Ihr DMARC-Bericht zeigt SPF-Erfolg und DKIM-Erfolg. Jede Authentifizierungsprüfung liefert grünes Licht. Dennoch landet die E-Mail im Spam – oder kommt gar nicht erst an.

Die Lücke zwischen Authentifizierungserfolg und Zustellungsfehlschlag lässt sich oft auf eine missverstandene technische Grenze zurückführen: DMARC-Alignment. Das Bestehen von Authentifizierungsprüfungen bedeutet nicht automatisch, DMARC zu bestehen. Und das Bestehen von DMARC garantiert keine Zustellung in den Posteingang.

Dieser Artikel erklärt, warum authentifizierte E-Mails fehlschlagen, wie sich DMARC-Alignment von Authentifizierung unterscheidet, wo das System versagt und was Organisationen über grüne Häkchen hinaus überprüfen sollten.

I. Warum das Bestehen der Authentifizierung nicht das Bestehen von DMARC bedeutet

Vierstufiger Ablauf, der die SPF- und DKIM-Validierung zeigt, gefolgt von der Ausrichtungsprüfung, die das DMARC-Ergebnis bestimmt.

SPF und DKIM validieren die Absenderidentität. DMARC erzwingt Alignment zwischen authentifizierten Identifikatoren und der sichtbaren From-Adresse.

Eine E-Mail kann SPF und DKIM bestehen, aber dennoch bei DMARC durchfallen, wenn die authentifizierte Domain nicht mit der Header-From-Domain übereinstimmt.

Was SPF tatsächlich validiert

SPF prüft, ob die sendende IP-Adresse autorisiert ist, im Namen der Envelope-Sender-Domain zu senden (die Domain im MAIL FROM-Befehl während SMTP).

Wo SPF stillschweigend fehlschlagen kann:

  • DNS-Lookup-Timeout liefert temperror statt Pass oder Fail
  • Mehr als 10 DNS-Lookups lösen permerror aus, bevor die Validierung abgeschlossen ist
  • Envelope-Sender-Domain unterscheidet sich von Header-From-Domain – SPF besteht, aber DMARC-Alignment schlägt fehl

Beispiel: Ein Transaktions-E-Mail-Dienst sendet von bounce.sender.com (Envelope), zeigt aber ihr-unternehmen.com im sichtbaren From-Header. SPF besteht für bounce.sender.com. DMARC schlägt fehl, weil die Domains nicht übereinstimmen.

Was DKIM tatsächlich validiert

DKIM signiert die Nachricht kryptografisch und validiert, dass die Signatur mit einem öffentlichen Schlüssel übereinstimmt, der im DNS für die DKIM-Signatur-Domain (d= im DKIM-Signature-Header) veröffentlicht ist.

Wo DKIM stillschweigend fehlschlagen kann:

  • Signaturschlüssel rotiert, aber DNS-Eintrag wird nicht aktualisiert oder ist gecacht
  • Mailingliste oder Forwarder ändert Betreffzeile, Fußzeile oder Anhänge – Signatur bricht
  • DKIM-Signatur-Domain unterscheidet sich von Header-From-Domain – DKIM besteht, aber DMARC-Alignment schlägt fehl

Beispiel: Eine Marketing-Plattform signiert Nachrichten mit d=platform.com. Die sichtbare From-Adresse zeigt ihr-unternehmen.com. DKIM besteht. DMARC schlägt fehl, weil platform.com nicht mit ihr-unternehmen.com übereinstimmt.

II. DMARC-Alignment: Die Durchsetzungsschicht, die Authentifizierung allein nicht bietet

Tabelle zum Vergleich der lockeren Ausrichtung, die Abweichungen bei Subdomains zulässt, mit der strikten Ausrichtung, die eine exakte Übereinstimmung der Domains erfordert.

DMARC-Alignment erfordert, dass mindestens ein authentifizierter Identifikator mit der Organisations-Domain in der Header-From-Adresse übereinstimmt.

DMARC besteht wenn:

  • Aligned SPF Pass: Envelope-Sender-Domain stimmt mit Header-From-Domain überein (oder teilt dieselbe Organisations-Domain)
  • ODER Aligned DKIM Pass: DKIM-Signatur-Domain stimmt mit Header-From-Domain überein (oder teilt dieselbe Organisations-Domain)

DMARC schlägt fehl wenn:

  • SPF besteht, aber Envelope-Sender-Domain stimmt nicht mit Header-From überein
  • DKIM besteht, aber Signatur-Domain stimmt nicht mit Header-From überein
  • Sowohl SPF als auch DKIM schlagen fehl
  • Sowohl SPF als auch DKIM bestehen, aber keines stimmt überein

Relaxed vs. Strict Alignment

DMARC unterstützt zwei Alignment-Modi:

Relaxed Alignment (Standard): Organisations-Domains müssen übereinstimmen. Subdomains sind erlaubt.

