Was ist ein DMARC-Eintrag? Einrichtung, Beispiele, Nutzen

Die E-Mail ist der beliebteste Kommunikationskanal zwischen Unternehmen und Zielmarkt. Es überrascht daher nicht, dass sie das Hauptziel von Hackern ist. Laut aktuellen Studien ist sie an mehr als 90 % aller Netzwerkangriffe beteiligt, die für Organisationen wie für Kunden enorme finanzielle Verluste verursachen.

Um die Lage zu entschärfen und Phishing und Spoofing zu verhindern, setzen zahlreiche Unternehmen auf Authentifizierungsprotokolle, die die Schwachstellen von E-Mails beheben sollen. Die zwei verbreitetsten und vertrauenswürdigsten Standards im Netz haben wir bereits besprochen: SPF und DKIM. Jetzt ist es Zeit zu verstehen, was ein DMARC-Eintrag ist, der die Vorteile beider Sicherheitstechnologien nutzt und sie sogar erweitert, indem er Werkzeuge für Rückmeldungen aus dem E-Mail-Ökosystem bereitstellt.

Also: Was ist DMARC und warum ist es für E-Mails wichtig?

Was ist DMARC?

Bevor wir zum DMARC-Eintrag und zu den Grundlagen der Einrichtung kommen, ist es entscheidend zu verstehen, was DMARC überhaupt ist.

Domain-based Message Authentication, Reporting & Conformance, kurz DMARC, ist ein kostenloses Protokoll zur E-Mail-Authentifizierung. Sein Hauptziel ist es, die Domain davor zu schützen, für Hackerangriffe missbraucht zu werden, darunter Spoofing, Phishing und Betrug per E-Mail.

Wie bereits erwähnt, ist es wegen des erschreckenden Ausmaßes an Cyberkriminalität entstanden. Laut aktuellen Statistiken gilt:

• mehr als 35 % aller Phishing-Angriffe weltweit entfielen auf Webmail-Dienste und SaaS;
• jedes zweite Unternehmen weltweit war im vergangenen Jahr Ziel eines Ransomware-Angriffs;
• Phishing-Angriffe verursachen ein Viertel aller Datenlecks.

Das Starke an DMARC ist, dass es das Maximum aus den Protokollen SPF und DKIM herausholt und deren Mechanismen erweitert, damit die Authentifizierung präzise und wirksam wird. Mit DMARC formuliert der Inhaber der Domain eine Policy über DNS-Einträge. Festlegen lässt sich zum Beispiel:

• welche Domains E-Mails im Namen der Organisation versenden dürfen;
• welche Schlüssel zum Signieren und Validieren von E-Mails genutzt werden;
• was ISPs mit E-Mails tun sollen, die nicht von autorisierten Domains stammen oder den DKIM-Test und den DMARC-Test nicht bestehen.

Das ist noch nicht alles. Der wichtigste Vorteil von DMARC ist, dass es anders als SPF und DKIM eine Reporting-Spezifikation ist. Mit eingerichtetem DMARC kann der empfangende Mailserver einen Bericht über gescheiterte Nachrichten zurückschicken. Er ist in zwei Formaten verfügbar: als aggregierter Bericht und als forensischer Bericht.

Vereinfacht gesagt enthalten die aggregierten Berichte Informationen zur „Report-Domain“ sowie eine XML-Datei mit den E-Mails, die die Prüfung nicht bestanden haben. Forensische Berichte sind Fehlerberichte mit Details zu Nachrichten, die an SPF, DKIM oder an beidem scheitern. Zusammen zeigen sie, wie deine E-Mails sich durch das Ökosystem bewegen und welche Stellen deine E-Mail-Domain nutzen.

DMARC erledigt drei wesentliche Dinge:

• E-Mail-Nachrichten verifizieren, also prüfen, ob sie authentifiziert und legitim sind.
• Anweisungen geben, was mit unrechtmäßigen E-Mail-Nachrichten geschehen soll.
• Berichte erzeugen und zurückschicken, damit der Absender Spoofing auf seiner Seite bekämpfen kann.

Wegen dieses erweiterten Authentifizierungsmechanismus halten die meisten ISPs DMARC für ein sehr wirksames Protokoll und nutzen es, um die Echtheit des Absenders zu bestimmen. Anhand der DMARC-Ergebnisse entscheiden ISPs, ob eine E-Mail alle Hürden passiert und im Posteingang landet, ob sie im Spam-Ordner landet oder ob sie abgewiesen und als schädliche Bedrohung gemeldet wird.

