Was ist die DMARC-Quarantäne? Die „p=quarantine“-Richtlinie erklärt

Blog, DMARC

Die DMARC-Quarantäne (p=quarantine) weist Empfänger an, E-Mails, die die Überprüfung nicht bestehen, in den Spam-Ordner statt in den Posteingang zu verschieben. Erfahren Sie, wie dies funktioniert, sehen Sie sich Beispiele an und erfahren Sie mehr über den Unterschied zwischen Quarantäne und Ablehnung.

von YunesTarada

Zuletzt aktualisiert:
6 Lesezeit: 2 Minuten
Was ist die DMARC-Quarantäne? Die „p=quarantine“-Richtlinie erklärt

Wichtigste Erkenntnisse

  • p=quarantine wird verwendet, um verdächtige E-Mails während der DMARC-Durchsetzung zu überprüfen, ohne dass das Risiko besteht, legitime E-Mails dauerhaft zu verlieren.
  • E-Mails, die unter Quarantäne gestellt wurden, landen in der Regel im Spam- oder Junk-Ordner des Empfängers.
  • In dieser Phase ist eine regelmäßige Überprüfung der DMARC-Berichte unerlässlich, um sicherzustellen, dass legitime Absender ordnungsgemäß authentifiziert werden.
  • Das Ziel sollte stets darin bestehen, schrittweise auf eine „p=reject“-Richtlinie hinzuarbeiten, um einen maximalen Schutz vor Spoofing zu gewährleisten.

Die DMARC-Quarantäne (p=quarantine) ist die DMARC-Richtlinie, die empfangende Mailserver anweist, Nachrichten, die die DMARC-Authentifizierung nicht bestehen, an einen anderen Ort als den Posteingang zuzustellen. Dies bedeutet in der Regel, dass sie in den Spam- oder Junk-Ordner weitergeleitet werden, anstatt sie direkt zu blockieren.

Was ist die DMARC-Quarantäne?

Die DMARC-Quarantäne ist eine Durchsetzungsrichtlinie, die im DMARC-Eintrag Ihrer Domain festgelegt ist. Wenn ein Absender eine E-Mail im Namen Ihrer Domain versendet, vergleicht der empfangende E-Mail-Server die Nachricht mit Ihren veröffentlichten SPF- (Sender Policy Framework) und DKIM- (DomainKeys Identified Mail) Einträgen. Wenn die E-Mail diese Authentifizierungsprüfungen nicht besteht und Ihre DMARC-Richtlinie auf „p=quarantine“ eingestellt ist, wird der Empfänger angewiesen, die E-Mail mit Vorsicht zu behandeln.

Anstatt die E-Mail vollständig abzulehnen oder sie wie gewohnt in den Posteingang zuzustellen, verschiebt der Empfänger sie in die Quarantäne. Diese Maßnahme schützt den Empfänger vor möglichen Phishing- oder Spoofing-Versuchen, während die Nachricht dennoch in einen sekundären Ordner zugestellt werden kann.

Wie wird eine DMARC-Quarantäne-Richtlinie umgesetzt?

Die Umsetzung einer DMARC-Quarantäne-Richtlinie erfolgt im Rahmen eines kooperativen Prozesses zwischen den vom Absender veröffentlichten DNS-Einträgen und dem Mail-Transfer-Agent des Empfängers.

  1. Veröffentlichung der Richtlinie: Der Domaininhaber veröffentlicht in seinem DNS einen DMARC-TXT-Eintrag, der das Tag „p=quarantine“ enthält.
  2. Authentifizierungsprüfung: Beim Empfang einer E-Mail, die angeblich von dieser Domain stammt, überprüft der Mailserver des Empfängers die SPF- und DKIM-Signaturen.
  3. DMARC-Übereinstimmung: Der Empfänger prüft die DMARC-Übereinstimmung. Die zur Validierung von SPF oder DKIM verwendete Domain muss mit der Domain übereinstimmen, die in der sichtbaren „Von“-Adresse angegeben ist.
  4. Anwendung der Richtlinie: Wenn sowohl SPF als auch DKIM fehlschlagen oder zwar erfolgreich sind, aber nicht mit der „From“-Domäne übereinstimmen, schlägt die DMARC-Prüfung fehl. Der empfangende Server ruft den DMARC-Eintrag ab, erkennt „p=quarantine“ und führt die angeforderte Aktion aus.
  5. Berichterstellung: Der empfangende Server erstellt zusammengefasste XML-Berichte, in denen die Authentifizierungsergebnisse detailliert aufgeführt sind, und sendet diese an die E-Mail-Adressen, die im „rua“-Tag des DMARC-Eintrags angegeben sind.

