E-Mail-Sicherheit: DMARC- und TLS-RPT-Berichte

Schützen Sie Ihre Absenderdomain vor Fälschung und stellen Sie sicher, dass Ihre Mails ankommen — mit einer laufenden Prüfung Ihrer DNS-Einträge und der Auswertung der DMARC-Berichte von Google, Microsoft & Co.

Warum ist das wichtig?

Jeder kann eine E-Mail mit Ihrer Domain als Absender versenden. SPF, DKIM und DMARC sind drei DNS-Einträge, mit denen Empfänger prüfen, ob eine Mail wirklich von Ihnen kommt. Fehlen sie oder sind sie falsch gesetzt, landen Ihre Mails eher im Spam und Betrüger können Ihre Domain für Phishing nutzen. Große Anbieter (Google, Yahoo, Microsoft) verlangen die Einträge von Massenversendern ab 5.000 Mails pro Tag; Zustellprobleme und Missbrauch treffen aber auch kleine Domains.

1. E-Mail-Sicherheit prüfen lassen

Ab Monitor Basic (und in den Agentur-Paketen) können Sie die Prüfung bei jeder überwachten Website einschalten: unter Websites beim Anlegen das Häkchen „E-Mail-Sicherheit prüfen“ setzen, oder auf der Detailseite der Website die Karte „E-Mail-Sicherheit“ aktivieren.

  • Was geprüft wird: SPF (inklusive Limit von 10 DNS-Abfragen), DKIM, DMARC (Policy, Berichts-Adresse), MTA-STS, TLS-Reporting, BIMI (Hinweis) und DNSSEC.
  • Bewertung: 0 bis 100 Punkte. Jeder Befund nennt, was fehlt, und enthält einen fertigen DNS-Eintrag zum Kopieren.
  • Wie oft: einmal täglich. Sie werden benachrichtigt, wenn sich die Bewertung deutlich verschlechtert oder ein schwerer Befund neu auftritt — und auch, wenn es wieder besser wird.
DKIM: Wir finden nur DKIM-Schlüssel mit gängigen Selector-Namen. Setzen Sie einen eigenen Namen ein, kann der Hinweis „Kein DKIM gefunden“ ein Fehlalarm sein.

2. DMARC- und TLS-RPT-Berichte auswerten

Mailserver senden täglich Berichte darüber, wer in Ihrem Namen E-Mails verschickt hat und ob diese SPF und DKIM bestanden haben. Wir nehmen diese Berichte selbst an und werten sie aus — ohne Drittanbieter. Sie finden die Funktion im Menü unter Monitoring → E-Mail-Sicherheit; auf der Seite einer Domain wechseln Sie im Seitenmenü zwischen Übersicht (Ampel-Kacheln mit den wichtigsten Kennzahlen: Status, Authentifizierungsquote, Quellen, Richtlinie, Verschlüsselungsquote, letzter Bericht — solange die Einrichtung offen ist, mit Hinweis und Knopf „Jetzt einrichten“), DMARC, TLS-RPT und Einrichtung. Auch die Website-Seite verweist in der Karte „E-Mail-Sicherheit“ auf die Berichte der Domain.

1
Domain hinzufügen

„Domain hinzufügen“ wählen und die Domain eintragen. Sie landen direkt auf der Seite der Domain. Dort zeigt die Übersicht den Hinweis zur Einrichtung; der Bereich Einrichtung zeigt, was im DNS zu tun ist.

2
DMARC-Eintrag setzen oder ergänzen

Hat die Domain noch keinen DMARC-Eintrag, zeigt die Seite den fertigen TXT-Eintrag für _dmarc.ihre-domain.de (zunächst mit p=none, es wird nur beobachtet). Gibt es schon einen Eintrag, ersetzen Sie ihn nicht: Die Seite zeigt Ihren Eintrag und eine Fassung, in der nur unsere Adresse bei rua= ergänzt ist. Bestehende Empfänger, Richtlinie und weitere Angaben bleiben, damit vorhandene Berichte weiter ankommen.

3
Automatische Prüfung

Es gibt keinen Prüf-Knopf: Die Einrichtung wird automatisch geprüft, bis zur Einrichtung stündlich, danach täglich (solange die Seite offen ist, auch laufend). Vier Punkte zeigen den Stand: Eintrag vorhanden, Adresse in rua=, Berichts-Domain autorisiert, erste Berichte eingegangen. Die ersten Berichte treffen meist innerhalb von 24 bis 48 Stunden ein. Geht die Einrichtung später verloren (Eintrag oder Adresse verschwindet), gibt es auf Wunsch einen Alarm.

Die Auswertung lesen

  • Kennzahlen und Verlauf: ausgewertete Mails, Anteil DMARC bestanden (SPF oder DKIM, mit Ihrer Domain ausgerichtet; Ziel nahe 100 %), Verlauf je Tag und die Behandlung der Mails laut Richtlinie (zugestellt, Quarantäne, abgewiesen).
  • Absender-Quellen: Welche Server senden in Ihrem Namen, mit Name (Reverse-DNS), Mails, Fehlschlägen, womit sie sich authentifizieren und einer Bewertung (in Ordnung, teilweise fehlerhaft, besteht nicht). Neue Quellen sind markiert. Tabelle sortier- und als CSV exportierbar.
  • Berichtsprotokoll: jeder eingegangene Bericht (Berichtsteller wie Google oder Yahoo, Zeitraum, Mails, Quote, Richtlinie). Ein Klick zeigt alle Zeilen des Berichts mit DKIM- und SPF-Details; ebenfalls als CSV exportierbar.
  • Empfehlungen: Hinweise, was als Nächstes sinnvoll ist, etwa Quellen mit Fehlschlägen prüfen oder, wenn über längere Zeit alles besteht, die Richtlinie von none auf quarantine und später reject anheben.
  • Fehlgeschlagen: Gehört der Absender zu Ihnen (z. B. Newsletter-Dienst, Shop-System), richten Sie dort SPF und DKIM ein. Gehört er nicht zu Ihnen, wird Ihre Domain missbraucht.

