Kniffwerk100 % lokal

Ratgeber IT-Sicherheit

DMARC Report öffnen: E-Mail-Sicherheitsberichte verstehen

Stand: 29. Oktober 2026 · Lesezeit etwa 6 Minuten

DMARC-Reports sind XML-Dateien, die dir detaillierte Informationen über den E-Mail-Verkehr deiner Domain liefern. Das Öffnen und Verstehen dieser Berichte ist entscheidend, um Phishing-Angriffe zu erkennen, die Zustellbarkeit deiner E-Mails zu verbessern und die Sicherheit deiner Kommunikation zu gewährleisten. Dieser Ratgeber zeigt dir Schritt für Schritt, wie du diese Berichte interpretierst.

Was sind DMARC-Reports und warum sind sie wichtig?

DMARC (Domain-based Message Authentication, Reporting, and Conformance) ist ein E-Mail-Authentifizierungsprotokoll, das deine Domain vor Missbrauch schützt. Es hilft, Spoofing und Phishing zu verhindern, indem es Empfängerserver anweist, wie sie mit E-Mails umgehen sollen, die angeblich von deiner Domain stammen, aber die Authentifizierungsprüfungen (SPF und DKIM) nicht bestehen.

DMARC-Reports sind die Rückmeldungen, die du von E-Mail-Anbietern (wie Google, Microsoft, GMX) erhältst. Sie informieren dich darüber, welche E-Mails von deiner Domain gesendet wurden, ob sie die SPF- und DKIM-Prüfungen bestanden haben und wie die Empfängerserver mit ihnen umgegangen sind. Es gibt zwei Arten von Reports:

Das regelmäßige Überprüfen der Aggregate Reports ist essenziell, um:

Wie öffnest und liest du einen DMARC-Report?

DMARC-Reports sind im XML-Format und für das menschliche Auge schwer lesbar. Du benötigst ein spezielles Tool, um die Daten zu interpretieren. Hier sind die Schritte:

  1. DMARC-Reports erhalten:

    Stelle sicher, dass in deinem DMARC-Eintrag im DNS ein rua-Tag mit einer E-Mail-Adresse hinterlegt ist, an die die Reports gesendet werden sollen. Beispiel: v=DMARC1; p=none; rua=mailto:dmarc-reports@deinedomain.de;

    Die Reports werden dann als E-Mail-Anhänge (oft als ZIP-Datei) an diese Adresse gesendet.

  2. Report-Datei herunterladen:

    Öffne die E-Mail mit dem DMARC-Report und lade den Anhang herunter. Die Datei hat meist die Endung .xml.zip oder .xml. Wenn es eine ZIP-Datei ist, entpacke sie zuerst, um die .xml-Datei zu erhalten.

  3. DMARC-Report-Leser verwenden:

    Da XML-Dateien unübersichtlich sind, nutze einen DMARC-Report-Leser. Unser Kniffwerk DMARC-Report-Leser ist ein praktisches Browser-Werkzeug, das die Daten für dich aufbereitet. Du musst die Datei nicht hochladen; die Verarbeitung findet direkt in deinem Browser statt, was deine Daten schützt.

    Öffne den DMARC-Report-Leser und ziehe die heruntergeladene .xml-Datei einfach in den dafür vorgesehenen Bereich oder wähle sie über die Dateiauswahl aus.

  4. Die wichtigsten Abschnitte verstehen:

    Der Leser wird die XML-Daten in eine verständliche Übersicht umwandeln. Achte besonders auf folgende Bereiche:

    • Report-Metadaten: Hier findest du Informationen zur Domain, dem Zeitraum des Reports und dem E-Mail-Anbieter, der den Report erstellt hat (z.B. Google, Outlook.com).
    • Richtlinie (Policy): Zeigt die DMARC-Richtlinie an, die für deine Domain zum Zeitpunkt des Reports galt (p=none, p=quarantine oder p=reject).
    • Ergebnisse (Records): Dies ist der wichtigste Teil. Jeder Eintrag (Record) repräsentiert eine Gruppe von E-Mails, die von einer bestimmten IP-Adresse gesendet wurden. Für jeden Record siehst du:
      • Quelle (Source IP): Die IP-Adresse, von der die E-Mails gesendet wurden. Überprüfe, ob diese IP-Adressen zu deinen legitimen E-Mail-Servern oder Drittanbietern (Newsletter-Dienste, CRM-Systeme) gehören.
      • Anzahl (Count): Wie viele E-Mails von dieser IP-Adresse im Berichtszeitraum gesendet wurden.
      • SPF-Ergebnis (SPF Result): Zeigt an, ob die SPF-Prüfung bestanden wurde (pass) oder nicht (fail).
      • DKIM-Ergebnis (DKIM Result): Zeigt an, ob die DKIM-Prüfung bestanden wurde (pass) oder nicht (fail).
      • DMARC-Ergebnis (DMARC Result): Zeigt an, ob die DMARC-Prüfung insgesamt bestanden wurde (pass) oder nicht (fail). Dies hängt von den SPF- und DKIM-Ergebnissen sowie der DMARC-Ausrichtung (Alignment) ab.
      • Angewandte Richtlinie (Disposition): Welche Aktion der Empfängerserver basierend auf deiner DMARC-Richtlinie und den Prüfergebnissen vorgenommen hat (z.B. none, quarantine, reject).

