DMARC (SPF und DKIM) Ablauf nach der Einrichtung. Euere Erfahrung wäre mir jetzt wichtig!

[magicpeter 11]

Moin,

wie bestimmt einige schon mitbekommen haben, beschäftige ich mich seit einer Woche mit der Einrichtung und dem Ablauf von DMARC, SPF und DKIM.

Nachdem ich jetzt DMARC, SPF und DKIM sauber eingerichtet habe und die DMARC Policy noch auf None stehen habe würde mich jetzt einmal eure weitere Vorgehensweise interessieren.

 

Ich habe verschiedene Tools zur Auswertung der Reporte mir angeschaut und nutze auch EasyDMARC – DMARC XML Report Analyzer - https://easydmarc.com

 

Die Frage ist nur, wenn alles zuverlässig läuft. Also die E-Mails zuverlässig angekommen und alle E-Mail Versendung in der Firma, auch  Newsletter, etc funktionieren, was soll ich dann noch mit den Reports anfangen?

Laut DSGVO darf ich damit sowieso nix machen.

Also, mein nächster Schritt wäre jetzt DMARC auf reject und SPF auf -ALL zu stellen.

 

Damit wäre für mich die Einrichtung abgeschlossen.

 

Was ist dann noch weiter zu machen?

 

[NorbertFe 2.061]

vor 4 Minuten schrieb magicpeter:

Laut DSGVO darf ich damit sowieso nix machen.

Echt? Erklär mal.

 

vor 7 Minuten schrieb magicpeter:

was soll ich dann noch mit den Reports anfangen?

Das Gleiche wie jetzt auch. Im Blick behalten, oder glaubst du es ändert sich nie?

 

vor 8 Minuten schrieb magicpeter:

Also, mein nächster Schritt wäre jetzt DMARC auf reject und SPF auf -ALL zu stellen.

Spf -all sollte man mit dmarc nicht nutzen, sondern nur ~all (den Grund wirst du bei der nächsten Recherche sicher selbst finden).

und reject kannst du aktivieren, wenn du dir sicher bist, dass alles passt.

 

vor 11 Minuten schrieb magicpeter:

Was ist dann noch weiter zu machen?

Eigentlich irritiert mich deine Frage, denn du sagst ja selbst, dass du dich in dmarc reingearbeitet hast. Und so gut wie jede Quelle die ich so in der Vergangenheit gelesen habe hat relativ deutliche implementierungsempfehlungen, die sich nur geringfügig unterscheiden.

 

Was genau fehlt dir jetzt eigentlich, um deine Frage zu beantworten?

 

bye

norbert

[magicpeter 11]

vor 6 Minuten schrieb NorbertFe:

Echt? Erklär mal.

 

Das Gleiche wie jetzt auch. Im Blick behalten, oder glaubst du es ändert sich nie?

 

Spf -all sollte man mit dmarc nicht nutzen, sondern nur ~all (den Grund wirst du bei der nächsten Recherche sicher selbst finden).

und reject kannst du aktivieren, wenn du dir sicher bist, dass alles passt.

 

Eigentlich irritiert mich deine Frage, denn du sagst ja selbst, dass du dich in dmarc reingearbeitet hast. Und so gut wie jede Quelle die ich so in der Vergangenheit gelesen habe hat relativ deutliche implementierungsempfehlungen, die sich nur geringfügig unterscheiden.

 

Was genau fehlt dir jetzt eigentlich, um deine Frage zu beantworten?

 

bye

norbert

Was genau soll ich denn jetzt noch kontrollieren in den Reports?

Wenn doch alle meine E-Mail Versendungen (gibt es das Wort überhaupt ) funktionieren, was soll ich da noch dürfen?

 

Warum nicht -all 

Beziehst du dich hierauf?  "Aktuell wird die DMARC Validierung vor allem bei großen Email Providern verwendet. Das ältere SPF Verfahren ist hingegen bei vielen Mailservern im Einsatz. Um hier die Forwarding-Problematik zu entschärfen, empfehlen wir die Definition einer SoftFail Policy."

Also besser ~all

 

Schließlich teilt -all dem Server mit, dass Adressen, die nicht im SPF-Eintrag aufgeführt sind, nicht berechtigt sind, E-Mails zu versenden und zurückgewiesen werden sollten.

Zu den alternativen Optionen gehören ~all, was bedeutet, dass nicht aufgelistete E-Mails als unsicher oder Spam markiert, aber dennoch akzeptiert werden, und, seltener, +all, was bedeutet, dass jeder Server E-Mails im Namen Ihrer Domain senden kann.
 