Wachstumsrate von Malware-Infektionen laut Purplesec

Was ist ein DMARC-Eintrag?

Der DMARC-Eintrag ist das Herzstück des Sicherheitsstandards DMARC. Er ist ein DNS-TXT-Eintrag, der dem empfangenden Mailserver (ISPs, Gmail, Yahoo und so weiter) Anweisungen gibt, was mit Nachrichten geschehen soll, nachdem die SPF- und DKIM-Einträge und der DMARC-Test geprüft wurden. Er kennt drei zentrale Policies:

• None. Überwacht den Traffic, ohne weitere Maßnahmen.
• Quarantine. Schickt E-Mails, die DMARC nicht bestehen, in den Spam-Ordner.
• Reject. Weist alle nicht autorisierten E-Mails ab.

Gibt es keinen DMARC-Eintrag, zieht die empfangende Seite ihre eigenen Schlüsse darüber, was mit der Nachricht passiert.

Außerdem gilt: Selbst wenn eine E-Mail die DMARC-Prüfung besteht, kann sie trotzdem abgewiesen werden, weil ISPs weitere Faktoren berücksichtigen. Steht zum Beispiel die IP-Adresse des Absenders auf einer Blacklist, werden alle Nachrichten abgewiesen, unabhängig von DMARC, und in unseren Tests tauchen 3 % der versendenden IPs auf einer IP-Blacklist auf. Das ist also ein reales Risiko, das du neben deiner DMARC-Einrichtung im Blick behalten solltest.

Was steht in einem DMARC-Eintrag?

Der DMARC-Eintrag ist ein abgewandelter DNS-TXT-Eintrag. Er folgt einem festen Format und einer festen Syntax und besteht aus Tags mit Namen und zugehörigem Wert. Es gibt Pflicht-Tags und optionale Tags. Sehen wir uns die gängigsten an:

• „v“ gibt die Version des DMARC-Protokolls an. In der Regel ist das „DMARC1“. Für die Einrichtung ist es ein Muss: Fehlt die Angabe, überspringt die empfangende Seite die DMARC-Prüfung.
• „p“ gibt die Policy an. Sie kommt in drei Varianten:
  • None. Bedeutet, dass mit gescheiterten Nachrichten nichts passiert.
  • Quarantine. Bedeutet, dass gescheiterte Nachrichten im Spam-Ordner landen.
  • Reject. Bedeutet, dass alle gescheiterten Nachrichten blockiert werden.
• „sp“ gibt die Policy für die Subdomain an. Beachte: Du kannst für die Hauptdomain und für Subdomains unterschiedliche Policies festlegen. Wichtig ist außerdem, dass eine Subdomain einen eigenen DMARC-Eintrag veröffentlichen kann. Er wird vor dem der Hauptdomain geprüft.
• „pct“ gibt an, auf welchen Prozentsatz der „gescheiterten“ E-Mails die Policy angewendet wird.
• „rua“ legt fest, wohin die Berichte über die Nachrichten geschickt werden. Du kannst mehrere Adressen für Berichte hinterlegen.
• „adkim=“ gibt die Art des Ausrichtungstests an, also des Alignments. Es gibt zwei Optionen: „s“ für strict und „r“ für relaxed.

Ein üblicher DMARC-Eintrag sieht so aus:

v=DMARC1; p=reject; rua=mailto:dmarc_reports@your_domain_name.com

Wichtig zu wissen: DMARC kann die in DKIM festgelegte Policy überschreiben. Das ist in vielen Alltagssituationen praktisch. Zum Beispiel, wenn der Absender die Policy nicht auf alle Nachrichten anwenden will, sondern nur auf einen bestimmten Prozentsatz, oder wenn die Nachricht aus einer vertrauenswürdigen Quelle kam und deshalb direkt im Posteingang landen soll.

Wie funktioniert DMARC?

Das Erste, was du über den Ablauf von DMARC wissen musst: Mindestens ein Authentifizierungsprotokoll (SPF oder DKIM) muss aktiv sein. Außerdem muss der DMARC-Eintrag eingerichtet sein.

