Die Meldung übersetzt
Der Empfänger sagt: „Diese Nachricht behauptet, von example.com zu kommen. Ich konnte das weder über SPF noch über DKIM bestätigen. Der Inhaber von example.com hat mir per DMARC gesagt, ich soll solche Nachrichten ablehnen — also lehne ich ab.“
Bemerkenswert daran: Der Absender selbst hat diese Ablehnung angeordnet. Die Policy stammt aus dem eigenen DNS.
Alignment — der Punkt, an dem es meist scheitert
Es genügt nicht, dass SPF oder DKIM irgendein pass liefern. Die dabei geprüfte Domain muss zur sichtbaren Absenderdomain passen:
- SPF-Alignment vergleicht den Envelope-From (Return-Path) mit dem
From:-Header. - DKIM-Alignment vergleicht das
d=-Tag der Signatur mit demFrom:-Header.
Der klassische Fall: Ein Newsletter-Dienst versendet mit From: info@deinedomain.de, setzt als Envelope-From aber bounces@dienstleister.net. SPF besteht — für dienstleister.net. Für DMARC ist das wertlos, weil die Domains nicht übereinstimmen.
Bei relaxed-Alignment (Standard) genügt die Übereinstimmung auf Organisationsebene, mail.deinedomain.de und deinedomain.de passen also zusammen. Bei strict (aspf=s/adkim=s) muss es exakt dieselbe Domain sein.
Die Ursache eingrenzen
- Kommt die Mail wirklich von dir? Wenn nein, funktioniert DMARC genau wie vorgesehen und blockiert eine Fälschung in deinem Namen. Dann ist nichts zu reparieren.
- Welcher Dienst hat gesendet? Die
rua-Aggregate-Reports zeigen genau das: welche Quelle, welche Ergebnisse, welches Alignment. Ohnerua-Eintrag tappst du hier im Dunkeln. - DKIM ist der verlässlichere Weg. DKIM übersteht Weiterleitungen, SPF nicht. Wenn der Dienstleister DKIM-Signierung mit deiner Domain im
d=-Tag anbietet, ist das die stabilere Lösung — meist über einen CNAME auf einen Selector. - Alternativ Envelope-From angleichen. Viele Dienste erlauben eine eigene Bounce-Subdomain wie
bounce.deinedomain.de. Damit fluchtet auch SPF.
Nicht die Policy zurückdrehen
Von p=reject auf p=none zu wechseln, beendet die Ablehnungen sofort — und hebt zugleich den Schutz auf, für den du DMARC eingerichtet hast. Sinnvoll ist das nur als bewusster, befristeter Schritt zurück in den Beobachtungsmodus, während du die Quellen sauber aufstellst.