Help Center
Login Sign up
  1. Start
  2. TLS/SSL & S/MIME
  3. Verified Mark Certificate (VMC) - Technische Vorbereitung

Verified Mark Certificate (VMC) - Technische Vorbereitung

7 Min. Lesezeit · 2 Screenshots

Was ist DMARC?

Domain-based Message Authentication, Reporting and Conformance (DMARC) ist ein E-Mail-Authentifizierungs-, Richtlinien- und Berichtsprotokoll. Es ermöglicht den Inhabern von E-Mail-Domains, ihre Domains vor missbräuchlicher Nutzung (z. B. Spoofing- oder Phishing-Angriffe) zu schützen.

Hinweis
Ein DMARC-Eintrag ist zwingend erforderlich, um ein Verified Mark Certificate (VMC) zu erwerben und muss VOR der Bestellung eingerichtet werden.

SPF- und DKIM-Einträge müssen vor dem DMARC-Eintrag eingerichtet werden.
Hinweis
Für ein VMC ist ein DMARC-Eintrag mit “p=quarantine” oder “p=reject” erforderlich.

Was ist ein DMARC-Eintrag?

Ein DMARC-Eintrag ist ein im DNS gespeicherter TXT-Datensatz, der es E-Mail-Empfängern ermöglicht, die Authentizität der empfangenen E-Mails zu überprüfen. Er fügt sich in das bestehende Authentifizierungsverfahren für eingehende E-Mails ein und hilft E-Mail-Empfängern festzustellen, ob eine Nachricht mit den Informationen, die der Empfänger über den Absender kennt, “übereinstimmt”.

Unternehmen bzw. Organisationen stehen drei Optionen für den Umgang mit “non-aligned”, also nicht-anforderungsgerechten Nachrichten zur Verfügung:

  • “p = none” (keine Durchführung)
  • “p = quarantine”
  • “p = reject”

Damit DMARC ordnungsgemäß funktioniert, müssen zuvor die Protokolle Sender Policy Framework (SPF) und DomainKeys Identified Mail (DKIM) eingerichtet werden. Ein DMARC-Eintrag kann über internetbasierte Tools überprüft werden, z. B. mit https://domain-checker.valimail.com/dmarc

Warum DMARC?

Die Implementierung von DMARC bietet vier wesentliche Vorteile:

  • Sicherheit
    Schützt vor Spam, Betrug und Phishing, da die unbefugte Nutzung der E-Mail-Domain verhindert wird.
  • Sichtbarkeit
    Liefert detaillierte Berichte darüber, wer bzw. was E-Mails über die Domain versendet.
  • Zustellbarkeit
    Erhöht die Zustellbarkeit der E-Mails um 5-10%. E-Mails werden nicht mehr als SPAM markiert.
  • Markenschutz
    Schützt die Marke vor Angriffen, die auf die Identität abzielen

Schritt-für-Schritt-Anleitung

SPF-Eintrag einrichten

  • Eine Liste mit allen Domains erstellen, von denen aus E-Mails versendet werden.
  • Eine Liste mit allen IPs erstellen, von denen aus E-Mails versendet werden, inklusive:
    • Webserver
    • Mailserver im Büro
    • Mailserver des ISP
    • sämtliche Mailserver von Drittanbietern
  • Den SPF-Eintrag in einem Text-Editor erstellen und speichern. Wir empfehlen die Verwendung eines SPF-Generators.
    • Beispiel 1: v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 ip4:x.x.x.x -all
    • Beispiel 2: v=spf1 ip4:1.2.3.4 ip4:2.3.4.5 include:thirdparty.com -all
  • Den DNS-Eintrag erstellen. Dieser Eintrag muss für jede Domain erstellt werden, von der aus E-Mails versendet werden.
    • Name der Sub = frei lassen
    • RR Typ = TXT
    • Wert = der SPF-Eintrag mit der Server-IP (nutze ggf. einen SPF-Generator)
  • Ein SPF-Tool verwenden, um sicherzustellen, dass alle Einträge korrekt eingerichtet wurden.

DKIM-Eintrag einrichten

DKIM (DomainKeys Identified Mail) ist ein E-Mail-Authentifizierungsstandard, der Kryptographie mit Public und Private Keys verwendet, um E-Mail-Nachrichten zu signieren. Dadurch wird verhindert, dass Nachrichten während der Übertragung manipuliert werden. Der DomainKey wird auf dem Server generiert und anschließend in der Zone gespeichert. Wie folgt vorgehen:

  • Den DomainKey auf dem Server eintragen.
  • Ein Paar aus Public und Private Key für die Domain(s) generieren.
    • Windows-User: z. B. unter Verwendung von PUTTYGen
    • Linux-/Mac-User: z. B. unter Verwendung von ssh-keygen
  • Für die relevante(n) Domain(s) im DNS einen neuen TXT-Eintrag erstellen.
    Name der Sub = default._domainkey
    • RR Typ = TXT
    • Wert = der DomainKey des Servers beginnend mit v=DKIM1; (kann ggf. direkt im Plesk Frontend aktiviert werden)

