DMARC-Reports auswerten: E-Mail-Schutz verstehen 2026

Was ein DMARC-Aggregate-Report überhaupt enthält

Ein RUA-Report ist eine maschinenlesbare XML-Datei nach RFC 7489. Jeder empfangende Mailserver, der Mails im Namen Ihrer Domain erhält, sammelt die Authentifizierungsergebnisse über einen Zeitraum (meist 24 Stunden) und schickt sie an die in Ihrem DMARC-Record unter rua= hinterlegte Adresse. Pro Bericht stehen dort nicht einzelne E-Mails, sondern aggregierte Zeilen: eine Sendequelle, ihr Volumen und das Ergebnis.

Die wichtigsten Felder sind schnell erklärt: org_name benennt den meldenden Server (etwa Google oder Microsoft), source_ip die IP, die in Ihrem Namen gesendet hat, count das Nachrichtenvolumen dieser Quelle, disposition die tatsächlich angewendete Aktion (none, quarantine oder reject) und schließlich die Pass/Fail-Ergebnisse für spf und dkim. Klingt überschaubar — wird aber schnell unübersichtlich: Jeder empfangende Server sendet mindestens einen Bericht pro Tag (RFC 9990), sodass bei einer Domain mit mittlerem Aufkommen täglich Berichte von vielen verschiedenen Empfängern eingehen, jeder mit zahlreichen Quell-Datensätzen. Manuelles Lesen skaliert hier nicht.

Das BSI empfiehlt SPF, DKIM und DMARC ausdrücklich als Basismaßnahmen gegen Spoofing und Phishing (BSI). In der Praxis hapert es aber an der Auswertung: Laut einer Erhebung der Allianz für Cybersicherheit haben nur 38 % der KMU in Deutschland alle drei Verfahren korrekt implementiert (Allianz für Cybersicherheit). Ohne kontinuierliches Auslesen der RUA-Daten bleibt selbst ein vorhandener Record ein blinder Fleck.

Wichtig zu verstehen ist auch der Unterschied zwischen Berichtszeitraum und Empfangszeitpunkt. Ein Report deckt typischerweise einen vergangenen 24-Stunden-Zeitraum ab, trifft aber oft erst Stunden später ein — und manche Provider fassen mehrere Tage zusammen. Für eine belastbare Auswertung betrachten Sie daher nicht einen einzelnen Report isoliert, sondern aggregieren über mehrere Tage oder Wochen. Erst über diesen Zeitraum zeichnen sich stabile Muster ab: welche Quellen dauerhaft senden, welche nur sporadisch auftauchen und welche fremden IPs wiederkehren. Genau diese zeitliche Verdichtung trennt eine fundierte Analyse von einer Momentaufnahme, die leicht in die Irre führt.

Alignment verstehen: Der Kern von DMARC

SPF und DKIM allein sagen nur, ob eine Mail technisch autorisiert war. DMARC fügt eine entscheidende Bedingung hinzu: Alignment. Die Domain, die SPF oder DKIM bestanden hat, muss zur sichtbaren Absenderdomain im From:-Header passen. Erst diese Übereinstimmung macht die Authentifizierung gegen Spoofing wirksam — denn ein Angreifer kann zwar eine eigene Domain SPF-konform senden, aber nicht Ihre From:-Adresse damit decken.

Wichtig: Für ein DMARC-Pass genügt ein aligned bestandener Mechanismus. Eine Mail kann SPF brechen, aber dank korrekter DKIM-Signatur trotzdem DMARC bestehen — und umgekehrt. Das erklärt eine scheinbare Diskrepanz in den globalen Zahlen: Die DKIM-Pass-Rate lag in Q1 2026 bei 90,90 % und die DMARC-Pass-Rate bei 88,99 %, während SPF mit 80,24 % deutlich darunter blieb (Cloudflare Radar). DKIM überlebt Weiterleitungen besser als SPF, weshalb DKIM-Alignment in der Praxis oft die tragende Säule ist.

Sendequellen klassifizieren: drei Kategorien

Sobald die RUA-Daten aufbereitet sind, lässt sich jede Sendequelle in eine von drei Kategorien einordnen. Diese Klassifikation ist der eigentliche Auswertungsschritt — und die Grundlage jeder Entscheidung über die nächste Policy-Stufe.

Der größte Mehrwert entsteht oft sofort: Viele Organisationen entdecken durch die RUA-Auswertung schon in den ersten Tagen Sendequellen, von deren Existenz sie nichts wussten — vergessene Marketing-Tools, Schatten-IT oder eben Angreifer. Genau diese Sichtbarkeit ist der Grund, DMARC nicht bei p=none zu belassen, sondern die Reports aktiv zu lesen. Wer parallel die DNS- und Domain-Überwachung aktiviert, erkennt zudem, wenn sich die zugrundeliegenden DNS-Einträge unerwartet ändern.

