Den DMARC Analyzer verstehen — Alle Werte erklärt

Oben in jedem DMARC-Report sehen Sie vier farbige Karten, die Ihnen einen sofortigen Überblick über den Zustand Ihrer E-Mail-Authentifizierung geben:

1. E-Mails gesamt (Blau)

Die Gesamtzahl der E-Mails, die Empfänger während des Berichtszeitraums für Ihre Domain verarbeitet haben. Dies umfasst alle E-Mails — sowohl legitime als auch möglicherweise gefälschte.

• Hohe Zahlen von unbekannten IPs: Könnte darauf hindeuten, dass jemand Ihre Domain fälscht (Spoofing).
• Unerwartete Spitzen: Können auf eine Phishing-Kampagne mit Ihrer Domain hinweisen.
• Niedriger als erwartet: Ihr DMARC-Record empfängt möglicherweise nicht alle Reports. Prüfen Sie Ihren rua-Tag.

2. DKIM Pass-Rate (Grün)

Der Prozentsatz der E-Mails, bei denen die DKIM-Signatur gültig und mit der "Von"-Domain ausgerichtet war. Ein DKIM-Pass bedeutet:

• Die E-Mail wurde kryptographisch von einem autorisierten Server signiert
• Die Signatur stimmt mit dem Nachrichteninhalt überein (nicht manipuliert)
• Die signierende Domain stimmt mit der "Von"-Domain überein (Alignment)

Zielwert: 95–100%. Unter 90%? Prüfen Sie, ob alle Ihre Versanddienste (Newsletter, CRM, Helpdesk) DKIM korrekt konfiguriert haben.

3. SPF Pass-Rate (Violett)

Der Prozentsatz der E-Mails, bei denen die IP des sendenden Servers durch Ihren SPF-Record autorisiert war und die Domain ausgerichtet war. SPF-Pass bedeutet:

• Die sendende IP ist in Ihrem SPF-DNS-Eintrag aufgelistet
• Die Envelope-"Mail From"-Domain stimmt mit dem "Von"-Header überein

Zielwert: 95–100%. Niedrigere Raten bedeuten oft, dass Sie Versanddienste haben, die nicht in Ihrem SPF-Record aufgelistet sind, oder Drittanbieter mit einer anderen Envelope-Domain senden.

4. Richtlinie (Orange)

Ihre aktuelle DMARC-Richtlinie, die Empfängern mitteilt, was mit nicht authentifizierten E-Mails zu tun ist:

• none: Nur Monitoring — keine Aktion. Gut zum Starten.
• quarantine: Verdächtige E-Mails landen im Spam-/Junk-Ordner.
• reject: Nicht authentifizierte E-Mails werden komplett blockiert. Maximaler Schutz.

Ziel: Arbeiten Sie auf p=reject hin. Starten Sie mit none, analysieren Sie Reports, beheben Sie Probleme, wechseln Sie zu quarantine und schließlich zu reject.

Die Karte "Richtliniendetails" zeigt die DMARC-Richtlinie, die zum Zeitpunkt der Report-Erstellung für Ihre Domain veröffentlicht war. Hier ist, was jedes Feld bedeutet:

Domain

Die Domain, die dieser Report abdeckt. Das ist die Domain aus Ihrem DMARC-DNS-Eintrag (_dmarc.ihredomain.de).

Richtlinie (p)

Die Haupt-DMARC-Richtlinie. Dies ist die wichtigste Einstellung:

Subdomain-Richtlinie (sp)

Richtlinie speziell für Subdomains (z.B. mail.ihredomain.de, newsletter.ihredomain.de). Wenn nicht gesetzt, gilt die Hauptrichtlinie (p) auch für Subdomains.

Best Practice: Setzen Sie sp=reject für ungenutzte Subdomains, um Subdomain-Spoofing zu verhindern.

DKIM-Ausrichtung (adkim)

Wie streng die DKIM-Signatur-Domain mit der "Von"-Domain übereinstimmen muss:

• Relaxed (r): Die DKIM-Signatur-Domain darf eine Subdomain der "Von"-Domain sein. Z.B. besteht eine Signatur von mail.beispiel.de für beispiel.de. Dies ist der Standard und für die meisten Setups empfohlen.
• Strict (s): Die DKIM-Signatur-Domain muss exakt mit der "Von"-Domain übereinstimmen. Sicherer, kann aber legitime Mail von Subdomains brechen.

