Monitoring von E-Mail-Sicherheit und Zustellbarkeit

Warum E-Mail-Sicherheit und Zustellbarkeit überwachen?

Ein einmaliges E-Mail-Domain-Audit zeigt Ihnen, wo Sie heute stehen. Aber Ihre DNS-Konfiguration ist nicht statisch. Anbieter aktualisieren ihre Versandinfrastruktur, Teams rotieren DKIM-Schlüssel, Registrare migrieren Zonen, und eine einzige Änderung an einem TXT-Eintrag kann die Authentifizierung stillschweigend zerstören oder Ihre Sicherheitslage schwächen.

Das E-Mail-Sicherheits- und Zustellbarkeits-Monitoring schließt diese Lücke. CaptainDNS führt das vollständige Audit nach Zeitplan erneut aus, vergleicht das Ergebnis mit dem vorherigen Scan und sendet eine Zusammenfassung per E-Mail, sobald sich etwas Wesentliches ändert. Sie sehen den vorherigen Wert, den neuen Wert und die Begründung, damit keine Regression unbemerkt bleibt.

Dies beschränkt sich nicht auf die Zustellbarkeit. Die Überwachung deckt das gesamte Bild ab: wie Ihre Domain Post sendet, wie sie Post empfängt und wie ihr DNS gesichert ist.

Was die Überwachung verfolgt

Das Audit und damit die Überwachung umfasst neun Protokolle in drei Säulen:

Für jede Säule verfolgt die Überwachung sowohl die Bewertung als auch die einzelnen Einträge. Eine Änderung an einem von beiden kann eine Warnung auslösen.

Änderungen, die eine Warnung auslösen

Jede Warnung benennt den betroffenen Eintrag oder die Säule, zeigt den Wert vorher und nachher und erklärt den Grund der Änderung. Häufige Auslöser sind:

• SPF geschwächt oder zu groß: der Qualifizierer wechselt zu ~all (Softfail) oder ?all (neutral), oder der Eintrag überschreitet das Limit von 10 DNS-Lookups und schlägt fehl. Prüfen Sie mit dem SPF Record Check.
• DKIM-Schlüssel entfernt oder abgelaufen: ein veröffentlichter Selektor verschwindet oder gibt keinen öffentlichen Schlüssel mehr zurück und zerstört die Signaturen dieses Streams. Verifizieren Sie mit dem DKIM Record Check.
• DMARC herabgestuft: die Richtlinie fällt von p=reject oder p=quarantine zurück auf p=none und entfernt den Spoofing-Schutz. Prüfen Sie mit dem DMARC Record Check.
• DNSSEC zerbrochen oder unsigniert: die Signaturkette bricht oder DNSSEC wird entfernt, was die Auflösung für validierende Resolver gefährdet.
• Empfangseinträge geändert: MX-Einträge ändern sich, der Modus der MTA-STS-Richtlinie wird gesenkt, das TLS-RPT-Reporting wird entfernt oder die DANE-TLSA-Einträge werden geändert.
• BIMI geändert: der BIMI-Eintrag oder die Logo-Referenz ändert sich, was Ihren Markenindikator aus unterstützenden Postfächern entfernen kann.

So richten Sie das Monitoring in 3 Schritten ein

Schritt 1: Domain-Audit ausführen

Öffnen Sie das E-Mail-Domain-Audit und prüfen Sie die zu überwachende Domain. CaptainDNS bewertet SPF, DKIM, DMARC, BIMI, MTA-STS, TLS-RPT, DANE und DNSSEC und erstellt dann eine Bewertung für jede der drei Säulen.

Schritt 2: Überwachung starten

Klicken Sie im Audit-Ergebnis auf die Schaltfläche Überwachen oder erstellen Sie eine neue Überwachung auf dieser Seite. Melden Sie sich an, um die Überwachung in Ihrem Konto zu speichern. In den kostenpflichtigen Tarifen wählen Sie, welche Säulen und Einträge überwacht werden und wie oft die Domain geprüft wird.

Schritt 3: Änderungswarnungen per E-Mail erhalten

CaptainDNS führt das Audit nach Ihrem Zeitplan erneut aus und vergleicht jeden Scan mit dem vorherigen. Wenn sich eine Säulenbewertung ändert oder ein überwachter Eintrag geändert wird, erhalten Sie eine E-Mail-Zusammenfassung mit den Werten vorher und nachher und der Begründung. Kein Beobachten eines Dashboards erforderlich.

Tarife und Prüffrequenz

Das kostenlose Monitoring genügt, um die meisten langsam wirkenden Regressionen zu erkennen. Schnellere Frequenzen zählen, wenn Sie Domains mit hohem Volumen betreiben, häufige Infrastrukturänderungen durchführen oder schnell auf ein Sicherheitsereignis reagieren müssen.

Praxisbeispiele

Fall 1: Ein Anbieter schwächt SPF stillschweigend

Symptom: die Versandbewertung sinkt einige Tage nach der Einbindung eines neuen E-Mail-Anbieters.

Diagnose: die Überwachungswarnung zeigt, dass sich der SPF-Eintrag von -all auf ~all geändert hat und nun ein zusätzliches include: enthält, das den Eintrag über 10 DNS-Lookups gebracht hat. Einige Empfänger behandeln den Eintrag als Permerror.

