Zuerst die tatsächlichen Absender sammeln
Erstellen Sie eine Liste der genutzten Versandwege und benennen Sie für jeden einen Ansprechpartner. Notieren Sie die sichtbare Absenderadresse und den Dienst, der die Nachricht verschickt. Fragen Sie auch nach selten genutzten Funktionen, beispielsweise einer automatischen Erinnerungsnachricht. Eine erfolgreiche Testmail aus dem Büro deckt solche anderen Wege nicht ab.
Unterscheiden Sie aktive Dienste von alten Einträgen, deren Zweck niemand mehr kennt. Löschen Sie unbekannte Werte nicht ohne Klärung. Eine noch verwendete Anwendung kann nur gelegentlich senden und deshalb in einer kurzen Beobachtung fehlen. Halten Sie unbestätigte Einträge als offene Frage fest, statt die Liste durch Vermutungen scheinbar zu vervollständigen.
Drei unterschiedliche Prüfungen verstehen
SPF beschreibt, welche sendenden Systeme für eine dabei geprüfte Domain zugelassen sind. DKIM verwendet eine digitale Signatur, deren Prüfung mit einem veröffentlichten Schlüssel erfolgt. DMARC verbindet eine erfolgreiche SPF- oder DKIM-Prüfung mit der Übereinstimmung zur sichtbaren From-Domain und einer veröffentlichten Richtlinie. Die genaue Übereinstimmung hängt vom gewählten Abgleichsmodus ab.
Diese Begriffe sind keine austauschbaren Häkchen. Ein vorhandener DNS-Eintrag sagt noch nicht, dass jeder reale Versandweg die gewünschte Prüfung besteht. Lassen Sie die Ergebnisse an tatsächlichen Nachrichten aus den verwendeten Diensten kontrollieren. Die zuständige Administration sollte erklären können, welcher Dienst welchen Nachweis liefert und welche offenen Fälle noch untersucht werden müssen.
Keine fremden Musterwerte übernehmen
Die Einrichtung muss zu Ihren Diensten und Ihrer Domain passen. Eine im Internet gezeigte Musterzeile ist keine allgemeingültige Konfiguration. Lassen Sie Werte aus den aktuellen Anleitungen der beteiligten Anbieter ableiten und zusammen prüfen. Mehrere unabhängig kopierte Einträge können widersprüchlich sein oder einen bestehenden Versandweg übersehen.
Bewahren Sie vor einer Änderung die bisherigen Werte und deren bekannten Zweck auf. Benennen Sie die Person, die die Anpassung durchführt, sowie die späteren Tests. Wenn eine neue Anwendung hinzukommt, sollte diese Prüfung Teil ihrer Einführung sein. Warten Sie nicht erst auf Kundenmeldungen, dass automatisch versendete Nachrichten ausbleiben.
Richtlinien schrittweise beurteilen
Eine strengere DMARC-Richtlinie kann Folgen für Nachrichten haben, die die nötige Prüfung nicht bestehen. Google empfiehlt eine schrittweise Einführung mit Auswertung der Berichte. Für Ihre Organisation bedeutet das vor allem: Legen Sie fest, wer die Beobachtungen beurteilt und wann eine Änderung ausreichend geprüft ist. Eine Berichtadresse ohne Betreuung ersetzt keine Auswertung.
Entscheiden Sie nicht allein nach einem einzelnen erfolgreichen Versand, dass alle Absender berücksichtigt sind. Stimmen Sie den Beobachtungszeitraum auf die tatsächlich verwendeten Abläufe ab. Ein Dienst, der nur am Monatsende versendet, taucht in einer kurzen Probe mitten im Monat möglicherweise nicht auf. Dieser organisatorische Zusammenhang gehört in die Planung der technischen Änderung.
Ergebnisse pro Versandweg festhalten
Senden Sie nach Absprache erkennbare Tests aus den verschiedenen Systemen. Lassen Sie die technischen Prüfergebnisse am Empfang auswerten und notieren Sie außerdem, ob die Nachricht im vorgesehenen Postfach angekommen ist. Technische Authentifizierung und die konkrete Ablage einer Nachricht sind unterschiedliche Beobachtungen. Aus einem bestandenen Prüfschritt folgt keine pauschale Garantie für jeden künftigen Eingang.
Wenn ein Weg abweicht, beschreiben Sie ihn mit Dienst, Absender, Zeitpunkt und Ergebnis. Verändern Sie nicht gleichzeitig sämtliche Domainangaben. Eine gezielte Korrektur mit erneutem Test ist leichter zu beurteilen. Bei Weiterleitungen oder komplexeren Versandketten sollte die zuständige Fachperson den tatsächlichen Verlauf untersuchen, statt nur den sichtbaren Absendernamen zu vergleichen.
Die Übersicht bei Änderungen weiterführen
Verbinden Sie die Absenderliste mit Ihrer Dokumentation zu Domain und Software. Sobald ein Dienst ersetzt oder beendet wird, prüfen Sie seine bisherigen Einträge und Tests erneut. Eine Einstellung, die vor einem Jahr passend war, kann nach mehreren Werkzeugwechseln unvollständig sein.
Halten Sie den Abschluss verständlich fest: welche Systeme geprüft wurden, welche Konfiguration bestätigt ist und welche Fragen offenbleiben. Dafür muss die fachlich verantwortliche Person nicht jedes technische Detail selbst bearbeiten. Sie braucht jedoch eine nachvollziehbare Aussage darüber, ob die tatsächlich genutzten Versandwege berücksichtigt wurden und wer den nächsten Änderungsbedarf übernimmt.