Strict Alignment: Domains müssen exakt übereinstimmen.

Die meisten Organisationen verwenden Relaxed Alignment, um legitime Subdomain-Absender zu berücksichtigen. Strict Alignment kann Transaktions-Workflows unterbrechen, die auf dienstspezifische Subdomains angewiesen sind.

Wenn Authentifizierung besteht, aber DMARC fehlschlägt

Drei häufige Szenarien, in denen die Authentifizierung erfolgreich ist, die Ausrichtung jedoch fehlschlägt und dadurch eine DMARC-Ablehnung verursacht wird.

Häufige Szenarien, in denen SPF oder DKIM besteht, aber DMARC-Alignment fehlschlägt:

Transaktionsdienste von Drittanbietern:

  • Dienst sendet unter Verwendung eigener Envelope-Sender- oder DKIM-Signatur-Domain
  • Header-From zeigt die Domain des Kunden
  • Authentifizierung besteht für die Domain des Dienstes
  • DMARC schlägt fehl, weil Domains nicht übereinstimmen

Weitergeleitete Nachrichten:

  • Ursprünglicher Absender besteht SPF und DKIM
  • Forwarder leitet Nachricht von neuer IP-Adresse weiter
  • SPF bricht (neue IP nicht für ursprüngliche Domain autorisiert)
  • DKIM kann überleben, wenn Nachricht nicht geändert wird
  • DMARC hängt davon ab, ob DKIM-Alignment überlebt

Mailinglisten:

  • Liste ändert Betreffzeile, Fußzeile oder Anhänge
  • DKIM-Signatur bricht
  • SPF kann für die Listserver-Domain bestehen, aber nicht für den ursprünglichen Absender
  • DMARC schlägt fehl, es sei denn, Liste schreibt From-Adresse um

III. Warum das Bestehen von DMARC dennoch keine Zustellung in den Posteingang garantiert

Das Bestehen von DMARC beseitigt eine Fehlerbedingung. Es überschreibt nicht Reputation, Inhaltsanalyse, Beschwerdequoten oder interne Missbrauchssignale.

Mailbox-Anbieter bewerten:

  • DMARC-Authentifizierung und -Alignment
  • Reputation der sendenden IP und Domain
  • Beschwerdequoten und Engagement-Signale
  • Inhaltseigenschaften (Links, Bilder, Sprachmuster)
  • Weiterleitungskontext und Mailinglisten-Verhalten

Stille Filterung trotz DMARC-Compliance

Eine E-Mail kann DMARC bei p=reject bestehen und dennoch als Spam gefiltert oder blockiert werden, wenn:

  • Die sendende IP aufgrund früheren Missbrauchs eine schlechte Reputation hat
  • Beschwerdequoten die Schwellenwerte der Mailbox-Anbieter überschreiten
  • Inhalt Spam-Klassifizierungssignale auslöst
  • Empfänger-Engagement-Historie niedrige Öffnungs- oder hohe Löschraten zeigt
  • Die sendende Domain neu registriert ist oder keine Sendehistorie aufweist

Wenn Durchsetzung vom Empfängerverhalten abhängt:

  • Einige Mailinglisten und Forwarder honorieren DMARC-Richtlinien nicht
  • Einige Mailbox-Anbieter wenden Reputations-Überschreibungen an, die DMARC-Signale herabstufen
  • Interne Missbrauchs-Teams können Authentifizierung überschreiben, wenn Verhaltenssignale auf koordinierten Missbrauch hinweisen

DMARC-Durchsetzung (p=quarantine oder p=reject) weist Empfänger an, nicht authentifizierte Nachrichten abzulehnen oder unter Quarantäne zu stellen. Ob Empfänger diese Anweisung befolgen, hängt von ihrer Filterarchitektur, Weiterleitungsbehandlung und lokalen Richtlinie ab.

