DMARC-Berichte lesen und verstehen
Täglich landen XML-Dateien im dmarc-Postfach — was steht da eigentlich drin? Aufbau der Berichte, die wichtigen Felder und woran Sie Handlungsbedarf erkennen.
Wer DMARC mit einer rua-Adresse gesetzt hat, bekommt Post: Gmail, Microsoft, Yahoo und viele andere schicken meist täglich einen Sammelbericht darüber, welche Server Mails mit Ihrer Domain im Absender eingeliefert haben und wie die Prüfungen ausgingen. Die Berichte kommen als ZIP- oder GZIP-Datei mit einer XML-Datei darin — unhandlich, aber der einzige vollständige Blick darauf, wer in Ihrem Namen sendet.
Der Aufbau in Kürze
Jeder Bericht enthält einen Kopf (wer berichtet, welcher Zeitraum, welche Richtlinie er bei Ihnen gesehen hat) und dann je Absenderquelle einen record-Block. Die drei Angaben, die zählen, stehen in jedem record:
- source_ip: der Server, der die Mails eingeliefert hat — plus count, wie viele es waren.
- policy_evaluated: wie SPF und DKIM aus DMARC-Sicht ausgingen (pass/fail) und welche disposition der Empfänger angewandt hat (none, quarantine, reject).
- auth_results: die Details — welche Domain SPF bestanden hat, welcher DKIM-Selektor signiert hat.
Die drei typischen Muster
1. Beide pass — alles gut
Ihre Mailserver und Versanddienste erscheinen mit dkim=pass und/oder spf=pass in Ausrichtung zu Ihrer Domain. Das ist der Normalzustand, den Sie sehen wollen.
2. Bekannte Quelle, aber fail — reparieren
Eine IP gehört erkennbar zu einem Ihrer Dienste (Newsletter, Shop), fällt aber durch — meist fehlt dessen DKIM oder der SPF-include. Das sind die Funde, für die die Beobachtungsphase da ist: reparieren, BEVOR die Richtlinie verschärft wird.
3. Fremde Quellen mit fail — der Ernstfall arbeitet
Unbekannte Server aus aller Welt, die mit Ihrer Domain durchfallen, sind Fälschungsversuche oder Weiterleitungen. Bei p=reject steht daneben disposition=reject — dann sehen Sie dem Schutz bei der Arbeit zu. Kein Grund zur Sorge, im Gegenteil: Genau dafür ist DMARC da.
Praktisch auswerten
Von Hand lohnt sich das Öffnen einzelner Berichte nur für Stichproben. Bei mehr als einer Handvoll Domains oder Quellen nimmt man ein Auswertungswerkzeug, das die XML-Dateien einsammelt und je Quelle verdichtet. Wichtig ist weniger das Werkzeug als die Routine: In der Einführungsphase wöchentlich hineinsehen, nach dem Umstieg auf reject genügt ein gelegentlicher Blick.
Häufige Fragen
Ich bekomme gar keine Berichte — warum?
Häufigste Gründe: Die rua-Adresse ist falsch geschrieben, das Postfach dahinter existiert nicht, oder die Adresse liegt auf einer FREMDEN Domain ohne Freigabe-Eintrag (externe Berichtsadressen brauchen einen Bestätigungs-TXT auf der Empfängerdomain). Und: Berichte kommen erst, wenn tatsächlich jemand Mails mit Ihrer Domain verschickt hat.
Was ist der Unterschied zwischen rua und ruf?
rua sind die täglichen Sammelberichte — die wollen Sie. ruf wären Einzelfall-Berichte zu jeder durchgefallenen Mail; die meisten Empfänger verschicken sie aus Datenschutzgründen gar nicht mehr. rua genügt.
Muss ich die Berichte aufheben?
Es gibt keine Pflicht dazu. Praktisch reicht es, den ausgewerteten Stand zu kennen; ein paar Wochen Rückbehalt helfen höchstens beim Nachvollziehen eines Vorfalls.