Die besten Tools zur Analyse von DMARC-Berichten

Wie man wählt

Für die meisten KMU und Startups ist eine SaaS-Plattform die richtige Wahl: schnell zu starten, wenig Wartung, und das Preis-Leistungs-Verhältnis ist bei den kostenlosen Angeboten gut. Bei mehreren Dutzend verwalteten Domains oder wenn Compliance kritisch ist, ist ein kostenpflichtiges Tool mit Alerts und langer Historie gerechtfertigt.

Für eine große Organisation mit Anforderungen an die Datenvertraulichkeit kann sich eine selbst gehostete Lösung aufdrängen. Für eine gelegentliche Nutzung oder ein punktuelles Audit reicht ein einmaliges Online-Tool.

Das wichtigste Kriterium: Identifiziert das Tool meine Quellen? Ein roher Bericht meldet, dass 347 Nachrichten von 40.107.1.25 durchgegangen sind. Ein gutes Tool benennt diese IP als Microsoft Exchange Online Protection — was alles ändert, was die zu ergreifende Maßnahme angeht.

Was DMARC.com hinzufügt

Unser Analyzer macht mehr, als XML zu parsen. Mit Thomas, dem virtuellen CISO, kommt nicht nur das Lesen der Berichte hinzu, sondern eine Diagnose: welche Quellen zu korrigieren sind, in welcher Reihenfolge und warum. Die Analyse verschränkt die Authentifizierungsergebnisse mit der Identität der Absender (ASN, Name der Organisation, Land), um einen Aktionsplan zu liefern, nicht nur eine Visualisierung.

Unter den Details, die den Unterschied machen: Thomas identifiziert die Quellen, die in DKIM mit der falschen Domain signieren (gültige, aber nicht ausgerichtete Signatur), die SPF-Quellen, die für den Envelope, aber nicht für das From: durchgehen, und die unbekannten IPs, die eine Untersuchung verdienen.

Häufige Fragen

Muss das Tool meine Berichte direkt empfangen? Die meisten SaaS-Plattformen bieten an, das rua= bei ihnen zu konfigurieren, um die Berichte direkt zu empfangen. Sollen die Berichte lieber im Haus bleiben, kommen Tools infrage, die manuellen Upload oder das Pollen eines IMAP-Postfachs erlauben.

Reichen die kostenlosen Tools? Zum Beginnen und für ein geringes Volumen an Domains, ja. Die üblichen Grenzen: kurze Historie (7–30 Tage), begrenzte Anzahl an Domains, keine Alerts. Für eine professionelle Überwachung auf Dauer ist ein kostenpflichtiger Plan gerechtfertigt.

Enthalten meine Berichte sensible Daten? Die RUA-Berichte (aggregiert) enthalten keine personenbezogenen Daten der Empfänger — nur IPs und Statistiken. Das ist mehr oder weniger DSGVO-neutral. Die RUF-Berichte (forensisch) können sensible Nachrichten-Header enthalten — vor dem Versand an ein Drittanbieter-Tool zu prüfen (siehe Forensikberichte und Datenschutz).

Wie lange soll man die Berichte aufbewahren? Es gibt keine spezifische gesetzliche Pflicht zu DMARC-Berichten als solchen, aber aus Sicherheitssicht erlaubt das Aufbewahren von 90 bis 180 Tagen Historie, langsame Verschiebungen zu erkennen (eine Quelle, die sich schrittweise verschlechtert) und eine Basis zum Vergleich vor/nach einer Konfigurationsänderung zu haben.

Kann ich die rua=-Adresse in meiner eigenen Domain nutzen? Ja, das ist zum Beginnen sogar empfohlen: dmarc@beispiel.de oder ein dediziertes Postfach anlegen, das rua= konfigurieren und die Berichte während der Einarbeitung von Hand lesen. Danach kommt eine Plattform dazu, wenn das Volumen zu hoch wird.

Was ein gutes Tool leisten muss

Ein DMARC-Tool ist mehr als ein XML-Parser. Mindestens drei Dinge muss es liefern. Erstens die Identifizierung der Quellen: die IPs der Berichte in erkennbare Dienste verwandeln (Microsoft Exchange, Brevo, den eigenen Hoster …). Ohne das sagt ein Bericht nichts Umsetzbares. Zweitens die Konsolidierung: die Berichte aller Provider in einer Ansicht aggregieren, um mit einem Blick den Zustand aller Quellen über die Woche zu sehen, statt dutzende separate Dateien zu durchforsten. Drittens einen Mechanismus zur Alert oder Anomalie-Meldung: eine neue IP, die auftaucht, ein ungewöhnliches Volumen an Fehlschlägen, eine bekannte Quelle, die nicht mehr durchgeht — allesamt Ereignisse, die Aufmerksamkeit verdienen und die unentdeckt bleiben, wenn die Berichte nur einmal pro Woche von Hand gelesen werden.

