DMARC-Richtliniengenerator

Stellen Sie eine DMARC-Richtlinie à la carte zusammen und beobachten Sie, wie sich der DNS-Eintrag von selbst aufbaut – oder fügen Sie einen bereits vorhandenen Eintrag ein und lesen Sie ihn als verständliche Optionen zurück. Beide bleiben in beide Richtungen synchron.

Was ist DMARC?

DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein kleiner DNS-Eintrag, der den Postfächern weltweit mitteilt, was mit E-Mails zu tun ist, die vorgeben, von Ihrer Domain zu stammen, dies aber nicht belegen können. Einfach gesagt: So verhindern Sie, dass Betrüger überzeugende Phishing-E-Mails von „you@yourcompany.com“ an Ihre Kunden versenden.

E-Mail bietet keine integrierte Möglichkeit, zu überprüfen, wer eine Nachricht wirklich gesendet hat – jeder kann Ihre Adresse in die „From“-Zeile eintragen. Zwei ältere Standards, SPF und DKIM, ermöglichen es einem empfangenden Mailserver zu prüfen, ob eine Nachricht tatsächlich von einem von Ihnen autorisierten Server stammt. DMARC verbindet beide: Es lässt Sie Empfängern mitteilen, was zu tun ist, wenn diese Prüfungen fehlschlagen, und bittet sie, Ihnen Berichte zu senden, damit Sie sehen, wer E-Mails als Ihre Domain versendet.

SPF

Eine öffentliche Liste der Mailserver, die für Ihre Domain senden dürfen. Der Empfänger prüft den sendenden Server anhand dieser Liste.

DKIM

Eine fälschungssichere digitale Signatur, die jeder Nachricht hinzugefügt wird, damit der Empfänger bestätigen kann, dass sie unterwegs nicht gefälscht oder verändert wurde.

DMARC

Setzt auf beiden auf. Es entscheidet, was geschieht, wenn eine Nachricht SPF und DKIM nicht besteht, und sammelt Berichte – genau das, was Sie unten konfigurieren.

Sie veröffentlichen den von diesem Tool erstellten Eintrag als TXT-Eintrag unter _dmarc.yourdomain.com bei Ihrem DNS-Anbieter. Nach dem Speichern kann es eine Weile dauern, bis sich Änderungen über das Internet verbreiten („DNS-Propagation“), sodass die Berichterstattung nicht sofort beginnt.

Erstellen Sie Ihre Richtlinie

Schalten Sie die Optionen links so um, dass sie zu Ihrer Situation passen. Lesen Sie die Hinweise unter jeder Option, falls Sie unsicher sind – der DNS-Eintrag rechts aktualisiert sich währenddessen. Sie haben bereits einen Eintrag? Fügen Sie ihn in das Eintragsfeld ein, und die Optionen werden passend ausgefüllt.

Richtlinien-Assistent

Wählen Sie die gewünschten Optionen – der Eintrag aktualisiert sich live.

Ihre Domain (optional)

Durchsetzung

p

Das Wichtigste: was Sie andere E-Mail-Anbieter bitten, mit E-Mails zu tun, die die Prüfung nicht bestehen und vorgeben, von Ihnen zu stammen.

Nur überwachen. Empfänger stellen fehlgeschlagene E-Mails weiterhin wie gewohnt zu, senden Ihnen aber Berichte. Der sichere Einstieg – Sie beobachten einige Wochen lang, bevor Sie strenger werden.

Auf einen Prozentsatz anwenden

pct

Ein Sicherheitsventil: Lassen Sie Empfänger Ihre Richtlinie zunächst nur auf einen Teil der E-Mails anwenden (zufällig ausgewählt), damit ein Fehler nicht alle auf einmal betrifft. Die meisten belassen dies bei 100%.

Subdomain-Richtlinie

sp

Legen Sie eine separate Regel für Subdomains wie news.yourdomain.com oder mail.yourdomain.com fest. Lassen Sie sie aus, folgen diese einfach der Hauptrichtlinie oben.

Nicht existierende Subdomains

np

Eine strengere Regel nur für Subdomains, die Sie nie eingerichtet haben. Betrüger lieben diese, weil es keine echten E-Mails gibt, die versehentlich blockiert werden könnten – „reject“ ist hier daher meist sicher.

DKIM-Ausrichtung

adkim

Wie genau die Domain der DKIM-Signatur mit Ihrer From-Adresse übereinstimmen muss. „Locker“ wertet eine Subdomain (mail.yourdomain.com) als Übereinstimmung mit yourdomain.com; „streng“ verlangt eine exakte Übereinstimmung. „Locker“ ist die übliche Wahl.

SPF-Ausrichtung

aspf

Dasselbe Prinzip für SPF: wie genau die Domain des sendenden Servers mit Ihrer From-Adresse übereinstimmen muss. „Locker“ erlaubt die Übereinstimmung von Subdomains; „streng“ verlangt eine exakte Übereinstimmung. „Locker“ ist die übliche Wahl.

Aggregierte Berichte

rua

Die E-Mail-Adresse, die die täglichen Zusammenfassungsberichte erhält. Diese zeigen, wer E-Mails als Ihre Domain versendet und ob diese bestehen – der eigentliche Grund, mit „None“ zu beginnen. Dringend empfohlen.

Fehlerberichte

ruf

Eine Adresse für detaillierte Berichte über einzelne Nachrichten, die fehlgeschlagen sind. Nützlich zur Fehlersuche, aber die meisten Anbieter senden diese aus Datenschutzgründen nicht mehr – daher ist sie optional.

Berichtsintervall

ri

Wie oft Sie die aggregierten Berichte erhalten möchten. In der Praxis senden Empfänger sie ohnehin fast immer einmal täglich, daher kann der Standardwert (86400 Sekunden = 24 Stunden) unverändert bleiben.

DNS-Eintrag

Veröffentlichen Sie diesen TXT-Eintrag für Ihre Domain.

Gültig

Typ

TXT

Host

_dmarc

Fügen Sie dies als neuen Eintrag bei Ihrem DNS-Anbieter hinzu. „Type“ und „Host“ sind die Felder, nach denen er fragt – manche Anbieter möchten im Host-Feld nur _dmarc und ergänzen die Domain für Sie.

Wert

Fügen Sie hier einen vorhandenen Eintrag ein, und der Assistent passt sich entsprechend an.