Managed DMARC-Monitoring.
Von den Reports zur Richtlinie p=reject.

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist ein DNS-Eintrag, mit dem der Inhaber einer Domain den empfangenden Servern mitteilt, was mit Nachrichten geschehen soll, die SPF oder DKIM nicht bestehen: nichts (p=none), Quarantäne (p=quarantine) oder Ablehnung (p=reject). Der Teil „Reporting“ wird von den wenigsten genutzt: Google, Microsoft, Yahoo und andere Empfänger senden täglich einen Aggregatreport im XML-Format mit den IP-Adressen, die im Namen der Domain gesendet haben, und dem Ergebnis der Authentifizierung. Regelmäßig gelesen, zeigen diese Reports, wer Ihre Domain tatsächlich nutzt. Der Service empfängt sie, liest sie stündlich und übersetzt sie in eine verständliche Diagnose. Wir arbeiten mit Aggregatreports (RUA): forensische Reports (RUF), die nur wenige Empfänger senden, werden nicht verarbeitet. Die Abdeckung hängt davon ab, wer Reports sendet: die großen Provider ja, viele kleine Server nein, daher beschreiben die Zahlen nie hundert Prozent der Post.

Mit p=none wird die Domain nur beobachtet: Gefälschte Nachrichten werden trotzdem zugestellt, und der Eintrag dient lediglich dem Empfang der Reports. Erst p=reject, mit p=quarantine als Zwischenschritt, weist die Empfänger an, Post ohne bestandene Authentifizierung zu verwerfen. Es ist die einzige Konfiguration, die Dritte wirklich daran hindert, im Namen Ihrer Domain zu senden. Google, Yahoo und Microsoft verlangen bereits einen DMARC-Eintrag von allen, die große Volumen an ihre Postfächer senden. Eine Enforcement-Richtlinie ist zudem eine technische Maßnahme, die sich in einem NIS2- oder ISO/IEC-27001-Audit dokumentieren lässt.

Die Weiterleitung ist der heikelste Fall. Wenn ein Empfänger Post automatisch an eine andere Adresse weiterleitet oder eine Mailingliste die Nachricht umschreibt, scheitert SPF, weil der weiterleitende Server nicht zu den autorisierten gehört. Bricht auch die DKIM-Signatur, wird die Nachricht bei p=reject verworfen. Deshalb erkennt der Service Quellen, die sich wie Weiterleitungen verhalten, und stuft sie entsprechend ein. Der Wechsel zu p=reject erfolgt erst, wenn die legitimen Quellen korrekt mit DKIM signieren, das eine Weiterleitung überlebt. Der Weg ist bewusst schrittweise, damit keine legitime Post verloren geht.

Das hängt davon ab, wie viele Systeme im Namen der Domain senden. Ein Unternehmen, dessen Post ausschließlich über Microsoft 365 läuft, erreicht das Enforcement schnell; eine Organisation mit CRM, Newsletter-Plattformen, ERP-Systemen und Multifunktionsdruckern, die E-Mails versenden, braucht mehr Zeit, weil jede Quelle identifiziert, in SPF autorisiert oder zum Signieren mit DKIM gebracht werden muss. Der Bereitschaftswert auf einer Skala von 0 bis 100 zeigt jederzeit, wie weit die Domain ist und was der nächste Schritt ist: Die Quarantäne beginnt bei 80 Punkten mit 10 % der Post und erreicht 100 % ab 90, die Ablehnung beginnt bei 95 mit 25 % und wird ab 97 vollständig. In der Regel bleibt die Domain einige Wochen unter Beobachtung bei p=none, wechselt zu p=quarantine mit steigendem Prozentsatz und schließlich zu p=reject. Wir erzwingen kein Tempo: Die Domain geht weiter, wenn die Reports zeigen, dass sie bereit ist.

Nein. Der Service ist gemanagt: AtWorkStudio konfiguriert die Einträge, autorisiert die Absender, bringt die Domain ins Enforcement und überwacht sie weiter. Der Kunde erhält das Domain-Datenblatt als PDF, erstellt von seinem Ansprechpartner bei AtWorkStudio bei Bedarf, in der Regel zum Monatsende oder nach einem Eingriff: Es enthält die Zahlen der letzten 30 Tage im Vergleich zu den 30 davor, die DNS-Konfiguration, den Stand des Weges, die durchgeführten Maßnahmen und die Systeme, die für die Domain senden. Alarme und die wöchentliche Zusammenfassung sind interne Werkzeuge der Operatoren. Datenblätter und Diagnosen werden derzeit auf Italienisch erstellt. Die Betriebsplattform DMARC Reaper ist den Operatoren von AtWorkStudio vorbehalten. Reports und Verlauf werden 13 Monate auf Azure in der Region Italien Nord aufbewahrt.