Was ist ARC (Authenticated Received Chain)?

Definition

Die Authenticated Received Chain ist ein E-Mail-Authentifizierungsstandard, der in RFC 8617 definiert und im Juli 2019 veröffentlicht wurde. Sein Zweck ist es, eine seit Langem bestehende Schwäche zu beheben: das Verhalten von SPF und DKIM, wenn eine Nachricht über einen zwischengeschalteten Server weitergeleitet statt direkt vom Absender zum Empfänger zugestellt wird.

Wenn du eine E-Mail direkt an einen Empfänger schickst, bestehen die SPF- und DKIM-Prüfungen in der Regel und DMARC ist erfolgreich. Das Problem entsteht, wenn eine Nachricht unterwegs über einen Dritten läuft. Eine Mailingliste, ein Konto mit automatischer Weiterleitung oder ein Security-Gateway verändert die Nachricht häufig. Es schreibt vielleicht die Betreffzeile um, fügt eine Fußzeile hinzu oder leitet die Nachricht von einer anderen IP-Adresse weiter. Diese Änderungen brechen die ursprüngliche DKIM-Signatur und machen das SPF-Ergebnis ungültig – das kann dazu führen, dass DMARC fehlschlägt, obwohl die Nachricht völlig legitim ist.

ARC wurde von einer Branchengruppe entwickelt – darunter Ingenieure von Google und anderen großen Mail-Betreibern –, um Empfängern gezielt eine Möglichkeit zu geben, diese Situation zu erkennen. Statt nur die gebrochene Authentifizierung zu bewerten, die am letzten Hop sichtbar ist, kann ein Empfänger die ARC-Kette lesen und erfahren, dass sich die Nachricht korrekt authentifiziert hat, bevor die Zwischenstation sie angefasst hat.

So funktioniert es

ARC funktioniert so, dass jede beteiligte Zwischenstation der Nachricht einen kryptografisch signierten Eintrag hinzufügt – ein sogenanntes ARC-Set –, bevor sie sie weiterleitet. Jedes ARC-Set besteht aus drei Header-Feldern, und jedes Set trägt eine Instanznummer, damit die Kette in der richtigen Reihenfolge gelesen werden kann.

Das erste Feld ist ARC-Authentication-Results. Es erfasst eine Momentaufnahme der SPF-, DKIM- und DMARC-Ergebnisse, die die Zwischenstation beim Empfang der Nachricht festgestellt hat. Es ist im Grunde eine eingefrorene Kopie des Authentifizierungsurteils an diesem Hop.

Das zweite Feld ist ARC-Message-Signature. Es funktioniert ähnlich wie eine DKIM-Signatur. Es ist eine kryptografische Signatur über die Header und den Body der Nachricht, so wie sie an diesem Punkt der Kette vorliegen, und verknüpft so das festgehaltene Authentifizierungsergebnis mit dem tatsächlich vorhandenen Inhalt.

Das dritte Feld ist ARC-Seal. Das ist eine Signatur, die die gesamte Kette der bisherigen ARC-Header abdeckt, nicht nur das aktuelle Set. Das Seal trägt ein Chain-Validation-Tag, geschrieben als cv, das den bisherigen Zustand der Kette meldet. Der Wert none bedeutet, dass dies der erste Hop ist, pass bedeutet, dass alle früheren ARC-Sets korrekt validiert wurden, und fail bedeutet, dass etwas in der Kette nicht verifiziert werden konnte.

Während eine Nachricht durch mehrere ARC-fähige Server läuft, steigen die Instanznummern mit jedem Hop an. Ein empfangender Server, der die Nachricht validiert, liest die ARC-Sets der Reihe nach, prüft, dass keine Einträge fehlen, kontrolliert, dass jedes Seal die vorherigen Einträge als gültig meldet, und verifiziert die jüngste Message-Signatur. Wenn die Kette zusammenhält, kann der Empfänger dem Authentifizierungsergebnis vertrauen, das am allerersten Hop festgehalten wurde.

