DMARC steht für „Domain-based Message Authentication, Reporting and Conformance“ und ist ein Mechanismus, der es E-Mail-Betreibern ermöglicht, bereits existierende Authentifizierungs- und Richtlinienverfahren wie SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) zu nutzen und zu erweitern. Ziel ist es, E-Mail-Absender und -Empfänger bei der Bekämpfung von Spam, Phishing und sogenanntem Spoofing (das Fälschen einer Absenderadresse) zu unterstützen.
SPF und DKIM gelten als wesentliche Bausteine der E-Mail-Authentifizierung, da sie dem Empfänger verlässliche Informationen über die Domain liefern, von der die E-Mail stammt. Diese Technologien legen fest, wie autorisierte E-Mail-Server identifiziert werden (SPF) und ob eine Nachricht unterwegs unverändert geblieben ist (DKIM). Allerdings fehlte lange Zeit ein allgemeingültiger und leicht zugänglicher Weg, um sowohl die gewünschten Richtlinien (Policies) einer Domain zu veröffentlichen als auch Feedback über Authentifizierungsergebnisse und die Behandlung eingehender E-Mails zu erhalten. Unternehmen und Organisationen, die bereits SPF und DKIM eingerichtet hatten, konnten bislang nur schwer herausfinden, ob ihre Abwehrmaßnahmen tatsächlich griffen.
In der Vergangenheit haben deshalb einzelne Absender und Empfänger oft eigene, aufwändige Absprachen getroffen, um sich bei den Themen Richtlinien, Zustellungsrichtungen und Berichterstattung abzustimmen. Diese Vorgehensweise war jedoch sehr individuell und erforderte intensive manuelle Abstimmung. Zudem ließ sie sich nicht ohne weiteres auf große Nutzer- und Kundenkreise skalieren.
An dieser Stelle setzt DMARC an: Es definiert ein standardisiertes Verfahren, durch das Domaininhaber (z. B. Unternehmen oder Organisationen) den Mailservern auf Empfängerseite folgende Informationen bereitstellen können:
- Wie Empfänger mit Nachrichten umgehen sollen, die scheinbar von ihrer Domain kommen, aber nicht authentifiziert werden können.
- Wie E-Mail-Provider über Authentifizierungsergebnisse berichten sollen.
DMARC setzt damit auf SPF und DKIM auf, ergänzt sie jedoch um zusätzliche Mechanismen für umfassende Rückmeldungen und verbindliche Richtlinien. In der Praxis bedeutet das Folgendes:
- Der Domaininhaber veröffentlicht über DNS einen bestimmten DMARC-Eintrag, in dem steht, welche Policy (z. B. „nichts unternehmen“, „als Spam behandeln“ oder „ablehnen“) auf Nachrichten angewendet werden soll, die nicht eindeutig authentifiziert sind.
- Der empfangende Server prüft für jede eingehende E-Mail, ob die in der Absenderadresse verwendete Domain auch in SPF und DKIM übereinstimmt. Bei Bedarf werden die genannten Richtlinien (Policy) angewendet.
- Der Empfänger schickt regelmäßig Berichte (Reports) zurück an die im DMARC-Eintrag hinterlegte Adresse. So können Domaininhaber nachvollziehen, wie viele Mails tatsächlich bestehen und wie viele aufgrund von Fehlern oder Manipulationsversuchen scheitern.
Anders als bei älteren Verfahren, wie beispielsweise ADSP, ist die Authentifizierungstechnologie (SPF oder DKIM) nicht fest an eine bestimmte Policy gekoppelt, sondern kann flexibel herangezogen werden. Gleichzeitig kann DMARC ohne vorhandene SPF oder DKIM Konfiguration nicht funktionieren.
Eine wichtige Rolle spielt hierbei die sogenannte Ausrichtung (Alignment), die die Übereinstimmung der zwei Sendeadressen in einer E-Mail-Nachricht prüft. Diese beiden Adressen werden in den einzelnen Authentifizierungsverfahren nicht gegenseitig geprüft und können daher verschiedene Domains aufweisen. Für eine erfolgreiche Ausrichtung muss entweder eine exakte Übereinstimmung der Domain vorhanden sein (z. B. example.com = example.com) oder eine Hierarchieübereinstimmung zwischen einer übergeordneten und einer untergeordneten Domain (z. B. example.com und mail.example.com). Dieses Prinzip der Ausrichtung gewährleistet, dass die angezeigte Absenderadresse mit der tatsächlichen Absenderadresse der E-Mail übereinstimmt, was ein effektives Mittel gegen Domain-Spoofing darstellt.
DMARC nutzt diese Ausrichtungsprüfung, um sicherzustellen, dass die E-Mail sowohl durch SPF als auch durch DKIM authentifiziert wird. Wenn mindestens eines der beiden Verfahren erfolgreich ist, wird die E-Mail nicht blockiert, es sei denn, die Policy des Absenders verlangt strengere Maßnahmen. Diese Flexibilität macht DMARC zu einem robusten und zuverlässigen Tool im Zusammenhang mit der E-Mail-Absenderauthentifizierung.
Für Domaininhaber hat dies den Vorteil, dass DMARC einen vollständigeren Überblick über den E-Mail-Verkehr ermöglicht und Feedback liefert, das bislang kaum verfügbar war. So lassen sich beispielsweise leicht unautorisierte E-Mail-Quellen identifizieren, falsch konfigurierte Server korrigieren oder Phishing-Angriffe frühzeitig aufdecken. Gleichzeitig müssen Unternehmen und Organisationen jedoch bedenken, dass strenge DMARC-Richtlinien unter Umständen legitime, aber falsch konfigurierte E-Mail-Systeme blockieren können. Eine schrittweise Einführung und Prüfung ist daher entscheidend, um echte E-Mails nicht unbeabsichtigt abzulehnen.
Insgesamt vereint DMARC die beiden etablierten Authentifizierungsverfahren SPF und DKIM unter einem einheitlichen Richtliniensystem mit Feedback-Schleife. Dieser Ansatz verbessert das Vertrauen in E-Mail-Kommunikation und schützt Absender wie Empfänger wirksam vor Domainmissbrauch, sofern DMARC richtig eingerichtet und aktiv überwacht wird.
