DMARC pct-Tag: warum Prozentschritte bei der Einführung wenig lehren

Viele Anleitungen empfehlen, DMARC in Prozentschritten einzuführen: erst pct=10, dann 25, 50 und schließlich 100. Das klingt vorsichtig. Bei näherem Hinsehen liefert es weniger Erkenntnis, als es verspricht.

Was pct bewirkt

Der Tag pct gibt an, auf welchen Anteil der Nachrichten, die DMARC nicht bestehen, der Empfänger die Richtlinie anwenden soll. Bei p=reject; pct=25 wird ein Viertel dieser Nachrichten abgewiesen, der Rest wird behandelt, als gälte die nächstmildere Stufe.

Das Problem: der Zufall je Nachricht

Der Empfänger entscheidet für jede Nachricht einzeln, ob sie in den Anteil fällt. Für einen legitimen Versanddienst, der nicht sauber authentifiziert, bedeutet das: Dieselbe Rechnung an denselben Kunden kommt heute an und morgen nicht.

Daraus lässt sich wenig lernen:

• Betroffene melden sich unregelmäßig. Ein Fehler, der nur jede vierte Nachricht trifft, wird spät und unklar gemeldet.
• Die Ursache bleibt dieselbe. Ob 10 oder 100 Prozent: Der Dienst authentifiziert nicht richtig. Der Prozentwert verkleinert den Schaden, behebt aber nichts.
• Die Berichte zeigen es ohnehin. Welche Quelle scheitert, steht bereits bei p=none in den Aggregate-Reports.

Was besser trägt

Die Richtlinie selbst bietet bereits Stufen. Der Weg von p=none über p=quarantine zu p=reject ist für jeden Absender eindeutig: In der Zwischenstufe landet nicht ausgerichtete Mail im Spam-Ordner, statt verloren zu gehen. Das ist ein Signal, das sich prüfen und beheben lässt.

Sinnvoll ist deshalb diese Reihenfolge:

1. Mit p=none beobachten, bis alle legitimen Quellen bekannt sind.
2. Jede Quelle einzeln in Ordnung bringen, bevorzugt mit einer DKIM-Signatur der eigenen Domäne.
3. Auf p=quarantine gehen, sobald jeder einzelne Tag im Beobachtungszeitraum eine hohe Quote zeigt.
4. Nach einer weiteren ruhigen Phase auf p=reject gehen.

Wann pct trotzdem vorkommt

In bestehenden Einträgen steht pct häufig noch aus einer früheren Einführung. Ein Wert unter 100 bedeutet, dass die Richtlinie nur teilweise gilt. Prüfen Sie Ihren Eintrag darauf: Eine Domäne mit p=reject; pct=10 ist deutlich schwächer geschützt, als die Richtlinie vermuten lässt.

Tipp: Wer die Stufen an der Richtlinie festmacht, braucht pct nicht. Fehlt der Tag, gilt die Richtlinie für alle Nachrichten.

Fazit

Prozentschritte verteilen das Risiko, sie erklären es nicht. Die Stufen der Richtlinie zusammen mit einer sauberen Auswertung führen verlässlicher zum Ziel. Den geführten Weg beschreibt die Lösungsseite DMARC p=reject einführen, den Aufbau des Eintrags die Anleitung DMARC Record erstellen.