[NorbertFe 2.061]

vor 21 Minuten schrieb NorbertFe:

Was genau fehlt dir jetzt eigentlich, um deine Frage zu beantworten?

 

[magicpeter 11]

Was genau soll ich denn jetzt noch kontrollieren in den Reports?

Wenn doch alle meine E-Mail Versendungen (gibt es das Wort überhaupt ) funktionieren, was soll ich da noch dürfen?

 

[NorbertFe 2.061]

Gerade eben schrieb magicpeter:

Was genau soll ich denn jetzt noch kontrollieren in den Reports?

Stellst du das Monitoring anderer Systeme/Komponenten sonst auch ein, wenn's mal grün ist? Wie begrenzt ist denn dein Vorstellungsvermögen diesbezüglich? :/

 

vor 1 Minute schrieb magicpeter:

Wenn doch alle meine E-Mail Versendungen (gibt es das Wort überhaupt ) funktionieren, was soll ich da noch dürfen?

 

Wat?

[magicpeter 11]

Gerade eben schrieb NorbertFe:

Stellst du das Monitoring anderer Systeme/Komponenten sonst auch ein, wenn's mal grün ist? Wie begrenzt ist denn dein Vorstellungsvermögen diesbezüglich? :/

 

Wat?

OK, so langsam komme ich dahinter was du meinst....

Mit welchem System Überwachst du denn deine Reports?

Bezüglich -all habe ich jetzt einmal etwas recherchiert und des wird ~all im Zusammenhang mit DMARC empfohlen.

SPF-Authentifizierung: SPF-all vs ~all

https://easydmarc.com/blog/de/spf-authentifizierung-spf-all-vs-all/

 

[NorbertFe 2.061]

vor 2 Minuten schrieb magicpeter:

Mit welchem System Überwachst du denn deine Reports?

Mit einem Anbieter meiner Wahl der DSGVO konform mit den anfallenden Daten umgeht. Also keiner der in US, GB, AUS sitzt. Ob das für dich oder deine Kunden der selbe sein muss wie meiner sei mal dahingestellt.

Und ich würde wetten, dass in einem deiner vielen DMARC Threads bereits der Hinweis kam, dass man sich dazu einen entsprechenden Anbieter suchen sollte, der das Aufbereiten der Reports den eigenen Ansprüchen entsprechend umsetzen kann.

 

vor 4 Minuten schrieb magicpeter:

Bezüglich -all habe ich jetzt einmal etwas recherchiert und des wird ~all im Zusammenhang mit DMARC empfohlen.

 

 

vor 34 Minuten schrieb NorbertFe:

Spf -all sollte man mit dmarc nicht nutzen, sondern nur ~all (den Grund wirst du bei der nächsten Recherche sicher selbst finden).

 

Ja, denn nichts anderes hab ich geschrieben. Was sagt dir das jetzt?

 

Bye

Norbert

[magicpeter 11]

vor 17 Minuten schrieb NorbertFe:

Mit einem Anbieter meiner Wahl der DSGVO konform mit den anfallenden Daten umgeht. Also keiner der in US, GB, AUS sitzt. Ob das für dich oder deine Kunden der selbe sein muss wie meiner sei mal dahingestellt.

Und ich würde wetten, dass in einem deiner vielen DMARC Threads bereits der Hinweis kam, dass man sich dazu einen entsprechenden Anbieter suchen sollte, der das Aufbereiten der Reports den eigenen Ansprüchen entsprechend umsetzen kann.

 

OK, dann weis ich jetzt bescheid. Dann suche ich mir halt selber einen Anbieter.

vor 17 Minuten schrieb NorbertFe:

 

Ja, denn nichts anderes hab ich geschrieben. Was sagt dir das jetzt?

 

Bye

Norbert

Das sagt mir, ich habe es geprüft und für gut befunden. 

Danke dir.

[NorbertFe 2.061]

Gerade eben schrieb magicpeter:

OK, dann weis ich jetzt bescheid. Dann suche ich mir halt selber einen Anbieter.

 

Sehr gut. Und wenn dir dann noch langweilig ist, setzt du auch noch MTA-STS und DANE um (natürlich in einem eigenen ellenlangen Thread).

[BroBias 5]

Hm, das liest sich schon alles beinahe wie einstudiert zur Unterhaltung der Forenmitglieder ...  

 

Ich war bisher mit DMARCAnalyzer von mimecast unterwegs (auch schon bevor es an mimecast verkauft wurde) und heutzutage mit Dmarcian. Beides gute Tools, Unterschiede eigentlich nur im Bereich Compliance (also bspw. DSGVO-relevante Hosting/DatainTransit Themen) oder halt Vorlieben was Handling und Anwenderfunktionenen angeht.

