Darum geht es
DMARC legt fest, was Empfänger mit Mails tun sollen, die angeblich von Ihrer Domain kommen, aber die SPF- oder DKIM-Prüfung nicht bestehen: zustellen, in Quarantäne stellen oder ablehnen. Zusätzlich erhalten Sie Berichte darüber, wer in Ihrem Namen sendet.
Was passieren kann
Ohne DMARC-Richtlinie werden gefälschte Mails mit Ihrer Absenderdomain weiterhin zugestellt. Das ist ein Haupteinfallstor für Rechnungsbetrug gegenüber Ihren Kunden.
Schritt für Schritt
Stellen Sie sicher, dass SPF und DKIM für die Domain eingerichtet sind.
Legen Sie beim DNS-Anbieter einen TXT-Eintrag für _dmarc.<ihre-domain.de> an, zunächst z. B. „v=DMARC1; p=none; rua=mailto:dmarc@<ihre-domain.de>“.
Werten Sie die eingehenden Berichte zwei bis vier Wochen aus und ergänzen Sie fehlende legitime Absender in SPF/DKIM.
Verschärfen Sie dann auf „p=quarantine“ und später auf „p=reject“; erst das schützt wirksam vor Fälschungen.
Richten Sie auch für die Domain <firma>.onmicrosoft.com einen DMARC-Eintrag über das Microsoft 365 Admin Center ein.
Prüfen Sie den Eintrag mit Resolve-DnsName (siehe Hinweis).
Hier finden Sie die Einstellung
- DNS-Verwaltung Ihres Domain-Anbieters (TXT-Eintrag _dmarc)
oder
- für onmicrosoft.com: Microsoft 365 Admin Center (admin.microsoft.com)
- Einstellungen
- Domänen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Für alle E-Mail-Domains ist ein DMARC-Eintrag veröffentlicht
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Ob dieser DNS-Eintrag für alle Ihre E-Mail-Domains gesetzt ist, prüft Auditspiegel derzeit nicht automatisch; das folgt in einer späteren Version. Bis dahin prüfen Sie den Eintrag bitte in der DNS-Verwaltung Ihres Domain-Anbieters. Die Sollwerte zeigt das Microsoft 365 Admin Center (admin.microsoft.com) unter Einstellungen > Domänen.
Für Ihre IT: per PowerShell nachsehen
PowerShell: Resolve-DnsName -Name _dmarc.<ihre-domain.de> -Type TXT
Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.4.1v1: DMARC-Eintrag veröffentlichen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.3.A9: Erweiterte Sicherheitsmaßnahmen auf dem E-Mail-Server
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.