Wohin gelangen E-Mails, die unter Quarantäne gestellt wurden?

Wenn eine DMARC-Richtlinie einen Empfänger anweist, eine E-Mail unter Quarantäne zu stellen, hängt der genaue Bestimmungsort davon ab, wie der empfangende E-Mail-Anbieter seine Verfahren umgesetzt hat. Die Quarantäne ist eine Empfehlung, und die Anbieter gehen damit unterschiedlich um.

  • Google Workspace / Gmail: E-Mails, die in Quarantäne gestellt wurden, werden in der Regel direkt in den Spam-Ordner des Nutzers verschoben. Oft wird dem Nutzer ein Warnbanner angezeigt, das darauf hinweist, dass die E-Mail nicht verifiziert werden konnte.
  • Microsoft 365 / Outlook: Microsoft handhabt die Quarantäne je nach den Einstellungen der Organisation unterschiedlich. Standardmäßig werden Nachrichten in Quarantäne häufig in den Ordner „Junk-E-Mail“ des Benutzers verschoben. Administratoren können Microsoft Defender für Office 365 auch so konfigurieren, dass diese Nachrichten an ein zentrales Microsoft 365-Quarantäneportal weitergeleitet werden, wo ein Administrator sie prüfen und freigeben muss, bevor der Endbenutzer darauf zugreifen kann.
  • Yahoo: Ähnlich wie Google leitet Yahoo E-Mails, die die DMARC-Prüfung nicht bestehen, im Rahmen einer Quarantäne-Richtlinie in der Regel in den Spam-Ordner des Nutzers weiter.

Eine schrittweise Analyse der Funktionsweise der DMARC-Quarantäne-Richtlinie

Die Wirksamkeit der Quarantänepolitik hängt in hohem Maße von einer kontinuierlichen Überwachung und Anpassung ab. Wenn Sie in einen Quarantänestatus wechseln, müssen Sie die von den Empfängern generierten XML-Berichte aktiv analysieren.

Diese Berichte zeigen auf, bei welchen Absender-IP-Adressen die Authentifizierung fehlschlägt. Wahrscheinlich werden Sie dabei legitime Absender von Drittanbietern entdecken, wie beispielsweise Ihr CRM, Ihre Marketingplattformen oder Ihre Support-Ticket-Systeme, die falsch konfiguriert waren. Die Quarantänephase ermöglicht es Ihnen, diese Quellen zu identifizieren, ihre SPF- oder DKIM-Konfigurationen zu korrigieren und die Änderungen in nachfolgenden Berichten zu überprüfen, ohne dass es zu den katastrophalen Folgen kommt, die eine sofortige Zurückweisung ihrer E-Mails mit sich bringen würde.

Bedeutung der DMARC-Quarantäne-Richtlinie

Die „p=Quarantäne“-Richtlinie fungiert als wichtiges Sicherheitsnetz. Ein direkter Übergang von einer Überwachungsphase zur vollständigen Durchsetzung ist äußerst riskant. Falls Sie unentdeckte legitime Absenderquellen haben, führt eine Ablehnungsrichtlinie dazu, dass diese wichtigen E-Mails unbemerkt zurückgewiesen werden und den Geschäftsbetrieb stören.

Mit „Quarantäne“ können Sie Ihre E-Mail-Authentifizierung in einer realistischen Umgebung testen. Diese Funktion schützt die Reputation Ihrer Domain, indem sie gefälschte E-Mails aus dem Posteingang entfernt, ist dabei jedoch so flexibel, dass eine fälschlicherweise konfigurierte, legitime E-Mail vom Empfänger bei Bedarf dennoch abgerufen werden kann. Dies schafft Vertrauen, bevor der endgültige Schritt zur Ablehnung erfolgt.

