DMARC: wer in Ihrem Namen sendet (Pro)

Jeden Tag schicken die großen E-Mail-Anbieter Berichte darüber, wer in Ihrem Namen gesendet hat und ob diese Post sich als Ihre ausweisen konnte. Diese DMARC-Berichte kommen als gepacktes XML in einem Postfach an — und werden deshalb in der Praxis nie gelesen. Mail Log sammelt sie ein, packt sie aus und beantwortet daraus eine Frage: Ist das noch unser Versand?

Was ein Bericht beantwortet — und was nicht

Ein Bericht sagt: „Von dieser IP-Adresse kamen im Laufe des Tages 42 Nachrichten mit Ihrer Domain im Absender. 40 davon konnten sich ausweisen, 2 nicht.“ Er sagt nicht, ob die Post gelesen wurde, und er nennt keine Empfänger und keine Betreffs — ein Aggregatbericht enthält Zahlen, keine Nachrichten.

„Sich ausweisen“ heißt dabei: Die Nachricht trug eine gültige DKIM-Unterschrift Ihrer Domain oder kam von einem Server, den Ihr SPF-Eintrag erlaubt. Eines von beiden genügt. Deshalb ist eine weitergeleitete Nachricht kein Problem: Die Weiterleitung bricht SPF, die Unterschrift bleibt heil.

Einrichten: drei Schritte

1. Den Rückkanal einrichten. Die Berichte kommen in dasselbe Postfach wie die Unzustellbarkeitsmeldungen. Wie Sie es hinterlegen, steht im Kapitel Rückkanal. Ohne den Postfachabruf kommt nichts an.
2. Die Berichtsadresse im DNS eintragen. In Ihrem DMARC-Eintrag gibt es dafür den Teil rua=mailto:…. Hier bestimmen Sie, wohin die Berichte gehen — anders als bei den Unzustellbarkeitsmeldungen, deren Adresse der Versand vorgibt. Tragen Sie die Adresse des Postfachs ein, das Mail Log abruft. Den fertigen Eintrag zeigt Ihnen die Domain-Gesundheit.
3. Die Auswertung einschalten. Optionen → Rückkanal → DMARC-Berichte → Berichte auswerten.

Die Seite DMARC

Die Seite liest sich von oben nach unten als eine Antwort in drei Stufen. Ganz oben steht, wann das Postfach zuletzt abgerufen wurde und wann es wieder geschieht. Mit Jetzt abholen holen Sie neue Berichte sofort, ohne auf den nächsten geplanten Lauf zu warten. Danach lädt die Seite neu. Derselbe Knopf steht auf der Seite Rückmeldungen und in den Optionen: Beide lesen dasselbe Postfach in einem Lauf.

Die Zahlen

Kennzahl	Was sie sagt
Bestanden – eigener Versand	Der Anteil derIhrer eigenen Nachrichten, die sich ausweisen konnten. Das ist die eine Zahl, die man im Blick behält.
Nachrichten

Wie viele NachrichtenServer, die BerichteSie insgesamtals beschreibenfremd markiert haben, zählen nicht mit — nicht,ein wieFälscher vielesoll BerichteIhre eingegangenQuote sind.nicht drücken. Aussortiert – eigener Versand Was der Empfänger von Ihrer eigenen Post in den Spam-Ordner gelegt oder abgewiesen hat. StehtHier hiersollte eine ZahlNull überstehen. Null,Fremde hatServer Wie viele Nachrichten von Servern kamen, die Sie als fremd markiert haben, und wie viele davon der Empfänger aussortiert hat. Ist das der größte Teil, wirkt Ihre Richtlinie bereits gewirkt.Richtlinie. Absender-Server Wie viele verschiedene Server im Zeitraum in Ihrem Namen gesendet haben, und wie viele davon noch unbeurteilt sind.sind, und wie viele Nachrichten die Berichte insgesamt beschreiben.

Unter welchem Wert die Quote als auffällig gilt, stellen Sie in den Optionen ein (Warnen unter … Prozent bestanden, ab Werk 95). Hundert Prozent sind kein sinnvoller Wert: Eine einzige weitergeleitete Nachricht reißt sie.

Steht Ihre Richtlinie noch auf none, sagt die Seite das in einem eigenen Hinweis: Die Empfänger melden dann nur und sortieren nichts aus. Besteht Ihr eigener Versand zuverlässig, ist quarantine der nächste Schritt — den fertigen Eintrag zeigt die Domain-Gesundheit.

Der Verlauf zeigt Ihren eigenen Versand je Tag: grün, was bestanden hat, rot, was nicht, und rechts daneben Menge und Anteil.

Wer in Ihrem Namen sendet

Die zweite Liste ist die eigentliche Arbeit. Sie zeigt jeden Server, der Post mit Ihrer Domain verschickt hat, mit Menge, bestandenem Anteil und — soweit auflösbar — seinem Namen. Bekannte Versanddienste erkennt Mail Log und beschriftet sie. In der Spalte Nachweis steht für DKIM und SPF je ein Haken oder ein Kreuz: bestanden oder nicht.

Jede Zeile bekommt von Ihnen ein Urteil:

Urteil.

