Subdomain-Richtlinie (DMARC sp=)

Was ist eine Subdomain-Richtlinie in DMARC?

Eine Subdomain-Richtlinie in DMARC (Domain-based Message Authentication, Reporting & Conformance) legt fest, wie E-Mails von den Subdomains einer Domain behandelt werden sollen, wenn diese Subdomains keine eigenen DMARC-Einträge haben.

Definiert wird sie über das optionale sp-Tag (z. B. sp=reject) in einem DMARC-Eintrag. So können Domain-Inhaber für Subdomains eine andere Durchsetzungsrichtlinie anwenden als für die übergeordnete Domain.

Beispiel:

In diesem Fall würden Mails der Hauptdomain (yourdomain.com) unter Quarantäne gestellt, während Mails von Subdomains (wie mail.yourdomain.com) abgelehnt würden, wenn sie die DMARC-Prüfungen nicht bestehen.

So funktioniert eine Subdomain-Richtlinie

Ist kein sp-Tag vorhanden, erben Subdomains standardmäßig die Richtlinie (p=) der Hauptdomain. Das sp-Tag überschreibt dieses Verhalten und erlaubt Administratoren, für Subdomains strengere oder mildere Regeln durchzusetzen.

Diese Unterscheidung ist besonders nützlich, wenn:

• einige Subdomains von externen Versendern genutzt werden (z. B. marketing.yourdomain.com).
• Sie DMARC-Richtlinien schrittweise testen und für Subdomains eine mildere Richtlinie verwenden, während Sie die Hauptdomain strenger absichern.
• Sie für Subdomains strengere Regeln durchsetzen möchten, um Missbrauch oder unbefugten Versand zu verhindern.

Empfangende Server erkennen Subdomain-Richtlinien genauso an wie DMARC-Richtlinien auf oberster Ebene. Sie beeinflussen, wie nicht authentifizierte E-Mails behandelt werden: none (keine Maßnahme), quarantine (Quarantäne) oder reject (Ablehnung).

Die Rolle von Subdomain-Richtlinien beim Schutz der Domain

Subdomain-Richtlinien verhindern, dass Angreifer vernachlässigte oder nicht überwachte Subdomains ausnutzen. Selbst wenn Ihre Hauptdomain durch DMARC geschützt ist, könnte ein fehlender Subdomain-Eintrag Spoofing von Adressen wie billing.mail.yourdomain.com ermöglichen.

Mit einer expliziten Subdomain-Richtlinie schließen Sie diese Lücken und stellen eine einheitliche Durchsetzung über Ihre gesamte Domain-Struktur sicher.

Viele Organisationen wählen sp=reject als Best Practice, sobald die DMARC-Überwachung stabil läuft. So kann keine Subdomain nicht authentifizierte Mails versenden.

Subdomain-Richtlinie und DMARCeye

DMARCeye hilft Ihnen zu visualisieren, wie Ihre DMARC-Richtlinie (einschließlich des sp-Tags) auf alle Domains und Subdomains wirkt. In Ihren aggregierten Berichten hebt die Plattform hervor, welche Subdomains Mails versenden, ob sie durch einen eigenen DMARC-Eintrag abgedeckt sind und wie Nachrichten unter der Richtlinie der übergeordneten Domain behandelt werden.

Diese Sichtbarkeit erlaubt es Ihnen, Schwachstellen zu erkennen (etwa ungeschützte Subdomains oder uneinheitliche Durchsetzung) und sich zuversichtlich auf eine Reject-all-Konfiguration zuzubewegen, ohne legitime Mail-Flüsse zu stören.

Möchten Sie wissen, wie gut Ihre eigene Domain geschützt ist? Führen Sie eine kostenlose DMARC-Prüfung durch:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.