DMARC-Gesamtberichte erklärt: Was sie sind, was sie enthalten und wie man sie nutzt

Alle 24 Stunden senden Ihnen empfangende Mailserver einen strukturierten Datensatz – einen DMARC-Aggregatbericht (RUA) –, der alle IP-Adressen dokumentiert, von denen E-Mails unter Verwendung Ihrer Domain versendet wurden: was erfolgreich zugestellt wurde, was fehlgeschlagen ist und was abgelehnt wurde. Wenn Ihr Morgen mit Zustellfehlern und Spam-Beschwerden beginnt, finden Sie hier die Ursache.

Diese Berichte liegen jedoch als komplexe XML-Dateien vor, die nicht gerade benutzerfreundlich sind. Die Daten sind zwar aussagekräftig, doch um ihr Potenzial voll auszuschöpfen, braucht es den richtigen Blickwinkel.

In diesem Leitfaden erklären wir Ihnen, was DMARC-Gesamtberichte eigentlich enthalten, wie man sie versteht, ohne dabei den Verstand zu verlieren, und wie man diese Rohdaten in weitaus nützlichere Informationen umwandelt.

Was ist ein DMARC-Gesamtbericht?

Ein DMARC-Gesamtbericht ist eine tägliche XML-Zusammenfassung, die von empfangenden Mailservern an Domaininhaber gesendet wird und den gesamten E-Mail-Verkehr umfasst, der vorgibt, Ihre Domain innerhalb eines Zeitraums von 24 Stunden zu nutzen.

Im Gegensatz zu forensischen Berichten sind RUA-Berichte datenschutzkonform. Sie enthalten keine individuellen E-Mail-Inhalte, Betreffzeilen oder personenbezogene Daten (PII), sondern konzentrieren sich stattdessen auf IP-Adressen, Datenmengen und Authentifizierungsergebnisse.

<feedback>
  <report_metadata>
    <org_name>google.com</org_name>
    <date_range>24h</date_range>
  </report_metadata>

  <policy_published>
    <domain>example.com</domain>
    <p>reject</p>
  </policy_published>

  <record>
    <source_ip>209.85.1.1</source_ip>
    <count>1284</count>
    <dkim>pass</dkim>
    <spf>pass</spf>
  </record>
</feedback>

DMARC Aggregate vs. Forensic (RUA vs. RUF)

RUA-Berichte (Gesamtübersicht) bieten eine tägliche, allgemeine Zusammenfassung aller E-Mail-Aktivitäten unter Verwendung Ihrer Domain, während RUF-Berichte (forensisch) Echtzeit-Warnmeldungen zu einzelnen Vorfällen sind, die detaillierte Informationen zu einzelnen Authentifizierungsfehlern enthalten. Kurz gesagt: RUA vermittelt einen Überblick über das Gesamtbild, während RUF bestimmte Probleme genauer beleuchtet, allerdings wird RUF aufgrund von Datenschutzbedenken weniger häufig unterstützt.

Hier sind die wichtigsten Unterschiede zwischen RUA- und RUF-Berichten.

RUA

ZUSAMMENFASSENDER BERICHT

Häufigkeit

Einmal alle 24 Stunden

Was es abdeckt

Der gesamte E-Mail-Verkehr – erfolgreich und fehlgeschlagen

Datenschutz

Keine personenbezogenen Daten – sicher für alle Regionen

Am besten geeignet für

Laufende Überwachung und Durchsetzung

vs

RUF

FORENSISCHES GUTACHTEN

Häufigkeit

In Echtzeit, pro Fehler

Was es abdeckt

Nur einzelne fehlgeschlagene E-Mails

Datenschutz

Kann Betreffzeilen enthalten

Am besten geeignet für

Untersuchung spezifischer Spoofing-Angriffe

Welche Daten enthält ein DMARC-Aggregationsbericht?

Auch wenn eine reine XML-Datei auf den ersten Blick einschüchternd wirken mag, ordnet sie Daten in bestimmte Datensatzblöcke, die Aufschluss über den Zustand Ihrer Authentifizierung geben.