IV. Was fehlschlagen kann und wie man es erkennt

Fehlermodus 1: Authentifizierung besteht, aber Alignment schlägt fehl

Was passiert:

  • SPF oder DKIM liefert Pass
  • DMARC-Bericht zeigt dmarc=fail mit reason=alignment_failure
  • Empfangsserver kann die Nachricht dennoch zustellen, abhängig von DMARC-Richtlinie und Reputation

Erkennung:

  • DMARC-Aggregatberichte auf Zeilen überprüfen, in denen auth_results.spf.result=pass oder auth_results.dkim.result=pass, aber policy_evaluated.dmarc=fail
  • Prüfen, ob Envelope-Sender-Domain oder DKIM-Signatur-Domain mit Header-From übereinstimmt

Behebung:

  • Drittanbieter-Absender so konfigurieren, dass sie aligned Envelope-Sender- oder DKIM-Signatur-Domains verwenden
  • Subdomain-Alignment verwenden, wenn exakte Übereinstimmung nicht möglich ist
  • Überprüfen, dass Transaktionsdienste DKIM-Signierung mit Ihrer Domain unterstützen

Fehlermodus 2: DMARC besteht, aber Nachricht wird gefiltert

Was passiert:

  • DMARC-Bericht zeigt policy_evaluated.dmarc=pass
  • Nachricht erreicht Posteingang nicht
  • Keine SMTP-Ablehnung oder Bounce tritt auf

Erkennung:

  • Beschwerdequoten-Überwachung über Postmaster-Tools (Google Postmaster Tools, Microsoft SNDS)
  • Engagement-Metriken zeigen niedrige Öffnungsraten oder hohe Spam-Ordner-Platzierung
  • Reputations-Überwachung für sendende IPs und Domains

Behebung:

  • Sende-Reputation und Beschwerdequellen prüfen
  • Inhalt auf Spam-Trigger-Muster überprüfen
  • Abonnenten-Zustimmung und Listen-Hygiene verifizieren
  • Zustellbarkeit bei mehreren Mailbox-Anbietern testen

Fehlermodus 3: Weiterleitung bricht Authentifizierung

Was passiert:

  • Ursprünglicher Absender besteht DMARC
  • Forwarder leitet Nachricht von neuer IP weiter
  • SPF schlägt fehl (neue IP nicht autorisiert)
  • DKIM kann überleben, wenn Nachricht nicht geändert wird
  • DMARC hängt vom Überleben des DKIM-Alignments ab

Erkennung:

  • DMARC-Berichte zeigen forwarded-Disposition oder SPF fail mit DKIM pass
  • Zustellprobleme von Benutzern gemeldet, die an persönliche Konten weiterleiten

Behebung:

  • p=quarantine statt p=reject verwenden, um Weiterleitungsauswirkungen zu reduzieren
  • DMARC-Berichte auf Weiterleitungsmuster überwachen
  • Mit Benutzern über Weiterleitungsverhalten kommunizieren

Fehlermodus 4: Subdomain-Spoofing trotz Parent-Domain-Durchsetzung

Was passiert:

  • Parent-Domain erzwingt DMARC bei p=reject
  • Subdomain fehlt expliziter DMARC-Eintrag
  • Angreifer sendet gefälschte Nachrichten von Subdomain
  • DMARC-Richtlinie gilt, aber Alignment-Bewertung kann je nach Subdomain-Verwendung unterschiedlich sein

Erkennung:

  • DMARC-Berichte zeigen Authentifizierungsfehler für Subdomains
  • Phishing-Berichte zielen auf Subdomain-Adressen ab

Behebung:

  • Explizite DMARC-Einträge für aktive Subdomains veröffentlichen
  • sp=reject im Parent-Domain-Eintrag verwenden, um Subdomain-Richtlinie durchzusetzen
  • DMARC-Berichte auf nicht autorisierte Subdomain-Nutzung überwachen

V. Was zu dokumentieren und zu verifizieren ist

Organisationen, die annehmen, dass das Bestehen der Authentifizierung DMARC-Compliance bedeutet, schaffen operative blinde Flecken. Dokumentieren Sie Folgendes:

Authentifizierte Identifikatoren für jeden Absender:

  • Envelope-Sender-Domain (SPF-Check-Domain)
  • DKIM-Signatur-Domain (d=-Wert)
  • Header-From-Domain (sichtbarer Absender)
  • Ob Alignment relaxed oder strict ist

Absenderkonfiguration nach Mail-Stream:

