DMARCbis Checker

DMARCbis: Was sich für Ihre Domain ändert

DMARCbis (auch DMARC v2 genannt) ist kein einfaches Update. Es ist eine grundlegende Überarbeitung des DMARC-Protokolls, aufgeteilt in drei separate RFCs. Ein DMARCbis Checker zeigt, welche Anpassungen erforderlich sind:

1. Kernmechanismus (RFC 9989): Richtlinienermittlung, Alignment, Auswertung
2. Aggregierte Berichte (RFC 9990): XML-Format, Schema, Verteilung
3. Fehlerberichte (RFC 9991): ARF-Berichte, Datenschutz, Rate Limiting

Neue Tags

Entfernte Tags

DNS-Tree-Walk

Die bedeutendste Änderung in DMARCbis ist der Ersatz der Public Suffix List (PSL) durch einen nativen DNS-Durchlauf-Algorithmus.

Warum? Die PSL ist eine von Mozilla-Freiwilligen gepflegte Community-Liste. Sie leidet unter Aktualisierungsverzögerungen, Inkonsistenzen zwischen Implementierungen und dem Fehlen einer IETF-Spezifikation zur zu verwendenden Version. Der DNS-Tree-Walk löst diese Probleme, indem er sich ausschließlich auf tatsächliche DNS-Daten stützt.

So funktioniert es: Der Empfänger fragt _dmarc.<domain> ab und steigt dann Label für Label auf. Enthält ein Eintrag psd=n, ist das die Organisationsdomain. Wird psd=y gefunden, ist die Domain eine Ebene darunter die Organisationsdomain.

Wer setzt DMARCbis heute ein?

Bereiten Sie sich jetzt vor

Auch wenn die Migration nicht dringend ist, können Sie durch die Vorbereitung Ihrer Domain bereits jetzt:

• Veraltete Tags identifizieren, die entfernt werden sollten, bevor sie Warnungen auslösen
• Das np-Tag hinzufügen, um nicht existierende Subdomains zu schützen
• Den Tree Walk verstehen und überprüfen, ob Ihre Organisationsdomain korrekt ermittelt wird
• Änderungen im Reporting antizipieren in Ihren DMARC-Analysetools

DMARC vs DMARCbis: Vergleichstabelle

Diese Tabelle fasst die strukturellen Unterschiede zwischen den beiden Protokollversionen zusammen. Enthält Ihr Eintrag Tags aus der DMARC-Spalte, die in DMARCbis nicht mehr existieren, kennzeichnet der Checker sie automatisch.

Wie funktioniert der DNS-Tree-Walk?

Der DNS-Tree-Walk ist die zentrale Innovation von DMARCbis. Er ersetzt Public-Suffix-List-Abfragen durch einen hierarchischen DNS-Durchlauf. Hier ein detailliertes Beispiel, um jeden Schritt zu verstehen.

Beispiel: eine E-Mail von user@sub.mail.captaindns.com

Der Empfänger muss die geltende DMARC-Richtlinie finden. Mit DMARCbis führt er folgende Abfragen der Reihe nach durch:

1. Abfrage _dmarc.sub.mail.captaindns.com: Der DNS-Server antwortet NXDOMAIN (kein Eintrag gefunden). Der Empfänger steigt ein Label auf.
2. Abfrage _dmarc.mail.captaindns.com: Der DNS-Server antwortet NXDOMAIN. Der Empfänger steigt erneut auf.
3. Abfrage _dmarc.captaindns.com: Ein TXT-Eintrag wird gefunden, z. B. v=DMARC1; p=reject; psd=n.

Das psd=n-Tag zeigt an, dass captaindns.com eine Organisationsdomain ist (kein Public Suffix). Der Tree Walk stoppt. Ergebnis: Organisationsdomain = captaindns.com, Ermittlungsmethode = Tree Walk.

Was passiert mit psd=y? Enthielte _dmarc.captaindns.com den Wert psd=y, würde das bedeuten, dass captaindns.com ein Public Suffix ist (wie .co.uk). In diesem Fall wäre die Organisationsdomain mail.captaindns.com, die Domain eine Ebene unter dem Suffix.

Sicherheitslimit: Der Tree Walk führt maximal 8 DNS-Abfragen durch, um Amplification zu verhindern. Wird nach 8 Ebenen kein Ergebnis gefunden, schlägt die Ermittlung fehl und die Domain wird behandelt, als hätte sie keine veröffentlichte DMARC-Richtlinie.

Zentraler Vorteil: Im Gegensatz zur PSL, die manuelle Aktualisierungen erfordert und zwischen Implementierungen variiert, stützt sich der Tree Walk auf DNS-Daten in Echtzeit. DNS-Administratoren behalten die volle Kontrolle über ihre Organisationsgrenze.

Warum das np-Tag unverzichtbar ist

Das np-Tag (Non-existent Subdomain Policy) schließt eine Sicherheitslücke, die DMARC v1 nicht beheben konnte: das Spoofing nicht existierender Subdomains.

