Kostenlose DMARC-Analyse

Warum eine Domain geprüft werden sollte

Ohne durchgesetzte DMARC-Richtlinie hindert nichts einen Dritten daran, Nachrichten zu versenden, die Ihren Domainnamen im Absenderfeld tragen: Empfangende Server können sie nicht von Ihren eigenen unterscheiden. Auch ein veröffentlichter Eintrag genügt nicht — viele Domains bleiben bei p=none stehen, einer reinen Beobachtungsrichtlinie, die Berichte sammelt, aber nichts blockiert. Die Analyse zeigt in Sekunden, auf welcher Seite dieser Grenze eine Domain steht und was zum Übertritt fehlt.

Was die Analyse misst

DMARC funktioniert nicht allein: Es setzt auf SPF und DKIM auf und vor allem auf das Alignment zwischen der für den Empfänger sichtbaren Domain und der tatsächlich authentifizierten. Eine Nachricht kann SPF bestehen und DMARC dennoch scheitern lassen, wenn beide Domains auseinanderfallen — mit Abstand die häufigste Ursache unerwarteter Fehlschläge. Ausgegeben werden daher alle drei Bausteine gemeinsam: die veröffentlichte DMARC-Richtlinie (none, quarantine oder reject) und der Anteil des Verkehrs, für den sie gilt, die Gültigkeit des SPF-Eintrags samt Zahl der verbrauchten DNS-Abfragen sowie die gefundenen DKIM-Selektoren und der Zustand ihrer Schlüssel. Geprüft wird außerdem, ob eine Adresse für aggregierte Berichte hinterlegt ist: Ohne sie wird die Richtlinie blind veröffentlicht.

Zum Merken — Eine Richtlinie p=none blockiert nichts: Sie dient der Beobachtung vor dem Verschärfen. Schutz beginnt bei p=quarantine und ist erst bei p=reject für 100 % des Verkehrs vollständig.

Wie die Analyse arbeitet

Alles geschieht auf öffentlichen DNS-Einträgen — denselben, die jeder Mailserver zur Bewertung einer eingehenden Nachricht liest. Kein Server der Domain wird angesprochen, keine Nachricht versendet, nichts verändert: Die Analyse ist streng passiv und kann deshalb auch einer fremden Domain gelten, etwa der eines Lieferanten, eines Kunden oder eines Übernahmeziels. SPF-Einträge werden rekursiv aufgelöst, include für include, um echte DNS-Abfragen zu zählen statt nur sichtbarer Zeilen. DKIM-Selektoren werden unter den bei Mailanbietern und Versanddienstleistern gebräuchlichsten gesucht: Ein eigener Selektor kann dieser Suche entgehen, ohne dass die Konfiguration fehlerhaft wäre — das Ergebnis weist darauf hin, statt auf ein fehlendes DKIM zu schließen.

Häufige Fragen

Ist die Analyse wirklich kostenlos?

Ja, und ohne Konto. Das vollständige Ergebnis erscheint sofort: Posture-Score, Detail je Protokoll, Auffälligkeiten und Fahrplan zur Behebung. Das kostenlose Konto deckt erst den nächsten Schritt ab — aggregierte Berichte empfangen und die Entwicklung über die Zeit verfolgen.

Lässt sich auch eine fremde Domain analysieren?

Ja. DMARC-, SPF- und DKIM-Einträge sind bauartbedingt öffentlich: Sie müssen für jeden Mailserver der Welt lesbar sein, um ihre Aufgabe zu erfüllen. Die Analyse der Domain eines Lieferanten oder Partners bedarf daher keiner Genehmigung.

Was bedeutet der Posture-Score?

Er fasst die Belastbarkeit der Authentifizierung auf einer Skala bis 100 zusammen: Schärfe der DMARC-Richtlinie, Gültigkeit von SPF, Vorhandensein von DKIM-Schlüsseln, Sammlung der Berichte. Ein hoher Wert steht für eine stimmige und durchgesetzte Konfiguration, nicht bloß für vorhandene Einträge.

Verändert die Analyse etwas an der Domain?

Nein. Keine Schreibvorgänge, keine Verbindung zu den Servern der Domain, keine Testnachricht. Der Vorgang beschränkt sich auf lesende DNS-Abfragen, identisch mit denen eines empfangenden Servers bei jeder angenommenen Nachricht.

Was folgt auf die Diagnose?

Zuerst beheben, was die Authentifizierung legitimer Sendungen bricht, dann eine DMARC-Richtlinie im Beobachtungsmodus mit Berichtsadresse veröffentlichen, diese Berichte lesen, bis jede Versandquelle zugeordnet ist, und schrittweise bis p=reject verschärfen. Der unter dem Ergebnis angezeigte Fahrplan führt genau diese Schritte der Reihe nach.