SPF-Ausrichtung (aspf)

Wie streng die SPF-Domain (Envelope "Mail From") mit der "Von"-Domain übereinstimmen muss:

• Relaxed (r): Die SPF-Domain darf eine Subdomain der "Von"-Domain sein. Standard und empfohlen.
• Strict (s): Exakte Übereinstimmung erforderlich. Kann Probleme mit weitergeleiteten Mails und einigen Drittanbieter-Diensten verursachen.

Die Quell-IP-Tabelle ist das Herzstück jedes DMARC-Reports. Jede Zeile repräsentiert eine Gruppe von E-Mails von derselben Quell-IP mit denselben Authentifizierungsergebnissen. Hier ist, was jede Spalte bedeutet:

Quell-IP

Die IP-Adresse des Servers, der die E-Mails gesendet hat. Das sagt Ihnen, wer E-Mails als Ihre Domain versendet. Häufige Szenarien:

• Ihre eigene Mailserver-IP: Legitime Mail von Ihrer Infrastruktur.
• Bekannte Dienst-IPs (Google, Microsoft 365, Mailchimp, etc.): Drittanbieter, die in Ihrem Namen senden.
• Unbekannte IPs: Entweder ein Dienst, den Sie vergessen haben, oder jemand versucht Ihre Domain zu fälschen. Recherchieren Sie die IP.

Header From

Die Domain im "Von"-Header der E-Mail — das, was der Empfänger als Absender sieht. Dies sollte Ihre Domain oder eine Subdomain sein.

Anzahl

Die Anzahl der E-Mails von dieser IP mit diesem exakten Authentifizierungsergebnis. Eine hohe Anzahl von einer unbekannten IP mit fehlgeschlagenem DKIM/SPF ist ein starker Hinweis auf Spoofing oder Phishing.

Disposition (Aktion)

Was der Empfänger tatsächlich mit diesen E-Mails gemacht hat, basierend auf Ihrer DMARC-Richtlinie:

DKIM (Pass/Fail)

Ob die DKIM-Signatur der E-Mail gültig und mit Ihrer Domain ausgerichtet war:

• Pass ✓: Die E-Mail hatte eine gültige DKIM-Signatur von Ihrer Domain (oder einer ausgerichteten Subdomain).
• Fail ✗: Die DKIM-Signatur fehlte, war ungültig oder von einer Domain, die nicht mit Ihrer übereinstimmt. Häufige Ursachen: falsch konfigurierte DKIM-Schlüssel, E-Mail im Transit verändert, oder Spoofing-Versuch.

SPF (Pass/Fail)

Ob die sendende IP durch Ihren SPF-Record autorisiert war:

• Pass ✓: Die IP ist in Ihrem SPF-DNS-Eintrag aufgelistet und die Domain ist ausgerichtet.
• Fail ✗: Die IP ist NICHT in Ihrem SPF-Record, oder die Envelope-Domain stimmt nicht überein. Häufige Ursachen: neuer Dienst nicht zu SPF hinzugefügt, weitergeleitete E-Mail (bricht SPF), oder Spoofing.

Auth-Details

Detaillierte Authentifizierungsergebnisse einschließlich der spezifischen Domains und Selektoren, die für DKIM- und SPF-Prüfungen verwendet wurden. Nützlich zum Debuggen spezifischer Fehler.

Ihre DMARC-Compliance-Rate ist der Prozentsatz der E-Mails, die DKIM oder SPF (mit Alignment) bestehen. Dies ist die wichtigste Einzelmetrik im DMARC Analyzer.

Compliance-Rate Zielwerte

Das Trend-Diagramm lesen

Das Trend-Diagramm zeigt Ihre Compliance-Rate über die Zeit (7 Tage, 30 Tage, 90 Tage oder 12 Monate):

• Aufwärtstrend: Ihre Authentifizierungsverbesserungen wirken.
• Plötzliche Einbrüche: Ein neuer Dienst sendet ohne korrektes DKIM/SPF, oder eine DNS-Änderung hat Ihre Records beschädigt.
• Flache Linie bei 100%: Perfekt — alle legitime Mail ist authentifiziert.
• Spitzen im Gesamtvolumen + niedrige Compliance: Jemand führt möglicherweise eine Spoofing-Kampagne gegen Ihre Domain.

Der Weg zu p=reject

1. Woche 1–2: p=none setzen. Reports sammeln. Alle legitimen Versandquellen identifizieren.
2. Woche 3–4: DKIM und SPF für jede Versandquelle konfigurieren. Compliance-Rate beobachten.
3. Monat 2: Sobald Compliance >95%, auf p=quarantine wechseln. Überwachen ob legitime Mail im Spam landet.
4. Monat 3+: Sobald Compliance >98% und stabil, auf p=reject wechseln. Maximaler Schutz erreicht.

