Richtlinien-Überschreibung (Policy Override)

Was ist eine Richtlinien-Überschreibung (Policy Override) in DMARC?

Eine Richtlinien-Überschreibung (Policy Override) in DMARC liegt vor, wenn ein empfangender Mailserver eine endgültige Behandlung anwendet (etwa Zustellen, Quarantäne oder Ablehnung), die von der veröffentlichten DMARC-Richtlinie des Absenders abweicht. Das passiert, wenn andere Faktoren wie lokale Filterregeln, Weiterleitungsverhalten oder Listen vertrauenswürdiger Absender Vorrang vor der DMARC-Empfehlung haben. Richtlinien-Überschreibungen werden in aggregierten DMARC-Berichten ausgewiesen, damit Domain-Inhaber nachvollziehen können, wann und warum die Mail-Behandlung von der festgelegten Richtlinie abweicht.

Mit anderen Worten: Auch wenn der DMARC-Eintrag einer Domain vorgibt, nicht authentifizierte E-Mails abzulehnen, kann ein empfangender Server sie unter bestimmten Bedingungen dennoch annehmen. Das Feld „Policy Override“ in DMARC-Berichten dokumentiert diese Fälle und zeigt Absendern, wann die Durchsetzung nicht wie erwartet angewendet wurde.

So funktionieren Richtlinien-Überschreibungen

Besteht eine E-Mail weder das SPF-Alignment noch das DKIM-Alignment, gibt DMARC dem Empfänger vor, wie die Nachricht zu behandeln ist, üblicherweise über das p=-Tag im DMARC-Eintrag (none, quarantine oder reject). Der Empfänger kann diese Vorgabe jedoch auf Grundlage eigener Regeln, Benutzereinstellungen oder Systemrichtlinien überschreiben. Die Gründe für diese Entscheidungen stehen im Element „policy_override“ der aggregierten DMARC-Berichte.

Beispielauszug aus einem DMARC-Bericht mit einer Richtlinien-Überschreibung:

In diesem Beispiel hat die Nachricht sowohl die SPF- als auch die DKIM-Prüfung nicht bestanden, der Empfänger hat sie aufgrund einer lokalen Richtlinien-Überschreibung aber dennoch zugestellt (Disposition „none“).

Häufige Typen von DMARC-Richtlinien-Überschreibungen

In der DMARC-Berichterstattung sind mehrere Override-Typen definiert. Diese Werte helfen Domain-Inhabern zu verstehen, wie ihre Nachrichten von verschiedenen Mailsystemen behandelt werden:

• forwarded – Die Nachricht wurde weitergeleitet, und die Authentifizierung schlug fehl, weil Header oder Nachrichteninhalt verändert wurden.
• sampled_out – Die Nachricht fiel unter eine PCT-Sampling-Richtlinie (Prozentsatz) und war von der vollständigen Durchsetzung ausgenommen. Dieser Override gilt inzwischen als veraltet, da DMARCbis das pct-Tag entfernt hat.
• trusted_forwarder – Der Empfänger vertraut dem Weiterleiter (z. B. einem zwischengeschalteten Mail-Relay oder einem bekannten Dienst) und hat die Nachricht trotz fehlgeschlagener Authentifizierung zugestellt.
• local_policy – Der Empfänger hat eine interne Richtlinie angewendet, die die DMARC-Vorgabe überschreibt, etwa eine Whitelist oder eine Anti-Spam-Entscheidung.
• arc – Die Nachricht enthielt einen gültigen ARC (Authenticated Received Chain)-Header, der die Authentifizierung über die Weiterleitung hinweg bewahrt hat.
• other – Der Grund für die Überschreibung passt in keine der Standardkategorien.

Jede dieser Override-Bedingungen erklärt, warum nicht authentifizierte E-Mails selbst bei strikter DMARC-Durchsetzung den Posteingang erreichen können. Diese Informationen sind entscheidend, um Lücken im Mailfluss zu diagnostizieren, besonders bei weitergeleiteten oder indirekten Nachrichten.

Warum Richtlinien-Überschreibungen auftreten

Richtlinien-Überschreibungen spiegeln in der Regel die Flexibilität empfangender Mailsysteme wider und keine Fehlkonfiguration des Absenders. Häufige Szenarien:

• Weiterleitung über Mailinglisten oder automatisierte Systeme, die Nachrichten verändern
• Vertrauenswürdige Zwischenstationen, die DMARC-Prüfungen umgehen
• Lokale Spam- oder Phishing-Filter, die Vorrang vor der DMARC-Richtlinie haben
• Teilweise DMARC-Durchsetzung mit pct<100, eine veraltete Konfiguration, die DMARCbis-Empfänger wie pct=100 behandeln
• Empfängereinstellungen, die die Zustellung von bekannten Absendern trotz fehlgeschlagener Prüfungen erlauben

Überschreibungen bedeuten nicht zwangsläufig, dass eine DMARC-Konfiguration fehlerhaft ist. Häufen sie sich jedoch, kann das auf Alignment-Probleme, Weiterleitungsprobleme oder inkonsistente DKIM-Signaturen hindeuten.

Richtlinien-Überschreibungen und DMARCeye

DMARCeye visualisiert Override-Daten direkt aus aggregierten DMARC-Berichten und hilft Organisationen, Muster zu erkennen und zu verstehen, warum Durchsetzungsergebnisse je nach Empfänger unterschiedlich ausfallen. Die Plattform kategorisiert Überschreibungen nach Typ, etwa forwarded, arc oder local_policy, und korreliert sie mit Versandquellen, um genau zu bestimmen, wo die Authentifizierung scheitert.

Indem DMARCeye Häufigkeit und Auswirkung von Überschreibungen sichtbar macht, können Domain-Inhaber ihre Authentifizierungskonfiguration anpassen, die Verteilung ihrer DKIM-Schlüssel optimieren und sicherstellen, dass legitime Nachrichten nicht fälschlich abgelehnt oder in Quarantäne verschoben werden. Diese Transparenz gibt Administratoren die Gewissheit, dass ihre DMARC-Durchsetzung dem realen Zustellverhalten entspricht.

Möchten Sie wissen, wie gut Ihre eigene Domain geschützt ist? Führen Sie eine kostenlose DMARC-Prüfung durch:

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.