TLS-RPT: kommen E-Mails verschlüsselt an?

TLS-RPT (RFC 8460) ist der Bericht darüber, ob andere Mailserver E-Mails an Ihre Domain per TLS verschlüsselt zustellen konnten, und woran es scheiterte. Er ist besonders nützlich, wenn Sie MTA-STS oder DANE einsetzen, denn dann werden E-Mails bei einem TLS-Problem nicht zugestellt. Die Berichts-Adresse ist dieselbe wie bei DMARC; im Abschnitt Einrichtung steht zusätzlich der fertige TXT-Eintrag für _smtp._tls.ihre-domain.de (ein vorhandener Eintrag wird ergänzt, nicht ersetzt). Eine Autorisierung der Berichts-Domain ist bei TLS-RPT nicht nötig.

  • Kennzahlen und Verlauf: Sitzungen, Erfolgsquote und Verlauf je Tag (erfolgreich/fehlgeschlagen).
  • Fehlerarten: z. B. Zertifikat abgelaufen, Zertifikat passt nicht zum Hostnamen, STARTTLS nicht unterstützt, MTA-STS-Richtlinie nicht abrufbar, DANE/DNSSEC ungültig — jeweils mit einem Hinweis, was zu tun ist, und den betroffenen Mailservern (MX).
  • Berichtsprotokoll: jeder Bericht mit Berichtsteller, Zeitraum und Sitzungen; ein Klick zeigt Richtlinien und Fehlerzeilen. CSV-Export möglich.
  • Alarm: bei hoher Fehlerquote (Standard ab 5 % der Sitzungen, mindestens 20 Sitzungen am Berichtstag) und bei einer neuen Fehlerart; Schwellen und Kanäle (Glocken-Symbol) wie bei DMARC einstellbar.

Benachrichtigungen und Alarm

Das Glocken-Symbol oben auf der Seite öffnet dieselbe Einstellung wie bei Websites und Servern: Sie wählen, wer (Teammitglieder, Kontakte oder freie Adressen) und wie (E-Mail, Slack, Teams, Discord, SMS, Webhook) benachrichtigt wird, jeweils bei Problemen, bei Entwarnung oder immer. Unten auf der Seite stellen Sie die Schwellen ein: neue Quelle ohne bestandenes SPF/DKIM (ab wie vielen Mails), Tageserfolgsquote unter einem Wert, Einrichtung verloren, und wie viele Tage ohne Bericht als Alarm gelten. Ohne eigene Kanäle gehen die Alarme wie bisher an Ihre Alarm-Regeln bzw. per E-Mail an den Ersteller.

Adresse erneuern

Unter „Berichts-Adresse erneuern …“ in der Einrichtung öffnet sich ein Fenster, das die Änderung zuerst bestätigen lässt: Die alte Adresse ist sofort ungültig, Berichte an sie werden abgewiesen, bis Sie den rua=-Eintrag geändert haben. Danach zeigt das Fenster den fertigen Eintrag. Bei einem bestehenden Eintrag wird nur unsere alte Adresse getauscht. Bereits gespeicherte Berichte bleiben erhalten. Die Seite prüft automatisch, sobald der neue Eintrag sichtbar ist.

Datenschutz

Berichte enthalten IP-Adressen und Hostnamen der beteiligten Mailserver, Anzahlen und Prüfergebnisse — keine Nachrichteninhalte. Wir speichern nur die ausgewerteten Zeilen, kürzen IP-Adressen nach 90 Tagen (IPv4 /24, IPv6 /48) und löschen alles nach 13 Monaten. Die Verarbeitung ist in Anlage 1 des Auftragsverarbeitungsvertrags beschrieben.

Schutz vor gefälschten Berichten

Die Berichts-Adresse steht im öffentlichen DNS. Damit niemand falsche Berichte einschleusen kann, die Ihre Auswertung verfälschen, übernehmen wir nur Berichte, die exakt zu Ihrer Domain gehören (Unterdomains oder übergeordnete Domains werden abgewiesen), einen plausiblen Zeitraum haben (höchstens 8 Tage, nicht in der Zukunft, nicht älter als 13 Monate) und pro Domain höchstens 300 pro Tag ausmachen. Ob ein Bericht wirklich vom angegebenen Absender stammt, lässt sich ohne Signaturprüfung der Berichtsmail nicht belegen — behandeln Sie die Auswertung als Hinweis, nicht als Nachweis.

Kontingent

Domains mit E-Mail-Berichten (DMARC und TLS-RPT zusammen) sind je Paket enthalten: Monitor Pro 1, Monitor Business 3, Agentur 5, Agentur Pro 15. Weitere Domains buchen Sie als Zusatz („+5 Domains mit E-Mail-Berichten“) auf der Preisseite.