Spoofing in den Reports erkennen

Spoofing zeigt sich in RUA-Reports als wiederkehrendes Muster: fremde Quell-IPs mit nennenswertem Volumen, bei denen sowohl SPF als auch DKIM fehlschlagen und keine Alignment besteht. Solche Einträge sind selten Zufall — sie deuten darauf hin, dass jemand aktiv versucht, in Ihrem Namen zu versenden. Die Bedrohungslage ist real: Die Spoof-Rate eingehender Nachrichten lag in Q1 2026 bei 18,11 % und stieg bis Mai 2026 auf 31,64 % (Cloudflare Radar).

Die wirtschaftlichen Folgen sind erheblich. Phishing diente laut Verizon in 16 % aller Datenschutzverletzungen als initialer Zugangsvektor (Verizon 2025 DBIR). 60 % aller Sicherheitsvorfälle enthalten ein menschliches Element — meist eine Phishing-Mail (Verizon 2025 DBIR). Am teuersten ist Business E-Mail Compromise (BEC): 2,77 Milliarden USD Schaden allein 2024, bei einem Medianverlust von rund 50.000 USD pro Vorfall (FBI IC3). Eine durchgesetzte DMARC-Policy ist die wirksamste Maßnahme, um die Domain-Imitation an der Wurzel zu stoppen.

Besonders perfide ist das sogenannte Direct-Domain-Spoofing, bei dem Angreifer exakt Ihre Domain im sichtbaren Absender verwenden. Genau hier setzt DMARC an, denn ohne Alignment scheitert dieser Versuch an der From:-Prüfung. Solange Ihre Policy aber auf p=none steht, wird die gefälschte Mail trotzdem zugestellt — der empfangende Server protokolliert das Fail lediglich im RUA-Report, statt zu handeln. Die Reports zeigen Ihnen also exakt, wie häufig Ihre Domain bereits missbraucht wird, noch bevor Sie aktiv schützen. Diese Frühwarnfunktion ist ein eigenständiger Wert: Sie liefert die Geschäftsgrundlage dafür, die Durchsetzung zügig voranzutreiben, statt das Thema auf die lange Bank zu schieben.

Sicher von p=none auf p=reject wechseln

Die größte Sorge beim Verschärfen: Werden legitime Mails versehentlich blockiert? Diese Sorge ist berechtigt — ein zu früher Sprung auf p=reject kann Rechnungen, Bestätigungs-Mails oder Newsletter ins Leere laufen lassen. Deshalb erfolgt der Übergang in kontrollierten Stufen, gestützt auf die RUA-Daten.

1. Beobachten mit p=none: Starten Sie mit Monitoring-Only und sammeln Sie 2 bis 4 Wochen RUA-Daten. Ziel ist eine vollständige Inventur aller legitimen Sendequellen.
2. Legitime Quellen autorisieren: Tragen Sie für jede echte Quelle SPF-Einträge nach und richten Sie DKIM-Signaturen ein, bis die aligned Pass-Rate für Ihren echten Verkehr stabil hoch liegt.
3. Auf p=quarantine mit pct=25 gehen: Wenden Sie die Quarantäne zunächst nur auf 25 % der fehlschlagenden Mails an. So begrenzen Sie das Risiko, falls eine Quelle übersehen wurde.
4. Anteil schrittweise erhöhen: Steigern Sie pct über mehrere Wochen auf 50 % und dann 100 %, während Sie die Reports auf neue legitime Fails kontrollieren.
5. Auf p=reject umstellen: Wenn über mehrere Wochen keine unerwarteten legitimen Fails mehr auftreten, wechseln Sie auf volle Durchsetzung. Spoofing wird nun abgewiesen.
6. Dauerhaft überwachen: Neue Dienste, geänderte Anbieter oder ein Provider-Wechsel können die Lage jederzeit ändern. Die Auswertung endet nicht.

Diese Vorsicht zahlt sich aus, ist aber selten: Während die DMARC-Adoption unter Top-Domains zwischen 2023 und 2025 von 27,2 % auf 47,7 % stieg (EasyDMARC), bleibt die Durchsetzungslücke groß. Zum Vergleich: Unter den Fortune-500-Unternehmen setzen 95 % DMARC ein und 62,7 % davon die strikteste Policy p=reject (EasyDMARC 2026) — bei KMU sieht das Bild deutlich schwächer aus.

_dmarc.ihre-domain.de.  TXT  "v=DMARC1; p=quarantine; pct=25;
  rua=mailto:dmarc-reports@ihre-domain.de;
  adkim=s; aspf=s; fo=1;"

# p        = aktuelle Policy-Stufe (none -> quarantine -> reject)
# pct      = Anteil der Mails, auf den die Policy angewendet wird
# rua      = Zieladresse für Aggregate-Reports
# adkim/aspf = Alignment-Modus (s=strict, r=relaxed)
# fo=1     = Fehlerberichte, wenn ein Mechanismus nicht aligned ist

Häufige Auswertungsfehler vermeiden

Die Auswertung von RUA-Reports hat eigene Tücken. Wer sie kennt, vermeidet Fehlentscheidungen, die entweder die Zustellbarkeit kosten oder ein falsches Sicherheitsgefühl erzeugen. Dass die Datenqualität dabei eine reale Hürde ist, dokumentiert die IETF-DMARC-Arbeitsgruppe ausdrücklich: Selbst Berichte großer Versender wie Google oder Yahoo weichen vielfach vom RFC-XML-Schema ab — Schema-Abweichungen, uneinheitliche Zeitstempel und Validierungsfehler sind verbreitet, weshalb RFC 9990 das Berichtsformat neu präzisiert (IETF DMARC Working Group, RFC 9990). Eine robuste Auswertung muss diese Eigenheiten abfangen, statt an ihnen zu scheitern — andernfalls landen legitime Quellen versehentlich in der falschen Kategorie und werden bei der Verschärfung übersehen.

