DMARC: wer in Ihrem Namen sendet (Pro)

Jeden Tag schicken die großen E-Mail-Anbieter Berichte darüber, wer in Ihrem Namen gesendet hat und ob diese Post sich als Ihre ausweisen konnte. Diese DMARC-Berichte kommen als gepacktes XML in einem Postfach an — und werden deshalb in der Praxis nie gelesen. Mail Log sammelt sie ein, packt sie aus und beantwortet daraus eine Frage: Ist das noch unser Versand?

Was ein Bericht beantwortet — und was nicht

Ein Bericht sagt: „Von dieser IP-Adresse kamen im Laufe des Tages 42 Nachrichten mit Ihrer Domain im Absender. 40 davon konnten sich ausweisen, 2 nicht.“ Er sagt nicht, ob die Post gelesen wurde, und er nennt keine Empfänger und keine Betreffs — ein Aggregatbericht enthält Zahlen, keine Nachrichten.

„Sich ausweisen“ heißt dabei: Die Nachricht trug eine gültige DKIM-Unterschrift Ihrer Domain oder kam von einem Server, den Ihr SPF-Eintrag erlaubt. Eines von beiden genügt. Deshalb ist eine weitergeleitete Nachricht kein Problem: Die Weiterleitung bricht SPF, die Unterschrift bleibt heil.

Einrichten: drei Schritte

1. Den Rückkanal einrichten. Die Berichte kommen in dasselbe Postfach wie die Unzustellbarkeitsmeldungen. Wie Sie es hinterlegen, steht im Kapitel Rückkanal. Ohne den Postfachabruf kommt nichts an.
2. Die Berichtsadresse im DNS eintragen. In Ihrem DMARC-Eintrag gibt es dafür den Teil rua=mailto:…. Hier bestimmen Sie, wohin die Berichte gehen — anders als bei den Unzustellbarkeitsmeldungen, deren Adresse der Versand vorgibt. Tragen Sie die Adresse des Postfachs ein, das Mail Log abruft. Den fertigen Eintrag zeigt Ihnen die Domain-Gesundheit.
3. Die Auswertung einschalten. Optionen → Rückkanal → DMARC-Berichte → Berichte auswerten.

Die Seite DMARC

Die Seite liest sich von oben nach unten als eine Antwort in drei Stufen. Ganz oben steht, wann das Postfach zuletzt abgerufen wurde und wann es wieder geschieht. Mit Jetzt abholen holen Sie neue Berichte sofort, ohne auf den nächsten geplanten Lauf zu warten. Danach lädt die Seite neu. Derselbe Knopf steht auf der Seite Rückmeldungen und in den Optionen: Beide lesen dasselbe Postfach in einem Lauf.

Die Zahlen

Kennzahl	Was sie sagt
Bestanden – eigener Versand	Der Anteil Ihrer eigenen Nachrichten, die sich ausweisen konnten. Das ist die eine Zahl, die man im Blick behält. Server, die Sie als fremd markiert haben, zählen nicht mit — ein Fälscher soll Ihre Quote nicht drücken.
Aussortiert – eigener Versand	Was der Empfänger von Ihrer eigenen Post in den Spam-Ordner gelegt oder abgewiesen hat. Hier sollte eine Null stehen.
Fremde Server	Wie viele Nachrichten von Servern kamen, die Sie als fremd markiert haben, und wie viele davon der Empfänger aussortiert hat. Ist das der größte Teil, wirkt Ihre Richtlinie.
Absender-Server	Wie viele verschiedene Server im Zeitraum in Ihrem Namen gesendet haben, wie viele davon noch unbeurteilt sind, und wie viele Nachrichten die Berichte insgesamt beschreiben.

Unter welchem Wert die Quote als auffällig gilt, stellen Sie in den Optionen ein (Warnen unter … Prozent bestanden, ab Werk 95). Hundert Prozent sind kein sinnvoller Wert: Eine einzige weitergeleitete Nachricht reißt sie.

Steht Ihre Richtlinie noch auf none, sagt die Seite das in einem eigenen Hinweis: Die Empfänger melden dann nur und sortieren nichts aus. Besteht Ihr eigener Versand zuverlässig, ist quarantine der nächste Schritt — den fertigen Eintrag zeigt die Domain-Gesundheit.

Der Verlauf zeigt Ihren eigenen Versand je Tag: grün, was bestanden hat, rot, was nicht, und rechts daneben Menge und Anteil.

Wer in Ihrem Namen sendet

Die zweite Liste ist die eigentliche Arbeit. Sie zeigt jeden Server, der Post mit Ihrer Domain verschickt hat, mit Menge, bestandenem Anteil und — soweit auflösbar — seinem Namen. Bekannte Versanddienste erkennt Mail Log und beschriftet sie. In der Spalte Nachweis steht für DKIM und SPF je ein Haken oder ein Kreuz: bestanden oder nicht.