  • Transaktions-E-Mail: CRM, Support-Ticketing, Passwort-Resets
  • Marketing-E-Mail: Newsletter-Plattformen, Werbekampagnen
  • Operative E-Mail: Interne Benachrichtigungen, System-Alerts
  • Drittanbieter-Dienste: SaaS-Tools, Plugins, Integrationen

In DMARC-Berichten beobachtete Fehlerbedingungen:

  • Volumen von dmarc=fail mit spf=pass oder dkim=pass
  • Häufigkeit weiterleitungsbezogener Fehler
  • Nicht autorisierte Sendeversuche
  • Subdomain-Spoofing-Muster

Reputations- und Filterkontext:

  • Beschwerdequoten nach sendender Domain und IP
  • Spam-Ordner-Platzierungstrends
  • Engagement-Metriken (Öffnungsraten, Löschraten)
  • Postmaster-Tool-Feedback von großen Empfängern

VI. Wie Skysnag Alignment-Verifizierung und -Überwachung unterstützt

Skysnag Protect identifiziert Alignment-Fehler, nicht autorisierte Absender und Authentifizierungslücken über Mail-Streams und Drittanbieter-Dienste hinweg.

Alignment-Sichtbarkeit:

  • Aggregat-DMARC-Berichts-Parsing zeigt SPF-, DKIM- und Alignment-Status nach Absender
  • Erkennung bestandener Authentifizierung mit fehlgeschlagenem Alignment
  • Identifizierung von Drittanbieter-Diensten mit nicht ausgerichteten Identifikatoren

Absenderautorisierung:

  • Inventar autorisierter und nicht autorisierter Mail-Quellen
  • Erkennung von Schatten-IT und nicht verwalteten Drittanbieter-Absendern
  • Validierung von SPF-Includes und DKIM-Signatur-Konfigurationen

Durchsetzungs-Staging:

  • Schrittweise Richtliniendurchsetzung nach Domain, Subdomain und Absendergruppe
  • Überwachung der Auswirkungen vor dem Wechsel von p=none zu p=quarantine oder p=reject
  • Beweissammlung für Compliance- und Audit-Programme

Starten Sie DMARC-Überwachung mit Skysnag und verifizieren Sie, ob Ihre authentifizierten Absender mit Ihrer Domain übereinstimmen:

  • Das Bestehen von SPF oder DKIM bedeutet nicht, dass DMARC bestanden wird. Alignment erfordert, dass die authentifizierte Domain mit der Header-From-Domain übereinstimmt.
  • Das Bestehen von DMARC garantiert keine Zustellung im Posteingang. Postfachanbieter bewerten neben der Authentifizierung auch Reputation, Inhalte, Beschwerdequoten und Engagement.
  • DMARC-Alignment kann auch dann fehlschlagen, wenn die Authentifizierung erfolgreich ist. Nicht übereinstimmende Envelope-Sender-Domains (SPF) und nicht übereinstimmende DKIM-Signatur-Domains verursachen Alignment-Fehler.
  • Weiterleitung und Mailinglisten brechen häufig die Authentifizierung. SPF schlägt fehl, wenn sich die Relay-IP ändert. DKIM schlägt fehl, wenn die Nachricht verändert wird.
  • Subdomain-Spoofing kann die Durchsetzung der übergeordneten Domain umgehen. Verwenden Sie explizite Subdomain-DMARC-Einträge oder sp=reject, um die Subdomain-Richtlinie durchzusetzen.
  • Authentifizierung ist notwendig, aber nicht ausreichend. Die Zustellbarkeit hängt von Authentifizierung, Reputation, Inhalten und Empfängerverhalten ab.
  • DMARC-Berichte zeigen, wo Alignment fehlschlägt. Überwachen Sie aggregierte Berichte auf Zeilen, in denen spf=pass oder dkim=pass, aber dmarc=fail steht.
  • Drittanbieter-Absender führen häufig zu Alignment-Lücken. Überprüfen Sie, dass Transaktionsdienste, Marketing-Plattformen und SaaS-Tools ausgerichtete Identifikatoren verwenden.
  • Organisationen sollten authentifizierte Identifikatoren nach Mail-Stream dokumentieren. Envelope-Sender-Domain, DKIM-Signatur-Domain und Header-From-Domain müssen erfasst und validiert werden.
  • Skysnag Protect identifiziert Alignment-Fehler und nicht autorisierte Absender. Nutzen Sie Skysnag, um Alignment zu überprüfen, Schatten-IT zu erkennen und die Durchsetzung sicher zu testen.