Beispiele für die DMARC-Quarantäne

Hier finden Sie einige typische Beispiele dafür, wie ein DMARC-Eintrag mit einer Quarantäne-Richtlinie aussehen könnte. Sie können unseren DMARC-Eintrag-Generator verwenden, um diese zu erstellen, und unseren DMARC-Eintrag-Checker, um sie nach der Veröffentlichung zu überprüfen.

v=DMARC1; p=quarantine; rua=mailto:[email protected];

Eine Standard-Quarantäne-Richtlinie, bei der aggregierte Berichte an eine bestimmte Adresse gesendet werden.

v=DMARC1; p=quarantine; t=y; rua=mailto:[email protected];

Eine Richtlinie, die das neue DMARC-Test-Tag (t=y) verwendet. Dadurch werden Empfänger angewiesen, E-Mails, die die Überprüfung nicht bestehen, so zu behandeln, als ob die Richtlinie eine Stufe niedriger wäre (nur Überwachung), während Sie Ihre Konfiguration testen.

v=DMARC1; p=quarantine; sp=reject; rua=mailto:[email protected];

Eine Richtlinie, die die Hauptdomain unter Quarantäne stellt, aber fehlerhafte E-Mails zurückweist, die angeblich von Subdomains stammen.

Das „pct=“-Tag: Wie viele E-Mails sollten Sie unter Quarantäne stellen?

In der Vergangenheit wurde das „pct“-Tag verwendet, um die Durchsetzung schrittweise einzuführen. Anstatt eine Richtlinie auf alle nicht konformen E-Mails anzuwenden, konnten Domain-Inhaber einen Prozentsatz festlegen.

Die bewährte Vorgehensweise sah eine schrittweise Einführung vor, beginnend mit einem niedrigen Prozentsatz, beispielsweise pct=10. Die Administratoren überwachten die Gesamtberichte, um die Auswirkungen zu beobachten. Sobald sie die Gewissheit hatten, dass legitime E-Mails die Authentifizierung bestanden, erhöhten sie den Prozentsatz schrittweise (beispielsweise auf 25, 50 und 75), bis sie 100 erreichten. Erst dann zogen sie die Umstellung auf eine Ablehnungsrichtlinie in Betracht. Ein dauerhaft niedriger pct-Wert führt dazu, dass ein erheblicher Teil gefälschter E-Mails ungeahndet bleibt, was den Zweck von DMARC zunichte macht.

Wichtige Information: Die Einstellung von pct

Mit der Veröffentlichung von […] wurde die DMARC-Spezifikation offiziell aktualisiert. RFC 9989. Nach diesem neuen Standard gilt für die pct Das Tag ist veraltet. Die Erfahrung hat gezeigt, dass das Tag von den Empfängern uneinheitlich implementiert und häufig missbräuchlich als dauerhaftes Sicherheitsnetz verwendet wurde. DMARCbis ersetzt das pct Tag durch ein einfacheres binäres Test-Tag ersetzen: t=y für den Testmodus oder t=n zur Durchsetzung.

  • t=y: Weist Empfänger an, eine fehlgeschlagene E-Mail so zu behandeln, als ob die Richtlinie eine Stufe niedriger wäre. Wenn Sie beispielsweise eine Quarantäne-Richtlinie mit t=y, Die Empfänger werden dies ausschließlich als Überwachung betrachten. Dies ersetzt faktisch die schrittweisen Einführungen.
  • t=n: Weist den Empfänger an, die Richtlinie vollständig durchzusetzen. Dies ist das Standardverhalten, wenn das Tag weggelassen wird.

Wenn Sie DMARC einrichten Heute solltest du das vermeiden pct Tag und bereiten Sie sich mithilfe des Test-Tags auf die DMARCbis-Konformität vor.

Empfohlene Lektüre: DMARC RFC 9989, 9990 und 9991 ersetzen RFC 7489

Wann sollte man „p=quarantine“ verwenden (und wann sollte man weitermachen)?

Sie sollten eine Quarantäne-Richtlinie erst dann implementieren, nachdem Sie ausreichend Zeit damit verbracht haben, die Berichte zu analysieren, während Ihre Richtlinie auf „p=none“ eingestellt war. Das Signal für den Wechsel in die Quarantäne ist gegeben, wenn Ihre Berichte zeigen, dass alle bekannten, legitimen Absender durchgängig die DMARC-Ausrichtung bestehen. Wenn Sie Ihre DMARC-Richtlinie nicht aktivieren, bleiben Sie anfällig für Spoofing.

