vaskys.de
← zurück
#dmarc #e-mail-authentifizierung #outlook.com #zustellbarkeit #spf #dkim 5 min

Outlook.coms DMARC-Pflicht: E-Mail-Authentizität im Fokus

Outlook.com erzwingt ab Mai 2025 DMARC für Domains mit hohem Versandvolumen. Erfahren Sie, wie sich das auf Ihre E-Mail-Zustellbarkeit auswirkt und wie Sie sich vorbereiten.

English version available — read in English.

Inhaltsverzeichnis
  1. Wie SPF, DKIM und DMARC zusammenspielen
  2. Die neue Outlook.com-Policy und ihre Tücken
  3. Schritt-für-Schritt zur DMARC-Konformität

Microsofts Ankündigung, ab dem 5. Mai 2025 DMARC für Domains mit hohem Versandvolumen auf Outlook.com zu erzwingen, hat in der E-Mail-Marketing-Welt für Aufsehen gesorgt. Für Unternehmen, die täglich mehr als 5.000 E-Mails versenden – eine Schwelle, die viele Organisationen schnell erreichen – bedeutet dies eine klare Ansage: Entweder die E-Mail-Authentifizierung ist auf dem neuesten Stand, oder die Zustellbarkeit leidet spürbar. Zunächst werden nicht konforme E-Mails in den Junk-Ordner umgeleitet, bei anhaltenden Problemen droht die komplette Ablehnung. Dies ist ein bedeutender Schritt zur Verbesserung der E-Mail-Sicherheit und zur Bekämpfung von Phishing und Spoofing, stellt aber für Organisationen, die DMARC noch nicht implementiert haben, eine erhebliche Herausforderung dar.

Wie SPF, DKIM und DMARC zusammenspielen

Um die Tragweite dieser Änderung zu verstehen, ist ein Blick auf die Grundlagen der E-Mail-Authentifizierung unerlässlich. E-Mail-Protokolle wie SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) dienen der Sicherstellung der E-Mail-Integrität. SPF erlaubt es Domaininhabern, über einen DNS-Eintrag festzulegen, welche Mailserver autorisiert sind, E-Mails im Namen ihrer Domain zu versenden. DKIM fügt jeder E-Mail eine digitale Signatur hinzu, die vom empfangenden Server anhand eines öffentlichen Schlüssels in den DNS-Einträgen des Absenders verifiziert werden kann. Beide Mechanismen sind entscheidend, um gefälschte Absenderadressen (Spoofing) zu erkennen.

Doch SPF und DKIM allein reichen nicht immer aus. Ein Angreifer könnte beispielsweise eine legitime Absenderadresse in den ‘From’-Header setzen, während die technische Absenderadresse (MAIL FROM) von einem autorisierten Server stammt. Hier setzt DMARC (Domain-based Message Authentication, Reporting, and Conformance) an. DMARC baut auf SPF und DKIM auf und gibt dem empfangenden Server eine Richtlinie an die Hand, wie mit E-Mails umzugehen ist, wenn die SPF- oder DKIM-Prüfung fehlschlägt oder wenn die Domain im ‘From’-Header nicht mit der Domain übereinstimmt, die die SPF- oder DKIM-Prüfung bestanden hat. Die DMARC-Richtlinie wird ebenfalls über einen DNS-Eintrag veröffentlicht. Sie kann verschiedene Durchsetzungsstufen definieren: p=none (nur Berichte sammeln, keine Aktion), p=quarantine (E-Mails als Junk markieren) und p=reject (E-Mails ablehnen). Outlook.com wird ab Mai 2025 erzwingen, dass die DMARC-Richtlinie mit SPF oder DKIM übereinstimmen muss und mindestens p=none lauten muss, um als konform zu gelten. Ohne eine solche konforme DMARC-Richtlinie werden E-Mails von Domains mit hohem Versandvolumen nicht mehr reibungslos zugestellt.

Die neue Outlook.com-Policy und ihre Tücken

Ab Mai 2025 wird Outlook.com für Domains, die mehr als 5.000 E-Mails pro Tag versenden, eine striktere Haltung einnehmen. E-Mails, die die DMARC-Anforderungen nicht erfüllen, werden zunächst in den Junk-Ordner verschoben. Dies ist bereits ein erheblicher Nachteil, da viele Nutzer den Junk-Ordner nur selten oder gar nicht prüfen. Wenn das Problem der fehlenden Authentifizierung fortbesteht, droht die vollständige Ablehnung der E-Mails. Dies kann für Unternehmen, die auf E-Mail-Kommunikation angewiesen sind – sei es für Marketing, Transaktionsnachrichten oder interne Kommunikation –, gravierende Folgen haben.