Der Ablauf hinter DMARC ist recht einfach und geradlinig, ähnlich wie bei SPF und DKIM. Gehen wir die wichtigsten Phasen durch:

• Schritt 1: Nach dem Empfang der E-Mail prüft der Mailserver, ob ein DMARC-Eintrag existiert.
• Schritt 2: Wird der DMARC-Eintrag gefunden, startet der Server die Protokolle SPF und DKIM, um die E-Mail auf Rechtmäßigkeit zu prüfen und festzustellen, ob die Domain E-Mails im Namen des Absenders versenden darf und ob die E-Mail signiert ist.
• Schritt 3: Nach den SPF- und DKIM-Tests startet der Server einen „Ausrichtungstest“, das Alignment, um zentrale Punkte zu prüfen:
  • ob die Domain in „From:“ mit der Domain im „return-path“ übereinstimmt, falls SPF im Einsatz ist;
  • ob die Domain des Absenders mit der Domain übereinstimmt, von der die E-Mail versendet wurde, falls DKIM im Einsatz ist.

Die Anforderungen an die Ausrichtung gibt es in zwei Varianten.

1. Die erste ist strict. Das bedeutet, dass die Domains exakt übereinstimmen müssen.
2. Die zweite ist relaxed. Das bedeutet, dass nur die Basis-Domains exakt übereinstimmen müssen, unterschiedliche Subdomains sind also erlaubt.

• Schritt 4: Die empfangende Seite entscheidet, ob die DMARC-Prüfung erfolgreich ist. Der DMARC-Test gilt als bestanden, wenn das Authentifizierungsprotokoll (entweder SPF oder DKIM) erfolgreich ist und der zugehörige Ausrichtungstest ebenfalls bestanden wird.
  • Ist der DMARC-Test erfolgreich, darf der empfangende Server die E-Mail durchlassen.
  • Scheitert der DMARC-Test, holt sich der empfangende Server die Anweisungen für gescheiterte Nachrichten aus den DMARC-Einträgen.
• Schritt 5: Der empfangende Mailserver erzeugt einen Bericht und schickt ihn zurück. Er enthält die Ergebnisse der DMARC-Prüfung und aggregierte Daten zu den gescheiterten Checks.

Beachte: Auch wenn DMARC ein hoch angesehenes Authentifizierungsprotokoll ist, heißt das nicht, dass ISPs seine Anweisungen ohne Vorbehalt befolgen. ISPs berücksichtigen zahlreiche Faktoren, bevor sie endgültig entscheiden. Trotzdem sendet DMARC dem empfangenden Server ein starkes Signal über das Schicksal der Nachricht.

DMARC-Infografik

Schwächen des DMARC-Eintrags

DMARC hat sich als sehr wirksam erwiesen, trägt aber weiterhin einige Schwachstellen mit sich. Sehen wir uns die offensichtlichsten an:

• Die DMARC-Einrichtung bekämpft nicht alle Phishing-Angriffe. Ursprünglich war sie darauf ausgelegt, direktes Spoofing zu blockieren.
• Die DMARC-Einrichtung kann weder Angriffe über ähnlich aussehende Domains (Cousin Domains) noch den Missbrauch des Anzeigenamens verhindern.
• DMARC kann auch dann als bestanden gelten, wenn eines der Authentifizierungsprotokolle scheitert. Zum Beispiel scheitern SPF und der zugehörige Ausrichtungstest, aber DKIM und sein Ausrichtungstest bestehen. In diesem Fall gilt DMARC trotzdem als bestanden.
• DMARC lässt sich auf eigene Faust nur schwer einrichten. Es empfiehlt sich dringend, Assistenten zu nutzen, denn schon kleinste Fehler in der Konfiguration können drastische Folgen haben.
• DMARC wurde nicht für die Cloud-Ära geschaffen. Unternehmen, die Cloud-Dienste nutzen, stoßen deshalb möglicherweise an Grenzen.
• Die DMARC-Einrichtung ist nicht ganz einfach zu verwalten, auch wenn das Prinzip simpel ist. Für die Auswertung der Berichte brauchst du zum Beispiel ein eigenes Werkzeug, denn sie sind für Maschinen gemacht, nicht für Menschen.

Allzu viele Einschränkungen hat DMARC nicht. Die meisten lassen sich abfedern. Wichtig ist aber: DMARC erbt auch einige Schwächen von SPF und DKIM, weil es auf diesen Protokollen aufbaut. Für einen umfassenden Schutz musst du also jede Lücke schließen.

