DMARC-Berichte: Warum ein abgelaufenes Domain zum Sicherheitsrisiko wird

Stell dir folgendes Szenario vor: Dein Unternehmen hat Monate damit verbracht, DMARC einzurichten. Richtlinien konfiguriert, Berichte ausgewertet, alles läuft rund. Und doch schleicht sich seit Jahren ein kleines Detail in deinen DNS-Einträgen herum, das deine gesamte E-Mail-Sicherheit untergräbt.

Ein Vorfall um Eden Park, Neuseelands größtes Rugby-Stadion, hat dieses oft übersehene Problem jetzt ans Licht gebracht. Sicherheitsforscher fanden heraus, dass die DMARC-Konfiguration des Stadions Berichte an eine Domain sendete, die bereits vor über drei Jahren abgelaufen war.

Was in DMARC-Berichten steckt

Bevor wir uns den Vorfall genauer ansehen, lohnt sich ein Blick darauf, warum die Ziel-Domains dieser Berichte so wichtig sind.

Wenn du einen DMARC-Eintrag für deine Domain veröffentlichst, bitten wir Mailserver weltweit um tägliche Zusammenfassungen über E-Mails, die angeblich von deiner Domain stammen. Diese Aggregate-Reports (über das rua-Tag) liefern wertvolle Einblicke: Welche IP-Adressen versenden E-Mails im Namen deiner Domain? Bestehen SPF- und DKIM-Prüfungen? Gibt es Spoofing-Versuche?

Einige Reporter enthalten sogar Envelope-To-Daten – also wer diese Berichte tatsächlich empfängt. Diese Informationen zeichnen eine Art Landkarte deiner Geschäftsbeziehungen: Wer sind deine E-Mail-Partner? Welche Dienstleister nutzt du? Mit welchen Behörden stehst du in Kontakt? Welche Auftragnehmer bearbeiten sensible Projekte?

Während der Zeit, in der die Forscher die abgelaufene Domain kontrollierten, empfingen sie über 12.000 Berichtseinträge für edenpark.co.nz. Rund 600 verschiedene Organisationen ließen sich identifizieren – vom Bauunternehmen über Catering-Firmen bis hin zu Sportverbänden und Regierungsbehörden.

Die Risiken einer ungesicherten Reporting-Domain

Die Konsequenzen gehen weit über verlorene Sicherheitsberichte hinaus. Wenn deine DMARC-Zieldomain nicht mehr unter deiner Kontrolle steht, tun sich gleich mehrere Problemfelder auf:

1. Wissenssammlung durch Dritte: Wie dieser Fall zeigt, kann jeder, der eine aufgegebene Reporting-Domain registriert, detaillierte Informationen über E-Mail-Muster, Geschäftsbeziehungen und genutzte E-Mail-Dienstleister sammeln.

2. Wegfall des Frühwarnsystems: Du verlierst den Überblick über Domain-Spoofing, Phishing-Kampagnen mit deinem Markennamen oder unautorisierte Nutzung deiner Domain.

3. Compliance-Lücken: Viele Branchen verlangen Nachvollziehbarkeit bei E-Mail-Authentifizierungsfehlern. Eine ungesicherte Reporting-Domain erzeugt genau die Lücken, die erst bei Audits auffallen.

Warum das passiert

Der Eden-Park-Vorfall zeigt ein häufiges Problem: DNS-Einträge verweisen auf Drittanbieter-Domains, ohne dass jemand den Lebenszyklus dieser Services im Auge behält. Die Reporting-Domain (spamcontrol.co.nz) gehörte zu einem von Fujitsu betriebenen E-Mail-Filterdienst, der 2021 eingestellt wurde. Der Verweis in Eden Parks DMARC-Eintrag überlebte den Service schlicht.

Dieses Szenario ist häufiger, als man denkt. Unternehmen:

• Richten DMARC-Reporting auf eine Adresse bei einem Anbieter ein
• Wechseln später den Anbieter oder stellen Services ein
• Räumen alte DNS-Einträge nie auf
• Verlieren Wissen, wenn IT-Mitarbeiter das Unternehmen verlassen

Das Ergebnis: DNS-Einträge zeigen auf Domains, die irgendwann von jedem registriert werden können.

So schützt du dich

Was kannst du tun, damit deine DMARC-Berichte nicht im Postfach eines Fremden landen?

1. Regelmäßige DMARC-Audits: Prüfe alle E-Mail-Authentifizierungs-Datensätze mindestens vierteljährlich. Stell sicher, dass jede Domain in deinen rua- und ruf-Tags aktiv verwaltet und gesichert ist.

2. Eigene Domains für Reporting nutzen: Lass Berichte an Adressen innerhalb deiner eigenen Domain senden – oder an Domains, die du direkt kontrollierst. So behältst du die volle Kontrolle.

3. Ablaufdaten im Blick behalten: Nutzt du externe Domains für Reports, pflege einen Kalender mit deren Ablaufdaten. Stell sicher, dass Verlängerungen rechtzeitig erfolgen.

4. Lieferung überwachen: Richte Alerts ein, die dich benachrichtigen, wenn DMARC-Berichte ausbleiben. Ein plötzlicher Einbruch im Berichtsvolumen kann auf ein Problem mit der Reporting-Domain hinweisen.

5. p=quarantine oder p=reject implementieren: Das löst zwar nicht das Reporting-Problem direkt, reduziert aber erheblich das Risiko, dass deine Domain für Spoofing-Angriffe missbraucht wird. Und damit sinkt auch der Wert möglicher Spionage durch abgefangene Berichte.

Der breitere Blickwinkel

Der Eden-Park-Vorfall erinnert uns daran, dass E-Mail-Sicherheit kein "einmal einrichten und vergessen"-Thema ist. Die DNS-Infrastruktur hinter deiner E-Mail-Authentifizierung braucht genauso viel Aufmerksamkeit wie die Authentifizierungsrichtlinien selbst.

In einer Zeit, in der E-Mail weiterhin der Hauptangriffsvektor für Business-Kompromittierungen und Phishing bleibt, ist die Integrität deiner E-Mail-Authentifizierungsinfrastruktur nicht nur technischer Standard – es ist geschäftliche Notwendigkeit. Nimm dir heute einen Moment, überprüfe deine DMARC-Einträge und stell sicher, dass deine Reporting-Ziele gesichert, aktuell und unter deiner Kontrolle sind.

Denn das Letzte, was du willst, ist, dass deine Sicherheitskonfiguration zur Informationsquelle für andere wird.

Bei NameOcean helfen wir Unternehmen, ihre Online-Präsenz von der Domain-Registrierung bis zur DNS-Konfiguration zu sichern. Unser Team unterstützt bei DMARC-Implementierung, DNS-Sicherheitsaudits und der korrekten Einrichtung deiner E-Mail-Authentifizierungsinfrastruktur.