Forensische Reports (auch "Failure Reports" oder RUF-Reports genannt) sind detaillierte Berichte über einzelne E-Mails, die die DMARC-Authentifizierung nicht bestanden haben. Im Gegensatz zu Aggregate Reports (RUA), die zusammenfassen, liefern forensische Reports die tatsächlichen E-Mail-Details.

Was forensische Reports enthalten

• Original-E-Mail-Header: Einschließlich der gesamten Authentifizierungskette
• Von-Adresse: Der gefälschte oder falsch ausgerichtete Absender
• Betreffzeile: Hilft zu erkennen, ob es Phishing oder ein falsch konfigurierter Dienst ist
• Authentifizierungsergebnisse: Genau welche Prüfungen fehlgeschlagen sind und warum
• Sendende IP: Der Server, der die fehlgeschlagene E-Mail gesendet hat

Warum forensische Reports wertvoll sind

Während Aggregate Reports sagen "100 E-Mails von IP 1.2.3.4 haben DKIM nicht bestanden", sagen forensische Reports "hier ist die genaue E-Mail mit Betreff 'Rechnung #12345', die fehlgeschlagen ist, weil der DKIM-Selector falsch war". Das macht Debugging viel schneller.

Datenschutz-Hinweis

Nicht alle Provider senden forensische Reports wegen Datenschutzbedenken (sie enthalten E-Mail-Inhalte). Große Provider wie Google senden keine RUF-Reports. Microsoft und einige kleinere Provider schon.

Forensische Reports einrichten

Fügen Sie den ruf-Tag zu Ihrem DMARC-Record hinzu:

v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel.de; ruf=mailto:forensic@beispiel.de; fo=1

Der fo-Tag steuert, wann forensische Reports generiert werden:

• fo=0 — Nur wenn sowohl DKIM als auch SPF fehlschlagen (Standard)
• fo=1 — Wenn entweder DKIM oder SPF fehlschlägt (empfohlen — mehr Daten)
• fo=d — Wenn DKIM fehlschlägt
• fo=s — Wenn SPF fehlschlägt

Hier sind die häufigsten Muster, die Sie im DMARC Analyzer sehen werden, und wie Sie sie interpretieren:

🟢 Muster 1: Hohes Volumen, alles bestanden

Viele E-Mails von Ihrer Mailserver-IP, alle DKIM Pass + SPF Pass, Disposition "none".

Bedeutung: Ihre legitime Mail ist korrekt authentifiziert. Alles funktioniert wie erwartet.

🟡 Muster 2: Drittanbieter-Dienst scheitert bei DKIM

E-Mails von einem bekannten Dienst (z.B. Mailchimp, Freshdesk) mit DKIM Fail aber SPF Pass.

Maßnahme: DKIM-Signierung in den Einstellungen des Dienstes einrichten. Die meisten Dienste stellen einen CNAME-Record bereit, den Sie in Ihr DNS eintragen.

🟡 Muster 3: Weitergeleitete Mail scheitert bei SPF

E-Mails von Uni- oder Firmen-Weiterleitungen mit SPF Fail aber DKIM Pass.

Bedeutung: E-Mail-Weiterleitung bricht SPF, weil die IP des Weiterleitungsservers nicht in Ihrem SPF-Record steht. Das ist normal und erwartet. DKIM besteht weiterhin, da Signaturen Weiterleitungen überleben. Ihre DMARC-Compliance wird durch DKIM aufrechterhalten.

🔴 Muster 4: Unbekannte IPs, alles fehlgeschlagen

E-Mails von unbekannten IPs mit DKIM Fail + SPF Fail, oft mit hohem Volumen.

Bedeutung: Jemand fälscht (spooft) Ihre Domain! Mit p=reject werden diese E-Mails blockiert. Genau davor soll DMARC schützen.

🔴 Muster 5: Eigene IP scheitert

E-Mails von Ihrer bekannten Mailserver-IP mit DKIM- oder SPF-Fehlern.

Maßnahme: Dringender Fix nötig. Prüfen Sie Ihre DKIM-Schlüssel (abgelaufen?), SPF-Record (IP fehlt?), und DNS-Einstellungen. Dies betrifft die Zustellung Ihrer legitimen Mail.

🟠 Muster 6: Disposition "quarantine" für legitime Mail

Bekannte gute Quellen werden in Quarantäne gestellt, weil sie die Authentifizierung nicht bestehen.

Maßnahme: Reparieren Sie die Authentifizierung für diese Quellen, bevor Sie zu p=reject wechseln. Erwägen Sie vorübergehend pct=50, um die Auswirkungen zu reduzieren, während Sie Probleme beheben.