DMARC-Aggregatberichte lesen und sicher auf p=reject umstellen

DMARC-Aggregatberichte sind XML-Dateien, die Mailbox-Anbieter Ihnen meist einmal täglich senden und die jede Quelle auflisten, die Mails im Namen Ihrer Domain versendet hat, und ob sie SPF, DKIM und Alignment bestanden hat. Mit ihrer Hilfe finden Sie jeden legitimen Absender, beheben die fehlschlagenden und entdecken, wer Ihre Domain fälscht, sodass Sie von p=none auf p=reject umstellen können, ohne echte Mails zu blockieren.

Die Kurzfassung

1. Berichte anfordern. Fügen Sie Ihrem DMARC-Eintrag eine rua-Adresse hinzu, solange die Richtlinie p=none ist.
2. Warten und sammeln. Sammeln Sie zwei bis vier Wochen Berichte, einschließlich eines eventuellen monatlichen Versands.
3. Quellen einordnen. Markieren Sie jede Quell-IP als legitim und im Alignment, legitim aber fehlschlagend oder unbekannt.
4. Fehlerhaftes beheben. Geben Sie jedem legitimen Dienst eine DKIM-Signatur oder einen Return-Path im Alignment.
5. Schrittweise durchsetzen. Quarantäne mit niedrigem Prozentsatz, dann steigern, dann auf reject umstellen.

Der DMARC-Eintrag, der Berichte anfordert

_dmarc.example.com.  3600  IN  TXT  "v=DMARC1; p=none; rua=mailto:dmarc-reports@example.com; adkim=r; aspf=r"

Berichte an eine andere Domain senden

Wenn die rua-Adresse auf einer anderen Domain liegt als die, über die berichtet wird, muss diese andere Domain einen Eintrag veröffentlichen, der dies erlaubt. Andernfalls senden Anbieter keine Berichte. Für Berichte über example.com, die an reports.example.net gehen:

example.com._report._dmarc.reports.example.net.  3600  IN  TXT  "v=DMARC1"

Was in einem Bericht steht

Berichte kommen als Anhang, meist mit gzip oder zip komprimiert. Wenn Sie einen öffnen, finden Sie drei Teile: Informationen über den Absender des Berichts, die Richtlinie, die der Anbieter gefunden hat, und eine Liste von Zeilen, je eine pro Kombination aus Quell-IP und Ergebnis.

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <report_id>1234567890</report_id>
    <date_range><begin>1759708800</begin><end>1759795199</end></date_range>
  </report_metadata>
  <policy_published>
    <domain>example.com</domain><adkim>r</adkim><aspf>r</aspf><p>none</p><pct>100</pct>
  </policy_published>
  <record>
    <row>
      <source_ip>203.0.113.10</source_ip>
      <count>1250</count>
      <policy_evaluated><disposition>none</disposition><dkim>pass</dkim><spf>pass</spf></policy_evaluated>
    </row>
    <identifiers><header_from>example.com</header_from></identifiers>
    <auth_results>
      <dkim><domain>example.com</domain><selector>mail1</selector><result>pass</result></dkim>
      <spf><domain>bounce.example.com</domain><result>pass</result></spf>
    </auth_results>
  </record>
</feedback>

Ordnen Sie jede Quelle einer von drei Gruppen zu

So identifizieren Sie eine Quelle

• Reverse DNS: dig -x 203.0.113.10 +short nennt oft den Anbieter.
• Authentifizierungsdomains: Die SPF- und DKIM-Domains in auth_results verraten meist den Dienst.
• Ihr eigenes Inventar: Listen Sie jedes Tool auf, das in Ihrem Domainnamen sendet: Marketingplattform, Helpdesk, CRM, Abrechnungssystem, Website-Formulare, HR-Tools und Server.
• Volumen und Muster: Eine kleine, stetige Menge von einem bekannten Dienst ist normal; ein plötzlicher Schub von einer unbekannten IP ist verdächtig.

Berichte mit einem kurzen Skript zusammenfassen

Für einen ersten Überblick über einen Ordner mit entpackten Berichten summiert dieses Skript die Nachrichten nach Quell-IP und DMARC-Ergebnis:

import glob
import xml.etree.ElementTree as ET
from collections import defaultdict

totals = defaultdict(int)
for path in glob.glob("reports/*.xml"):
    for rec in ET.parse(path).getroot().iter("record"):
        row = rec.find("row")
        ip = row.findtext("source_ip")
        ev = row.find("policy_evaluated")
        key = (ip, ev.findtext("dkim"), ev.findtext("spf"))
        totals[key] += int(row.findtext("count"))

for (ip, dkim, spf), n in sorted(totals.items(), key=lambda x: -x[1]):
    print(f"{ip:18} dkim={dkim:5} spf={spf:5} messages={n}")

Alignment-Fehler beheben

Schrittweise zur Durchsetzung übergehen

Sobald die legitimen Quellen im Alignment sind und nur unbekannte Quellen durchfallen, erhöhen Sie die Richtlinie allmählich. Warten Sie bei jeder Stufe mindestens eine Woche und lesen Sie die Berichte, bevor Sie weitergehen.

Nach p=reject weiter überwachen

• Prüfen Sie wöchentlich zu Beginn, später monatlich. Neue Tools, die in Ihrem Domainnamen senden, erscheinen als Fehler.
• Ergänzen Sie einen Schritt im Onboarding: Jedes neue System, das E-Mails in Ihrem Domainnamen versendet, wird authentifiziert, bevor es live geht.
• Schützen Sie geparkte Domains: Veröffentlichen Sie p=reject und einen leeren SPF-Eintrag auf Domains, von denen Sie nicht senden.
• Achten Sie auf BIMI-Bereitschaft: Eine durchgesetzte DMARC-Richtlinie ist Voraussetzung, wenn Ihr Logo später im Posteingang erscheinen soll.

Weiterführende Lektüre und Quellen

• RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC)
• dmarc.org: DMARC overview
• Google: DMARC einrichten
• RFC 8617: The Authenticated Received Chain (ARC)
• Verwandte Leitfäden: Absenderdomain authentifizieren und Anforderungen an Massenversender.