DMARC Schritt für Schritt ausrollen

DMARC auszurollen heißt weniger, einen DNS-Eintrag zu schreiben, als eine kontrollierte Migration zu fahren: im Beobachtungsmodus beginnen, jeden legitimen Absender finden, die Ausrichtung reparieren und dann schrittweise durchsetzen. Übereilte Durchsetzung ist die Ursache Nummer eins für verlorene legitime Post — behandeln Sie das also als gestufte Migration.

Voraussetzungen

DMARC baut auf SPF und DKIM auf, prüfen Sie also zuerst beides:

Ein SPF-Eintrag, der jede legitime Quelle abdeckt (v=spf1 ... -all), unterhalb der Grenze von 10 Lookups.
DKIM-Signierung bei Ihren Mailanbietern aktiviert, mit 2048-Bit-Schlüsseln unter Selektoren veröffentlicht.

Stellen Sie sicher, dass eine echte Nachricht heute beides besteht und mit Ihrer From:-Domain ausgerichtet ist, bevor Sie DMARC anfassen.

Schritt 1 — Beobachtungseintrag veröffentlichen

Beginnen Sie mit p=none. Das ändert nichts an der Zustellung; es fordert nur Berichte an.

_dmarc.example.com.  IN  TXT
  "v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; fo=1"

rua — wohin die aggregierten (täglichen XML-)Berichte gehen.
ruf — Forensik-/Fehlerberichte (aus Datenschutzgründen oft nicht unterstützt; optional).
fo=1 — einen Bericht anfordern, sobald irgendein Mechanismus die Ausrichtung verfehlt.

Gehen die Berichte an eine andere Domain, legen Sie dort einen Autorisierungseintrag an:

example.com._report._dmarc.reports-vendor.net. IN TXT "v=DMARC1"

Schritt 2 — Die Aggregatberichte lesen

Aggregatberichte sind XML, einer pro Empfänger und Tag, geschlüsselt nach Quell-IP:

<record>
  <row>
    <source_ip>198.51.100.10</source_ip>
    <count>42</count>
    <policy_evaluated><dkim>pass</dkim><spf>fail</spf></policy_evaluated>
  </row>
  <identifiers><header_from>example.com</header_from></identifiers>
</record>

Rohes XML wird im großen Maßstab schmerzhaft — geben Sie es in ein DMARC-Analysewerkzeug. Bauen Sie ein Inventar jeder sendenden IP auf: Marketingplattform, Ticketsystem, HR-Tool, Rechnungsstellung, Helpdesk, Ihre eigenen MTAs. Prüfen Sie für jede, ob sie SPF und/oder DKIM besteht und ausgerichtet ist.

Schritt 3 — Die legitimen Absender in Ordnung bringen

Für jede Quelle, deren Ausrichtung scheitert:

SPF fehlgeschlagen — den include: oder die IPs des Absenders ergänzen; die Obergrenze von 10 Lookups im Blick behalten.
DKIM fehlgeschlagen — DKIM bei diesem Anbieter aktivieren und dessen Selektor veröffentlichen; die DKIM-Ausrichtung übersteht Weiterleitungen besser, also bevorzugen.
Nichts richtet sich aus — diese Post entweder über einen authentifizierten Weg leiten oder auf eine eigene Subdomain (etwa mail.example.com) mit eigenen Einträgen verschieben.

So lange iterieren, bis die Aggregatberichte ~100 % des legitimen Volumens als bestanden und ausgerichtet zeigen. In einer großen Organisation kann diese Phase mehrere Wochen dauern.

Schritt 4 — Quarantäne mit Rampe

Auf quarantine wechseln, aber schrittweise über pct ausrollen:

"v=DMARC1; p=quarantine; pct=25; rua=mailto:[email protected]; adkim=s; aspf=s"

pct=25 wendet die Richtlinie auf ein zufälliges Viertel der scheiternden Post an; der Rest wird weiter wie bei none behandelt. Über die Wochen 25 → 50 → 100 erhöhen und dabei die Berichte auf übersehene legitime Absender prüfen.

Schritt 5 — Reject durchsetzen

Sobald Quarantäne bei pct=100 sauber läuft, auf volle Durchsetzung gehen:

"v=DMARC1; p=reject; rua=mailto:[email protected]; adkim=s; aspf=s"

Vergessen Sie die Subdomains nicht. Setzen Sie eine ausdrückliche Subdomain-Richtlinie, damit niemand eine ungenutzte missbraucht:

"v=DMARC1; p=reject; sp=reject; rua=mailto:[email protected]"

Ausrichtungsmodus: strikt oder entspannt

aspf=r / adkim=r (entspannt, Standard) — dieselbe organisatorische Domain genügt (mail.example.com richtet sich zu example.com aus).
aspf=s / adkim=s (strikt) — exakte Übereinstimmung erforderlich.

Entspannt ist meist richtig; strikt nur, wenn Sie jeden Subdomain-Absender vollständig kontrollieren.

Der ganze Sinn von DMARC ist p=reject mit hoher Abdeckung. Eine Domain, die für immer auf p=none bleibt, wird beobachtet, ist aber weiterhin fälschbar — Berichte sind das Mittel, Durchsetzung das Ziel.

Laufender Betrieb

Aggregatberichte weiter lesen; ständig kommen neue SaaS-Werkzeuge dazu, die ohne Autorisierung scheitern.
DKIM-Selektoren regelmäßig rotieren.
Auf Spitzen scheiternden Volumens von unbekannten IPs alarmieren — das ist oft eine aktive Spoofing-Kampagne.

Wie GottaPhish hilft

p=reject zu erreichen stoppt die exakte Domain-Fälschung, doch Angreifer antworten mit ähnlich aussehenden Domains und Anzeigenamen-Ködern, die DMARC nicht blocken kann. GottaPhish und sein Expertenteam schließen diese verbleibende Lücke: realistische Simulationen genau gegen diese Vektoren — verwandte Domains, nicht ausgerichtete Absender — plus Dashboards, die jeden Angriff den Personen zuordnen, die darauf hereingefallen sind. Unsere Fachleute unterstützen bei der Einrichtung, entwerfen Szenarien passend zu Ihrer Durchsetzungsstufe und helfen beim Deuten der Ergebnisse, damit Ihr DMARC-Rollout mit der Schulung einhergeht, die die menschliche Lücke schließt.