Die wichtigsten Punkte
- Inventarisieren Sie zunächst jede E-Mail-Quelle, damit bei der Durchsetzung keine legitimen Absender blockiert werden.
- Konfigurieren Sie SPF und DKIM korrekt, denn DMARC stützt sich auf diese Protokolle, um das Absender-Alignment zu prüfen.
- Starten Sie mit einer reinen Überwachungsrichtlinie (p=none), um Berichtsdaten zu sammeln, ohne die E-Mail-Zustellung zu gefährden.
- Nutzen Sie die aggregierten Berichte, um Authentifizierungsfehler zu erkennen und zu beheben, und treiben Sie Ihre Alignment-Rate Richtung 100 %.
- Verschärfen Sie den Schutz schrittweise von quarantine zu reject, mit einem dokumentierten Rollback-Plan auf p=none.
- Operationalisieren Sie die Berichterstattung mit zentralen Kennzahlen, um Sicherheitsgewinne zu belegen und den Service dauerhaft zu steuern.
Phishing stoppen und die E-Mail-Zustellbarkeit verbessern: Beides steht und fällt mit einer korrekten DMARC-Implementierung. Doch der Schritt von der Theorie in die Praxis frustriert IT-Teams häufig.
Dieser Leitfaden macht aus dieser Komplexität ein klares, wiederverwendbares Runbook für MSPs. Sie lernen einen schrittweisen, datengestützten Prozess kennen, mit dem Sie den Schutz über alle Kundendomains hinweg bereitstellen, ohne den legitimen Mailfluss zu stören.
Schritt für Schritt: DMARC-Setup über alle Kundendomains hinweg ausrollen
Ein strukturiertes, phasenweises Vorgehen macht eine DMARC-Implementierung erfolgreich und sicher.
📌Anwendungsfall: Setzen Sie diesen Plan bei Sicherheits-Upgrades, nach Phishing-Vorfällen oder aus Compliance-Gründen um. Es ist der entscheidende Schritt, um von reinem SPF/DKIM zur aktiven Durchsetzung der DMARC-E-Mail-Sicherheit zu gelangen.
📌Voraussetzungen: Für ein tragfähiges Framework sollten Sie Folgendes sicherstellen:
- DNS-Zugriff für alle Domains und Subdomains.
- Administrativer Zugriff auf das primäre E-Mail-System (etwa das Microsoft 365 Admin Center, um DMARC-Abläufe für Office 365 einzurichten).
- Ansprechpartner:innen und Zugangsdaten für alle Drittanbieter-Versender (Marketing, Kundenbeziehungsmanagement-Systeme).
- Ein eigenes Postfach oder einen Dienst für den Empfang der DMARC-Aggregatberichte. Diese Daten sind Ihre Grundlage für die entscheidende Testphase der DMARC-E-Mail-Prüfung.
Sind diese Grundlagen vorhanden, folgen Sie den Schritten unten.
Schritt 1: Alle sendenden Quellen ermitteln
Sie müssen jede E-Mail-Quelle kennen, bevor Sie Richtlinien ändern, um Störungen zu vermeiden.
Darum ist dieser Schritt entscheidend
Eine übersprungene Bestandsaufnahme ist die Hauptursache für gescheiterte DMARC-Implementierungen. Ihr Ziel ist es, alle legitimen Versender zu identifizieren, von Cloud-Diensten bis zu alten Druckern, damit Sie diese später nicht blockieren.
- Erstellen Sie ein Versender-Inventar: Listen Sie für jede Domain auf:
- Primäres E-Mail-System (z. B. Microsoft 365)
- Marketing- und Kundenbeziehungsmanagement-Plattformen (Mailchimp, Salesforce)
- Interne Anwendungen und Scanner
- Jedes Gerät und jeden Server, der Mails versendet.
- Erfassen Sie die wichtigsten Daten: Notieren Sie für jede Quelle die „From“-Adresse, den sendenden Server bzw. die IP sowie die DKIM-Fähigkeit.
- Legen Sie eine verantwortliche Person fest: Dokumentieren Sie, wer den jeweiligen Dienst betreut, damit Rückfragen geklärt werden können.
