ARC fail (arc=fail): was die Authenticated Received Chain bedeutet

Was das bedeutet

ARC (Authenticated Received Chain, RFC 8617) hilft E-Mails, Weiterleitungen zu überstehen. Wenn ein Weiterleiter oder eine Mailingliste eine Nachricht verändert, brechen SPF und DKIM oft. Mit ARC hält jeder Zwischenserver fest, wie die Authentifizierungsergebnisse beim Empfang der Nachricht aussahen, und signiert diese Aufzeichnung. Der letzte Empfänger kann dann entscheiden, diesen früheren Ergebnissen zu vertrauen.

Jeder Server, der ARC hinzufügt, schreibt drei Header mit einer Instanznummer i=1, i=2...:

• ARC-Authentication-Results: die Ergebnisse von SPF, DKIM und DMARC, wie dieser Server sie gesehen hat.
• ARC-Message-Signature: eine DKIM-ähnliche Signatur der Nachricht.
• ARC-Seal: eine Signatur über die ARC-Header, mit cv= (chain validation) auf none (erster Hop), pass oder fail.

Ein Ergebnis wie dieses bedeutet, dass die Kette nicht validiert werden konnte:

Authentication-Results: mx.example.com; arc=fail (signature failed)
ARC-Seal: i=2; a=rsa-sha256; cv=fail; d=lists.example.org; s=arc; ...

Sobald ein Siegel cv=fail sagt, ist die Kette endgültig gebrochen: Spätere Server können sie nicht reparieren.

Warum das passiert

• Ein Server hat die Nachricht nach dem Versiegeln verändert: eine Fußzeile, ein Betreff-Tag, ein Security-Gateway, das Links umschreibt, oder ein Virenscanner, der nach ARC ein Banner einfügt.
• Ein falscher oder fehlender ARC-Schlüssel: Der Selector im ARC-Seal (s=) hat keinen öffentlichen Schlüssel im DNS unter selector._domainkey.domain, oder der Schlüssel passt nicht.
• Falsche Reihenfolge oder fehlende Header: Ein Hop hat ARC-Header entfernt oder umsortiert, oder eine Instanznummer fehlt.
• Zu viele Hops: Der Standard erlaubt höchstens 50 Instanzen.
• Fehlerhafte Implementierungen in einem Gateway oder einer Mailinglisten-Software.

Wichtig: arc=fail heißt nicht, dass mit deiner Domain etwas nicht stimmt. Wenn du die E-Mail direkt gesendet hast und SPF, DKIM und DMARC bestehen, spielt ARC nur bei weitergeleiteten E-Mails eine Rolle. Und arc=none heißt nur, dass niemand ARC hinzugefügt hat, was bei direktem Versand normal ist.

So prüfst du es

1. Teste zuerst deinen eigenen Versand. Schick eine E-Mail direkt aus deinem Tool an die einmalige Adresse auf der Startseite von Delivmail (/). Bestehen SPF, DKIM und DMARC, liegt das Problem auf dem Weiterleitungsweg, nicht in deiner Konfiguration.
2. Lies die Header der empfangenen Nachricht im Zielpostfach (Gmail „Show original“, Outlook „View message source“). Such jedes ARC-Seal und notiere i=, cv=, d= und s=. Das erste Siegel mit cv=fail oder der Hop direkt davor ist die Bruchstelle. Siehe So liest du E-Mail-Header.
3. Prüfe den ARC-Schlüssel des Versieglers:

   dig TXT arc._domainkey.lists.example.org +short

So behebst du es

Wenn du den Weiterleiter, die Liste oder das Gateway betreibst

• Füge ARC nach jeder Änderung an der Nachricht hinzu. Fußzeilen und Banner müssen vor dem Versiegeln eingefügt werden.
• Veröffentliche den öffentlichen ARC-Schlüssel und prüfe den Selector. Viele Server können ARC: Rspamd hat zum Beispiel ein ARC-Modul, und Mailman 3 unterstützt ARC-Signaturen.
• Leite möglichst weiter, ohne den Inhalt zu verändern, und nutze SRS für SPF bei weitergeleiteten E-Mails.

Wenn du der ursprüngliche Absender bist

• Sorge dafür, dass DKIM besteht und zu deiner From-Domain passt. DKIM übersteht einfache Weiterleitungen viel besser als SPF.
• Zu Mailinglisten lies Mailinglisten und Google Groups brechen DMARC.

Wenn du der letzte Empfänger bist (Microsoft 365)

Bricht ein vertrauenswürdiger Dienst (ein Security-Gateway, eine Liste) DMARC, versiegelt aber korrekt mit ARC, kannst du ihn in Microsoft 365 als vertrauenswürdigen ARC-Versiegler eintragen, im Defender portal oder per PowerShell. Der Parameter ersetzt die ganze Liste, also gib die vorhandenen Werte mit an:

Set-ArcConfig -Identity Default -ArcTrustedSealers "lists.example.org"

Vertraue nur Versieglern, die du wirklich kennst: Ein vertrauenswürdiger Versiegler kann fehlschlagende E-Mails legitim aussehen lassen.

Prüfe, ob es behoben ist

Sende eine neue Nachricht über denselben Weg und lies die Header am Ziel: Das letzte ARC-Seal sollte cv=pass zeigen und Authentication-Results sollte arc=pass zeigen. Mach außerdem einen Delivmail-Test, um zu bestätigen, dass dein eigenes SPF, DKIM und DMARC weiterhin bestehen. Empfänger entscheiden selbst, ob sie ARC nutzen; eine gültige Kette hilft also, garantiert aber keine Zustellung.