DMARC-Aggregat-Reports richtig auswerten
Aggregat-Reports im Conbool-Dashboard auswerten: Sendequellen erkennen, SPF- und DKIM-Alignment prüfen und legitime von verdächtigen Absendern trennen.
Aggregat-Reports sind maschinenlesbare XML-Dateien, die im Postfach kaum auszuwerten sind. DMARC Reports verdichtet sie zu Charts, Sendequellen-Listen und konkreten Empfehlungen.
Was ein Aggregat-Report enthält
Mailprovider senden je Tag einen Sammelbericht an die rua-Adresse. Er zählt je Sendequelle, wie viele Nachrichten DMARC bestanden haben und wie viele durchgefallen sind. Conbool bündelt diese Werte zur Erfolgsrate und stellt den Verlauf, eine geografische Verteilung und die Trennung nach eingehend und ausgehend dar.
Sendequellen erkennen
Jede sendende Server-IP wird nach Volumen, Land und Typ eingeordnet. Die Klassifizierung unterscheidet unter anderem App- und Newsletter-Dienste, E-Mail-Anbieter, Weiterleitungen und Gateways von unbekannten Quellen. So lässt sich schnell klären, ob eine neue IP ein legitimer Dienst oder ein Spoofing-Versuch ist.
Sendequellen mit SPF- und DKIM-Status.
SPF- und DKIM-Alignment prüfen
Die Authentifizierungs-Übersicht schlüsselt die Nachrichten nach SPF und DKIM auf:
- Beide bestanden: SPF und DKIM sind auf die Absenderdomäne ausgerichtet. Eigene, legitime Mailströme.
- Nur SPF: häufig fehlt ein DKIM-Selector im DNS oder ein Forwarder hat die Nachricht verändert.
- Nur DKIM: der sendende Server fehlt oft im SPF-Record oder die Envelope-Adresse weicht ab.
- Beide nicht bestanden: typischer Spoofing-Verdacht, den eine Policy ab
p=quarantineabfängt.
Die Grundlagen dazu erklärt SPF und DKIM als Grundlage von DMARC.
Empfehlungen und Alerts
Bei über 14 Tage stabiler Erfolgsrate schlägt Conbool die Anhebung auf p=quarantine oder p=reject vor. Weitere Empfehlungen melden einen Einbruch der Erfolgsrate, unbekannte Sendequellen, unsignierte eigene Mails oder wiederholte Spoofing-Versuche. Kritische Ereignisse gehen sofort als E-Mail an die konfigurierten Empfänger, eine Zusammenfassung wahlweise täglich, wöchentlich oder monatlich.
Die Frequenz der Benachrichtigung lässt sich unter Einstellungen im Bereich DMARC Reports zudem benutzerdefiniert nach Wochentag und Uhrzeit planen, mit auswählbaren Wochentagen und bis zu vier Uhrzeiten je Tag. Denselben Zeitplan nutzt die MailGuard-Quarantäne.
Weiter
Sobald die Reports sauber sind, folgt die gestaffelte Policy-Migration. Den passenden DMARC-Record erstellen ist die Voraussetzung. Den eingehenden Schutz vor Spoofing übernimmt MailGuard.