Warum das für die E-Mail-Zustellbarkeit wichtig ist

ARC ist wichtig, weil Weiterleitungen und Mailinglisten überall vorkommen – und ohne ARC sorgen sie still und leise dafür, dass legitime Mail abgewiesen wird. Ein Mitarbeiter, der seine Arbeitsmails an ein privates Konto weiterleitet, eine Diskussionsliste, die jeder Nachricht eine Fußzeile anhängt, und eine Security-Appliance eines Drittanbieters, die eingehende Mail scannt: Sie alle brechen DKIM oder SPF auf eine Weise, die nichts damit zu tun hat, ob die Nachricht echt ist.

Wenn ein Domain-Inhaber eine strenge DMARC-Policy wie p=reject veröffentlicht, würden diese gebrochenen Authentifizierungsergebnisse normalerweise dazu führen, dass die weitergeleitete Kopie verworfen wird. Der Empfänger sieht eine erwartete Nachricht nie, und von außen sieht es aus wie ein Zustellfehler ohne erkennbare Ursache. ARC gibt dem letzten Empfänger genug Kontext, um eine bessere Entscheidung zu treffen. Wenn die ARC-Kette zeigt, dass sich die Nachricht korrekt authentifiziert hat, bevor eine vertrauenswürdige Zwischenstation sie verändert hat, kann der Empfänger sie zustellen, statt die strenge Policy gegen eine ehrliche Weiterleitung durchzusetzen.

Es ist wichtig, genau zu sein, was ARC leistet und was nicht. ARC setzt DMARC nicht außer Kraft und ist keine Zustellgarantie. Es ist ein Signal. Ein Empfänger entscheidet weiterhin selbst, wie sehr er einer bestimmten ARC-Kette vertraut, und dieses Vertrauen hängt von der Reputation der Zwischenstationen ab, die sie signiert haben. ARC beseitigt einfach eine häufige, frustrierende Ursache für Fehlabweisungen, damit gute Mail eine bessere Chance hat, im Postfach anzukommen.

So geht VeriMails damit um

VeriMails ist ein E-Mail-Verifizierungsdienst und kümmert sich daher um einen anderen, ergänzenden Teil des Zustellbarkeits-Puzzles. ARC schützt Nachrichten, die bereits über Zwischenstationen unterwegs sind, während VeriMails arbeitet, bevor du überhaupt auf Senden drückst – und sicherstellt, dass die Adressen auf deiner Liste echt und empfangsbereit sind.

Für jede Adresse, die du prüfst, führt VeriMails eine Syntaxvalidierung, einen MX-Record-Lookup, einen DNS-Check, einen Live-SMTP-Handshake mit dem empfangenden Mailserver, eine Catch-all-Erkennung, eine Erkennung von Wegwerf-Adressen und eine Erkennung rollenbasierter Adressen durch. Diese Kombination sagt dir, ob eine Adresse zustellbar ist, bevor sie überhaupt in eine Kampagne kommt – mit klaren Zustellbarkeits-Kategorien für deine Kampagnenentscheidungen.

Die beiden Ansätze verstärken sich gegenseitig. ARC und der größere Authentifizierungs-Stack aus SPF, DKIM und DMARC schützen deine Versand-Reputation, indem sie belegen, dass deine Mail echt ist. VeriMails schützt genau dieselbe Reputation von der anderen Seite, indem es ungültige und riskante Adressen von deiner Liste fernhält – so erzeugst du weniger Bounces und weniger Spam-Beschwerden. Du kannst Adressen einzeln über die VeriMails-REST-API verifizieren oder im Stapel, indem du eine CSV-Datei hochlädst. Jedes neue Konto startet mit 100 kostenlosen Credits, die nie verfallen – ganz ohne Kreditkarte.

Häufig gestellte Fragen