Für IT & Sicherheitsverantwortliche

p=reject ohne verlorene Mails. Ohne dass Ihr Team es stemmen muss.

Sie wissen, dass p=none nichts schützt. Was fehlt, ist nicht Wissen, sondern Kapazität: Reports parsen, 20+ Versandquellen alignen, Fachabteilungen koordinieren. Genau dieses Arbeitspaket übernehmen wir — transparent, dokumentiert und mit Ihnen im Lead.

Kostenloses Domain-Audit starten Zum Praxisfall ↓
Ausgangslage

Was Sie heute bremst — und wie es mit Sentrust aussieht

Heute

  • DMARC-Projekt seit Quartalen auf der Liste — immer hinter dringenderen Tickets
  • Angst vor dem reject-Schritt: Welche Altsysteme brechen dann?
  • Shadow-IT versendet im Firmennamen, ohne dass es jemand inventarisiert hat
  • Noch ein SaaS-Dashboard, das niemand im Team betreut
  • Berater, die Konzepte liefern — aber keine DNS-Changes umsetzen

Mit Sentrust

  • Vollständiges Versandquellen-Inventar aus RUA-Daten statt Umfragen
  • Datenbasierte Enforcement-Gates: nächste Stufe erst ab ≥98% Alignment
  • Jeder Change dokumentiert, mit Rollback-Plan — Sie behalten die Zonenhoheit
  • SLA bis 4h-Reaktionszeit, Runbooks und Übergabedossier ab Tag 1 (Exit-fähig)
  • MTA-STS, TLS-RPT und DNSSEC-Beratung gleich mitgedacht
Zeitachse der DMARC-Härtung in vier Etappen über elf Wochen: Audit und Inventar, Alignment der Versandquellen, Quarantäne-Stufe, volle Durchsetzung p=reject 1 Audit Woche 1–2 p=none 2 Alignment Woche 3–6 SPF + DKIM je Quelle 3 Quarantäne Woche 7–9 p=quarantine, pct-Stufen Enforcement Woche 10–11 p=reject Jeder Übergang datenbasiert: nächste Stufe erst ab ≥98% Alignment legitimer Quellen über mehrere Wochen.
Die Enforcement-Roadmap als kontrollierter Stufenplan — kein Mut, sondern Messwerte.
Praxisfall

So sieht das Projekt in der Realität aus

Modellfall · Industrie

Novamech Gruppe — 7 Domains, 23 Versandquellen, 0 verlorene Mails

  • BrancheMaschinenbau / Industriegruppe
  • Grösse480 Mitarbeitende, 3 Länder
  • Umfang7 Domains, 23 Versandquellen
  • PaketEnterprise Managed Compliance
23Versandquellen identifiziert (9 unbekannt)
11 Wochenalle 7 Domains auf p=reject
0verlorene legitime Mails (dokumentiert)
< 8 Std.interner IT-Aufwand gesamt

Ausgangslage: Gewachsene Gruppe nach zwei Zukäufen — sieben Domains, drei Mail-Tenants, historische SPF-Records mit 14 DNS-Lookups (Limit: 10) und ein ERP-System, das direkt aus dem Werknetz mailte. Zwei frühere Anläufe für DMARC waren intern versandet: keine Kapazität für die Report-Analyse.

Umsetzung durch Sentrust: Sechs Wochen RUA-Datensammlung identifizierten 23 aktive Versandquellen — 9 davon der IT unbekannt, darunter zwei Multifunktionsdrucker und ein gekündigtes, aber noch sendendes Umfragetool. Konsolidierung über ein zentrales Relay, SPF-Flattening, DKIM je Quelle, Domain-für-Domain-Enforcement nach Risikoreihenfolge. Wöchentliches 20-Minuten-Standup mit dem IT-Leiter, alle Changes im gemeinsamen Log.

Ergebnis: Alle sieben Domains auf p=reject in 11 Wochen — ohne einen dokumentierten Verlust legitimer Mails. Die vier geparkten Domains sind mit v=spf1 -all und reject-Policy stillgelegt. MTA-STS läuft im Enforce-Modus, TLS-RPT speist dasselbe Dashboard. Interner Aufwand der IT: unter 8 Stunden gesamt.

«Wir hätten das Wissen gehabt, aber nie die 100 Stunden. Sentrust hat sie investiert — und jede Änderung lag vorher als Change-Request bei uns.»

Head of IT, Novamech Gruppe (Modellfall)

Modellfall: anonymisiertes, typisches Projektszenario auf Basis realer Marktdaten und Projekterfahrung. Namen und Einzelwerte sind illustrativ; Ihre Ausgangslage erheben wir im kostenlosen Audit.

Häufige Fragen

Kurz beantwortet

Behalten wir die Kontrolle über unsere DNS-Zonen?
Ja. Sie wählen das Modell: delegierter Zonen-Zugriff, CNAME-Delegation der Auth-Records oder Changes per dokumentiertem Request an Ihr Team. Zonen und Schlüssel bleiben in jedem Fall Ihr Eigentum; jedes Change hat einen Rollback-Plan.
Wie stellt Sentrust sicher, dass bei p=reject nichts bricht?
Durch Daten statt Annahmen: Wir eskalieren erst, wenn legitime Quellen über mehrere Wochen ≥98% Alignment zeigen, nutzen pct-Stufen und Subdomain-Policies für die Feinsteuerung und überwachen die Forensik-Signale nach jedem Schritt.
Welche Tools setzt Sentrust ein — und was passiert bei Vertragsende?
Wir arbeiten mit etablierten DMARC-Analyseplattformen und dokumentieren jede Konfiguration im Kundendossier. Bei Vertragsende erhalten Sie das vollständige Übergabedossier: Records, Schlüsselinventar, Runbooks, Report-Historie. Kein Lock-in.

Wie steht Ihre Domain da?

Kostenloses Audit mit Management-Summary — Befund und Handlungsplan innert 48 Stunden.

Kostenloses Audit →