Deliverability
Die DMARC-Perspektive: Schutz für Ihren E-Mail-Versand in Zeiten strengerer Anforderungen
Die E-Mail-Welt durchläuft einen erheblichen Wandel. Da Google und Yahoo die DMARC-Durchsetzung kürzlich verschärft haben, müssen viele Unternehmen DMARC implementieren, um zu verhindern, dass ihre E-Mails abgelehnt werden. Wir dachten uns, es wäre an der Zeit, die Perspektive von Gmail und Yahoo einmal beiseitezulassen und sich die Vorteile sowie die Gründe für die Durchsetzung von DMARC von seinen größten Befürwortern erklären zu lassen.
Was ist DMARC und warum ist es wichtig?
Beginnen wir mit den Grundlagen. Domain-based Message Authentication, Reporting and Conformance (DMARC) ist eine Richtlinie zur E-Mail-Authentifizierung sowie ein Reporting-Protokoll. DMARC authentifiziert E-Mails sowie die Absenderidentität und beweist, dass Nachrichten aus einer legitimen Quelle stammen, die von Ihrer Domain autorisiert wurde.
Dies hilft bei der Bekämpfung einer wachsenden Bedrohung: E-Mail-Spoofing. Beim E-Mail-Spoofing verwenden Angreifer eine gefälschte Absenderadresse, um sich als vertrauenswürdige Entitäten auszugeben, wodurch Empfänger dazu verleitet werden, auf bösartige Links zu klicken oder sensible Informationen preiszugeben. Hier sind die grundlegenden Komponenten von DMARC:
- Authentifizierung: DMARC stützt sich auf bestehende Protokolle zur E-Mail-Authentifizierung wie SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) um die Legitimität eingehender E-Mails zu überprüfen, die vorgeben, von Ihrer Domain zu stammen.
- Reporting: DMARC weist E-Mail-Anbieter (wie Gmail oder Yahoo Mail) an, wie sie mit E-Mails umgehen sollen, die bei der Authentifizierung durchfallen. Auf diese Weise erhalten Sie Berichte über potenzielle Spoofing-Versuche und können die unbefugte Nutzung Ihrer Domain nachverfolgen.
- Konformität: Mit DMARC können Sie Ihre bevorzugte Aktion für nicht authentifizierte E-Mails definieren: „reject“, „quarantine“ oder „none (report only)“. So übernehmen Sie die Kontrolle über Ihre E-Mail-Reputation und schützen Ihre Nutzerinnen und Nutzer vor Phishing-Angriffen, wie Kate Nowrouzi in diesem Video betont.
DMARC-Richtlinien
DMARC baut auf den Authentifizierungsfunktionen von SPF und DKIM auf, geht aber noch einen Schritt weiter und ermöglicht es Absendern, empfangenden Servern mitzuteilen, wie Nachrichten verarbeitet werden sollen, bei denen die Authentifizierung fehlschlägt. Dies geschieht durch die Auswahl von Richtlinien, von denen es drei mögliche Optionen gibt.
Keine
Das Tag p=none nimmt keine Änderungen an Ihrem bestehenden Setup vor – der E-Mail-Anbieter leitet die Nachricht wie gewohnt an den Empfänger weiter.
Quarantäne
Das Tag p=quarantine bedeutet, dass nicht qualifizierte E-Mails an den Spam-Ordner gesendet werden, bis Sie sich zu 100 % sicher sind, woher diese E-Mails stammen.
Reject
p=reject ist das ultimative Ziel der DMARC-Einführung und laut unseren Fachleuten für Zustellbarkeit, die Richtung, in die sich die Absender-Anforderungen in Zukunft entwickeln. Quarantäne ist zwar ein guter Anfang, aber Sie möchten nicht, dass gefälschte E-Mails für immer im Spam-Ordner Ihrer Kunden landen, sondern langfristig einen konsequenteren Ansatz verfolgen.
Bevor wir in die sich wandelnde DMARC-Landschaft eintauchen, werfen Sie einen Blick auf unseren Podcast „Email’s Not Dead“ und hören Sie sich unsere Folge mit Ash Morin von dmarcian an.
Die Landschaft der DMARC-Durchsetzung: Ein Umfeld im Wandel
Bisher verfolgten sowohl Google als auch Yahoo einen eher entspannten Ansatz bei der DMARC-Durchsetzung. Nun wird mit den neuen Absender-Anforderungen endlich Ernst gemacht.