 

Je nach Größe und Komplexität der zu überwachenden Domains oder/und zum Senden legitimierter Systeme, wirst du auch lange nachdem die Policy auf Reject gesetzt wurde froh sein um deine Berichte. Auch um vernünftiges Anti-Phishing zuz betreiben sind diese wertvoll, weil du sonst Schwierigkeiten haben wirst phishing campaigns unter Verwendung deiner domains auszumachen. Leider gibt es immernoch viel zu viele Anbieter bzw. Endpoints, die keine DMARC-Validierung machen, oder könnten es aber ihren unversierten Kunden überlassen das zu aktivieren.
Davon abgesehen kannst du so z.B. auch Fehler in zum Senden legitimierten Systemen leicht entdecken. Wenn ich Zeit hätte länger drüber nachzudenken würden mir sicherlich noch weitere Gründe einfallen.

Tatsache ist aber auch, dass ich seit ich alles "DMARC - betreffende" hier beim neuen AG glatt gezogen hab, vllt einmal im Quartal reinschaue. Nichts desto trotz erübrigt das das DMARC Monitoring selbstverständlich nicht. 

[LK28 11]

vor 50 Minuten schrieb NorbertFe:

 

Sehr gut. Und wenn dir dann noch langweilig ist, setzt du auch noch MTA-STS und DANE um (natürlich in einem eigenen ellenlangen Thread).

Du wirst gezwungen in den ellenlangen Threads mehrmals zu antworten?

[NorbertFe 2.061]

vor 7 Minuten schrieb BroBias:

Hm, das liest sich schon alles beinahe wie einstudiert zur Unterhaltung der Forenmitglieder ...  

 

Nö, das ist real life.

vor 8 Minuten schrieb BroBias:

glatt gezogen hab, vllt einmal im Quartal reinschaue. Nichts desto trotz erübrigt das das DMARC Monitoring selbstverständlich nicht. 

Eben. Nichts anderes kann man dazu sagen.

[NilsK 2.957]

Moin,

 

vor 8 Minuten schrieb LK28:

Du wirst gezwungen in den ellenlangen Threads mehrmals zu antworten?

bei den Experts tauchen manchmal so finstere Typen mit langen Messern auf, wenn man nicht antwortet. Echt kein schöner Job.

 

Gruß, Nils

 

[magicpeter 11]

vor 33 Minuten schrieb BroBias:

Hm, das liest sich schon alles beinahe wie einstudiert zur Unterhaltung der Forenmitglieder ...  

 Ein bißchen Comedy ist doch immer dabei..... Ein bißchen Spaß muss sein... dann kommt die Antwort von ganz allein...

vor 33 Minuten schrieb BroBias:

Ich war bisher mit DMARCAnalyzer von mimecast unterwegs (auch schon bevor es an mimecast verkauft wurde) und heutzutage mit Dmarcian. Beides gute Tools, Unterschiede eigentlich nur im Bereich Compliance (also bspw. DSGVO-relevante Hosting/DatainTransit Themen) oder halt Vorlieben was Handling und Anwenderfunktionenen angeht.

 

Je nach Größe und Komplexität der zu überwachenden Domains oder/und zum Senden legitimierter Systeme, wirst du auch lange nachdem die Policy auf Reject gesetzt wurde froh sein um deine Berichte. Auch um vernünftiges Anti-Phishing zuz betreiben sind diese wertvoll, weil du sonst Schwierigkeiten haben wirst phishing campaigns unter Verwendung deiner domains auszumachen. Leider gibt es immernoch viel zu viele Anbieter bzw. Endpoints, die keine DMARC-Validierung machen, oder könnten es aber ihren unversierten Kunden überlassen das zu aktivieren.
Davon abgesehen kannst du so z.B. auch Fehler in zum Senden legitimierten Systemen leicht entdecken. Wenn ich Zeit hätte länger drüber nachzudenken würden mir sicherlich noch weitere Gründe einfallen.

Tatsache ist aber auch, dass ich seit ich alles "DMARC - betreffende" hier beim neuen AG glatt gezogen hab, vllt einmal im Quartal reinschaue. Nichts desto trotz erübrigt das das DMARC Monitoring selbstverständlich nicht. 

Danke dir für deine ausführliche und informative Antwort.
Ich werde mir deine Anbieter einmal anschauen.

Hat mir sehr geholfen.

 

bearbeitet 26. Juli 2023 von magicpeter