1. Metadaten des Berichts

In diesem Abschnitt wird angegeben, wer den Bericht erstellt hat und welchen Zeitraum er abdeckt:

• Berichts-ID: Eine eindeutige Kennung für den jeweiligen Bericht.
• Zeitraum: Der konkrete 24-Stunden-Zeitraum, in dem die Aktivitäten überwacht wurden.
• Name der Organisation: Die Stelle, die den Bericht erstellt hat, in der Regel ein E-Mail-Anbieter.
• Kontaktdaten: Angaben dazu, wie man die meldende Organisation kontaktieren kann.

2. Veröffentlichte DMARC-Richtlinie

Hier wird die jeweilige Richtlinie (p=none, quarantine oder reject) aufgeführt, die während des Berichtszeitraums in Ihrem DNS aktiv war.

3. Datensatzblöcke

Jeder Datensatzblock enthält Einzelheiten zu einer bestimmten Gruppe von E-Mails, sortiert nach deren Herkunft:

• Quell-IP: Die IP-Adresse, von der die ausgewerteten E-Mails stammen.
• Anzahl der Nachrichten: Die Gesamtzahl der E-Mails, die während des Zeitraums von dieser IP-Adresse versendet wurden.
• Bewertete Richtlinie: Die ergriffene Maßnahme (Entscheidung) und ob diese mit Ihrer Richtlinie übereinstimmte.
• SPF- und DKIM- Ergebnisse: Die konkreten Ergebnisse (bestanden/nicht bestanden) für jede Authentifizierungsmethode.

Wie aktiviere ich DMARC-Aggregatberichte?

Um diese Berichte zu erhalten, müssen Sie den Tag „rua=“ zu Ihrem DMARC-DNS-TXT-Eintrag hinzufügen.

Beispiel-Datensatz:

v=DMARC1; p=keine; rua=mailto:[email protected]

Wenn Sie Berichte an eine externe Domain senden müssen, muss die Empfängerdomain einen speziellen DNS-Eintrag veröffentlichen, der die Berechtigung erteilt.

So lesen Sie einen DMARC-Gesamtbericht

Reading DMARC aggregate reports manually involves parsing XML tags like <record>, <row>, and <auth_results>.

Trends erkennen

Einzelne Berichte geben nur einen kurzen Einblick, lassen sich jedoch am besten in Kombination nutzen, um den laufenden Fortschritt zu überwachen. So kann beispielsweise eine hohe Anzahl von Fehlern, die im Laufe der Zeit von einer bestimmten IP-Adresse ausgehen, auf einen Spoofing-Versuch oder einen falsch konfigurierten legitimen Server hindeuten.

XML-Beispielausschnitt

<source_ip>192.168.1.1</source_ip> <count>1023</count> <disposition>none</disposition> <dkim>pass</dkim> <spf>fail</spf>

In diesem Ausschnitt haben E-Mails von der IP-Adresse 192.168.1.1 die DKIM-Prüfung bestanden, sind jedoch bei der SPF-Prüfung durchgefallen. Da die Einstellung „none“ lautet, wurden trotz des Fehlers keine Maßnahmen ergriffen.

Warum sind DMARC-Gesamtberichte für die E-Mail-Sicherheit wichtig?

Was man nicht sieht, kann man auch nicht schützen. Die Berichte von RUA enthalten zahlreiche umsetzbare Erkenntnisse, die Ihrem Unternehmen helfen:

• Verbesserung der Zustellbarkeit: Ermitteln Sie Fälle, in denen legitime E-Mails als Spam markiert werden, und passen Sie die Einstellungen entsprechend an, um diese Probleme zu beheben.
• Verbesserung der Sicherheit und Compliance: Identifizieren Sie unbefugte Absender, die versuchen, sich als Ihre Marke auszugeben oder Ihre Domain in böswilliger Absicht zu nutzen.
• Sichere Durchsetzung: Bietet die erforderliche Transparenz, um von „p=none“ (nur überwachen) zu „p=quarantine“ oder „p=reject“ zu wechseln, ohne legitime E-Mails zu blockieren.
• Schatten-IT (nicht genehmigte Cloud-Dienste, die von Mitarbeitern ohne Zustimmung der IT-Abteilung genutzt werden) unter Kontrolle bringen: Entdecken Sie Cloud-Dienste von Drittanbietern, die möglicherweise ohne Ihr Wissen E-Mails in Ihrem Namen versenden.

Wie nutzt man DMARC-Gesamtberichte effektiv?