Resource Record(s) anlegen

Resource Record(s) anlegen Resource Record(s) anlegen (2)

Informationen bei Verwendung eines Plesk-Servers
Bei Verwendung von Plesk muss der lokale DNS-Server aktiviert werden. Anschließend erstellt Plesk bei Aktivierung von DKIM in den Mail-Einstellungen die Zoneneinträge im lokalen Nameserver. In den Plesk-Zonen sind die dort generierten Werte/Keys einsehbar. Der Key für DKIM kann dann einfach in die entsprechende Zone kopiert werden.

Andernfalls gilt: Ohne Plesk und einen lokalen Nameserver muss die Einrichtung wie oben beschrieben manuell erfolgen.

DMARC-Monitoring-Modus einrichten

DMARC einrichten, um mit dem Monitoring des aktuellen E-Mail-Verkehrs zu starten. Dies schafft eine solide Grundlage dafür, was zugelassen wird sowie dafür, was letztendlich von DMARC unter Quarantäne gestellt oder zurückgewiesen wird.

Tipp
Für das Monitoring ausreichend Zeit einplanen. So lässt sich nach der vollständigen Aktivierung von DMARC verhindern, dass wichtige Nachrichten verloren gehen oder endgültig gelöscht werden.

Hinweis
Für ein VMC ist ein DMARC-Eintrag mit “p=quarantine” oder “p=reject” erforderlich.

Die Überwachung des Datenverkehrs mit DMARC

  • Sicherstellen, dass die SPF- und DKIM-Einträge korrekt eingerichtet sind.
  • Den DMARC-Eintrag erstellen.
    • Name der sub = _dmarc
    • RR Typ = TXT
    • Wert = v=DMARC;p=none; rua=mailto:dmarcreports@yourdomain.com
  • Den DMARC-Eintrag mit einem DMARC-Test-Tool prüfen.

Hinweis
In der Regel muss 24–48 Stunden auf die Rückmeldung gewartet werden. Dann erst beginnt DMARC mit der Erstellung von Berichten, die einen Einblick in die über die Domain(s) gesendeten E-Mails geben, einschließlich aller durch SPF und DKIM gekennzeichneten Nachrichten.

Wichtig: Aus diesen Berichten lässt sich ersehen, ob rechtmäßige Absender auftauchen, die im SPF-Eintrag zuvor nicht enthalten waren. Ist dies der Fall, sollte der Eintrag entsprechend aktualisiert werden.

Tipp
Die Berichte werden im schwer lesbaren XML-Format ausgegeben. Zum besseren Verständnis und einfacheren Lesen empfehlen wir die Verwendung eines DMARC-Report-Prozessors.

DMARC von Reporting auf Quarantäne/Ablehnen umstellen

Der DMARC-Eintrag sollte solange im Reporting-Modus bleiben, bis alle Fehler/Fragen behoben oder geklärt sind. Dieser Prozess kann viel Zeit in Anspruch nehmen. Diese Investition lohnt sich jedoch. Anschließend kann der Eintrag auf die nächste Stufe „Quarantäne“ gesetzt werden.

  • Den DMARC-Eintrag öffnen und wie folgt ändern:
    • “p=none” zu “p=quarantine”
    • Beispiel: “v=DMARC;p=quarantine;pct=10;rua=mailto:dmarcreports@beispieldomain.com”
  • Das Kennzeichen “pct” hinzufügen, um den Prozentsatz der Nachrichten, die gefiltert werden, zu bestimmen. Wir empfehlen, mit 10% zu starten.
  • Den Prozentsatz der gefilterten Nachrichten schrittweise auf “pct=100” (100%) erhöhen, bei zunehmender Vertrautheit damit.

Hinweis
Um die BIMI- (BIMI = Brand Indicators for Message Identification) und VMC-Standards zu erfüllen, muss “pct=100” erreicht werden. Als Verfahrensmodus kann aber entweder “Quarantäne” oder “Ablehnen” verwendet werden.
Wichtig:
Sobald eine 100%ige Filterung erreicht ist, kann zu “p=reject” übergegangen werden, der höchsten Sicherheitsstufe.

  • Den DMARC-Eintrag öffnen und wie folgt ändern:
    • “p=quarantine” zu “p=reject”
    • Beispiel: “v=DMARC;p=reject;pct=100;rua=mailto:dmarcreports@beispieldomain.com
  • Den Eintrag speichern.

Tipp
Das Monitoring in dieser Phase beibehalten, um zu vermeiden, dass legitime E-Mails abgelehnt oder gelöscht werden.

