DMARC entfaltet seinen Nutzen erst über die Berichte: Sie zeigen, wer in Ihrem Namen E-Mails versendet und ob die Authentifizierung gelingt. Dieser Beitrag erklärt, was Aggregatberichte (RUA) und forensische Berichte (RUF) enthalten und wie Sie sie auswerten.
Was ist der Unterschied zwischen RUA und RUF?
RUA sind Aggregatberichte, RUF sind forensische Berichte. RUA fassen regelmäßig zusammen, welche Server in Ihrem Namen versendet haben und ob SPF und DKIM bestanden. RUF liefern Detailinformationen zu einzelnen fehlgeschlagenen E-Mails.
| Merkmal | RUA (Aggregat) | RUF (Forensisch) |
|---|---|---|
| Inhalt | Zusammenfassung pro Versandquelle | Details zu einzelnen E-Mails |
| Format | XML, regelmäßig (meist täglich) | Einzelmeldung bei Fehlschlag |
| Datenschutz | Unkritisch (aggregiert) | Sensibel, oft nicht mehr gesendet |
| DNS-Tag | rua= | ruf= |
In der Praxis sind die Aggregatberichte (RUA) die wichtigste Grundlage. Viele große Anbieter senden aus Datenschutzgründen keine forensischen Berichte (RUF) mehr, da diese Inhalte echter E-Mails enthalten können.
Wie liest man einen DMARC-Aggregatbericht?
Ein Aggregatbericht ist eine XML-Datei mit den versendenden IP-Adressen, der Anzahl der Nachrichten und dem Ergebnis der SPF- und DKIM-Prüfung je Quelle. Entscheidend ist, ob die Prüfung bestanden und die Domain korrekt ausgerichtet wurde.
Der Ablauf beim Auswerten:
- Versandquellen identifizieren: Welche IP-Adressen versenden in Ihrem Namen? Erkennen Sie alle als legitim (Mailanbieter, Newsletter-Tool, CRM)?
- Prüfergebnisse ansehen: Bestehen diese Quellen SPF und/oder DKIM - und ist die Domain korrekt ausgerichtet?
- Fehlschläge einordnen: Scheitert eine legitime Quelle, fehlt meist ein SPF-
includeoder die DKIM-Signatur. Scheitert eine unbekannte Quelle, kann es Missbrauch sein.
Warum manuelle Auswertung schnell an Grenzen stößt
Rohe XML-Berichte von Dutzenden Anbietern manuell zu lesen, ist mühsam und fehleranfällig. Schon bei wenigen Versandquellen wird die Zuordnung unübersichtlich.
Genau hier setzen Auswertungswerkzeuge an: Sie fassen die Berichte zusammen, ordnen IPs bekannten Diensten zu und zeigen Fehlkonfigurationen auf einen Blick. Das ist die Voraussetzung, um die Richtlinie sicher zu verschärfen - wie im Leitfaden DMARC p=reject: wann und wie sicher aktivieren beschrieben. Die Grundlagen dazu liefert der Beitrag Was ist DMARC?.
DMARC-Berichte automatisch auswerten mit DMARCFlow
DMARCFlow wandelt kryptische XML-Berichte in verständliche Übersichten um, erkennt fehlkonfigurierte Versandquellen und begleitet Sie sicher bis zur strengsten Richtlinie. Domain sofort prüfen mit dem DMARC-Checker.
DMARCFlow entdecken