Die Herausforderung liegt oft in der korrekten Implementierung. Viele Unternehmen haben SPF und DKIM zwar eingerichtet, aber DMARC, die übergeordnete Richtlinie, fehlt oder ist fehlerhaft konfiguriert. Eine häufige Fehlkonfiguration ist ein DMARC-Eintrag, der zwar existiert, aber keine übereinstimmende Domain für SPF oder DKIM angibt. Oder die Richtlinie ist auf p=reject gesetzt, obwohl die SPF/DKIM-Konfigurationen noch nicht robust genug sind, um alle legitimen E-Mails abzudecken. Dies kann dazu führen, dass legitime E-Mails fälschlicherweise abgelehnt werden. Unzureichende SPF-Einträge, die nicht alle legitimen Versanddienste abdecken, oder ungültige DKIM-Signaturen sind weitere Problemfelder. Wenn DMARC dann prüft und feststellt, dass die E-Mail nicht durch SPF oder DKIM authentifiziert wurde, greift die DMARC-Richtlinie. Ohne DMARC sind E-Mails anfälliger für Spoofing, und legitime Nachrichten können fälschlicherweise als Spam markiert oder blockiert werden, was die Reputation des Absenders beschädigt und die Zustellbarkeit beeinträchtigt.

Schritt-für-Schritt zur DMARC-Konformität

Für Unternehmen, die bisher keine DMARC-Richtlinie implementiert haben, ist jetzt der richtige Zeitpunkt, dies zu tun. Der Prozess lässt sich in mehrere Schritte unterteilen:

  1. Bestandsaufnahme der E-Mail-Infrastruktur: Identifizieren Sie alle Dienste und Plattformen, die E-Mails in Ihrem Namen versenden (z. B. Marketing-Automatisierungstools, CRM-Systeme, Transaktions-E-Mail-Dienste, interne Mailserver). Stellen Sie sicher, dass für jeden dieser Dienste korrekte SPF-Einträge in Ihrem DNS vorhanden sind, die alle sendenden IP-Adressen oder Mailserver-Namen abdecken. Überprüfen Sie, ob DKIM für Ihre Hauptdomänen und Subdomänen konfiguriert ist und die Signaturen gültig sind.
  2. Implementierung von DMARC: Erstellen Sie einen TXT-Eintrag in Ihrem DNS für _dmarc.ihredomain.de. Beginnen Sie mit einer Richtlinie von p=none. Dieser Modus sammelt lediglich Berichte darüber, welche E-Mails authentifiziert wurden und welche nicht, ohne die Zustellbarkeit zu beeinträchtigen. Der Eintrag könnte beispielsweise so aussehen: _dmarc IN TXT "v=DMARC1; p=none; rua=mailto:dmarc-reports@ihredomain.de; Hierbei ist rua die Adresse, an die aggregierte Berichte gesendet werden sollen.
  3. Analyse der DMARC-Berichte: Die von Outlook.com und anderen großen E-Mail-Anbietern generierten DMARC-Berichte (oft im XML-Format) sind entscheidend. Sie zeigen Ihnen, welche IP-Adressen und Dienste E-Mails unter Ihrer Domain versenden und ob diese die SPF- und DKIM-Prüfungen bestehen. Es gibt verschiedene Tools und Dienste, die diese Berichte analysieren und verständlich aufbereiten können.
  4. Anpassung und Fehlerbehebung: Basierend auf der Analyse der Berichte beheben Sie Fehler in Ihren SPF- und DKIM-Konfigurationen. Stellen Sie sicher, dass alle legitimen Versandquellen korrekt autorisiert sind und dass die DKIM-Schlüssel aktiv und korrekt signieren. Sobald Sie sicher sind, dass alle legitimen E-Mails die Prüfungen bestehen, können Sie die DMARC-Richtlinie schrittweise anpassen: erst zu p=quarantine und schließlich zu p=reject, um maximalen Schutz zu gewährleisten.
  5. Monitoring und Wartung: E-Mail-Infrastrukturen ändern sich. Neue Dienste werden hinzugefügt, Konfigurationen können sich ändern. Ein kontinuierliches Monitoring der DMARC-Berichte ist unerlässlich, um sicherzustellen, dass die Konformität aufrechterhalten wird und keine legitimen E-Mails blockiert werden.

Die Umstellung auf DMARC mag zunächst komplex erscheinen, aber die Vorteile – verbesserte E-Mail-Zustellbarkeit, Schutz vor Markenmissbrauch und erhöhte Sicherheit – sind immens. Mit dem Stichtag im Mai 2025 im Nacken ist es für Unternehmen ratsam, diesen Prozess proaktiv anzugehen und die E-Mail-Authentifizierung als integralen Bestandteil ihrer Cybersicherheitsstrategie zu betrachten.

Quellen