Zusammenfassung

  • Palisade fand in einer Beobachtung von 99.300 Domains bei 58,1 Prozent gültige DMARC-Einträge. Internet Society Pulse stellte die Untersuchung am 1. September vor.
  • Unter den Domains mit DMARC nannten 20,7 Prozent keine Adresse für aggregierte Berichte. Daraus lassen sich weder fehlende Überwachung noch der vertragliche Leistungsumfang eines Anbieters ableiten.

Die Postfächer sind umgezogen, die Beschäftigten können wieder senden. Später kommen eine Rechnungsplattform und ein neuer Versanddienst hinzu. Beide nutzen dieselbe Domain. Wer prüft nun die legitimen Absender, korrigiert deren Authentifizierung und entscheidet über die Domainrichtlinie? Der erfolgreiche Umzug allein beantwortet das nicht.

Ein Gastbeitrag auf Internet Society Pulse vom 1. September liefert dafür einen aktuellen Anlass. Samuel Chenard, CEO und Mitgründer von Palisade, stellt die Untersuchung seines Unternehmens vor. Internet Society weist darauf hin, dass Gastmeinungen nicht zwingend die eigene Position wiedergeben. Der Beitrag ist keine neue institutionelle Vorgabe.

Eine Konfiguration ist noch kein Leistungsnachweis

Der zugehörige Anbietervergleich von Palisade erfasste am 14. August innerhalb von acht Minuten 99.300 Domains. Davon veröffentlichten 57.732 gültige DMARC-Einträge, also 58,1 Prozent. Unter diesen veröffentlichenden Domains verlangten 36.938 Quarantäne oder Zurückweisung, entsprechend 64 Prozent. Bei 11.959, also 20,7 Prozent, fehlte eine Adresse für aggregierte Berichte.

Die letzten beiden Anteile beziehen sich auf die DMARC-Veröffentlicher, nicht auf sämtliche beobachteten Domains. Es handelt sich um veröffentlichte Forschungszahlen; wir haben den Scan nicht reproduziert. Die Stichprobe stammt aus hoch platzierten Webdomains und bildet nicht die gesamte geschäftliche E-Mail-Nutzung ab.

Auch die Anbieterzuordnung bleibt begrenzt. MX zeigt die sichtbare Infrastruktur für eingehende Post. Ein vorgeschaltetes Gateway kann die eigentliche Postfachplattform verdecken. Die Anpassung an Ranggruppen macht einen beobachteten Zusammenhang nicht kausal. Die Untersuchung beweist weder, dass die Anbieterwahl eine bestimmte Richtlinie verursacht, noch, dass ein Kundenvertrag verletzt wurde.

Delegation braucht einen Leistungsumfang

Die aktuelle DMARC-Spezifikation RFC 9989 verbindet die Domainrichtlinie mit ausgerichteter Authentifizierung, Rückmeldungen und der Behebung legitimer Versandprobleme. Ihre Definition des Domain Owner schließt Dienstleister ein, die für Kunden handeln. Diese Arbeit lässt sich also delegieren; der RFC begründet keine unübertragbare gesetzliche Pflicht für interne Beschäftigte.

Gerade ein betreuter Dienst kann solche Aufgaben sinnvoll zusammenführen. Postfachbetrieb, DNS-Verwaltung, Berichtsauswertung und Freigabe einer Richtlinienänderung müssen aber nicht beim selben Akteur liegen. Entscheidend ist, was vereinbart wurde, nicht allein die Marke auf der Rechnung.

Eine Richtlinie p=none belegt ebenfalls keine Nachlässigkeit. RFC 9989 empfiehlt sie als Einstieg, um übersehene legitime Absender zu erkennen und deren Authentifizierung vor strengeren Anforderungen zu korrigieren. Seltene Versandvorgänge können eine längere Beobachtung notwendig machen.

Ebenso wenig beweist eine fehlende Berichtsadresse, dass überhaupt keine Überwachung stattfindet. Umgekehrt garantiert die veröffentlichte Adresse weder Eingang noch Auswertung der Berichte. RFC 9990 kennt Bedingungen für externe Empfänger und die Zustellung. Die DNS-Beobachtung kann die interne Arbeitsteilung nicht ersetzen.

Was lokal zu vereinbaren bleibt

Lu Hengs Unterscheidung zwischen einer minimalen gemeinsamen Spezifikation und lokalen Entscheidungen bietet hier einen redaktionellen Deutungsrahmen. Sie ist keine zusätzliche IETF-Anforderung. Der gemeinsame Standard ermöglicht Zusammenarbeit, verteilt aber nicht die Aufgaben eines Dienstleistungsvertrags.

Die Folgerung lautet deshalb nicht, jede E-Mail-Infrastruktur wieder selbst zu betreiben. Absenderinventar, Berichtsprüfung, DNS-Änderungen und Freigaben sollten erkennbar im Auftrag enthalten sein, beim Kunden verbleiben oder gesondert vergeben werden. Auslagerung kann entlasten. Dazu muss klar sein, wer die fortlaufende Arbeit übernimmt.

Quellen