Um den Nutzen Ihrer DMARC-Gesamtberichte zu maximieren, müssen Sie von der passiven Datenerfassung zu einem aktiven Domain-Management übergehen. Da sich rohes XML bekanntermaßen nur schwer manuell auswerten lässt, helfen Ihnen diese sechs strategischen Best Practices dabei, sicher eine vollständige DMARC-Durchsetzung (p=reject) zu erreichen.

1. Nutzen Sie eine spezialisierte DMARC-Analyselösung

Zwar lassen sich XML-Dateien technisch gesehen in einem Texteditor öffnen, doch ist dies bei Hunderten von Berichten in der Praxis kaum durchführbar. Ein spezielles Tool wie der DMARC-Berichtsanalysator übernimmt diese mühsame Arbeit, indem es:

• XML in visuelle Darstellungen umsetzen: Tausende Zeilen Code werden in intuitive Geokarten, Kreisdiagramme und Dashboards für Bedrohungsinformationen umgewandelt.
• Automatische Identifizierung der Quelle: Anstatt nur eine IP-Adresse wie 209.85.220.41 zu sehen, identifiziert ein professionelles Analyse-Tool den Dienst anhand seines Namens (z. B. „Google Workspace“ oder „Salesforce“).
• Fehlerhervorhebung: Automatische Markierung von Syntaxfehlern in Ihren SPF-/DKIM-Einträgen, die dazu führen könnten, dass legitime E-Mails nicht zugestellt werden.

2. Einen regelmäßigen Überprüfungsrhythmus festlegen

E-Mail-Ökosysteme sind dynamisch; es kommen ständig neue Marketing-Tools hinzu, und die IP-Bereiche von Drittanbietern ändern sich häufig.

• Tägliche Überwachung: Überprüfen Sie während der Einrichtungsphase (bei p=none) täglich die Berichte, um sicherzustellen, dass kein legitimer Datenverkehr blockiert wird.
• Wöchentliche Überprüfungen: Sobald Ihre Richtlinie den Status „p=quarantine“ oder „p=reject“ hat, reicht in der Regel eine wöchentliche Überprüfung aus, um neue Spoofing-Versuche oder „Shadow IT“ (unautorisierte Cloud-Dienste, die von verschiedenen Abteilungen genutzt werden) zu überwachen.
• Proaktiv vs. reaktiv: Warten Sie nicht, bis es zu einer Zustellbarkeitskrise oder einem Phishing-Angriff kommt, bevor Sie sich Ihre RUA-Daten ansehen.

3. Details zu häufigen Fehlern genauer untersuchen

Nicht jeder Ausfall stellt eine Sicherheitsbedrohung dar, doch Ausfälle in großem Umfang sind fast immer von erheblicher Tragweite.

• Ermitteln Sie die „Verursacher“: Suchen Sie nach IP-Adressen, die Tausende von E-Mails versenden, aber die DMARC-Prüfung nicht bestehen.
• Konfigurationsfehler vs. böswillige Absicht: Wenn die IP-Adresse zu einem bekannten Anbieter (wie HubSpot oder Mailchimp) gehört, deutet der Fehler auf einen Konfigurationsfehler in Ihrer SPF- oder DKIM-Einrichtung hin. Wenn die IP-Adresse unbekannt ist und aus einer Region mit hohem Risiko stammt, handelt es sich wahrscheinlich um einen Spoofing-Versuch.
• Überprüfen Sie die Fehlercodes: Achten Sie darauf, warum der Vorgang fehlgeschlagen ist; handelte es sich um ein Abgleichproblem (die Domain im „From“-Header stimmte nicht mit der authentifizierten Domain überein) oder um einen vollständigen Authentifizierungsfehler?

4. Langfristige Trends und saisonale Schwankungen analysieren

DMARC-Gesamtberichte liefern eine Momentaufnahme der letzten 24 Stunden, doch die eigentlichen Erkenntnisse lassen sich aus den Trends ableiten.

• Referenzverkehr: Machen Sie sich ein Bild von Ihrem „normalen“ Verkehrsaufkommen, damit Sie Abweichungen sofort erkennen können, wie zum Beispiel einen plötzlichen Anstieg des Datenverkehrs, der auf einen Botnetz-Angriff hindeuten könnte.
• Auswirkungen auf die Richtlinie: Verfolgen Sie, wie sich Ihre Authentifizierungsquote verbessert, wenn Sie Ihre Datensätze optimieren. Ein stetiger Aufwärtstrend bei den „DMARC Pass“-Prozentsätzen ist das Signal, auf das Sie warten, um zu einer strengeren Richtlinie überzugehen.
• Historischer Vergleich: Bewahren Sie historische Daten für einen Zeitraum von mindestens 6 bis 12 Monaten auf, um die Anforderungen von Sicherheitsaudits zu erfüllen und saisonale Schwankungen im E-Mail-Aufkommen zu erkennen.

