Vertrauensstellung des Zielsystems: warum umgeschriebene Links nicht im Junk landen

Der Link-Schutz schreibt URLs um, der Anhangsfilter entfernt Makros und aktive Inhalte, der Disclaimer fügt Text an. Jede dieser Änderungen bricht die DKIM-Signatur des ursprünglichen Absenders. Das ist gewollt: DKIM belegt nur, dass unterwegs nichts verändert wurde, nicht, dass der Inhalt harmlos ist. Ein Postfach hinter MailGuard bewertet die Nachricht danach aber erneut, und ohne Vertrauensstellung fällt DMARC dort auf „fail“, die Nachricht landet im Junk-Ordner.

MailGuard siegelt deshalb jede weitergeleitete Nachricht mit ARC unter arc.conbool.com und hält darin die Authentifizierungsergebnisse fest, die bei der Ankunft galten. Ob das Zielsystem dieses Siegel anerkennt, hängt von der Plattform ab.

Exchange Online

Der Exchange-Assistent unter Einstellungen richtet drei Dinge ein: den eingehenden Connector mit Bindung an das Conbool-Zertifikat, Enhanced Filtering für den vorgelagerten Hop und arc.conbool.com als vertrauenswürdigen ARC-Siegler. Damit übernimmt Exchange Online die gesiegelten Ergebnisse und wertet DMARC anhand der Original-Authentifizierung. Der Spamfilter von Microsoft läuft weiter, nur die Authentifizierung wird nicht mehr durch die Änderung entwertet.

Der Assistent lässt bestehende Siegler-Einträge unangetastet. Wer den Assistenten schon vor dem 12.06.2026 ausgeführt hat, startet ihn einmal erneut.

Google Workspace

Google Workspace kennt keine Liste vertrauenswürdiger ARC-Siegler. Der Weg führt über die Einstellung „Eingangs-Gateway“ in der Admin-Konsole unter Apps, Google Workspace, Gmail, Spam, Phishing und Malware: dort die Adresse des Conbool-Mailers eintragen, die im Domänendialog unter „Mailserver“ angezeigt wird, und „Nachrichten von diesem Gateway automatisch als nicht spamverdächtig einstufen“ eingeschaltet lassen. Gmail bewertet ARC zusätzlich nach eigener Reputation, der Gateway-Eintrag ist die verlässliche Seite.

Exchange On-Premises

Exchange 2016 wertet fremde ARC-Siegel nicht aus, Exchange 2019 ab CU13 liest sie, erzwingt sie aber nicht. Der Vertrauensweg ist der Empfangsconnector: die Adresse des Conbool-Mailers als einzige Quelle des Connectors, dazu eine Transportregel, die Nachrichten von dieser Quelle mit SCL minus eins vom eigenen Inhaltsfilter ausnimmt, wenn der Inhaltsfilter überhaupt aktiv ist. Ohne diesen Schritt bewertet Exchange die geänderte Nachricht mit seinem eigenen Filter, der DMARC-Fehler zählt dort nicht als Ablehnungsgrund, kann aber Punkte kosten.

Postfächer bei IONOS, Strato und anderen Hostern

Diese Plattformen bieten weder eine Siegler-Liste noch einen Gateway-Eintrag. Der letzte Hop wertet die Nachricht selbst, ein DMARC-Fehler der Absenderdomäne führt dort bei strenger Politik des Absenders zur Ablehnung oder in den Junk-Ordner.

Für diese Ziele gibt es in der Richtlinie unter Link-Schutz die Ausnahme „Keine Umschreibung bei strenger DMARC-Politik des Absenders“. Sie schaltet die Änderung der Nachricht für Absender mit p=reject oder p=quarantine und ausgerichteter DKIM-Signatur ab, damit die Signatur intakt bleibt. Der Preis ist ein Sicherheitsverlust: genau diese Absender, etwa kompromittierte Konten bei großen Anbietern, werden dann nicht mehr umgeschrieben, und der Klickschutz greift für sie nicht. Die Erkennung, der Punktwert und die Quarantäne laufen weiter, nur die Umschreibung entfällt. Die Ausnahme ist in neuen Richtlinien ausgeschaltet und gehört nur dorthin, wo das Zielsystem keinen Vertrauensweg bietet.

Prüfen, ob es wirkt

Eine Testnachricht mit einem Link von einer Domäne mit p=reject an ein Postfach hinter MailGuard senden. In der Nachrichtenverfolgung steht die Umschreibung, in den Kopfzeilen der zugestellten Nachricht das ARC-Siegel. Landet die Nachricht im Junk-Ordner, fehlt der Vertrauensweg der Plattform, nicht die Umschreibung.