DMARC rf-Tag (Reporting Format)

Was ist das rf-Tag (Reporting Format) in DMARC?

Das rf-Tag (Reporting Format) in einem DMARC-Eintrag legt das Format fest, das für forensische Berichte beziehungsweise Fehlerberichte an den Domain-Inhaber verwendet wird. Diese Berichte werden ausgelöst, wenn eine Nachricht die DMARC-Authentifizierung nicht besteht, und liefern detaillierte Diagnosedaten zu diesem Fehlschlag. Das rf-Tag teilt empfangenden Mailservern mit, welchen Dateityp oder welche Datenstruktur sie beim Erzeugen dieser Berichte verwenden sollen, damit die Berichte mit den Analysewerkzeugen des Empfängers kompatibel sind.

In der Praxis ist der am häufigsten verwendete Wert für dieses Tag afrf (Authentication Failure Reporting Format), definiert in RFC 6591. Dieses standardisierte Format ermöglicht ein einheitliches Auswerten von DMARC-Fehlerdaten über Plattformen hinweg und hilft Sicherheitsteams, genau zu verstehen, warum Authentifizierungsprüfungen fehlgeschlagen sind.

So funktioniert das rf-Tag

Das rf-Tag steht im DMARC-Eintrag der Domain, der als DNS-TXT-Eintrag veröffentlicht wird. Es definiert das Berichtsformat für Nachrichten, die an die im ruf-Tag (URI für forensische Berichte) angegebene Adresse gesendet werden. Ein Beispiel für die Konfiguration:

In diesem Beispiel:

• rua definiert, wohin aggregierte Berichte gesendet werden.
• ruf gibt an, wohin einzelne forensische Berichte gesendet werden.
• rf=afrf legt fest, dass diese forensischen Berichte das Authentication Failure Reporting Format verwenden.

Zwar ist afrf heute das einzige offiziell von DMARC unterstützte Format, das Tag bleibt aber Teil der Spezifikation, um künftige Berichtsformate zu ermöglichen. Wer es explizit in den Eintrag aufnimmt, kann die Interoperabilität mit verschiedenen Mail-Providern verbessern.

AFRF (Authentication Failure Reporting Format) verstehen

AFRF ist ein standardisiertes XML-basiertes Format, das detaillierte Informationen zu Nachrichten erfasst, die die Authentifizierung nicht bestehen. Ein Bericht enthält in der Regel:

• die sendende und die empfangende IP-Adresse
• Nachrichten-Header wie From, To, Subject und Date
• den fehlgeschlagenen Authentifizierungsmechanismus (SPF, DKIM oder Alignment)
• Diagnoseinformationen des empfangenden Servers
• optional eine geschwärzte Kopie der Originalnachricht

Diese Berichte helfen Sicherheits- und Zustellbarkeitsteams, Fehlkonfigurationen aufzuspüren, nicht autorisierte Absender zu identifizieren und Spoofing- oder Phishing-Versuche gegen die Domain zu analysieren. Weil die Berichte potenziell sensible Daten enthalten, beschränken oder anonymisieren viele Organisationen Fehlerberichte, bevor sie sie extern weitergeben.

Wann Sie das rf-Tag verwenden sollten

Das rf-Tag empfiehlt sich für jede Domain, die forensisches Reporting über ruf aktiviert. Das Format afrf ist zwar der Standardwert, doch die explizite Angabe stellt sicher, dass berichterzeugende Systeme die gewünschte Datenstruktur kennen und konsistente, maschinenlesbare Ergebnisse liefern.

Typische Einsatzszenarien:

• Fehlersuche bei Problemen mit dem SPF- oder DKIM-Alignment
• Überwachung nicht autorisierter oder fehlgeschlagener Authentifizierungsversuche
• Analyse, wie unterschiedliche empfangende Mailserver Ihre DMARC-Richtlinie interpretieren
• Nachverfolgung von Domain-Missbrauch über globale E-Mail-Ökosysteme hinweg

Da forensische Berichte pro Nachricht erzeugt werden, kann ihr Volumen hoch ausfallen. Viele Organisationen nutzen deshalb ein eigenes Postfach oder einen externen Analysedienst, um die Berichte zu sammeln und zu verarbeiten.

Das rf-Tag und DMARCeye

DMARCeye erkennt und interpretiert das rf-Tag aus Ihrem veröffentlichten DMARC-Eintrag automatisch. Die Plattform liest forensische Berichte im AFRF-Format ein, normalisiert die Daten und visualisiert Muster fehlgeschlagener Authentifizierung. So können Organisationen Spoofing erkennen, Konfigurationsfehler identifizieren und den Erfolg ihrer Durchsetzung überprüfen.

Indem DMARCeye AFRF-Daten mit aggregierten (RUA-)Berichten zusammenführt, entsteht ein vollständiges Bild der Domain-Aktivität. Administratoren sehen genau, welche Absender, IP-Adressen und Nachrichten Fehlschläge ausgelöst haben, und können schnell korrigierend eingreifen, um den Schutz der Domain zu stärken.

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.