Die reifsten Tools fügen dem eine Beratungs-Schicht hinzu: Zusätzlich zum Was sagen sie, was zu tun ist. Hier hebt sich Thomas von den rein visuellen Tools ab: Er liefert nicht nur ein Dashboard, er verwandelt die Daten in umsetzbare Empfehlungen, ausgerichtet auf den Weg von p=none zu p=reject.

Die Integration in den Sicherheits-Workflow

DMARC ist kein punktuelles Projekt — es ist ein kontinuierliches Monitoring. Das gewählte Tool muss sich also in den bestehenden Workflow integrieren, kein neues zu überwachendes Silo schaffen. Gibt es bereits wöchentliche Sicherheitsreviews, muss das DMARC-Tool erlauben, dort eine einseitige Zusammenfassung einzubringen, kein 200-zeiliges XML. Existiert ein SIEM oder ein Ticketing-Tool, kann das ideale Tool dorthin Alerts pushen, wenn etwas Anormales auftaucht. Und werden mehrere Domains verwaltet (Tochtergesellschaften, Marken, aktive Subdomains), muss das Tool die Ansicht über alle konsolidieren, ohne zum manuellen Wechsel zwischen einem Dutzend Oberflächen zu zwingen.

Das ultimative Kriterium: Wird das Tool nach sechs Monaten Nutzung noch regelmäßig geöffnet, weil es echten Wert bringt — oder ist es in Vergessenheit geraten, weil es nicht benachrichtigt, wenn etwas Aufmerksamkeit verdient? Ein gutes DMARC-Tool, wie ein gutes Alarmsystem, macht sich vergessen, wenn alles gut läuft, und macht sich bemerkbar, wenn etwas nicht stimmt.

Häufige Fragen

Muss ein Tool meine Berichte direkt empfangen? Die meisten SaaS-Plattformen verlangen, das rua= bei ihnen zu konfigurieren, um die Berichte direkt zu empfangen. Das ist die einfachste Lösung, bedeutet aber, dass die Berichtsdaten zu einem Dritten gehen. Ist das eine Einschränkung, kommen Tools infrage, die manuellen Upload oder das IMAP-Pollen eines selbst kontrollierten Postfachs erlauben.

Reichen die kostenlosen Tools? Zum Beginnen mit einer oder zwei Domains bei geringem Volumen: ja. Die üblichen Grenzen der kostenlosen Angebote: kurze Historie (7–30 Tage), begrenzte Anzahl an Domains, keine Alerts. Für eine dauerhafte professionelle Überwachung ist ein kostenpflichtiger Plan gerechtfertigt, sobald die tägliche Sichtbarkeit zählt.

Kann ich mehrere Tools parallel nutzen? Ja, in rua= lassen sich mehrere Adressen setzen. Manche Organisationen behalten ein internes Postfach UND nutzen eine externe Plattform — das interne Postfach als Backup, die Plattform für die Analyse. Die Einschränkung: Das Berichtsvolumen wird mit der Anzahl der Adressen multipliziert.

Kann ein Tool mehrere Domains gleichzeitig überwachen? Ja, und das ist oft ein wichtiges Wahlkriterium. Zu prüfen sind die Domain-Grenzen je Plan und ob das Tool eine konsolidierte Multi-Domain-Ansicht bietet. Ein Zwischenfall auf einer Nebendomain kann unbemerkt bleiben, wenn jede Domain in einem eigenen Silo verwaltet wird.

Ein letzter Gedanke zur Wahl

Bei der Fülle an Optionen — von der kostenlosen One-Shot-Analyse bis zur ausgewachsenen SaaS-Plattform — lohnt sich eine einfache Leitfrage: Wo im DMARC-Prozess steht die Domain gerade? Am Anfang, wenn nur zu verstehen ist, wer in ihrem Namen versendet, reicht oft ein einfaches Tool oder sogar das manuelle Lesen einer Handvoll Berichte. Sobald es auf p=quarantine oder p=reject zugeht, wird die kontinuierliche Überwachung zum Engpass, und ein Tool, das aggregiert, anreichert und alarmiert, zahlt sich schnell aus. Und wer ein Portfolio von Domains über Monate hinweg betreibt, für den entscheidet die konsolidierte Multi-Domain-Ansicht darüber, ob ein Problem auf einer Nebendomain auffällt oder untergeht. Die richtige Wahl ist selten die mit den meisten Funktionen, sondern die, die zur aktuellen Etappe passt und zur Bereitschaft, regelmäßig hinzusehen.

Thomas als das eigentliche Werkzeug

Die DMARC-Tools liefern Sichtbarkeit. Thomas liefert Richtung. Der Unterschied zwischen zu sehen, dass 12 Nachrichten von 192.0.2.1 fehlgeschlagen sind, und zu wissen, dass das eine alte IP des eigenen Marketing-Dienstleisters ist, die man deaktivieren muss — genau diese Lücke schließt Thomas.

Die Domain kostenlos analysieren, um die identifizierten Versandquellen und den Aktionsplan zu p=reject zu sehen.