Report domain Submitter google.com – was sind diese Mails?

Was diese Mails sind

DMARC ist ein Schutz gegen gefälschte Absender. Er sagt den Empfängern, wie sie mit Mails umgehen sollen, die angeblich von Ihrer Domain kommen, aber die Prüfungen SPF und DKIM nicht bestehen. SPF ist die Liste der Server, die für Ihre Domain senden dürfen. DKIM ist eine digitale Unterschrift in jeder Mail. Mehr dazu im Grundlagenartikel: Was ist DMARC? Einfach erklärt für KMU.

Damit Sie sehen, was mit Ihren Mails geschieht, schicken die Empfänger einmal pro Tag eine Zusammenfassung zurück. Fachleute nennen das einen Aggregate Report (Sammelbericht). Jeder Anbieter, der von Ihrer Domain Mails erhalten hat, schickt seinen eigenen Bericht. Google meldet zum Beispiel alle Mails, die bei Gmail-Adressen und bei Firmen mit Google Workspace angekommen sind.

Woher die Berichte kommen: die rua-Adresse

Ob und wohin Berichte geschickt werden, steht im DMARC-Eintrag Ihrer Domain. Das ist ein TXT-Eintrag mit dem Namen _dmarc, zum Beispiel:

v=DMARC1; p=none; rua=mailto:info@example.com

Der Teil rua= nennt die Adresse für die Sammelberichte. Steht dort Ihre Info-Adresse oder Ihr eigenes Postfach, landen die Berichte eben dort. Oft hat das Ihr IT-Partner, Ihre Webagentur oder Ihr Hoster beim Einrichten so gesetzt, ohne Sie vorzuwarnen.

Ob Ihre Domain einen DMARC-Eintrag hat und welche Berichtsadresse darin steht, sehen Sie in einer Minute im kostenlosen Domain-Check: Kostenloser Domain-Check.

Sind die Mails gefährlich? So prüfen Sie den Absender

Echte DMARC-Berichte sind harmlos. Sie enthalten keine Programme, keine Links und keine Mailinhalte. Trotzdem gilt die Grundregel: Öffnen Sie nie einen Anhang, dessen Herkunft Sie nicht sicher kennen. Betrüger tarnen Schadsoftware gern als technische Meldung von Google.

So erkennen Sie einen echten Bericht:

• Absender: Bei Google lautet er noreply-dmarc-support@google.com. Achten Sie auf die echte Adresse, nicht nur auf den angezeigten Namen.
• Betreff: Er folgt immer dem Muster «Report domain: … Submitter: … Report-ID: …». Hinter «Report domain» steht Ihre eigene Domain.
• Anhang: eine einzige kleine Datei, meist wenige Kilobyte, mit der Endung .zip, .gz oder .xml.gz. Darin liegt genau eine XML-Datei.
• Text: Der Mailtext ist kurz oder leer. Es gibt keine Aufforderung, etwas anzuklicken, zu bezahlen oder sich anzumelden.

Vorsicht ist geboten, wenn eines davon nicht passt. Zum Beispiel, wenn im Anhang eine Datei mit .exe, .js, .html, .iso oder .lnk steckt, wenn der Mailtext Druck macht oder wenn hinter «Report domain» eine Domain steht, die Ihnen nicht gehört. Solche Mails löschen Sie ungeöffnet.

Typische Absender und Dateinamen

Die meisten Berichte kommen von wenigen grossen Anbietern:

• Google (Gmail, Google Workspace): Absender noreply-dmarc-support@google.com, Submitter google.com, Dateiname wie google.com!example.com!1792454400!1792540799.zip.
• Microsoft (Outlook.com, Microsoft 365): Absender in der Regel dmarcreport@microsoft.com, Dateiname beginnt oft mit enterprise.protection.outlook.com!example.com! und endet auf .xml.gz.
• Yahoo und AOL sowie weitere Mailanbieter und Firmen-Mailfilter: eigene Absenderadressen, aber derselbe Aufbau von Betreff und Dateiname.

Der Dateiname ist immer gleich aufgebaut: zuerst der Berichtersteller, dann Ihre Domain, dann Beginn und Ende des Zeitraums. Die beiden langen Zahlen sind Zeitangaben in Sekunden seit 1970. Im Beispiel stehen sie für den 20. Oktober 2026, 00:00 bis 23:59 Uhr (Weltzeit).

Wie viele Berichte Sie bekommen, hängt davon ab, an wie viele verschiedene Anbieter Ihre Firma schreibt. Bei einem KMU sind es oft eine Handvoll pro Tag.

Was in einem Bericht steht

Ein Sammelbericht ist eine maschinenlesbare Datei im Format XML. Er zeigt pro Absender-Server:

• die IP-Adresse des Servers, der mit Ihrer Domain gesendet hat
• wie viele Mails von dort kamen
• ob SPF und DKIM bestanden haben
• was der Empfänger damit gemacht hat: zugestellt, in den Spam verschoben oder abgelehnt

Betreff, Inhalt oder Empfängeradressen Ihrer Mails stehen nicht darin. Gerade deshalb sind die Berichte wertvoll: Sie zeigen auch Server, die Sie nicht kennen. Das können vergessene Dienste wie ein Newsletter-Tool sein, aber auch Betrüger, die Ihre Adresse fälschen. Wie Sie die XML-Datei im Detail lesen, erklärt der Ratgeber DMARC-Bericht lesen – was in den XML-Dateien steht und was Sie damit tun.

Was Sie jetzt tun können

Sie haben drei sinnvolle Möglichkeiten. Sie schliessen sich nicht aus.

1. In Ordnung lassen und auswerten lassen: Die Berichte sind das Werkzeug, mit dem Sie DMARC später auf eine strenge Regel umstellen. Ohne Auswertung bleiben sie ungenutzt.
2. Berichte an einen Auswertungsdienst umleiten: Ersetzen Sie im DMARC-Eintrag die eigene Adresse durch die Berichtsadresse des Dienstes. Aus rua=mailto:info@example.com wird zum Beispiel rua=mailto:[Ihre DomainRadar-Berichtsadresse]. Den Rest des Eintrags lassen Sie unverändert. Möchten Sie die Rohdaten weiter selbst erhalten, trennen Sie zwei Adressen mit einem Komma.
3. Eine Regel im Mailprogramm anlegen: Wenn die Berichte vorerst in Ihrem Postfach bleiben, verschieben Sie sie automatisch in einen eigenen Ordner. Als Bedingung eignet sich der Betreff, der mit «Report domain» beginnt, oder der Absender noreply-dmarc-support@google.com. So bleibt der Posteingang sauber.

So prüfen Sie, ob die Umleitung wirkt: Nach der Änderung im DNS dauert es je nach Einstellung des Anbieters einige Minuten bis Stunden, bis die neue Adresse überall gilt. Kontrollieren Sie den Eintrag erneut im Domain-Check. Nach ein bis zwei Tagen sollten keine neuen Berichte mehr in Ihrem Postfach ankommen, dafür beim Auswertungsdienst.

Was Sie nicht tun sollten

• Den DMARC-Eintrag löschen: Damit verschwinden zwar die Berichte, aber auch der Schutz. Betrüger können dann leichter Mails in Ihrem Namen verschicken, und grosse Anbieter wie Google und Yahoo verlangen von Massenversendern einen DMARC-Eintrag.
• Die rua-Angabe einfach entfernen: Der Schutz bleibt, aber Sie sehen nicht mehr, wer in Ihrem Namen sendet. Ein späterer Wechsel auf eine strengere Regel wird zum Blindflug. Mehr dazu: DMARC von p=none auf quarantine und reject – wann ist es sicher?.
• Antworten oder abbestellen: Die Absender sind Maschinen. Antworten kommen nicht an, und einen Abmeldelink gibt es nicht.
• Als Spam melden: Das ändert nichts, die Berichte kommen trotzdem.

Zeigen die Berichte viele Mails von fremden Servern, versucht vielleicht jemand, Ihre Adresse zu missbrauchen. Was dann zu tun ist, steht im Ratgeber Kunden erhalten Spam von meiner Adresse – was jetzt zu tun ist.

Wie DomainRadar hilft

DomainRadar gibt Ihnen eine eigene Berichtsadresse für Ihren DMARC-Eintrag. Die Berichte kommen dort an statt in Ihrem Postfach. DomainRadar öffnet die Anhänge, ordnet die IP-Adressen bekannten Diensten zu und zeigt in verständlicher Sprache, welche Versandwege bestehen und welche nicht. Taucht ein unbekannter Absender auf, erhalten Sie einen Alarm. Sie können 14 Tage kostenlos testen.