Jede Zeile bekommt von Ihnen ein Urteil. Woran Sie es erkennen: Bestehen kann nur ein Server, der in Ihrem SPF-Eintrag steht oder mit Ihrem DKIM-Schlüssel unterschreibt — und beides legen allein Sie fest. Besteht seine Post vollständig, ist er also fast sicher Ihrer. Fällt sie durch, hilft der Name: Gehört er zu Ihrem Hoster, Ihrem Mailanbieter oder einem Dienst, den Sie nutzen (Newsletter, Shop, CRM)? Dann ist es Ihr Versand. Kennen Sie ihn nicht, ist er fremd.

Die Spalte Einschätzung nimmt Ihnen das Lesen ab: Sie sagt je Server, was die Nachweise nahelegen, und der naheliegende Knopf ist ausgefüllt. Die Entscheidung bleibt bei Ihnen.

Urteil	Was es bewirkt
Das sind wir	Der Server zählt zu Ihrem Versand und damit in die Quote. Besteht seine Post nicht vollständig, erscheint oben ein Hinweis, und die Einschätzung nennt den fehlenden Eintrag — SPF, DKIM oder beide.
Fremd	Der Server zählt nicht mehr in Ihre Quote, sondern unter Fremde Server. Dass seine Post durchfällt, ist dann gut: DMARC erkennt die Fälschung. Besteht sie trotzdem, meldet die Seite das — Ihr SPF-Eintrag oder Ihr Schlüssel lässt diesen Server zu, und der Eintrag ist zu weit gefasst.
Zurücknehmen	Wieder offen. Offene Server zählen zu Ihrem Versand, bis Sie etwas anderes sagen — ein Durchfaller soll auffallen und nicht verschwinden.

Das Urteil gehört Ihnen und bleibt erhalten, auch wenn die Berichte, aus denen die Adresse stammt, längst der Aufbewahrung zum Opfer gefallen sind.

Server als CSV in der Werkzeugleiste lädt diese Liste herunter — alle Server im eingestellten Zeitraum, nicht nur die ersten fünfzig, die die Seite zeigt. Je Zeile: Adresse, Rückwärtsname, erkannter Dienst, Menge, bestanden, Anteil in Prozent, per DKIM und per SPF bestanden, Urteil (own, foreign, open), Einschätzung und zuletzt gesehen (UTC). Eine Zeile je Server, nicht je Berichtszeile: Dieselbe Quelle steht in jedem Tagesbericht wieder.

Die Berichte

Zuletzt die Liste der eingegangenen Berichte: Zeitraum, Berichtender, Domain, Menge, Quote und die veröffentlichte Richtlinie — wer mit der Maus darauf zeigt, liest, was sie bewirkt. Über XML laden Sie das Originaldokument herunter — für den Fall, dass eine Zahl seltsam aussieht und jemand nachsehen will, was der Anbieter wirklich geschrieben hat.

Was Mail Log mit den Berichten sonst noch tut

• Selektoren übernehmen. Ein Bericht nennt, mit welchem DKIM-Selektor Ihr Versand unterschreibt. Mail Log merkt sich die nachweislich funktionierenden und prüft sie in der Domain-Gesundheit von selbst mit — Sie müssen sie nicht eintragen.
• Im regelmäßigen Bericht. Quote und die Zahl der unbeurteilten Quellen stehen im Wochen- beziehungsweise Monatsbericht, wenn Sie ihn eingeschaltet haben.
• Im Dashboard. Ein Streifen mit Quote und offenen Quellen.
• Dashboard und Bericht rechnen die Quote genauso wie die Seite: nur über Ihren eigenen Versand, ohne die als fremd markierten Server.

Aufbewahrung

Zwei Fristen, weil es zwei verschiedene Dinge sind: Die ausgewerteten Zahlen bleiben ab Werk ein Jahr — so lässt sich die Frage „war das im letzten Sommer schon so?“ beantworten. Das Originaldokument bleibt drei Monate; es wird selten gebraucht und nur kurz. Danach bleibt der Bericht in der Liste stehen, nur ohne Anhang. Aufgeräumt wird von der Wartungsroutine Alte Log-Einträge aufräumen, die ohnehin läuft.

Wenn nichts ankommt

Die Seite sagt Ihnen, woran es liegt — sie unterscheidet vier Fälle: die Auswertung ist aus, der Postfachabruf ist aus, es gibt keine geplante Aufgabe, oder der Aufgabenplaner der Website läuft überhaupt nicht. Steht dort kein Hinweis und die Seite ist trotzdem leer, dann prüfen Sie den rua=-Teil Ihres DMARC-Eintrags: Zeigt er wirklich auf das Postfach, das Mail Log abruft?

English version