Die Falle mit der Subdomain
Ein DMARC-Eintrag auf
mail.firma.deschütztfirma.denicht. Das ist uns selbst passiert: Ein Bericht zeigte 20 von 20 bestandenen Prüfungen, für eine Subdomain. Unter der Hauptdomain, unter der die Kunden uns kennen, gab es gar keinen Eintrag. Der Check prüft deshalb beides getrennt.
SPF-Check: die fünf häufigsten Fehler
Mehr als zehn DNS-Abfragen
Jedes
include:zählt, auch die, die es selbst wieder einbindet. Ab der elften Abfrage gilt der ganze Eintrag als fehlerhaft, und der Empfänger behandelt die Mail, als gäbe es kein SPF.Zwei SPF-Einträge auf derselben Domain
Ein zweiter TXT-Eintrag mit
v=spf1macht beide ungültig. Das passiert, wenn ein neuer Dienst seinen Eintrag ergänzen lässt, statt in den bestehenden aufgenommen zu werden. Alle Absender gehören in einen Eintrag.+alloder?allam EndeDamit darf jeder Server in eurem Namen senden, der Eintrag ist nur noch Dekoration. Zum Beobachten reicht
~all, für den Ernstfall gehört-allans Ende.Ein Versanddienst fehlt
Newsletter, CRM, Shop und Rechnungssoftware senden in eurem Namen. Fehlt ihr Eintrag mit
include:im SPF, landen genau diese Mails im Spam, während die Mails aus dem Postfach durchkommen. Die DMARC-Berichte zeigen, welcher Dienst betroffen ist.Tippfehler und Altlasten
Ein Include des Hosters von vor drei Jahren, eine
ip4:-Angabe mit falscher Maske, ein Leerzeichen zu viel: Der Eintrag gilt dann als fehlerhaft, ohne dass jemand es merkt. Was die drei Einträge im Zusammenspiel leisten, erklärt der Beitrag SPF, DKIM und DMARC erklärt.
Wie man umstellt, ohne Mail zu verlieren
SPF vervollständigen
Alle Systeme aufnehmen, die in eurem Namen senden: Mailserver, Newsletter, Shop, Ticketsystem, Buchhaltung. Danach die Zahl der Lookups prüfen.
DKIM aktivieren
Bei jedem sendenden System einzeln. Microsoft 365 und Google Workspace bringen es mit, Newslettersysteme meist auch. Es muss nur eingeschaltet und der Schlüssel im DNS hinterlegt werden.
DMARC mit p=none und Berichtsadresse anlegen
Ab hier laufen Berichte ein. Zwei bis vier Wochen sammeln, bevor irgendetwas verschärft wird.
Berichte auswerten
Sie zeigen, wer in eurem Namen sendet, auch die Systeme, die niemand mehr auf dem Schirm hatte. Jedes davon muss in SPF oder DKIM stehen, bevor es weitergeht.
Auf p=quarantine, dann auf p=reject
Erst wenn die Berichte über mehrere Wochen sauber sind. Wer diesen Schritt vorzieht, verliert echte Mail, und merkt es an den Rechnungen, die nicht ankommen.
Häufige Fragen zu DMARC
Ist der DMARC-Check wirklich kostenlos?
Ja, ohne Anmeldung und ohne E-Mail-Adresse. Wir fragen nur die Domain ab. Der Check kostet uns ein paar DNS-Abfragen, dafür eine Adresse zu verlangen, wäre kein fairer Tausch.
Speichert ihr meine Domain?
Nein. Die Prüfung läuft im Arbeitsspeicher und wird nicht protokolliert. Was nicht gespeichert wird, kann auch nicht abfließen.
Was ist der Unterschied zwischen SPF, DKIM und DMARC?
SPF legt fest, welche Server für deine Domain senden dürfen. DKIM unterschreibt jede Mail kryptografisch, damit der Empfänger Änderungen erkennt. DMARC verbindet beides und sagt dem Empfänger, was er tun soll, wenn eine Mail durchfällt, und schickt dir Berichte darüber. Ohne DMARC bleiben SPF und DKIM folgenlos.
Mein DMARC steht auf p=none. Reicht das?
Nein. Bei p=none wird nur beobachtet: Gefälschte Mails werden trotzdem zugestellt. p=none ist die richtige Einstellung für die ersten Wochen, um Berichte zu sammeln. Als Dauerzustand schützt es nicht.
Warum findet ihr keinen DKIM-Eintrag, obwohl wir DKIM nutzen?
DKIM liegt unter einem Selektornamen, den man nicht erraten kann. Wir prüfen zwölf verbreitete Selektoren von Microsoft 365, Google Workspace, IONOS und anderen. Findet der Check keinen, heißt das nicht, dass kein DKIM existiert, nur, dass es unter einem eigenen Namen liegt.
Kann ich mir beim Umstellen die eigene Mail zerschießen?
Ja, wenn man p=reject setzt, bevor alle sendenden Systeme in SPF und DKIM stehen. Genau deshalb ist die Reihenfolge wichtig: erst p=none mit Berichten, dann die Berichte auswerten, dann p=quarantine, dann p=reject. Wer das abkürzt, verliert Rechnungen und Newsletter.
Was kostet es, wenn ihr das einrichtet?
Für eine Domain mit überschaubarer Systemlandschaft liegt der Aufwand im niedrigen dreistelligen Bereich, inklusive Berichtsauswertung über die ersten Wochen. Nach einem kurzen Blick auf eure aktuellen Einträge nennen wir eine verbindliche Zahl.
Lieber machen lassen als selbst basteln?
p=reject sicher steht. Kein Mailverlust unterwegs.Zum Weiterlesen: SPF, DKIM und DMARC: was die drei wirklich tun und E-Mail-Spoofing: wie Fremde in eurem Namen schreiben.