Warum ist der DMARC-Eintrag für E-Mails wichtig?

Trotz seiner Schwächen bringt der DMARC-Eintrag Organisationen klare Vorteile. Dieses Authentifizierungsprotokoll auszurollen wird wegen dieser Vorteile immer wichtiger. Genau hier bleiben viele Absender zurück: Unter den Domains, die wir testen, veröffentlichen 58 % inzwischen eine DMARC-Policy, 42 % haben aber immer noch gar keine. Ein sauber konfigurierter Eintrag bringt dich also vor einen großen Teil des Feldes.

• Mit einer DMARC-Einrichtung bekämpfen Internet Service Provider schädliche E-Mail-Praktiken effizient.
• Die DMARC-Einrichtung bewahrt Kunden vor der Flut schädlicher Newsletter oder Viren.
• Die DMARC-Einrichtung hilft ISPs dabei, Hacker besser zu erkennen.
• DMARC liefert einen Authentifizierungsbericht und schafft so eine transparente Verbindung zwischen Unternehmen und Endnutzer, weil sichtbar wird, wer von der Domain des Inhabers E-Mails versendet.
• DMARC-Einträge helfen dabei, False Positives zu minimieren.
• DMARC bekämpft die unbefugte Nutzung deiner E-Mail-Domain.
• Der DMARC-Eintrag stärkt die Reputation. Dazu gehört, deine Absender-Reputation und deine Markenreputation zu verbessern, was die Position deines Unternehmens im Markt festigt.
• Die DMARC-Einrichtung macht das gesamte E-Mail-Ökosystem sicherer und vertrauenswürdiger.
• DMARC verbessert die E-Mail-Zustellbarkeit, die eine entscheidende Rolle dabei spielt, gute Öffnungsraten und Conversion-Raten zu erreichen.

Wie richtest du einen DMARC-Eintrag ein?

Für die Einrichtung eines DMARC-Eintrags sind mehrere Schritte nötig. Gehen wir sie durch

Schritt 1: SPF und DKIM ausrollen.

Sind SPF und DKIM schon eine Weile aktiv, kannst du zu Schritt 2 springen. Hast du diese Standards gerade erst eingeführt, musst du mindestens 48 Stunden warten. Diese Verzögerung ist nötig, damit die Änderungen im DNS wirksam werden.

Beachte: Du kannst einen DMARC-Eintrag auch ohne SPF und DKIM definieren. Empfohlen ist das allerdings nicht, denn DMARC bewirkt dann nichts. Es wäre sinnlos.

Außerdem ist es wichtig, SPF und DKIM zu prüfen, damit sie wie vorgesehen funktionieren.

Schritt 2: Einen DMARC-Eintrag erstellen.

Zwei Tag-Wert-Paare sind in jedem DMARC-Eintrag Pflicht: „v“ (Version) und „p“ (Policy). Alles andere ist optional.

Wie bereits erwähnt, sollte das Tag „v“ den Wert „DMARC1“ haben. Bei „p“ entscheidest du, was mit E-Mails passiert, die die Authentifizierung nicht bestehen. Wähle aus drei Optionen: none, quarantine oder reject.

Außerdem empfiehlt es sich dringend, das Tag „rua“ zu ergänzen, damit der empfangende Server Berichte zurückschicken kann. Wenn du die Syntax nicht von Hand schreiben möchtest: Unser kostenloser DMARC-Record-Generator baut dir einen gültigen Eintrag, sobald du deine Policy und die Adresse für die Berichte gewählt hast.

An diesem Punkt sieht ein einfacher DMARC-Eintrag zum Beispiel so aus:

v=DMARC1; p=none; rua="mailto:reports@your_domain_name.com"

Wenn du diesen Eintrag erweitern willst, kannst du gerne weitere Tags nutzen.

Schritt 3: Den DMARC-Eintrag im DNS hinterlegen

Jeder Hosting-Anbieter hat einen eigenen Assistenten, der Unternehmen dabei hilft, DMARC-Einträge im DNS zu hinterlegen. Du musst nicht alles selbst machen. Diese Assistenten haben meist praktische, intuitive Oberflächen, um DMARC-Einträge zu ergänzen und sogar einen zu erstellen, indem du einfach die nötigen Tags auswählst und die passenden Werte einträgst.