„Wir haben uns schon immer eine hohe Beteiligung von Unternehmen gewünscht. Wir haben die DMARC-Einführung vorangetrieben, als es noch einen Anreiz gab. BIMI war einer dieser Anreize, genauso wie niedrigere Prämien für Cybersicherheitsversicherungen, verbesserte Zustellbarkeit, mehr Sicherheit … aber wenn Größen wie Google und Yahoo sagen: ‚Sie sollten das besser tun‘, dann hört man zu.“
Von welchen Absender-Anforderungen sprechen wir?
Bereits im Oktober 2023 kündigten Google und Yahoo an, dass sie einige wichtige Absender-Anforderungen durchsetzen werden, darunter auch die Einführung von DMARC für Massenversender. Und hier entstand die erste Welle der Verwirrung und Fragen seitens der Absender. Bin ich davon betroffen? Bin ich ein Massenversender?
Die große Frage: Sind Sie ein Massenversender?
Sind Sie nun ein Massenversender oder nicht? Das klingt wie ein strenges Kreuzverhör – und viele Absender können dieses Gefühl, bei diesen Anforderungen auf dem heißen Stuhl zu sitzen, wahrscheinlich gut nachvollziehen. Es sieht folgendermaßen aus: Google definiert Massenversender als jene, die innerhalb von 24 Stunden 5.000 E-Mails versenden. Eigentlich ganz unkompliziert.
Die Definition von Yahoo verzichtet jedoch bewusst auf konkrete Zahlen. Und das lässt sich so zusammenfassen: Wenn Sie denken, dass Sie ein Massenversender sind, dann sind Sie einer.
„Die Zahl lautet nicht 5.000, 6.000 oder 4.000. Wenn Sie 4.999 Nachrichten senden, müssen Sie die Anforderungen trotzdem befolgen. Wenn Sie dieselbe E-Mail an viele Menschen senden, sind Sie ein Massenversender.“
Herausforderungen bei der DMARC-Einführung
Kommen wir also zur nächsten Frage. Wenn DMARC so gut darin ist, die Absenderidentität zu validieren und die Posteingänge der Nutzerschaft zu schützen, warum haben Absender es dann nicht längst umfassend eingeführt? Die Antwort ist zweigeteilt. Die Implementierung ist sowohl kostspieliger als bei Authentifizierungen wie SPF und DMARC als auch technisch anspruchsvoller, wobei je nach Größe Ihres Unternehmens unterschiedliche Herausforderungen auftreten. Hier sind einige der größten Herausforderungen:
- Schatten-IT: In komplexen IT-Umgebungen kann es schwierig sein, alle E-Mail-Quellen innerhalb des Unternehmens zu identifizieren. Schatten-IT, bei der Abteilungen unautorisierte E-Mail-Services außerhalb des zentralen IT-Verantwortungsbereichs nutzen, kann die DMARC-Implementierung erschweren. Um dies zu bewältigen, sollten Sie eine umfassende Überprüfung aller Quellen für den E-Mail-Versand durchführen, bevor Sie DMARC-Richtlinien einführen.
„Für Unternehmen besteht die Herausforderung meist in der Schatten-IT, und damit meine ich, dass Geschäftseinheiten innerhalb der Organisation individuelle Anforderungen an Dienste haben. Sie kaufen also Systeme für Dinge wie das Leistungsmanagement, die jeden Monat Berichte versenden. Und der Service tut dies, indem er im Grunde die Domain des Unternehmens fälscht (Spoofing) – auf legitime Weise –, aber diese Art von E-Mail-Quelle kann es schwieriger machen, DMARC-Konformität zu erreichen.“
- Abhängigkeiten von Drittanbietern: Viele Unternehmen verlassen sich bei Marketing-Kampagnen oder Transaktions-E-Mails auf E-Mail-Service-Provider (ESPs) von Drittanbietern. Die Abstimmung der DMARC-Implementierung mit Ihrem ESP ist unerlässlich. Leider bieten derzeit nicht alle ESPs vollständigen DMARC-Support. Um dies zu beheben, sollten Sie sich für den DMARC-Support Ihres gewählten ESP einsetzen und einen Wechsel zu einem Anbieter in Betracht ziehen, der sichere E-Mail-Zustellung priorisiert.
