Mail-Security-Plattform für viele Domains und Mandanten.

01 · Ausgangslage

DMARC liefert Daten, aber keine Antworten

Wer DMARC einführt, bekommt täglich Berichte von Google, Microsoft, Yahoo und vielen anderen Empfängern. Als XML-Dateien, teils gepackt, je nach Absender leicht unterschiedlich aufgebaut. Lesbar ist das für niemanden.

Dabei steckt genau dort die Antwort auf die wichtigste Frage jedes Mail-Security-Projekts: Welche Systeme verschicken Mails mit unserer Domain, und welche davon würden bei einer strengen DMARC-Policy abgelehnt? Wer mehrere Domains oder mehrere Kunden betreut, braucht diese Antwort pro Domain, sauber getrennt und ohne manuelles Auspacken von Anhängen.

02 · Anforderungen

Was die Plattform können musste

• Reports automatisch einsammeln, ohne dass jemand Mails weiterleiten oder Dateien hochladen muss
• Robust gegen die unterschiedlichen Formate der grossen Mailanbieter, als XML, .gz oder .zip
• Viele Domains und Mandanten mit strikter Datentrennung, auch für IT-Dienstleister mit eigenen Kunden
• Nicht nur Reports: DNS, Blacklists, Zustellung und Mailfilter gehören zur selben Fragestellung
• Schnittstellen statt Insellösung: API, Webhooks, Berichte für die Geschäftsleitung
• Betrieb auf eigener Infrastruktur, ohne Abhängigkeit von einem DMARC-Anbieter

03 · Architektur

Vom XML-Anhang zur Entscheidung

Die Anwendung ist in Python mit FastAPI gebaut, die Daten liegen in PostgreSQL. Ein Scheduler holt die Aggregate-Reports in festen Abständen per IMAP aus den Report-Postfächern, alternativ kommen sie per Upload oder über eine Bearer-API. Die Zugangsdaten der Postfächer sind verschlüsselt gespeichert.

Der Parser entpackt XML, .gz und .zip, gleicht die Varianten der grossen Anbieter aus und verwirft doppelt gelieferte Reports. Zu jeder Absender-IP wird der Reverse-DNS-Name ermittelt. Daraus ordnet die Plattform Quellen bekannten Diensten wie Microsoft 365, Google Workspace oder Newsletter-Tools zu. Am Ende steht pro Domain eine klare Aussage: Welche Absender bestehen SPF und DKIM mit passender Domain, welche nicht, und ob die Datenlage für eine strengere Policy reicht.

04 · Funktionen

Was gebaut wurde

dmarc-geeks.ch/dashboard

Auswertung und Überwachung

• Dashboard mit Kennzahlen, Tagesverlauf und Absender-Flüssen
• Ansicht pro Absender-IP mit Zuordnung zum Dienst
• Empfehlung, wann von p=none auf quarantine oder reject umgestellt werden kann
• Alarm, wenn die Fehlerquote einer Domain sprunghaft steigt
• Wöchentliche Zusammenfassung per E-Mail
• Tägliche Prüfung gegen öffentliche Blacklists (DNSBL)
• Druckfertiger Domain-Bericht, als PDF speicherbar
• CSV-Export mit Filtern

Prüfwerkzeuge

• Domain-Check für SPF, DKIM, DMARC, MX, MTA-STS, TLS-RPT und BIMI
• Generatoren für DMARC-, SPF- und BIMI-Records, dazu ein DKIM-Inspektor
• Mail-Tester: Sie senden eine Mail an eine Testadresse und sehen SPF, DKIM, DMARC, Reverse-DNS, Transportverschlüsselung und Blacklist-Status aus Sicht des Empfängers
• Threat-Test: harmlose Testmails mit EICAR-, GTUBE- und AMTSO-Teststrings an ein eigenes Postfach, um Anti-Spam, Anti-Malware, Anhangfilter, Link-Umschreibung, Spoofing- und Impersonation-Schutz zu prüfen
• Snapshot: ein kompakter Mail-Sicherheitsbericht für eine Domain, per E-Mail zugestellt

dmarc-geeks.ch/threattest

dmarc-geeks.ch/mailtest

Der Threat-Test verschickt nichts ungefragt: Zuerst erhält das Zielpostfach einen Bestätigungscode, erst nach dessen Eingabe gehen die Testmails raus. Jede Mail ist im Betreff und in eigenen Headern eindeutig markiert, damit sie in Quarantäne und Nachrichtenablaufverfolgung sofort auffindbar ist. Einen Zugriff auf das geprüfte Postfach braucht die Plattform nicht.

05 · Mandanten & Schnittstellen

Gebaut für Dienstleister, nicht nur für eine Domain

• Drei Ebenen: Plattform, Reseller und Mandanten. Jeder Mandant sieht ausschliesslich seine eigenen Daten
• Reseller mit eigenem Namen und eigener Akzentfarbe, eigenen Benutzern und eigenen Report-Postfächern
• Rollen für Administratoren und Benutzer, Audit-Log für alle wichtigen Aktionen
• API-Keys mit einmalig angezeigtem Geheimnis und Widerruf
• Webhooks mit HMAC-SHA256-Signatur und automatischen Wiederholungen
• Rate-Limits auf Anmeldung und öffentlichen Werkzeugen, Schutz der Formulare gegen Spam

06 · Betrieb

Eigene Infrastruktur, jede Änderung automatisch ausgerollt

DMARC Geeks läuft als Container-Stack aus Anwendung und PostgreSQL auf unserer eigenen Proxmox-Umgebung, hinter einem Reverse Proxy mit Let's-Encrypt-Zertifikaten.

Ausgerollt wird per CI/CD: Ein Push auf den Hauptzweig startet einen Workflow, den ein Self-hosted Runner im internen Netz übernimmt. Der Runner holt sich die Aufträge selbst ab, der Server muss dafür von aussen nicht erreichbar sein. Er aktualisiert den Code und baut die Container neu. Konfiguration und Schlüssel liegen nur auf dem Server, nicht im Code-Repository. Ein Health-Check prüft Anwendung und Datenbank.