DMARC, Deliverability und die Provider-Anforderungen

DMARC ist längst nicht mehr nur Sicherheitsthema, sondern Zustellbarkeits-Voraussetzung. Seit 2024 verlangen Google und Yahoo von Massenversendern mit mehr als 5.000 E-Mails pro Tag einen DMARC-Record mit mindestens p=none (Google/Yahoo). Wer das ignoriert, riskiert temporäre und dauerhafte Zurückweisungen.

Hinzu kommt die Spam-Schwelle: Google verlangt eine gemeldete Spam-Rate unter 0,10 % und beginnt mit Maßnahmen, sobald 0,30 % erreicht werden (Google). RUA-Reports sind hier doppelt nützlich: Sie zeigen nicht nur Spoofing, sondern auch, ob Ihre legitimen Versanddienste sauber authentifizieren — eine Grundvoraussetzung für gute Zustellraten. Wer zusätzlich die Blacklist-Überwachung der Mailserver-IPs im Blick behält, deckt die Deliverability-Seite vollständig ab.

DMARC als Teil der gesamten Domain-Sicherheit

Eine durchgesetzte DMARC-Policy schützt Ihre Absender-Reputation — sie ist aber nur ein Baustein. E-Mail-Authentifizierung greift ineinander mit der Überwachung der gesamten DNS- und Zertifikatslandschaft. Wenn ein Angreifer Ihre DNS-Einträge manipuliert, kann er auch SPF- und DKIM-Records umschreiben; deshalb gehört DNS-Hijacking erkennen und abwehren zwingend dazu.

• SPF/DKIM/DMARC-Records: Müssen vorhanden, korrekt und gegen unbemerkte Änderungen überwacht sein — die Basis der E-Mail-Authentifizierung.
• Certificate Transparency: Über CT-Log-Monitoring erkennen Sie unautorisiert ausgestellte Zertifikate für Ihre Domain, die für täuschend echte Phishing-Seiten missbraucht werden.
• Domain-Ablauf: Eine versehentlich ablaufende Domain öffnet Spoofing Tür und Tor — Domain-Ablauf verhindern gehört zur Grundhygiene.
• Social-Preview-Integrität: Manipulierte Vorschaubilder schaden der Markenwahrnehmung — Open-Graph-Monitoring ergänzt das Bild.
• Look-alike-Domains: Tippfehler-Varianten Ihrer Domain werden für Phishing registriert und sollten beobachtet werden.

Erst das Zusammenspiel macht aus Einzelmaßnahmen ein belastbares Schutzkonzept. DMARC sichert den Versandkanal, DNS-Monitoring die Grundlage, Zertifikats- und Domain-Überwachung die Außenwirkung. Werden Abweichungen erkannt, sollte sofort eine Benachrichtigung über alle relevanten Kanäle ausgelöst werden.

RUA-Reports kontinuierlich auswerten statt einmalig prüfen

Die Kernbotschaft jeder DMARC-Auswertung: Es ist kein einmaliges Projekt, sondern ein laufender Prozess. Die globale DMARC-Pass-Rate schwankt deutlich — von 89,48 % im April 2026 fiel sie im Mai auf 85,61 % (Cloudflare Radar). Solche Bewegungen entstehen durch neue Dienste, geänderte Anbieter-Infrastruktur oder eben Angriffswellen. Ohne kontinuierliche Auswertung bemerken Sie eine kaputte DKIM-Signatur oder eine neue Spoofing-Quelle erst, wenn Mails bouncen oder Kunden sich beschweren.

Der XICTRAQ Mail-Check prüft Ihre DMARC-, SPF- und DKIM-Konfiguration und macht die Authentifizierungslage transparent. In Kombination mit DNS- und Domain-Monitoring erhalten Sie ein durchgängiges Bild Ihrer E-Mail-Sicherheit — und werden benachrichtigt, sobald sich ein relevanter Wert verschlechtert. So bleibt die mühsam erreichte p=reject-Stufe dauerhaft wirksam, statt nach dem nächsten Tool-Wechsel still zu zerbrechen. Der entscheidende Perspektivwechsel: Behandeln Sie die Auswertung nicht als einmalige Pflichtübung, sondern als festen Bestandteil Ihrer Betriebsroutine — so wie das Prüfen von Server-Logs oder Backups. Dann liefert DMARC genau das, wofür es gedacht war: belastbare Sichtbarkeit und nachweisbaren Schutz Ihrer Domain.

Häufig gestellte Fragen zur DMARC-Report-Auswertung