VMC-Logo für den Upload vorbereiten

Das Wichtigste vorab: Für den Kauf eines VMCs muss das Logo im SVG-Format (Scalable Vector Graphic) vorliegen. Konkret: Die .SVG-Logo-Datei muss dem SVG Portable/Secure (SVG-P/S)-Profil entsprechen.

Derzeit gibt es noch keine Exportvorlage für Vektor-Anwendungen wie Adobe Illustrator. Folgendes Best-Practice-Verfahren empfiehlt sich, um das Logo VMC-tauglich zu machen.

Hinweis: Die Größe des VMC-Logos darf maximal 32 KB betragen.

  • Pixel in ein Vektor-Format umwandeln (‘.ai’, ‘.eps’, ‘.pdf’, ‘.svg’).
    Pixel-basierte Logos funktionieren nicht. Daher muss das Brand-Logo ggf. in ein Vektor-Format umgewandelt werden. Bei vielen Markenlogos werden Wortmarken und Schriftarten verwendet, die leicht zu konvertieren sind. Logos mit komplexeren Grafiken müssen möglicherweise überarbeitet werden, um das Design vektorkompatibel zu machen.

  • Das Logo als SVG Tiny 1.2 exportieren.
    Liegt das Logo im Vektor-Format vor, muss es als SVG Tiny 1.2 Profil exportiert werden. In Adobe Illustrator® kann dies über “Speichern unter” erfolgen:

    • Sicherstellen, dass das Logo im Vektor-Format (‘.ai’, ‘.eps’, ‘.pdf’, ‘.svg’) vorliegt.
    • Die Datei in Adobe Illustrator öffnen.
    • Die Datei mit der Option “Speichern unter” speichern.
    • Die Datei im Dialogfeld benennen und im Dropdown-Menü “Format” die Option “SVG (svg)” wählen.
    • Auf “Speichern” klicken und warten, bis sich ein neues Dialogfeld öffnet.
    • In der Dropdown-Liste “SVG-Profile” die Option “Tiny 1.2” wählen und auf “OK” klicken.

  • Die SVG-Datei in einem Text- oder Code-Editor öffnen (z. B. Notepad, Notepad++).

    Hinweis: Da es sich bei SVG-Dateien um Text-Dateien handelt, ist die wichtigste Voraussetzung, dass die Datei geöffnet, bearbeitet und wieder in einem “txt”-Format mit der Datei-Erweiterung “.svg” gespeichert werden kann.

  • Nach dem Öffnen der Datei sind folgende Änderungen vorzunehmen:

    • Überprüfen, ob in der SVG-Dateiquelle folgende Einstellungen in der Kopfzeile enthalten sind:
      xmlns=http://www.w3.org/2000/svg
      version=“1.2”
      baseProfile=“tiny-ps”
    • Eventuell stehen am Anfang der Datei noch weitere Informationen. Die SVG-Dateiquelle könnte dann wie folgt aussehen:
    • Nach dem Export aus Illustrator muss das baseProfile in tiny-ps geändert und die Elemente x=, y= und overflow gelöscht werden.
    • Die Datei erneut im Textformat mit der Datei-Erweiterung “.svg” speichern.

  • Die Zeilen müssen mit LF enden.
    Die SVG-Spezifikation schreibt vor, dass die Zeilen in der SVG-Datei mit Zeilenvorschüben oder LF-Zeichen enden müssen. Das SVG-Exportwerkzeug von Illustrator enthält CR LF. In einigen Texteditoren werden standardmäßig auch Carriage Returns oder CR-Zeichen oder eine Kombination aus CR/LF verwendet. Die Spezifikation verlangt jedoch, dass nur LF-Zeichen verwendet werden.

    Tipp
    Wir empfehlen die Verwendung eines Text-Editors wie Notepad++, um diese Konvertierung durchzuführen und die CR-LF-Zeichen wie folgt zu visualisieren:
    Ansicht → Symbol anzeigen → Zeilenende anzeigen
    Bearbeiten → EOL-Konvertierung → Unix (LF)

  • Die Datei erneut im Textformat mit der Datei-Erweiterung “.svg” speichern.
    Die Datei ist nun im benötigten SVG-Format erstellt.

Tipp
Am besten eignen sich Bilder mit einem quadratischen Seitenverhältnis (1:1).

Das Bild sollte so zentriert werden, dass es optimal in einem Quadrat, einem abgerundeten Quadrat oder einem Kreis angezeigt wird.

Nicht-transparente Hintergründe sind ideal, da die Transparenz-Darstellung schwer einschätzbar ist.

Hinweis
Die endgültige Anzeige des Logos hängt von den jeweiligen E-Mail-Clients der Empfänger ab. Es kann zu Unterschieden bei der Darstellung des Logos im Client und des ursprünglich hochgeladenen Logos kommen.

War dieser Artikel hilfreich?

Häufig gebraucht

↗ TLD-Wissensdatenbank ↗ Richtlinien & Troubleshooting ↗ Domains ↗ TLS/SSL & S/MIME ↗ Server & Cloud