5. Schaffen Sie einen Kreislauf für umsetzbares Feedback

Daten sind nur dann nützlich, wenn sie zu einer Optimierung führen. Nutzen Sie die Erkenntnisse aus Ihren Berichten, um:

• SPF-Einträge optimieren: Entfernen Sie alte, nicht mehr verwendete IP-Adressen oder Anbieter, um das Limit von 10 DNS-Abfragen einzuhalten.
• DKIM-Schlüssel aktualisieren: Wenn Berichte DKIM-Fehler für einen bestimmten Standort anzeigen, ist es möglicherweise an der Zeit, Ihre Schlüssel zu rotieren oder einen fehlerhaften Selektor zu korrigieren.
• Behebung von Adressabgleichsproblemen: Viele Anbieter bestehen die SPF-/DKIM-Prüfung, scheitern jedoch bei DMARC, da der „Return-Path“ nicht mit Ihrer Markendomain übereinstimmt. Anhand der Berichte erfahren Sie genau, wo Sie die Einstellungen für „Custom Return-Path“ oder „Custom DKIM“ vornehmen müssen.

6. Ergebnisse und Sanierungsmaßnahmen dokumentieren

Der DMARC-Berichtsverlauf dient als Prüfungsnachweis für Compliance-Rahmenwerke wie SOC 2, HIPAA und PCI-DSS.

• Protokollieren Sie relevante Ereignisse: Halten Sie fest, wann Sie einen neuen Lieferanten hinzugefügt haben, wann Sie Ihre Richtlinie von „Keine“ auf „Quarantäne“ geändert haben und welche Gründe dafür ausschlaggebend waren.
• Nachweis gegenüber Aufsichtsbehörden: Wenn ein Prüfer fragt, wie Sie Kundendaten vor E-Mail-Spoofing schützen, dienen Ihre DMARC-Berichte und Ihr Protokoll der Abhilfemaßnahmen als eindeutiger Nachweis für Ihre Sicherheitslage.
• Wissenstransfer: Durch eine Dokumentation wird sichergestellt, dass ein neues Teammitglied die bestehende E-Mail-Architektur und die autorisierten Absender versteht, falls Ihr Haupt-E-Mail-Administrator das Unternehmen verlässt.

Wie vereinfacht PowerDMARC die DMARC-Berichterstattung?

Die manuelle Bearbeitung von Hunderten von XML-Dateien ist bei großem Datenvolumen nicht praktikabel. PowerDMARC automatisiert den gesamten Lebenszyklus Ihrer Berichte und geht über das einfache Parsen hinaus, um eine umfassende SecOps-Lösung (Security Operations) zu bieten.

Fortgeschrittene Automatisierung und Visualisierung

• Automatische XML-Auswertung: PowerDMARC wandelt komplexe XML-Daten in übersichtliche Dashboards, Karten und Diagramme um, sodass kein manuelles Auswerten erforderlich ist.
• Absenderidentifizierung: Unsere Lösung identifiziert Ihre Dienste anhand ihres Namens (z. B. Salesforce, Zoom) und nicht nur anhand vager IP-Adressen, was eine schnelle Unterscheidung zwischen seriösen Anbietern und böswilligen Akteuren ermöglicht.
• Umgang mit nicht standardkonformen Daten: PowerDMARC ist darauf ausgelegt, Berichte von Anbietern wie Microsoft zu verarbeiten, die gegen die RFC-Standards verstoßen, wodurch sichergestellt wird, dass Ihre Daten niemals unvollständig sind.
• Hosted SPF & DKIM: Haben Sie genug von der Beschränkung auf 10 DNS-Abfragen? Mit unseren gehosteten Tools können Sie Einträge direkt über das Dashboard verwalten, ohne Ihre DNS-Einstellungen anzutasten – so beheben Sie den Fehler „Too many lookups“ im Handumdrehen.
• BIMI (Brand Indicator for Message Identification) mit VMC-Unterstützung (Verified Mark Certificates): Gehen Sie über reine Sicherheit hinaus, indem Sie Ihr verifiziertes Markenlogo in den Posteingängen der Empfänger anzeigen – das steigert die Öffnungsraten und das Vertrauen.
• DMARC für Managed Service Provider (MSPs) und Mandantenfähigkeit: Dank der erweiterten globalen Transparenz ermöglicht unsere Plattform Managed Service Providern die Verwaltung von Hunderten von Domains über eine zentrale Oberfläche.
• KI-gestützte Bedrohungsinformationen: Nutzen Sie unsere Updates, um Spoofing-Muster zu erkennen, und erhalten Sie automatische Benachrichtigungen, sobald ein neuer, nicht autorisierter Absender entdeckt wird, der Ihre Domain missbraucht.
• Individuelle PDF-Berichte: Erstellen Sie mit einem Klick vorlagenfertige Berichte, mit denen Sie Ihren Prozess vom Status „p=none“ bis zum Status „p=reject“ für Compliance-Prüfungen dokumentieren können.