Was tun, wenn du Auffälligkeiten in den Reports entdeckst?

Das Ziel ist, dass alle deine legitimen E-Mails die DMARC-Prüfung bestehen. Wenn du Abweichungen siehst, handle wie folgt:

  1. Unbekannte Absender-IP-Adressen mit DMARC-Fehlern:

    Wenn du IP-Adressen siehst, die nicht zu deinen bekannten E-Mail-Diensten gehören und deren E-Mails die DMARC-Prüfung nicht bestehen, ist das ein starkes Indiz für Spoofing oder Phishing. Dies ist genau das, was DMARC verhindern soll. Wenn deine DMARC-Richtlinie auf p=none steht, werden diese E-Mails noch zugestellt. Bei p=quarantine oder p=reject würden sie entsprechend behandelt.

    Aktion: Wenn deine Richtlinie noch auf p=none steht, kannst du überlegen, sie schrittweise auf p=quarantine oder p=reject zu erhöhen, sobald du sicher bist, dass alle deine legitimen E-Mails die Prüfungen bestehen.

  2. Legitime E-Mails mit SPF-Fehlern:

    Dies deutet darauf hin, dass die IP-Adresse des sendenden Servers nicht in deinem SPF-Eintrag enthalten ist. Das passiert oft bei Drittanbieterdiensten (Newsletter, CRM, Buchhaltungssoftware), die E-Mails in deinem Namen versenden.

    Aktion: Füge die fehlenden IP-Adressen oder include-Anweisungen der Drittanbieter in deinen SPF-Eintrag ein. Beispiel: v=spf1 include:_spf.google.com include:spf.newsletterdienst.de ~all.

  3. Legitime E-Mails mit DKIM-Fehlern:

    Ein DKIM-Fehler bedeutet, dass die digitale Signatur der E-Mail entweder fehlt, ungültig ist oder nicht mit dem Domainnamen übereinstimmt. Dies kann an einer fehlerhaften Konfiguration des sendenden Servers liegen oder daran, dass der Drittanbieterdienst nicht korrekt für DKIM eingerichtet wurde.

    Aktion: Überprüfe die DKIM-Konfiguration auf deinen eigenen Servern. Wenn es sich um einen Drittanbieter handelt, kontaktiere dessen Support und frage nach den notwendigen DKIM-Einträgen, die du in deinem DNS hinzufügen musst.

  4. DMARC-Fehler trotz bestandener SPF/DKIM-Prüfung:

    Manchmal bestehen SPF und DKIM, aber DMARC schlägt fehl. Das liegt meist an der DMARC-Alignment. DMARC erfordert, dass die "Header From"-Domain (die Domain, die der Empfänger sieht) mit der Domain übereinstimmt, die für SPF oder DKIM verwendet wird. Wenn du zum Beispiel einen Newsletter-Dienst nutzt, der E-Mails über seine eigene Domain versendet, aber die "Header From"-Domain deine ist, kann es zu einem Alignment-Fehler kommen.

    Aktion: Stelle sicher, dass deine Drittanbieterdienste so konfiguriert sind, dass sie die DMARC-Alignment-Anforderungen erfüllen. Oft bedeutet das, dass sie E-Mails mit deiner Domain im "Header From" senden und gleichzeitig die SPF- oder DKIM-Prüfung für deine Domain bestehen.

Regelmäßige Überprüfung und Optimierung

Das Lesen von DMARC-Reports ist keine einmalige Aufgabe. Es ist ein fortlaufender Prozess. Wir empfehlen dir, die Reports mindestens einmal pro Woche zu überprüfen, besonders in der Anfangsphase, wenn deine DMARC-Richtlinie noch auf p=none steht.

Sobald du sichergestellt hast, dass alle deine legitimen E-Mail-Quellen korrekt authentifiziert werden, kannst du deine DMARC-Richtlinie schrittweise verschärfen:

  1. p=none (Monitoring): E-Mails werden zugestellt, aber du erhältst Reports. Dies ist der Startpunkt.
  2. p=quarantine (Quarantäne): E-Mails, die die DMARC-Prüfung nicht bestehen, werden in den Spam-Ordner verschoben oder genauer geprüft.
  3. p=reject (Ablehnung): E-Mails, die die DMARC-Prüfung nicht bestehen, werden vollständig abgelehnt und nicht zugestellt. Dies ist die höchste Schutzstufe.

Jeder Schritt sollte sorgfältig überwacht werden, um sicherzustellen, dass keine legitimen E-Mails fälschlicherweise blockiert werden. Die DMARC-Reports sind dein wichtigstes Werkzeug, um diesen Prozess zu steuern und die Sicherheit deiner E-Mail-Kommunikation kontinuierlich zu verbessern.