Folge diesem einfachen Ablauf:

• Melde dich bei deinem Domain-Registrar an.
• Suche im Control Panel die DNS-Einstellungen und klicke auf die Option zum Verwalten oder Konfigurieren.
• Suche die Option „Add a New Record“.
• Klicke darauf und wähle einen „TXT“-Eintrag.
• Trage dort deinen DMARC-Eintrag ein.

Schritt 4: Warten, bis die Änderungen greifen.

Wie bei SPF und DKIM dauert es bis zu 48 Stunden oder auch länger (je nach Hosting-Anbieter), bis der DMARC-Eintrag greift.

Infografik: E-Mail-Betrug mit DMARC verhindern

Schritt 5: Den DMARC-Eintrag validieren

Ähnlich wie bei DKIM, wo ISPs schon den kleinsten Syntaxfehler als Betrugssignal werten, kann ein Fehler im DMARC-Eintrag fatal sein. Er sollte also sauber sein.

Obendrein ist die Einrichtung von DMARC erst der Anfang der Reise. Es ist entscheidend, die Konfiguration von DMARC, SPF und DKIM regelmäßig zu testen, damit die festgelegten Policies keine legitimen E-Mails blockieren. Sehen wir uns ein paar gute Werkzeuge an, mit denen du den DMARC-Eintrag prüfst.

Werkzeuge zum Prüfen des DMARC-Eintrags

Mehrere bekannte Werkzeuge prüfen, ob ein DMARC-Eintrag gültig ist:

• Unspam. Unspam führt verschiedene Tests mit deiner E-Mail durch und liefert einen ausführlichen Bericht zu ihrem Zustand und ihrer Wirkung. Dort findest du Details zu deinem DMARC-Eintrag und zu möglichen Fehlern, die du beheben musst.
• DMARC Record Checker. Der Inspector prüft, ob der Eintrag gültig ist und ob er Syntaxfehler enthält.
• DMARC Check Tool. Dieses Lookup für DMARC-Einträge führt eine Reihe von Diagnosetests durch und zeigt die Ergebnisse in einer übersichtlichen Tabelle.
• DMARC-Check. Dieser Dienst macht zwei Dinge. Erstens validiert er den Eintrag, damit sicher ist, dass er funktioniert. Zweitens erzeugt er anhand deiner Parameter einen DMARC-Eintrag.
• Phishing Scorecard Tool von Dmarcian. Wenn du dich fragst, wer DMARC nutzt, um herauszufinden, ob die Domains deiner Lieblingsmarken phishing-sicher sind, ist das der Startpunkt für deine Suche.

Unspam.email

Sehen wir uns ein paar Best Practices für den Schutz mit DMARC an.

• Beginne mit den Optionen relaxed und quarantine und arbeite dich erst danach zu einem strengen Regime vor.
• Nutze höchstens zwei verschiedene Zieladressen für Berichte, denn Mailbox-Provider schicken Berichte an nicht mehr als zwei.
• Führe nicht mehrere RUA- und RUF-Angaben auf.
• Bei einer großen Organisation oder vielen Subdomains ist eine automatisierte DMARC-Implementierung besser, weil sie das Protokoll effizient skaliert.
• Nutze einen eigenen Dienst für DMARC-Monitoring, um die Informationen auszuwerten, denn aggregierte und forensische Berichte sind maschinenlesbar. Falls du dich gerade nach einem umsiehst: Unser Überblick über die besten EasyDMARC-Alternativen vergleicht die Optionen nach Preis und Tiefe der Berichte.

Fazit

DMARC ist eines der stärksten Authentifizierungsprotokolle und hat seine Tauglichkeit und Wirksamkeit über die Jahre bewiesen. Es geht nicht nur darum, E-Mails zu validieren und nicht autorisierte abzuweisen. Es geht darum, die Anstrengungen von Absendern und Empfängern zu koordinieren und beide in eine starke Position zu bringen, um Spoofing- und Phishing-Angriffe zu bekämpfen.

Auch wenn DMARC ein mächtiges Werkzeug ist, bleibt es ein Teamplayer und kein Einzelkämpfer. Als Vertreter des mehrschichtigen Ansatzes sollte es mit anderen Sicherheitstechnologien kombiniert werden, um optimalen Schutz zu bieten und Unternehmen davor zu bewahren, Geld an digitale Bedrohungen zu verlieren, die Firmen weltweit jedes Jahr Milliarden Dollar kosten.