Maßnahme: den SPF-Eintrag flach halten und einen strengen Qualifizierer wiederherstellen. Der nächste Scan bestätigt, dass die Bewertung steigt.

Fall 2: DMARC heimlich herabgestuft

Symptom: die Überwachung meldet eine Änderung der DMARC-Säule.

Diagnose: bei einer DNS-Bereinigung wurde die Richtlinie von p=reject auf p=none zurückgesetzt, was den Spoofing-Schutz unbemerkt entfernte.

Maßnahme: p=reject (oder p=quarantine während einer Übergangsphase) erneut veröffentlichen. Die Werte vorher und nachher in der Warnung machen die Regression offensichtlich.

Fall 3: DNSSEC bricht während einer Migration

Symptom: eine hochpriore Warnung meldet die Säule DNS-Sicherheit.

Diagnose: ein Zonentransfer zu einem neuen Anbieter hinterließ eine zerbrochene DNSSEC-Kette. Validierende Resolver riskieren, die Domain nicht mehr aufzulösen, was Web und Post bedroht.

Maßnahme: die Zone neu signieren oder DNSSEC beim Registrar sauber deaktivieren. Die Überwachung bestätigt, dass die Auflösung wieder sicher ist.

FAQ - Häufige Fragen

F: Was leistet das E-Mail-Sicherheits- und Zustellbarkeits-Monitoring?

A: Es führt das vollständige E-Mail-Audit Ihrer Domain nach Zeitplan erneut aus und vergleicht jeden Scan mit dem vorherigen. Wenn sich eine Säulenbewertung ändert oder ein überwachter Eintrag (SPF, DKIM, DMARC, BIMI, MTA-STS, DANE, TLS-RPT, DNSSEC) geändert wird, erhalten Sie eine E-Mail-Zusammenfassung mit dem Wert vorher und nachher und der Begründung.

F: Welche Einträge werden überwacht?

A: Die neun vom Audit abgedeckten Protokolle: SPF, DKIM, DMARC, BIMI, MTA-STS, TLS-RPT, DANE, DNSSEC sowie die MX-Einträge hinter dem Empfang. Die Überwachung verfolgt sowohl die Einträge selbst als auch die Bewertungen der drei Säulen: Versand, Empfang und DNS-Sicherheit.

F: Wann erhalte ich eine Warnung?

A: Sie erhalten eine E-Mail-Zusammenfassung, wenn sich eine Säulenbewertung ändert oder ein überwachter Eintrag ändert. Typische Auslöser sind SPF, das auf ~all oder ?all wechselt oder 10 Lookups überschreitet, ein entfernter oder abgelaufener DKIM-Schlüssel, ein auf p=none herabgestuftes DMARC, zerbrochenes oder unsigniertes DNSSEC und Änderungen an MX, MTA-STS, TLS-RPT, DANE oder BIMI.

F: Wie oft wird meine Domain geprüft?

A: Der kostenlose Tarif prüft eine Domain alle 24 Stunden ohne Anpassung. Kostenpflichtige Tarife überwachen mehr Domains, lassen Sie wählen, welche Säulen und Einträge überwacht werden, und erhöhen die Frequenz: alle 6 Stunden bei Starter, alle 3 Stunden bei Pro und stündlich bei Business und Enterprise.

F: Wie starte ich die Überwachung einer Domain?

A: Führen Sie das E-Mail-Domain-Audit aus und klicken Sie dann im Ergebnis auf die Schaltfläche Überwachen. Sie können auch direkt auf dieser Seite eine neue Überwachung erstellen. Sie benötigen ein CaptainDNS-Konto; melden Sie sich an, und die Überwachung wird darin gespeichert.

F: Ist das Monitoring kostenlos?

A: Ja. Das kostenlose Monitoring umfasst eine Domain, die alle 24 Stunden ohne Anpassung geprüft wird. Kostenpflichtige Tarife fügen mehr Domains, auswählbare Säulen und Einträge sowie schnellere Prüffrequenzen bis zu einer Stunde hinzu.

F: Was ist der Unterschied zum DMARC-Monitoring?

A: Das DMARC-Monitoring sammelt die von Mailbox-Anbietern gesendeten Aggregatberichte, um zu zeigen, wer Post für Ihre Domain sendet. Das E-Mail-Sicherheits- und Zustellbarkeits-Monitoring überwacht Ihre DNS-Konfiguration selbst über alle neun Protokolle und warnt Sie, wenn sich ein Eintrag oder eine Bewertung ändert. Beide ergänzen sich.

Ergänzende Tools

Nützliche Ressourcen

• RFC 7208: SPF, Sender Policy Framework
• RFC 6376: DKIM, DomainKeys Identified Mail
• RFC 7489: DMARC, Domain-based Message Authentication
• RFC 8461: MTA-STS, SMTP MTA Strict Transport Security
• RFC 8460: TLS-RPT, SMTP TLS Reporting
• RFC 6698: DANE, DNS-Based Authentication of Named Entities
• RFC 4033: DNSSEC, DNS Security Introduction and Requirements