- Interne Kommunikation und Change-Management: Die Implementierung von DMARC erfordert die Zusammenarbeit verschiedener Abteilungen, darunter IT, Marketing und Kundensupport. Um dies zu bewältigen, ist eine klare interne Kommunikation über die Änderungen und deren Vorteile für die E-Mail-Sicherheit sowie die Markenreputation entscheidend für eine reibungslose Einführung.
Die DMARC-Implementierung kann herausfordernd sein, und deshalb müssen Anbieter wie dmarcian, und auch ESPs wie wir bereit sein, auf jeder Ebene über DMARC zu sprechen. Die Herausforderungen bei der Implementierung variieren je nach Ihrem spezifischen Unternehmen.
Best Practices für die DMARC-Implementierung
Wie können Sie nach der Identifizierung der Herausforderungen eine erfolgreiche DMARC-Einführung sicherstellen? Hier sind einige Best Practices zur Orientierung:
- Klein anfangen, dann skalieren: Beginnen Sie mit der Implementierung von DMARC mit einer „p=none“-Richtlinie (nur Bericht) auf einer Subdomain, die Sie vollständig kontrollieren. Überwachen Sie die erhaltenen Berichte, um die Versandlandschaft innerhalb Ihres Unternehmens zu verstehen und potenzielle Spoofing-Versuche zu identifizieren. Weiten Sie die DMARC-Implementierung schrittweise auf andere Subdomains aus, sobald Sie mehr Sicherheit gewonnen haben.
„Wenn Sie DMARC noch nicht nutzen, ist p=none der erste Schritt. Und das ist auch das absolute Minimum, das von Google und Yahoo gefordert wird.“
- Segmentierung ist Ihr Freund: Segmentieren Sie Ihre Maßnahmen im E-Mail-Marketing. Versenden Sie Marketing-E-Mails von einer Subdomain, die speziell für diese Kampagnen vorgesehen ist, und Transaktions-E-Mails von einer separaten Domain. Auf diese Weise können Sie potenzielle Probleme mit Marketing-E-Mails isolieren, ohne dass sich dies auf die von Ihrer primären Domain gesendeten Transaktions-E-Mails auswirkt.
„Eine Segmentierungsstrategie sowie die Segmentierung Ihres E-Mail-Verkehrs sind aus verschiedenen Gründen sehr wichtig. Sicherheit ist einer davon.“
- Fördern Sie DMARC-Support aktiv: Wenn Ihr ESP keinen DMARC-Support bietet, kommunizieren Sie die Wichtigkeit dieser Sicherheitsmaßnahme und ermutigen Sie ihn, deren Integration zu priorisieren. Ziehen Sie alternative ESPs in Betracht, die eine robuste DMARC-Funktionalität bieten.
- Holen Sie sich fachkundige Beratung: Die DMARC-Implementierung kann komplex sein, insbesondere für große Unternehmen. Zögern Sie nicht, sich Hilfe von DMARC-Fachleuten oder Sicherheitsberatern zu holen, die Sie durch den Prozess führen können.
Zusammenfassung
Es gibt zwei Dinge, die Sie tun müssen, um diesen DMARC-Prozess zu meistern. Erstens müssen Sie sicherstellen, dass Sie nach Best Practices versenden, denn Faktoren wie eine Listenpflege und gute Segmentierung. Diese und die Grundlagen der Zustellbarkeit helfen dabei, Ihre E-Mail-Quellen organisiert sowie optimiert zu halten, was die Verwaltung von DMARC erleichtert.
Zweitens gilt es, starke Ressourcen zu finden, damit Sie bei Bedarf Probleme beheben können. Ressourcen werden Ihr bester Freund sein, wenn es um die Einführung von DMARC geht. Wir haben in diesem Beitrag einige großartige Informationen verlinkt, aber Sie sollten sich auch dmarcian.com und deren Registerkarte mit Absender-Ressourcen. ansehen. Sie sind die Fachleute für DMARC und haben alles zusammengestellt, was Sie wissen müssen.
Wir verfolgen die Yoogle-Änderungen nun schon eine ganze Weile und haben einige wertvolle Informationen zu den Anforderungen gesammelt. Sehen Sie sich unser Kamingespräch mit Google und Yahoo an, um direkt von diesen E-Mail-Anbietern mehr zu erfahren.
