Warum dein DMARC-Eintrag dich gerade im Stich lässt
p=none fühlt sich an wie Schutz, ist aber nur ein Beobachtungsposten. Was DMARC wirklich leistet — und der häufigste Konfigurationsfehler.
Viele Unternehmen haben DMARC „eingerichtet“ und fühlen sich sicher. Ein Blick auf den tatsächlichen Eintrag zeigt oft etwas anderes:
v=DMARC1; p=none; rua=mailto:dmarc@firma.dep=none heißt: beobachten, aber nichts tun. Gefälschte E-Mails in deinem Namen
werden weiterhin zugestellt. Du bekommst nur Berichte darüber — wie eine
Alarmanlage, die piept, aber die Tür nicht abschließt.
Die drei Stufen
p=none— Monitoring. Sinnvoll für ein paar Wochen zum Sammeln von Daten.p=quarantine— Verdächtige Mails landen im Spam.p=reject— Gefälschte Mails werden abgewiesen. Das ist das Ziel.
Der Fehler ist fast nie das Fehlen von DMARC. Der Fehler ist, auf p=none stehen
zu bleiben — manchmal jahrelang.
Der sichere Weg nach reject
- SPF auf
-allund DKIM für alle legitimen Versender sauber einrichten. - DMARC mit
p=nonestarten, RUA-Reports auswerten. - Alle legitimen Quellen abgedeckt? Auf
quarantine, dannrejectziehen.
Das Schöne: Den aktuellen Stand siehst du in zwei Sekunden — gib deine Domain in den Domain-Check ein. Wenn dort „p=none“ oder „fehlt“ steht, ist das deine nächste To-do.
Warum das mehr ist als Technik
CEO-Fraud und gefälschte Rechnungen funktionieren, weil die Absenderadresse echt
aussieht. Ein sauberes p=reject nimmt Angreifern genau dieses Werkzeug aus der
Hand — eine der wenigen Maßnahmen mit großem Effekt und kleinem Aufwand.