Fehlerbehebung

1. „SPF pass, aber DMARC fail"

Ursache: SPF hat für die Return-Path-Domain bestanden, aber diese Domain ist nicht aligned mit der From:-Domain.

Lösung: Konfigurieren Sie den Sendedienst, einen benutzerdefinierten Return-Path zu verwenden, der mit Ihrer From:-Domain übereinstimmt (oder im Relaxed-Modus eine Subdomain davon).

2. „DKIM pass, aber DMARC fail"

Ursache: DKIM hat für die signierende Domain (d=) bestanden, aber diese Domain ist nicht aligned mit der From:-Domain.

Lösung: Konfigurieren Sie den Sendedienst, mit Ihrer Domain zu signieren: d=ihredomain.com statt d=dienstanbieter.com.

3. „Sowohl SPF als auch DKIM fehlgeschlagen"

Mögliche Ursachen:

• Nicht autorisierter Absender (Spoofing) — genau dafür ist DMARC konzipiert
• Legitimer Absender nicht im SPF konfiguriert und ohne DKIM
• E-Mail-Weiterleitung hat sowohl SPF (neue Sende-IP) als auch DKIM (Body verändert) gebrochen

4. „SPF permerror / temperror"

Ursache: SPF Record hat Syntaxfehler oder überschreitet das 10-Lookup-Limit.

Lösung: Validieren Sie Ihren SPF Record, reduzieren Sie DNS Lookups (verwenden Sie ip4/ip6 statt include wo möglich) und prüfen Sie auf mehrere SPF Records.

5. „Hohe Fehlerquote bei Mailinglisten"

Ursache: Mailinglisten (Google Groups, Mailman usw.) schreiben Header um, was DKIM bricht, und leiten von eigenen IPs weiter, was SPF bricht.

Lösung: Dies ist eine bekannte Einschränkung. Erwägen Sie die Verwendung von ARC (Authenticated Received Chain) oder akzeptieren Sie, dass Mailinglisten-E-Mails DMARC nicht bestehen. Einige Listen unterstützen mittlerweile ARC, um die Authentifizierung bei Weiterleitung zu bewahren.

6. „Reports zeigen disposition=none trotz p=reject"

Ursache: Das Feld disposition zeigt, was der Empfänger tatsächlich getan hat, nicht was Ihre Policy vorschreibt. Einige Empfänger wenden lokale Overrides an (z.B. basierend auf Reputation). Außerdem bedeutet pct < 100, dass nur ein Prozentsatz der fehlschlagenden E-Mails die Policy angewendet bekommt.

Gehen Sie bei der Untersuchung eines DMARC-Fehlers systematisch vor:

1. Source IP identifizieren — Wer hat die E-Mail gesendet? Verwenden Sie Reverse DNS und WHOIS.
2. Prüfen, ob es ein legitimer Absender ist — Gehört diese IP zu einem Dienst, den Sie nutzen?
3. SPF prüfen:
   • Ist der Sendedienst in Ihrem SPF Record enthalten?
   • Ist die Return-Path-Domain aligned mit Ihrer From:-Domain?
   • Sind Sie unter dem 10-Lookup-Limit?
4. DKIM prüfen:
   • Signiert der Sendedienst mit Ihrer Domain?
   • Ist der DKIM Public Key im DNS veröffentlicht?
   • Wurde der E-Mail-Body während der Übertragung verändert?
5. DMARC Alignment prüfen:
   • Stimmt die authentifizierte Domain (SPF/DKIM) mit der From:-Domain überein?
   • Verwenden Sie Relaxed oder Strict Alignment?
6. Testen: Senden Sie eine Test-E-Mail und prüfen Sie die Header auf Authentifizierungsergebnisse.