Was ist DMARC und wie funktioniert es effektiv?

E-Mail bleibt der primäre Angriffsvektor für Cyberkriminelle, wobei Phishing im Jahr 2025 für 16 % der Datenschutzverletzungen verantwortlich war und damit einer der häufigsten initialen Angriffsvektoren ist [1]. Dennoch lassen viele Organisationen ihre Domains anfällig für Spoofing- und Impersonation-Angriffe, einfach weil die Implementierung von E-Mail-Authentifizierung zu komplex erscheint. DMARC (Domain-based Message Authentication, Reporting, and Conformance) bietet eine leistungsstarke Lösung für dieses Problem, schützt Ihre Domain vor unautorisierter Nutzung und verbessert gleichzeitig die Zustellbarkeit legitimer E-Mails. Lesen Sie diesen Blogbeitrag, um mehr zu erfahren.

DMARC ist ein offenes E-Mail-Authentifizierungsprotokoll, das es Organisationen ermöglicht, ihre Domains vor unautorisierter Nutzung zu schützen – insbesondere vor E-Mail-Spoofing, Phishing und Business Email Compromise (BEC)-Angriffen. Es baut auf zwei grundlegenden E-Mail-Authentifizierungsstandards auf: SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) [2].

Im Kern ermöglicht DMARC Domain-Inhabern, eine Richtlinie in ihren DNS-Einträgen zu veröffentlichen, die empfangenden Mailservern vorgibt, wie mit E-Mails umzugehen ist, die die Authentifizierungsprüfungen nicht bestehen. Diese Richtlinie kann festlegen, ob verdächtige Nachrichten akzeptiert, unter Quarantäne gestellt oder abgelehnt werden sollen, was Organisationen eine granulare Kontrolle über ihren E-Mail-Kanal gibt.

Über die Richtliniendurchsetzung hinaus bietet DMARC einen entscheidenden Berichtsmechanismus. Domain-Inhaber erhalten detailliertes Feedback darüber, wer in ihrem Namen E-Mails versendet und ob diese Nachrichten die Authentifizierung bestehen oder nicht. Diese Transparenz ist essenziell, um Missbrauch zu erkennen und einzudämmen sowie legitime Zustellprobleme zu beheben.

Um zu verstehen, wie DMARC funktioniert, muss man die Authentifizierungsstandards betrachten, auf denen es aufbaut, sowie die zusätzliche Schutzebene, die es bietet.

Bevor DMARC seine Wirkung entfalten kann, müssen zwei grundlegende Protokolle vorhanden sein. Betrachten Sie SPF und DKIM als die Sicherheitskontrollpunkte, die DMARC überwacht und durchsetzt.

SPF (Sender Policy Framework) legt fest, welche Mailserver berechtigt sind, im Namen einer Domain E-Mails zu versenden, indem deren IP-Adressen in einem DNS-TXT-Eintrag aufgelistet werden. Beim Empfang einer E-Mail prüft der Server des Empfängers, ob die IP des sendenden Servers mit einer im SPF-Eintrag übereinstimmt. Damit wird eine einfache, aber entscheidende Frage beantwortet: Darf dieser Server E-Mails für diese Domain versenden?

DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu, die vom Server des Empfängers anhand eines öffentlichen Schlüssels überprüft wird, der im DNS der Domain veröffentlicht ist. Dies stellt sicher, dass die E-Mail während der Übertragung nicht verändert wurde, und bestätigt die Identität des Absenders. Es liefert einen kryptografischen Nachweis, dass die Nachricht von Ihrer Organisation stammt und während der Zustellung nicht manipuliert wurde.

DMARC führt eine Richtlinienebene über SPF und DKIM hinweg ein, durch einen klaren, schrittweisen Prozess:

1. Richtlinienveröffentlichung: Der Domain-Inhaber veröffentlicht einen DMARC-Eintrag im DNS. Dieser Eintrag enthält die Richtlinie (none, quarantine, reject), eine Berichtsadresse für Feedback sowie weitere optionale Parameter.
2. E-Mail-Empfang: Beim Eintreffen einer E-Mail führt der Mailserver des Empfängers wie gewohnt SPF- und DKIM-Prüfungen durch.
3. Abgleichprüfung: DMARC verlangt, dass die Domain im „From“-Header der E-Mail (das, was der Nutzer sieht) mit den durch SPF (das „Envelope From“) und DKIM (die „d=“-Domain in der Signatur) validierten Domains übereinstimmt. Dies wird als Identifier Alignment bezeichnet.
4. Richtliniendurchsetzung: Wenn sowohl SPF- als auch DKIM-Prüfungen fehlschlagen oder sie zwar bestehen, aber nicht mit der „From“-Domain übereinstimmen, konsultiert der empfangende Server die DMARC-Richtlinie, um zu entscheiden, ob die Nachricht zugestellt, unter Quarantäne gestellt oder abgelehnt wird.
5. Berichterstattung: Der empfangende Server sendet aggregierte (RUA) und forensische (RUF) Berichte an den Domain-Inhaber zurück, die Authentifizierungsergebnisse und potenziellen Missbrauch detailliert darstellen.

Ein DMARC-Eintrag ist ein DNS-TXT-Eintrag, der unter _dmarc.yourdomain.com veröffentlicht wird und empfangenden E-Mail-Servern mitteilt, wie mit Nachrichten umzugehen ist, die vorgeben, von Ihrer Domain zu stammen. Das Verständnis dieser Einträge und des Domain-Abgleichs ist für eine effektive Implementierung unerlässlich.

