Warum sollten Sie Ihre DMARC-Berichte analysieren?
Jeden Tag senden Google, Microsoft und Yahoo aggregierte DMARC-Berichte an Domains, die mit einem rua=-Tag konfiguriert sind. Diese Berichte zeigen, wer E-Mails im Namen Ihrer Domain versendet und ob die SPF/DKIM-Authentifizierung korrekt ist.
Seit 2024 verlangen Google und Yahoo einen DMARC-Eintrag für Absender mit mehr als 5 000 E-Mails pro Tag. Die Analyse Ihrer DMARC-Berichte ist jetzt unverzichtbar.
Das Problem: Ein aggregierter DMARC-Bericht ist eine technische XML-Datei, komprimiert als ZIP oder gzip. Ohne spezialisiertes Tool ist es unmöglich festzustellen, ob Ihre E-Mails korrekt authentifiziert sind oder ob jemand Ihre Identität missbraucht.
Drei Gründe, jetzt zu handeln:
- Spoofing erkennen - Identifizieren Sie nicht autorisierte Quellen, die E-Mails mit Ihrer Domain im From: versenden, und prüfen Sie, ob Ihre DMARC-Richtlinie diese blockiert.
- Drittanbieter-Dienste validieren - Jeder externe Dienst (Newsletter, CRM, Support) muss durch SPF und DKIM mit korrektem Alignment authentifiziert sein.
- Sicher zu p=reject wechseln - DMARC-Berichte sind Ihr Fahrplan, um mit Zuversicht von p=none zu p=reject zu gelangen.
Laden Sie Ihren ersten Bericht oben hoch und erhalten Sie eine Diagnose in 10 Sekunden.
So analysieren Sie einen DMARC-Bericht in 3 Schritten
Schritt 1: Bericht herunterladen
Öffnen Sie die E-Mail von Google (noreply-dmarc-support@google.com), Microsoft oder Yahoo. Laden Sie den Anhang .xml.gz oder .zip herunter. Der Dateiname folgt dem Format Absender!Domain!Start!Ende.xml.gz.
Schritt 2: Datei hochladen
Ziehen Sie die Datei per Drag-and-Drop in den Upload-Bereich oben. Das Tool akzeptiert die Formate XML, gzip und ZIP bis zu 10 MB.
Schritt 3: Diagnose lesen
CaptainDNS dekomprimiert, parst und zeigt innerhalb weniger Sekunden:
- Einen Compliance-Score von 100 aufgeteilt in 4 Stufen: Ausgezeichnet, Gut, Achtung, Kritisch
- Die Quellenübersicht klassifiziert als Legitim, Forwarding oder Spoofing
- Das SPF- und DKIM-Alignment detailliert für jede Quell-IP
- Umsetzbare Empfehlungen mit Link zum passenden CaptainDNS-Tool
Was ist ein aggregierter DMARC-Bericht?
Ein aggregierter DMARC-Bericht (definiert in RFC 7489, Abschnitt 7.2) ist eine XML-Datei, die täglich von E-Mail-Anbietern an die im rua=-Tag Ihres DMARC-Eintrags angegebene Adresse gesendet wird.
Beispiel eines DMARC-Eintrags mit Reporting:
_dmarc.captaindns.com. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@captaindns.com"
Jeder Bericht enthält:
| Feld | Beschreibung |
|---|---|
org_name | Der Absender des Berichts (Google, Microsoft, Yahoo usw.) |
date_range | Der abgedeckte Zeitraum, in der Regel 24 Stunden |
policy_published | Ihre DMARC-Richtlinie zum Zeitpunkt der Erfassung |
record | Eine oder mehrere Quell-IPs mit ihren Authentifizierungsergebnissen |
Für jede Quell-IP liefert der Bericht das Nachrichtenvolumen, die SPF- und DKIM-Ergebnisse, das DMARC-Alignment und die angewandte Maßnahme (none, quarantine oder reject).
Was analysiert das Tool genau?
Der CaptainDNS-Analyzer bewertet jede Quell-IP des Berichts anhand von fünf Kriterien:
| Analyse | Beschreibung | Ergebnis |
|---|---|---|
| DKIM-Alignment | Die Domain d= der DKIM-Signatur stimmt mit dem From:-Header überein | Aligned oder nicht aligned |
| SPF-Alignment | Die MAIL-FROM-Domain stimmt mit dem From:-Header überein | Aligned oder nicht aligned |
| DMARC-Konformität | Mindestens ein Mechanismus (SPF oder DKIM) ist aligned | Pass oder Fail |
| Quellenklassifizierung | Ist die IP legitim, Forwarding oder Spoofing? | Legitim, Forwarding, Spoofing |
| Maßnahme | Welche Aktion hat der Empfänger angewandt | None, Quarantine, Reject |
Praxisnahe Anwendungsfälle
Fall 1: Nicht authentifizierter Newsletter-Dienst
Symptom: Der Google-Bericht meldet 320 Nachrichten in Quarantäne von einer unbekannten IP mit SPF Fail.
Diagnose: Ihr Newsletter-Dienst verwendet eine andere MAIL-FROM-Domain (bounce.newsletter-service.com). SPF besteht für diese Domain, ist aber nicht mit Ihrem From: aligned.
Maßnahme: Konfigurieren Sie Ihren Dienst so, dass er mit DKIM d=ihredomain.com signiert, oder richten Sie einen benutzerdefinierten Return-Path ein. Überprüfen Sie dies mit dem SPF Record Checker.
Fall 2: Spoofing erkannt
Symptom: 210 abgelehnte Nachrichten von einer unbekannten IP, keine DKIM-Signatur, SPF nicht aligned. Diagnose: Eine nicht autorisierte Quelle sendet E-Mails mit Ihrer Domain im From:. Wahrscheinlich Spoofing. Maßnahme: Ihre DMARC-Richtlinie funktioniert. Falls Sie noch p=quarantine nutzen, erwägen Sie den Wechsel zu p=reject. Überprüfen Sie dies mit dem DMARC Record Checker.
Fall 3: Forwarding-bedingte Fehler
Symptom: 15 Nachrichten mit DMARC-Fehler, Grund forwarded, Maßnahme none.
Diagnose: Über einen Zwischenserver weitergeleitete Nachrichten haben die SPF- und DKIM-Authentifizierung gebrochen. Der Empfänger hat eine Ausnahme angewandt.
Maßnahme: Dies ist erwartetes Verhalten. Forwarding bricht naturgemäß die Authentifizierung. Keine Aktion erforderlich.
❓ FAQ - Häufig gestellte Fragen
F: Was ist ein aggregierter DMARC-Bericht und wie liest man ihn?
A: Ein aggregierter DMARC-Bericht ist eine XML-Datei, die täglich von Mailservern gesendet wird, die E-Mails mit Ihrer Domain im From: empfangen. Er erfasst die SPF- und DKIM-Authentifizierungsergebnisse pro Quell-IP. Diese Dateien sind als ZIP oder gzip komprimiert - laden Sie sie hier hoch für eine sofortige Diagnose.
F: Was bedeuten die Maßnahmen none, quarantine und reject?
A: Das sind die vom Empfängerserver angewandten Aktionen. none: Die Nachricht wird normal zugestellt (Richtlinie p=none oder Ausnahme). quarantine: Die Nachricht wird in den Spam-Ordner verschoben. reject: Die Nachricht wird blockiert. Die angewandte Maßnahme hängt von Ihrer DMARC-Richtlinie und dem Authentifizierungsergebnis ab.
F: Was ist der Unterschied zwischen einem DMARC Checker und einem DMARC Report Analyzer?
A: Ein DMARC Checker überprüft Ihren DNS-Eintrag _dmarc.domain - das ist die Konfiguration. Ein DMARC Report Analyzer interpretiert die XML-Berichtsdateien - das sind die Ergebnisse. Verwenden Sie den DMARC-Inspektor zur Überprüfung der Konfiguration und dieses Tool zur Analyse der Berichte.
Bereiten Sie sich auf DMARCbis vor
DMARCbis ist der kommende IETF Proposed Standard, der RFC 7489 ersetzt. Er führt neue Tags ein (np, t, psd), entfernt veraltete Tags (pct, rf, ri) und ersetzt die Public Suffix List durch einen DNS tree walk-Algorithmus. Prüfen Sie die Kompatibilität Ihrer Domain mit dem DMARCbis Checker oder erstellen Sie einen konformen Eintrag mit dem DMARCbis-Migrationstool.
Ergänzende Tools
| Tool | Nutzen |
|---|---|
| DMARC-Inspektor | Veröffentlichte DMARC-Richtlinie überprüfen |
| DMARC-Generator | Einen DMARC-Eintrag erstellen |
| DMARC Syntax Checker | Syntax eines DMARC-Eintrags validieren |
| SPF-Inspektor | SPF-Konfiguration überprüfen |
| DKIM-Inspektor | DKIM-Konfiguration überprüfen |
| E-Mail-Domain-Audit | Vollständiges Audit: SPF, DKIM, DMARC, MTA-STS, TLS-RPT |
| DMARC-Monitoring | Automatisiertes, fortlaufendes DMARC-Monitoring für Ihre Domains |
Für automatisiertes, fortlaufendes Monitoring Ihrer DMARC-Berichte ohne manuellen Upload siehe DMARC-Monitoring.
Sie erhalten noch keine DMARC-Berichte? Fügen Sie ein rua=-Tag zu Ihrem DMARC-Eintrag hinzu mit dem DMARC-Generator.
Nützliche Ressourcen
- RFC 7489 - Domain-based Message Authentication, Reporting, and Conformance - offizielle DMARC-Spezifikation
- RFC 7489, Appendix C - XML-Schema der aggregierten Berichte
- Google - DMARC-Berichte lesen - offizieller Google-Workspace-Leitfaden
- Microsoft - DMARC-Berichte verstehen - Microsoft-365-Dokumentation