DMARC ist der einzige der drei Einträge, der etwas anordnet. SPF und DKIM liefern nur Anhaltspunkte; DMARC sagt dem Empfänger, was er mit einer Nachricht tun soll, die Ihren Namen trägt, aber weder von einem freigegebenen Server kommt noch gültig unterschrieben ist (RFC 7489).
Das macht ihn wirksam – und riskant. Wer sofort auf die schärfste Stufe geht, weist unter Umständen eigene Nachrichten ab, die über einen vergessenen Dienst laufen. Deshalb führt man DMARC in Stufen ein.
Stufe 1: Beobachten
Der Eintrag beginnt mit der Anweisung, nichts zu tun, aber Berichte zu schicken
(p=none mit einer Berichtsadresse). Für Ihre Zustellung ändert sich damit nichts. Was
sich ändert: Die Empfänger schicken Ihnen täglich eine Übersicht darüber, welche Server
in Ihrem Namen versendet haben und ob deren Nachrichten die Prüfungen bestanden haben.
Nach zwei bis vier Wochen haben Sie eine belastbare Liste. Fast immer stehen darin Dienste, an die niemand mehr gedacht hat – ein altes Ticketsystem, der Versand aus der Warenwirtschaft, ein Newsletter-Werkzeug aus einer Kampagne von vor drei Jahren.
Wichtig: Ein DMARC-Eintrag ohne Berichtsadresse ist die schlechteste aller Varianten. Er ordnet nichts an und liefert nichts – er sieht nur aus, als wäre etwas eingerichtet.
Stufe 2: Aufräumen
Jeder Dienst aus den Berichten, der wirklich für Sie versendet, gehört in die SPF-Freigabe oder bekommt einen eigenen DKIM-Schlüssel. Jeder Dienst, den Sie nicht mehr nutzen, wird abgeschaltet.
Achten Sie dabei auf die Grenze von zehn Abfragen, die SPF beim Prüfen setzt: Wer nur weitere Dienste hinzufügt, überschreitet sie irgendwann, und dann ist der ganze Eintrag für den Empfänger fehlerhaft. In diesem Fall ist DKIM der bessere Weg, weil es die Grenze nicht belastet.
Stufe 3: Anordnen
Erst wenn die Berichte über mehrere Wochen nur noch Nachrichten zeigen, die die Prüfungen
bestehen, stellen Sie die Anweisung um: zunächst auf "in den Spam-Ordner"
(p=quarantine), später auf "abweisen" (p=reject).
Manche gehen den Zwischenschritt über einen Prozentsatz, der zunächst nur einen Teil der Nachrichten der neuen Regel unterwirft. Das ist möglich, verlängert aber die Zeit, in der Sie zwei Verhaltensweisen gleichzeitig beobachten müssen. Ein Prozentsatz von null ist dagegen sinnlos: Er sieht aus wie eine Regel, greift aber bei keiner einzigen Nachricht.
Was oft übersehen wird
Subdomains. Ohne eigene Angabe gilt Ihre Regel auch für alle Subdomains. Das ist meistens richtig so – nur versendet manchmal ein Portal oder ein Shop von einer Subdomain, an die niemand gedacht hat.
Der Eintrag der übergeordneten Domain. Fehlt für Ihre Domain ein eigener Eintrag, greift unter Umständen die Regel der übergeordneten Domain. Dann gilt für Sie etwas, das jemand anderes entschieden hat.
Die Berichte selbst. Sie kommen als XML-Dateien, mehrere pro Tag, von jedem größeren Empfänger einzeln. Ohne Auswertung liegen sie ungelesen im Postfach – und dann bringt auch die erste Stufe nichts.
Unser Domain-Check sagt Ihnen, auf welcher Stufe Sie gerade stehen, ob eine Berichtsadresse hinterlegt ist und ob die Regel wirklich greift.