1
Sie fordern die Überwachung an
Ein Formular mit Domain, Firma und Anschrift. Die Anschrift brauche ich für den Auftragsverarbeitungsvertrag, den Sie vorher zu sehen bekommen.
Leistung
Wer verschickt E-Mails in Ihrem Namen?
Auf diese Frage hat fast kein Betrieb eine Antwort. Ich nehme die Berichte entgegen, die Google, Microsoft und die anderen Mailanbieter täglich über Ihre Domain verschicken, werte sie aus und zeige Ihnen das Ergebnis.
Das Problem, das kaum jemand sieht
Jeder kann eine E-Mail verschicken, in der Ihre Firmenadresse als Absender steht. Dafür braucht es keinen Zugriff auf Ihr Postfach und kein gestohlenes Kennwort — die Absenderzeile ist frei wählbar, so wie der Absender auf einem Briefumschlag.
Drei Einträge im DNS wehren das ab: SPF legt fest, welche Server senden dürfen, DKIM unterschreibt jede Nachricht, und DMARC sagt dem Empfänger, was mit Post geschehen soll, die beides nicht besteht.
Der Haken: Die meisten DMARC-Einträge, die ich sehe, stehen auf
p=none. Das heißt
„beobachten, nicht abwehren" — und ist als Übergang richtig. Nur schaut niemand
hin. Ein Eintrag, der beobachtet und den keiner liest, ist wirkungslos.
So läuft es ab
Ein Handgriff bei Ihnen, der Rest bei mir.
2
Sie tragen eine Zeile in Ihre DNS ein
Ich schicke Ihnen den fertigen Eintrag. Wer schon einen DMARC-Eintrag hat, ergänzt ihn nur. Das ist der einzige Handgriff auf Ihrer Seite.
3
Die Berichte laufen ein
Google, Microsoft, Web.de und die übrigen Anbieter schicken täglich eine Sammelauswertung. Sie landen auf meinem Server und werden ausgewertet.
4
Sie sehen, wer in Ihrem Namen sendet
Im Portal steht, welche Systeme Mail mit Ihrer Absenderdomain verschicken, wie viele Nachrichten das sind und ob sie die Prüfung bestehen.
Zwischen Schritt 2 und 3 vergeht ein Tag: Die Mailanbieter verschicken ihre Sammelberichte einmal täglich, nicht sofort.
Was in den Berichten steht — und was nicht
Enthalten
- IP-Adressen der Systeme, die mit Ihrer Domain als Absender senden
- Anzahl der Nachrichten je System und Tag
- Ergebnis der SPF- und DKIM-Prüfung
- was der Empfänger mit der Nachricht gemacht hat
Nicht enthalten
- Nachrichteninhalte
- Betreffzeilen
- Empfängeradressen
- Namen von Personen
Die Berichte liegen auf meinem eigenen Server in Deutschland — nicht bei einem Anbieter, dessen Geschäftsmodell Sie nicht kennen. Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bekommen Sie vorgelegt, bevor der erste Bericht eintrifft.
Häufige Fragen
- Was steht in diesen Berichten — liest da jemand meine Mails?
- Nein, und das ist keine Zusicherung, sondern eine Eigenschaft des Verfahrens: DMARC-Sammelberichte enthalten keine Nachrichteninhalte, keine Betreffzeilen und keine Empfängeradressen. Drin stehen die IP-Adressen der sendenden Systeme, wie viele Nachrichten sie geschickt haben und ob SPF und DKIM gestimmt haben. Es gibt daneben eine zweite Berichtsart, die tatsächlich Kopfzeilen enthalten kann — die nehme ich bewusst nicht entgegen.
- Wo liegen die Daten?
- Auf meinem eigenen Server in Deutschland. Nicht bei einem amerikanischen Anbieter, nicht in einem Dashboard, dessen Geschäftsmodell ich nicht kenne. Sie bekommen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, in dem steht, welche Daten verarbeitet werden, welche Unterauftragnehmer beteiligt sind und wann gelöscht wird.
- Was kostet das?
- Das hängt davon ab, wie viel Mail Ihre Domain verschickt und ob Sie nur die Überwachung wollen oder die Begleitung bis zur scharfen Einstellung. Rufen Sie an, dann sage ich Ihnen eine Zahl — nach einem Blick auf Ihre Domain, nicht vorher.
- Ich habe schon DMARC eingerichtet. Brauche ich das trotzdem?
- Prüfen Sie, ob in Ihrem Eintrag ein „rua=" steht. Fehlt es, bekommen Sie keine Berichte — dann beobachtet Ihr DMARC-Eintrag nichts und niemand erfährt, ob er wirkt. Steht dort eine Adresse, landen die Berichte irgendwo als XML-Datei in einem Postfach. Lesen kann die niemand ohne Werkzeug.
- Was passiert am Ende?
- Das Ziel ist nicht das Dashboard, sondern eine Domain, die auf „p=reject" steht: Dann wirft der Empfänger gefälschte Mail weg, statt sie zuzustellen. Dorthin geht man in Schritten, weil eine zu frühe Umstellung eigene Rechnungen und Angebote verschwinden lässt. Die Berichte sind das Messgerät, das zeigt, wann es soweit ist.
- Meine Domain verschickt gar keine Mail. Lohnt sich das?
- Dann ist die Überwachung vermutlich überflüssig, und ich sage Ihnen das auch. Eine Domain ohne Mailversand braucht eher einen strengen DMARC-Eintrag und einen leeren SPF-Eintrag — damit niemand sie für Betrugsmails benutzt. Das ist eine halbe Stunde Arbeit, kein Abonnement.
Erst schauen, dann entscheiden
Wenn Sie nicht wissen, wie Ihre Domain gerade dasteht: Der Sicherheitscheck kostet nichts und sagt Ihnen in wenigen Minuten, ob SPF, DKIM und DMARC stehen und ob eine Berichtsadresse hinterlegt ist. Erst danach stellt sich die Frage, ob sich eine laufende Überwachung lohnt.
Verwandt: Microsoft 365 · IT-Betreuung · alle Leistungen
Überwachung anfordern
Firma und Anschrift brauche ich für den Auftragsverarbeitungsvertrag — den bekommen Sie vorgelegt, bevor der erste Bericht eintrifft.