Darum geht es
DMARC legt fest, was Empfänger mit Mails tun sollen, die angeblich von Ihrer Domain kommen, aber die SPF- oder DKIM-Prüfung nicht bestehen: zustellen, in Quarantäne stellen oder ablehnen. Zusätzlich erhalten Sie Berichte darüber, wer in Ihrem Namen sendet.
Was passieren kann
Ohne DMARC-Richtlinie werden gefälschte Mails mit Ihrer Absenderdomain weiterhin zugestellt. Das ist ein Haupteinfallstor für Rechnungsbetrug gegenüber Ihren Kunden.
Schritt für Schritt
Stellen Sie sicher, dass SPF und DKIM für die Domain eingerichtet sind.
Legen Sie beim DNS-Anbieter einen TXT-Eintrag für _dmarc.<ihre-domain.de> an, zunächst z. B. „v=DMARC1; p=none; rua=mailto:dmarc@<ihre-domain.de>“.
Werten Sie die eingehenden Berichte zwei bis vier Wochen aus und ergänzen Sie fehlende legitime Absender in SPF/DKIM.
Verschärfen Sie dann auf „p=quarantine“ und später auf „p=reject“; erst das schützt wirksam vor Fälschungen.
Richten Sie auch für die Domain <firma>.onmicrosoft.com einen DMARC-Eintrag über das Microsoft 365 Admin Center ein.
Prüfen Sie den Eintrag mit Resolve-DnsName (siehe Hinweis).
Hier finden Sie die Einstellung
- DNS-Verwaltung Ihres Domain-Anbieters (TXT-Eintrag _dmarc)
oder
- für onmicrosoft.com: Microsoft 365 Admin Center (admin.microsoft.com)
- Einstellungen
- Domänen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Für alle Domains ist ein DMARC-Eintrag mit „quarantine“ oder „reject“ und einer Berichtsadresse veröffentlicht
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Geprüft wird je verifizierter Domain einschließlich <firma>.onmicrosoft.com: genau ein TXT-Eintrag „v=DMARC1“ unter _dmarc.<domain> (ohne eigenen Eintrag gilt der der übergeordneten Domain, dann mit sp=), Richtlinie p=quarantine oder p=reject und eine Adresse für Sammelberichte (rua=). PowerShell: Resolve-DnsName -Name _dmarc.<ihre-domain.de> -Type TXT
Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.4.1v1: DMARC-Eintrag veröffentlichen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.3.A9: Erweiterte Sicherheitsmaßnahmen auf dem E-Mail-Server
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.