Am Ende haben Sie ein vollständiges Versender-Inventar. Als Nächstes veröffentlichen Sie einen temporären DMARC-Eintrag, um echte Berichtsdaten zu sammeln, die Ihre Liste bestätigen und ergänzen. Diese Datenbasis ist das Fundament für alle weiteren Schritte.
Schritt 2: SPF und DKIM für die DMARC-Durchsetzung ausrichten
DMARC funktioniert nur, wenn SPF und DKIM korrekt eingerichtet sind.
Das Grundprinzip
Damit DMARC E-Mail-Spoofing wirksam verhindert, muss es prüfen, ob die Domain der Absenderadresse mit den von SPF oder DKIM authentifizierten Domains übereinstimmt. Ihr Ziel: Jeder legitime Versender aus Ihrem Inventar ist so konfiguriert, dass er diese Prüfung besteht.
Wichtige Konfigurationsschritte
- SPF-Eintrag korrigieren: Aktualisieren Sie den SPF-Eintrag (TXT) Ihrer Domain so, dass er alle gültigen Versandquellen enthält (etwa include:spf.protection.outlook.com für Microsoft 365). Entscheidend: Halten Sie die Kette der DNS-Lookups unter 10, um Fehler zu vermeiden.
- DKIM überall aktivieren: Aktivieren Sie die DKIM-Signierung in Ihrem primären E-Mail-Adminbereich. Aktivieren Sie bei jedem Drittanbieter-Dienst (z. B. Kundenbeziehungsmanagement, Marketing-Tools) die DKIM-Signierung für Ihre Domain und notieren Sie den Selektor (z. B. selector1._domainkey). Richten Sie außerdem einen festen Zeitplan für den Schlüsselwechsel ein.
Danach werden alle legitimen E-Mails korrekt authentifiziert. Damit ist die Basis gelegt, um die Überwachung mit einem DMARC-Eintrag gefahrlos zu starten, Ihr nächster Schritt im Prozess der DMARC-Implementierung.
Schritt 3: DMARC im reinen Monitoring-Modus veröffentlichen
Starten Sie Ihr DMARC-Setup mit einem Eintrag, der Daten sammelt, ohne den Mailfluss zu beeinflussen.
Daten gefahrlos sammeln
Sie beginnen im reinen Monitoring-Modus (p=none), um von empfangenden Mailservern (etwa Gmail oder Outlook.com) Informationen darüber zu erhalten, wer E-Mails für Ihre Domain versendet und ob diese die SPF-/DKIM-Prüfungen bestehen. Diese Datenbasis ist vor jeder Durchsetzung unverzichtbar.
Wichtige Konfigurationsschritte
- DNS-Eintrag veröffentlichen: Erstellen Sie in der DNS-Zone Ihrer Domain einen neuen TXT-Eintrag mit dem Namen _dmarc.yourdomain.com. Verwenden Sie diesen Wert:
v=DMARC1; p=none; rua=mailto:[email protected]; fo=1; aspf=r; adkim=r |
v=DMARC1: Gibt die DMARC-Version an.p=none: Die Richtlinie lautet „nur überwachen“; es wird keine E-Mail abgewiesen oder in Quarantäne verschoben.rua=mailto:dmarc@...: Die E-Mail-Adresse für den Empfang der XML-Aggregatberichte.fo=1: Fordert Fehlerberichte für alle Authentifizierungsfehler an und liefert damit maximale Details.aspf=r & adkim=r: Setzt den Ausrichtungsmodus für SPF und DKIM auf „relaxed“, die sicherste und kompatibelste Einstellung für den Start und die Überwachung.
- Subdomain-Richtlinie festlegen (optional, aber empfohlen): Ergänzen Sie
sp=none;, um dieselbe reine Monitoring-Richtlinie ausdrücklich auch auf Subdomains anzuwenden und unerwartete Probleme zu vermeiden. - Mit einem DMARC-E-Mail-Test prüfen: Senden Sie Test-E-Mails von allen wichtigen Quellen (z. B. Office 365, Ihre Marketing-Plattform) an ein privates Gmail- oder Yahoo-Konto. Sehen Sie sich die vollständigen E-Mail-Header an; Tools wie der Header Analyzer von MXToolbox helfen dabei. Achten Sie in den Authentication-Results auf
dmarc=pass.