Ein typischer DMARC-DNS-TXT-Eintrag sieht folgendermaßen aus:

v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.com; ruf=mailto:dmarc-forensics@example.com; pct=100; adkim=s; aspf=s;

Der Domain-Abgleich ist der Eckpfeiler der DMARC-Sicherheit. Er stellt sicher, dass die für den Empfänger sichtbare Domain in der „From“-Adresse mit der durch SPF oder DKIM authentifizierten Domain übereinstimmt. Dies verhindert, dass Angreifer Ihre Domain im sichtbaren „From“-Feld verwenden, während sie von ihrer eigenen authentifizierten Infrastruktur aus versenden.

Der Abgleich kann streng (exakte Übereinstimmung erforderlich) oder gelockert (Subdomain-Übereinstimmung erlaubt) sein. Die meisten Organisationen beginnen die Implementierung mit einem gelockerten Abgleich und wechseln später zu einem strengen Abgleich für maximalen Schutz.

Die DMARC-Implementierung bringt messbare Vorteile, die sich direkt auf die Sicherheit, den Betrieb und den wirtschaftlichen Erfolg der Organisation auswirken.

Organisationen mit DMARC-Durchsetzung auf „reject“ blockieren nahezu alle direkten Domain-Spoofing-Versuche, sofern die empfangenden Mailserver die Richtlinie korrekt durchsetzen. Damit wird ein wichtiger Angriffsvektor eliminiert, der bei BEC-Kampagnen zum Einsatz kommt, die Unternehmen 2023 über 2,9 Milliarden US-Dollar gekostet haben [3]. Der durchschnittliche BEC-Angriff kostet 135.000 US-Dollar, doch der Reputationsschaden geht weit über die unmittelbaren finanziellen Verluste hinaus, wenn Kunden betrügerische E-Mails von Ihrer Domain erhalten.

E-Mail-Anbieter bewerten den Ruf des Absenders bei der Entscheidung über die Posteingangsplatzierung. Domains mit DMARC-Durchsetzung signalisieren Anbietern wie Gmail, Outlook und Yahoo, dass die Organisation E-Mail-Sicherheit ernst nimmt, was zu einer bevorzugten Behandlung bei Zustellentscheidungen führt.

Organisationen, die DMARC implementieren, verzeichnen in der Regel eine Verbesserung der E-Mail-Zustellraten von bis zu 10 %, weniger legitime E-Mails, die als Spam markiert werden, und ein höheres Engagement bei Marketingkampagnen. Vertriebsteams erhalten schnellere Antwortzeiten, und Kundenkommunikation landet zuverlässig im Posteingang.

DMARC-Berichte bieten umfassende Transparenz über Ihr E-Mail-Ökosystem und decken Drittanbieter, Legacy-Systeme, Marketingplattformen und Abteilungstools auf, von denen Sie nicht wussten, dass sie E-Mails versenden. Diese Transparenz ermöglicht es Sicherheitsteams, unautorisierte Sendeversuche zu identifizieren, Schatten-IT zu entdecken, bevor Vorfälle auftreten, und regulatorische Anforderungen von Rahmenwerken wie HIPAA und PCI DSS zu erfüllen. Organisationen erhalten eindeutige Antworten darüber, wer in ihrem Namen E-Mails versendet, gestützt auf tägliche Berichtsdaten.

Die manuelle DMARC-Implementierung erfordert das Auswerten Tausender XML-Berichte, die Unterscheidung zwischen legitimen und bösartigen Absendern sowie die Koordination mit mehreren Drittanbieterdiensten. Red Sift OnDMARC vereinfacht diese Komplexität und ermöglicht es Organisationen, innerhalb von 6-8 Wochen eine vollständige Durchsetzung zu erreichen, wobei die Zeitrahmen je nach Infrastrukturkomplexität variieren können.

• Automatisierte Berichtsanalyse: Visuelle Dashboards verwandeln komplexes XML in umsetzbare Erkenntnisse, die Authentifizierungstrends und fehlschlagende Quellen aufzeigen
• Geführte Richtlinienentwicklung: Klare Empfehlungen, wann sicher zwischen Richtlinienstufen gewechselt werden kann, mit Konfidenzwerten
• Vollständige Erkennung von E-Mail-Quellen: Automatische Identifizierung aller Dienste, die in Ihrem Namen E-Mails versenden, mit Authentifizierungsstatus
• Vereinfachte Konfiguration: Schritt-für-Schritt-Anleitungen, zugeschnitten auf jede Plattform, mit Verifizierungsschritten
• Kontinuierliche Überwachung: Benachrichtigungen bei neuen E-Mail-Quellen, Authentifizierungsfehlern und Spoofing-Versuchen

OnDMARC macht E-Mail-Sicherheit auf Unternehmensniveau zugänglich, ohne tiefgreifendes technisches Fachwissen oder monatelange Implementierungszeiten zu erfordern.

Da BEC-Angriffe Organisationen jährlich Milliarden kosten und die E-Mail-Zustellbarkeit zunehmend von einer ordnungsgemäßen Authentifizierung abhängt, sollte die DMARC-Implementierung für IT- und Sicherheitsteams höchste Priorität haben.

Red Sift OnDMARC macht die Implementierung schnell und effektiv. Starten Sie Ihre 14-tägige Testversion und schließen Sie sich über 1.200 Organisationen an, die ihre Domains mit E-Mail-Sicherheit auf Unternehmensniveau schützen.

Erhalten Sie eine kostenlose Cyber-Risikobewertung, indem Sie eine kurze Demo buchen, und machen Sie den ersten Schritt zu umfassendem Domain-Schutz.

[1] Verizon 2025 Data Breach Investigations Report: https://www.verizon.com/business/resources/Tea/reports/2025-dbir-data-breach-investigations-report.pdf [2] NIST Special Publication 800-177 Revision 1 - Trustworthy Email: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-177r1.pdf [3] FBI IC3 Report - Business Email Compromise Statistics: https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf