DKIM und Mailinglisten - ein ungelöstes Problem

Die Probleme betreffen teilweise Mail-Weiterleitungen, insbesondere aber Mailinglisten. Bei Mailinglisten ist es Teil des Konzepts, dass Mails von einem anderen Server weitergeschickt und dabei meist auch verändert werden, etwa indem ein einheitliches Betreff-Prefix eingefügt oder ein Link zum Abmelden an die Mail angehängt wird.

Beim Entwickeln von DMARC hat man Mailinglisten schlicht nicht berücksichtigt. Die Haltung war wohl, dass Mailinglisten kaum noch genutzt würden. DMARC führt daher in vielen Fällen dazu, dass Mails von Mailinglisten nicht zugestellt werden. Die verlorenen Mails führen dann manchmal zu Verwirrung, da sie genau dann verloren gehen, wenn der Absender DMARC scharf gestellt hat und der Empfänger DMARC strikt prüft. Sprich: Die Mails gehen nicht völlig verloren, sie kommen nur bei einem Teil der Empfänger nicht an.

Mailinglisten sind nicht so tot, wie manche glauben

Nun ist es sicher richtig, dass Mailinglisten nicht mehr so wichtig sind, wie sie einmal waren. Trotzdem gibt es noch viele Online-Communities, die Mailinglisten intensiv nutzen. Dazu gehören etwa die Standardisierungsgremien der IETF, wichtige Kommunikationsmedien der IT-Sicherheitscommunity wie die Listen Full Disclosure oder oss-security sowie nach wie vor große Teile der Freien-Software- und Open-Source-Community. Beispielsweise wird die Entwicklung des Linux-Kernels weiterhin primär über Mailinglisten koordiniert.

Theoretisch kann man Mailinglisten so betreiben, dass sie mit DMARC kompatibel sind. Dafür gibt es verschiedene Möglichkeiten. Ein Workaround ist, dafür zu sorgen, dass die Absenderadresse umgeschrieben wird und die Mails im From-Header nicht die Mailadresse des ursprünglichen Senders enthalten, sondern die Adresse der Mailingliste. Später wurde ein Standard namens ARC geschaffen, der es erlaubt, den Workflow von Mailinglisten besser abzubilden.

DMARC: Eingeführt ohne Plan

Das Problem: Egal wie man es löst, dafür muss die Software der Mailinglisten angepasst werden. Nun wäre das an sich noch kein Problem. Dass sich das Internet weiterentwickelt und sich Dinge verändern, ist nicht grundlegend schlecht. Nur fehlte offenbar bei der Einführung von DMARC ein Plan, wie man das umsetzen möchte.

In der Praxis sieht es daher so aus, dass die meisten großen Mailanbieter DMARC entweder überhaupt nicht nutzen oder nie scharf gestellt haben. Kompatibilität mit bestehenden Systemen ist ihnen wichtiger.