Führen Sie nach der Veröffentlichung einen DMARC-E-Mail-Test durch. Senden Sie eine E-Mail von Ihrer Domain und prüfen Sie die Header mit Tools wie dem Message Header Analyzer von Microsoft (unter Windows 11 im Browser aufrufbar) oder MXToolbox. Bestätigen Sie, dass in den Authentifizierungsergebnissen dmarc=pass erscheint.
Schritt 4: Berichte auswerten und Fehlausrichtungen beheben
Nutzen Sie die Daten aus den DMARC-Berichten, um Authentifizierungsfehler systematisch zu beheben, bevor Sie durchsetzen.
100 % Versender-Ausrichtung erreichen
Ihr Ziel ist es, jeden in den Berichten erkannten SPF- oder DKIM-Fehler zu beheben, damit alle legitimen E-Mails korrekt ausgerichtet sind. Genau diese Nachbesserung macht die DMARC-E-Mail-Sicherheit wirksam und verhindert Betriebsunterbrechungen.
Wichtige Maßnahmen
- Berichte auswerten: Verwenden Sie ein Tool (etwa DMARCian oder Valimail), um die XML-Berichte in ein übersichtliches Dashboard zu überführen, das zeigt, welche Quellen scheitern und warum.
- Gezielte Korrekturen umsetzen:
- DKIM-Fehler: DKIM-Signierung beim Anbieter aktivieren oder korrigieren.
- SPF-Probleme: Fehlende IPs ergänzen oder den SPF-Eintrag flatten, wenn Sie nahe am Limit von 10 DNS-Lookups liegen.
- Ausrichtungsprobleme: Stellen Sie sicher, dass die „From“-Domain mit der authentifizierten Domain übereinstimmt. Weisen Sie problematischen Diensten eine eigene Subdomain zu (z. B. marketing.domain.com).
Mit jedem behobenen Problem steigt Ihre Ausrichtungsquote. Sobald die geschäftskritische E-Mail-Infrastruktur (etwa Office 365) eine nahezu perfekte Ausrichtung zeigt, haben Sie die Belege, um gefahrlos zur Durchsetzung überzugehen, dem letzten Schritt Ihrer DMARC-Implementierung.
Schritt 5: Richtlinie schrittweise verschärfen, mit Rollback-Plan
Gehen Sie in kontrollierten Etappen von der Überwachung zur Durchsetzung über, um E-Mails ohne Störungen abzusichern.
„p=reject“ gefahrlos aktivieren
Der letzte Schritt Ihres DMARC-Setups ist die Durchsetzung einer Reject-Richtlinie. Sie kann E-Mail-Spoofing wirksam verhindern, indem betrügerische Nachrichten blockiert werden. Das phasenweise Vorgehen stellt sicher, dass Sie den legitimen Mailfluss nicht unterbrechen.
Aktionsplan
- Beginnen Sie mit
p=quarantine: Stellen Sie Ihren DMARC-Eintrag aufp=quarantineum, sobald die Ausrichtungsquote über 95 % liegt und kritische Versender korrigiert sind. Fehlschlagende Mails landen dann als letzte Sicherheitsprüfung im Spam-Ordner. - Wechseln Sie zu
p=reject: Nach 2 bis 4 Wochen ohne Probleme stellen Sie aufp=rejectum. Mit dem Tagsp=legen Sie bei Bedarf strengere oder lockerere Richtlinien für Subdomains fest. - Halten Sie immer einen Rollback-Plan bereit: Dokumentieren Sie die Änderung und halten Sie den genauen Befehl griffbereit, um zu
p=nonezurückzukehren. Das ist Ihr unverzichtbares Sicherheitsnetz.
Die schrittweise Durchsetzung gibt dem globalen E-Mail-System Zeit, sich anzupassen, und liefert Ihnen einen letzten Praxistest. Die Quarantäne-Phase wirkt als Puffer und fängt letzte Fehlausrichtungen ab, bevor vollständig abgewiesen wird.
Schritt 6: Berichterstattung als Nachweis operationalisieren
Verwandeln Sie DMARC-Daten in klare Belege für Ihren Sicherheitserfolg.
Messbare Verbesserungen sichtbar machen
Dieser Schritt macht den Wert Ihrer DMARC-Implementierung sichtbar. Er liefert prüffähige Nachweise, dass das Spoofing-Risiko sinkt, und beantwortet die zentrale Frage „Ist DMARC für die E-Mail-Sicherheit erforderlich?“ mit harten Daten.
Wichtige Tracking-Maßnahmen
- Zentrale Kennzahlen überwachen: Verfolgen Sie Domains in Durchsetzung (
p=reject), den Anteil ausgerichteter Nachrichten und Versuche aus nicht autorisierten Quellen. - Forensische Berichte mit Bedacht nutzen: Begrenzen Sie forensische Berichte (
ruf) aus Datenschutzgründen; verlassen Sie sich für Details auf Aggregatdaten (rua) und vorhandene Sicherheitstools. - Monatliche Scorecard erstellen: Erstellen Sie pro Kunde ein einseitiges Dashboard mit Ausrichtungstrends, geschützten Domains und offenen Aufgaben.
Dieser laufende Prozess macht aus Ihrem DMARC-Setup eine verwaltete Sicherheitsmaßnahme. Die Scorecard bestätigt den Schutzgewinn fortlaufend, belegt das reduzierte Risiko und rechtfertigt die Investition.
DMARC-Management mit NinjaOne skalieren
Plattformen wie NinjaOne machen aus der DMARC-Implementierung einen effizienten, datengestützten Managed Service.
Wichtige RMM-Integrationen
- Überwachung: Automatisieren Sie die Prüfung der DNS-Einträge für SPF, DKIM und DMARC. Erhalten Sie Alarmierungen bei Abweichungen oder Ablauf, um Sicherheitslücken zu vermeiden.
- Automatisierung: DMARC-Aggregatberichte sammeln und auswerten und Zusammenfassungen direkt an Kundentickets anhängen.
- Berichterstattung: Binden Sie zentrale Kennzahlen wie Ausrichtungsquote und Domains in Durchsetzung in Kunden-Dashboards für Quartalsgespräche ein.
Indem Sie diese Schritte in Ihr RMM integrieren, operationalisieren Sie die DMARC-E-Mail-Sicherheit. Aus einem einmaligen Projekt wird ein fortlaufender Service, der seinen Wert belegt. So schützt Ihr MSP alle Kundendomains effizient und macht die Ergebnisse klar sichtbar.
Quick-Start-Guide
Darum ist der Ansatz von NinjaOne wertvoll:
- Phasenweise Implementierung verhindert Probleme bei der E-Mail-Zustellung
- Umfassende Überwachung hilft dabei, legitime Versender zu erkennen, die sonst blockiert würden
- Schritt-für-Schritt-Anleitung sorgt für die korrekte Ausrichtung von SPF, DKIM und DMARC
- Auf Unternehmen ausgerichtete Lösungen, die mit Unternehmen jeder Größe skalieren
Einen verlässlichen Prozess für die DMARC-Implementierung aufbauen
Eine erfolgreiche DMARC-Implementierung steht und fällt mit einem methodischen Vorgehen: Zuerst alle Versender inventarisieren, dann SPF/DKIM-Ausrichtung sicherstellen und erst danach eine reine Monitoring-Richtlinie veröffentlichen.
Indem Sie Berichte auswerten, Fehler beheben und die Durchsetzung schrittweise mit einem Rollback-Plan verschärfen, eliminieren Sie das Spoofing-Risiko systematisch.
Dieser disziplinierte, datengestützte Ansatz erlaubt es MSPs, jede Kundendomain zuverlässig abzusichern. Aus einem komplexen Standard wird so ein wiederholbarer Sicherheitsservice mit klar belegtem Nutzen.
Verwandte Themen