Woran DasSie sindes wirerkennen: —Bestehen kann nur ein Server, der in Ihrem AuftragSPF-Eintrag sendet:steht oder mit Ihrem DKIM-Schlüssel unterschreibt — und beides legen allein Sie fest. Besteht seine Post vollständig, ist er also fast sicher Ihrer. Fällt sie durch, hilft der Name: Gehört er zu Ihrem Hoster, Ihrem Mailanbieter oder einem Dienst, den Sie nutzen (Newsletter, Shop, CRM)? Dann ist es Ihr Hoster,Versand. Kennen Sie ihn nicht, ist er fremd. Die Spalte Einschätzung nimmt Ihnen das Lesen ab: Sie sagt je Server, was die Nachweise nahelegen, und der naheliegende Knopf ist ausgefüllt. Die Entscheidung bleibt bei Ihnen. UrteilWas es bewirkt Das sind wir Der Server zählt zu Ihrem Versand und damit in die Quote. Besteht seine Post nicht vollständig, erscheint oben ein Hinweis, und die Einschätzung nennt den fehlenden Eintrag — SPF, DKIM oder beide. Fremd Der Server zählt nicht mehr in Ihre Quote, sondern unter Fremde Server. Dass seine Post durchfällt, ist dann gut: DMARC erkennt die Fälschung. Besteht sie trotzdem, meldet die Seite das — Ihr Newsletter-Dienst,SPF-Eintrag oder Ihr Ticketsystem.Schlüssel lässt diesen Server zu, und der Eintrag ist zu weit gefasst. FremdZurücknehmen Wieder offen. Offene Server zählen zu Ihrem Versand, bis Sie etwas anderes sagen — jemand,ein derDurchfaller Ihrensoll Namenauffallen benutzt,und ohnenicht dazuverschwinden. berechtigt zu sein. Zurücknehmen — wieder offen, wenn Sie sich geirrt haben. Das Urteil gehört Ihnen und bleibt erhalten, auch wenn die Berichte, aus denen die Adresse stammt, längst der Aufbewahrung zum Opfer gefallen sind. Ein eigener Dienst mit roter Quote ist der häufigste Fund. Er bedeutet fast nie einen Angriff, sondern einen fehlenden Eintrag: Der Newsletter-Dienst steht nicht in Ihrem SPF-Eintrag, oder sein DKIM-Schlüssel ist nicht veröffentlicht. BeidesMarkieren zeigtSie Ihnenihn mit Das sind wir; die Einschätzung sagt dann, was fehlt, und die Domain-Gesundheit mitzeigt demden fertigen Eintrag zum Kopieren. Server als CSV in der Werkzeugleiste lädt diese Liste herunter — alle Server im eingestellten Zeitraum, nicht nur die ersten fünfzig, die die Seite zeigt. Je Zeile: Adresse, Rückwärtsname, erkannter Dienst, Menge, bestanden, Anteil in Prozent, per DKIM und per SPF bestanden, Urteil (own, foreign, open), Einschätzung und zuletzt gesehen (UTC). Eine Zeile je Server, nicht je Berichtszeile: Dieselbe Quelle steht in jedem Tagesbericht wieder. Die Berichte Zuletzt die Liste der eingegangenen Berichte: Zeitraum, Berichtender, Domain, Menge, Quote und die veröffentlichte Richtlinie.Richtlinie — wer mit der Maus darauf zeigt, liest, was sie bewirkt. Über XML laden Sie das Originaldokument herunter — für den Fall, dass eine Zahl seltsam aussieht und jemand nachsehen will, was der Anbieter wirklich geschrieben hat. Was Mail Log mit den Berichten sonst noch tut Selektoren übernehmen. Ein Bericht nennt, mit welchem DKIM-Selektor Ihr Versand unterschreibt. Mail Log merkt sich die nachweislich funktionierenden und prüft sie in der Domain-Gesundheit von selbst mit — Sie müssen sie nicht eintragen. Im regelmäßigen Bericht. Quote und die Zahl der unbeurteilten Quellen stehen im Wochen- beziehungsweise Monatsbericht, wenn Sie ihn eingeschaltet haben. Im Dashboard. Ein Streifen mit Quote und offenen Quellen. Dashboard und Bericht rechnen die Quote genauso wie die Seite: nur über Ihren eigenen Versand, ohne die als fremd markierten Server. Aufbewahrung Zwei Fristen, weil es zwei verschiedene Dinge sind: Die ausgewerteten Zahlen bleiben ab Werk ein Jahr — so lässt sich die Frage „war das im letzten Sommer schon so?“ beantworten. Das Originaldokument bleibt drei Monate; es wird selten gebraucht und nur kurz. Danach bleibt der Bericht in der Liste stehen, nur ohne Anhang. Aufgeräumt wird von der Wartungsroutine Alte Log-Einträge aufräumen, die ohnehin läuft. Wenn nichts ankommt Die Seite sagt Ihnen, woran es liegt — sie unterscheidet vier Fälle: die Auswertung ist aus, der Postfachabruf ist aus, es gibt keine geplante Aufgabe, oder der Aufgabenplaner der Website läuft überhaupt nicht. Steht dort kein Hinweis und die Seite ist trotzdem leer, dann prüfen Sie den rua=-Teil Ihres DMARC-Eintrags: Zeigt er wirklich auf das Postfach, das Mail Log abruft? Berichte fremder Domains. Mail Log legt jeden Bericht ab, den es findet, und nennt in der Liste die Domain, um die es geht. Wenn dort eine Domain auftaucht, die Ihnen nicht gehört, hat jemand Ihre Adresse als Berichtsadresse eingetragen — ärgerlich, aber harmlos. Der Domain-Filter blendet sie aus. English version