Resümee

Angesichts der sich ständig wandelnden Bedrohungslage im Jahr 2026 ist es nicht mehr möglich, sich auf den „blinden“ E-Mail-Versand zu verlassen. DMARC-Gesamtberichte sind das leistungsstärkste Werkzeug im Arsenal eines Administrators, um Transparenz und Kontrolle über die Domain-Nutzung zu erlangen. Durch die Umwandlung von XML-Rohdaten in verwertbare Erkenntnisse mit PowerDMARC können Unternehmen Phishing proaktiv verhindern, die Zustellbarkeit von E-Mails verbessern und die Einhaltung globaler Vorschriften für Massenversender sicherstellen.

Häufig gestellte Fragen

Was ist ein DMARC-Gesamtbericht?

Eine tägliche XML-Zusammenfassung der E-Mail-Authentifizierungsaktivitäten sowie der SPF-, DKIM- und DMARC-Ergebnisse, die von den empfangenden Mail-Servern an die Domain-Inhaber gesendet wird.

Wie oft werden diese Berichte versendet?

In der Regel einmal alle 24 Stunden pro meldender Organisation (z. B. senden Google und Microsoft separate Berichte).

Enthalten diese Berichte personenbezogene Daten?

Nein. Sie enthalten zwar IP-Adressen und Datenmengen, jedoch keine E-Mail-Inhalte oder personenbezogene Daten, sodass sie für alle Regionen unbedenklich sind.

Kann ich Berichte an eine externe Domain senden?

Ja, aber die externe Domain muss einen DNS-Eintrag veröffentlichen, der die Berechtigung zum Empfang dieser Berichte erteilt.

Wie aktiviere ich DMARC-Aggregatberichte?

Um DMARC-Gesamtberichte zu aktivieren, fügen Sie einen TXT-Eintrag zu Ihren DNS-Einstellungen hinzu:

• Moderator: _dmarc
• Wert: v=DMARC1; p=none;rua=mailto:[email protected];

Wechseln Sie zu „p=quarantine“ oder „p=reject“, sobald Sie bereit sind. Dies bietet Ihnen die nötige Transparenz, um Ihre Domain zu schützen, von der 91 % aller Cyberangriffe ausgehen.

• Über
• Neueste Beiträge

Milena Baghdasaryan

Inhaltsspezialist bei PowerDMARC

Milena ist eine erfahrene Autorin und Inhaltserstellerin mit mehr als 7 Jahren Erfahrung in der Erstellung ansprechender Inhalte über IT, Cybersicherheit, virtuelle Veranstaltungen und mehr. Sie hat eine nachgewiesene Erfolgsbilanz bei der Erstellung hochwertiger Arbeiten für internationale Magazine und ist Absolventin renommierter Institutionen wie der New York University Abu Dhabi, UWC China und dem College of Europe.

Neueste Beiträge von Milena Baghdasaryan (alle anzeigen)

• DMARC-Gesamtberichte erklärt: Was sie sind, was sie enthalten und wie man sie nutzt – 6. Mai 2026
• Sendmarc-Testbericht: Funktionen, Nutzererfahrungen, Vor- und Nachteile (2026) – 22. April 2026
• FIPS-Konformität: So sichern Sie Ihre Infrastruktur vor Ablauf der Frist im Jahr 2026 – 20. April 2026