Wer im DMARC-Eintrag eine Berichtsadresse nennt, erhält von den großen Empfängersystemen täglich Post: komprimierte XML-Dateien, eine je Empfänger und Tag. Gelesen werden sie selten. Dabei beantworten sie eine einfache Frage: Wer sendet im Namen Ihrer Domäne, und besteht diese Mail die Prüfungen?
Die drei Teile eines Berichts
Ein Aggregate-Report besteht aus drei Blöcken.
report_metadata nennt den Absender des Berichts, etwa einen großen Postfachanbieter, und den Zeitraum, meist 24 Stunden.
policy_published zeigt die Richtlinie, die der Empfänger in Ihrem DNS vorgefunden hat: die Domäne, p und sp für Subdomänen, dazu adkim und aspf für die Strenge der Ausrichtung.
record ist der eigentliche Inhalt. Jeder Eintrag fasst die Nachrichten einer Quelle zusammen.
Was in einem record steht
source_ip: die Adresse des sendenden Servers.count: wie viele Nachrichten von dort im Zeitraum kamen.policy_evaluated: das Ergebnis aus Sicht von DMARC, getrennt nachdkimundspf, sowiedisposition, also was der Empfänger mit der Mail getan hat.header_from: die sichtbare Absenderdomäne.auth_results: die Rohergebnisse. Bei DKIM stehen dort die signierende Domäne und der Selektor, bei SPF die geprüfte Domäne.
Wichtig ist der Unterschied zwischen den beiden letzten Blöcken. In auth_results kann SPF bestanden sein, während policy_evaluated für SPF einen Fehlschlag meldet. Dann war die Prüfung technisch erfolgreich, die geprüfte Domäne passt aber nicht zur sichtbaren Absenderdomäne. Für DMARC zählt nur das ausgerichtete Ergebnis.
Drei Muster, die Sie erkennen sollten
- Eigene Systeme, beides bestanden. So soll es aussehen.
- Bekannter Dienst, nur eines oder keines bestanden. Ein Newsletter-Werkzeug oder Ticketsystem sendet in Ihrem Namen, ist aber nicht fertig eingerichtet. Hier fehlt meist die DKIM-Signatur mit Ihrer Domäne.
- Unbekannte Quelle, nichts bestanden. Entweder ein vergessenes System oder ein Missbrauch Ihrer Domäne. Der DKIM-Selektor und der Rückwärtseintrag der Adresse helfen bei der Zuordnung.
Warum die Auswertung von Hand scheitert
Ein einzelner Bericht ist lesbar. Die Schwierigkeit liegt in der Menge: Dutzende Dateien am Tag, jede mit eigenen Zeiträumen, dieselbe Quelle verteilt über viele Berichte. Erst zusammengeführt entsteht ein Verlauf, an dem sich ablesen lässt, ob eine schärfere Richtlinie tragfähig ist.
Tipp: Prüfen Sie zuerst, ob Ihr Eintrag überhaupt eine Berichtsadresse trägt, die jemand auswertet. Häufig steht dort noch die Adresse eines früheren Anbieters.
Fazit
DMARC-Berichte sind die einzige verlässliche Quelle dafür, welche Systeme Ihre Domäne als Absender verwenden. Wie Conbool sie einliest, Quellen zuordnet und Empfehlungen ableitet, zeigt die Lösungsseite DMARC-Monitoring.