Der Angriffsvektor: Ein Angreifer sendet eine E-Mail von fake123.captaindns.com. Diese Subdomain existiert nicht in Ihrer DNS-Zone. Mit DMARC v1 wendet der Empfänger die sp-Richtlinie an (falls vorhanden) oder fällt auf p zurück. Lautet Ihre Konfiguration p=reject; sp=none (ein häufiges Setup, um legitime Subdomains zuzulassen), umgeht der Angreifer Ihren Schutz.

Die DMARCbis-Lösung: Das np=reject-Tag gilt ausschließlich für Subdomains, bei denen DNS mit NXDOMAIN antwortet. Sie können eine flexible Richtlinie für Ihre bestehenden Subdomains beibehalten (sp=none oder sp=quarantine für Subdomains mit legitimem E-Mail-Verkehr) und gleichzeitig von Angreifern erfundene Subdomains blockieren.

Empfohlene Konfiguration:

• Bei p=reject: np=reject hinzufügen für maximale Abdeckung
• Bei p=quarantine: np=reject hinzufügen (fiktive Subdomains verdienen strenge Blockierung)
• Bei p=none: np=quarantine als ersten Schritt zur Härtung hinzufügen

Das np-Tag ist besonders wirksam gegen CEO-Fraud-Angriffe, bei denen Angreifer glaubwürdige Subdomains erfinden, wie secure-payment.captaindns.com oder internal-hr.captaindns.com, um Empfänger zu täuschen.

Zeitplan zur DMARCbis-Einführung

Der Übergang zu DMARCbis folgt einem schrittweisen Zeitplan, der von der IETF und großen E-Mail-Anbietern vorangetrieben wird.

DMARCbis-Einträge sind rückwärtskompatibel: Sie können die neuen Tags schon heute hinzufügen, ohne auf die offizielle Veröffentlichung zu warten. Empfänger, die np, t oder psd nicht verstehen, ignorieren sie stillschweigend.

Ergänzende Tools

Nützliche Ressourcen

• RFC 7489 - DMARC
• RFC 9989 - DMARC
• RFC 9091 - PSD DMARC
• DMARCbis: alle Änderungen und wie Sie sich vorbereiten

FAQ - Häufig gestellte Fragen

F: Was ist DMARCbis?

A: DMARCbis bezeichnet die im Mai 2026 als RFC 9989, RFC 9990 und RFC 9991 veröffentlichte Überarbeitung. RFC 9989 löst RFC 7489 ab, ohne v=DMARC1 zu ändern; sie standardisiert den DNS Tree Walk und np, während pct, rf und ri historische Tags sind.

F: Was sind die Unterschiede zwischen DMARC und DMARCbis?

A: DMARCbis fügt drei neue Tags hinzu (np, t, psd), entfernt drei Tags (pct, rf, ri), ersetzt die Ermittlung über die Public Suffix List durch einen DNS-Tree-Walk-Algorithmus und beschränkt die SPF-Validierung ausschließlich auf MAIL FROM.

F: Sollte ich sofort auf DMARCbis migrieren?

A: Es besteht keine Eile. Aktuelle DMARC-Einträge funktionieren weiterhin, da die Version v=DMARC1 bleibt. Es wird jedoch empfohlen, Ihre Einträge jetzt zu prüfen, um veraltete Tags zu entfernen und die neuen Tags np und psd hinzuzufügen.

F: Wird das pct-Tag wirklich entfernt?

A: Ja. Die Betriebserfahrung hat gezeigt, dass das pct-Tag von den Empfängern uneinheitlich angewandt wurde. Nur die Werte 0 und 100 waren zuverlässig. Es wird durch das binäre t-Tag ersetzt (t=y für den Testmodus, t=n für die vollständige Durchsetzung).

F: Was ist der DNS-Tree-Walk?

A: Der DNS-Tree-Walk ist der Algorithmus zur Ermittlung der DMARC-Richtlinie in DMARCbis. Anstatt eine externe Public Suffix List zu konsultieren, steigt der Empfänger die DNS-Hierarchie auf, indem er _dmarc auf jeder Ebene abfragt, bis ein gültiger Eintrag gefunden wird. Damit entfällt die Abhängigkeit von der PSL.

F: Wird das fo-Tag in DMARCbis entfernt?

A: Nein. Das fo-Tag (Failure Reporting Options) wird in DMARCbis beibehalten. Nur die Tags pct, rf und ri werden entfernt.

F: Woher weiß ich, ob meine Domain für DMARCbis bereit ist?

A: Führen Sie eine Analyse mit unserem DMARCbis Checker durch. Das Tool führt einen vollständigen DNS-Tree-Walk durch, erkennt veraltete Tags (pct, rf, ri), prüft das Vorhandensein des np-Tags und zeigt die ermittelte Organisationsdomain an. Das Ergebnis zeigt einen klaren Status: konform, kompatibel oder nicht konform mit DMARCbis.

F: Verlangsamt der DNS-Tree-Walk die E-Mail-Zustellung?

A: Nein. Der Tree Walk führt maximal 8 DNS-Abfragen durch, und Empfänger speichern Ergebnisse basierend auf der TTL jedes Eintrags im Cache. In der Praxis wird der Tree Walk bei den meisten Domains in 2 oder 3 Abfragen aufgelöst. Die Auswirkung auf die Zustellzeit ist vernachlässigbar.