Die Quarantäne ist der entscheidende Zwischenschritt zwischen Überwachung und Durchsetzung. Sie sollten E-Mails jedoch nicht auf unbestimmte Zeit in der Quarantäne belassen. Das Risiko eines Verbleibs in der Quarantäne besteht darin, dass gefälschte E-Mails dennoch in den Spam-Ordner des Empfängers gelangen, wo ein Nutzer sie versehentlich öffnen oder auf bösartige Links klicken könnte.

Ein Zeichen dafür, dass Sie bereit sind, von „p=quarantine“ zu „p=reject“ zu wechseln, ist, wenn die Rate in Ihrem Quarantäneordner sinkt und die Gesamtberichte für Ihre autorisierten Absender eine Konformität von nahezu 100 % anzeigen. Vor der Umstellung sollte es bei legitimem Datenverkehr nur selten zu einer Ablehnung von Nachrichten kommen.

p=keine vs. p=Quarantäne vs. p=Ablehnung

p=keine-vs-p=Quarantäne-vs-p=Ablehnung

Die drei DMARC-Richtlinien stellen verschiedene Phasen Ihrer E-Mail-Sicherheitsstrategie dar. Eine Richtlinie mit „p=none“ dient ausschließlich der Überwachung Ihres E-Mail-Verkehrs, während „p=quarantine“ einen Mittelweg darstellt, bei dem nicht konforme E-Mails in den Spam-Ordner verschoben werden. Das ultimative Ziel ist „p=reject“, wodurch betrügerische E-Mails blockiert werden, bevor sie zugestellt werden.

Lesetipp: Erfahren Sie mehr über DMARC-Richtlinien.

Häufig gestellte Fragen

Was bedeutet „p=quarantine“ in einem DMARC-Eintrag?

Darin werden E-Mail-Empfänger angewiesen, E-Mails, die die DMARC-Authentifizierung nicht bestehen, mit Vorsicht zu behandeln. In der Regel leiten Empfänger die betroffenen E-Mails in den Spam- oder Junk-Ordner weiter, anstatt sie im Hauptpostfach zu platzieren.

Wohin gelangen E-Mails, die aufgrund von DMARC unter Quarantäne gestellt wurden?

Je nach E-Mail-Dienst, wie beispielsweise Gmail oder Yahoo, landen sie in der Regel im Spam- oder Junk-Ordner des Empfängers. In einigen Unternehmensumgebungen wie Microsoft 365 werden sie möglicherweise in ein administratives Microsoft 365-Quarantäneportal verschoben.

Ist die DMARC-Quarantäne dasselbe wie die Spam-Filterung?

Nein. Bei der Spam-Filterung werden der Inhalt und die Absenderreputation einer E-Mail ausgewertet, um zu ermitteln, ob es sich um unerwünschte Post handelt. Die DMARC-Quarantäne ist eine spezifische Maßnahme, die ergriffen wird, weil die E-Mail kryptografisch nicht nachweisen konnte, dass sie vom Domain-Inhaber autorisiert wurde.

Soll ich „p=quarantine“ oder „p=reject“ verwenden?

Sie sollten zunächst mit einer Quarantäne beginnen, um Ihre Konfiguration sicher zu testen. Ihr oberstes Ziel sollte eine Ablehnungsrichtlinie sein, die vollständigen Schutz vor Spoofing bietet.

Welchen Prozentsatz soll ich mit dem „pct“-Tag festlegen?

In der Vergangenheit begannen Administratoren mit einem niedrigen Wert wie pct=10 und erhöhten diesen schrittweise bis auf 100. Das pct-Tag ist in der neuen DMARCbis-Spezifikation (RFC 9989) veraltet, und Sie sollten stattdessen auf die Verwendung des neuen Test-Tags (t=y) umsteigen.

Wie lange sollte ich im Status „p=Quarantäne“ bleiben, bevor ich in den Status „abgelehnt“ wechsle?

Sie sollten die Quarantäne beibehalten, bis Ihre Gesamtberichte durchgängig zeigen, dass alle legitimen E-Mail-Quellen die Authentifizierung bestehen. Dies erfordert in der Regel eine Überwachungs- und Optimierungsphase von einigen Wochen bis zu einigen Monaten.

DMARC-Quarantäne

Neueste Beiträge von Yunes Tarada (alle anzeigen)
Zuletzt aktualisiert:
Anleitung zur Einrichtung von Cloudblast DKIM, DMARC und SPFDMARC-QuarantäneDMARC-QuarantäneAnleitung zur Einrichtung von Happyfox DKIM, DMARC und SPF