Eine Auswertung von 67.336 Domains zeigt, wie weit E-Mail-Authentifizierung und echter Schutz auseinanderliegen. Gut zwei Drittel lassen gefälschte Absender passieren, und das BSI verlangt von deutschen Betreibern längst mehr als Google und Microsoft.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
DMARC steht seit 2012 öffentlich zur Verfügung, und trotzdem hat der Sicherheitsdienstleister CipherCue bei 67.336 direkt abgefragten Domains ein ernüchterndes Bild vorgefunden.[1] 54,9 Prozent führen überhaupt einen DMARC-Eintrag, aber nur 31,5 Prozent eine Richtlinie, die gefälschte Nachrichten aussortiert.
Das Wichtigste in Kürze
- 45,1 Prozent der geprüften Domains führen gar keinen DMARC-Eintrag, weitere 23,3 Prozent stehen auf
p=none. - Google verlangt seit dem 1. Februar 2024 von Massenversendern einen DMARC-Eintrag, erlaubt aber die Richtlinie „none“. Microsoft hat im Mai 2025 nachgezogen.
- Das BSI erwartet in seiner Technischen Richtlinie TR-03182 mindestens
quarantine, langfristigreject. - In 36.974 DMARC-Einträgen tauchen 10.268 verschiedene Reporting-Domains auf, 79 Prozent davon genau einmal.
Wie viele Domains setzen DMARC wirklich durch?
Von 67.336 geprüften Domains führen 45,1 Prozent keinen DMARC-Eintrag, 23,3 Prozent stehen auf p=none. Zusammen sind das 68,4 Prozent ohne wirksame Richtlinie. Nur 15,2 Prozent setzen quarantine, 16,3 Prozent reject.
Direkt aus dem DNS. CipherCue hat die Werte zwischen dem 14. April und dem 28. Juli 2026 per eigener DNS-Abfrage erhoben.[1] SPF erreicht in derselben Stichprobe 72,7 Prozent, die Transportabsicherung MTA-STS dagegen nur 1,4 Prozent. Beide Verfahren stehen im Cybersecurity-Glossar.
Folgenlose Prüfung. Eine Richtlinie auf p=none weist empfangende Systeme an, Verstöße nur zu melden und die Nachricht trotzdem zuzustellen. Der Absenderabgleich über SPF und die Signatur per DKIM laufen korrekt, das Ergebnis bleibt aber ohne Wirkung. Gefälschte Absender tragen fast jede Phishing-Kampagne, und der Anteil KI-gestützter Angriffe wächst weiter.
Warum bleibt es so oft bei p=none?
Weil das bisher gereicht hat. Google fordert seit dem 1. Februar 2024 von Absendern ab 5.000 Nachrichten am Tag einen DMARC-Eintrag, erlaubt aber ausdrücklich die Richtlinie „none“. Microsoft hat im Mai 2025 nachgezogen.
Standard erfüllt, Schutz nicht. In seiner Absender-Dokumentation schreibt Google, die DMARC-Durchsetzungsrichtlinie dürfe auf „none“ gesetzt werden.[2] Microsoft verlangt für Outlook.com „mindestens p=none“, ausgerichtet an SPF oder DKIM.[3] Die beiden größten Postfachbetreiber haben damit den Eintrag erzwungen, nicht den Schutz.
Der zweite Bremsklotz. Vor dem Wechsel auf quarantine muss ein Betreiber die DMARC-Reports auswerten, um zu wissen, welche Dienste in seinem Namen versenden. In 36.974 untersuchten Einträgen tauchen jedoch 10.268 verschiedene Reporting-Domains auf, 79 Prozent davon genau einmal.[1] Hinter den meisten stehen gehashte Postfachnamen ohne erkennbaren Anbieter.
Ein DMARC-Eintrag auf p=none ist keine halbe Sicherheit, sondern ein Protokoll über den eigenen Missbrauch. Solange niemand die Reports auswertet, dokumentiert er nur sauber, wer alles im fremden Namen verschickt.
— Michael Dobler, Herausgeber Dr. Web
67.336 Domains, direkt im DNS abgefragt zwischen dem 14. April und dem 28. Juli 2026.
Welche Richtlinie steht im DNS?
30.362 Domains. Empfangende Systeme haben keine Anweisung, wie sie mit gefälschten Absendern verfahren sollen.
15.709 Domains. Verstöße werden nur gemeldet, die Nachricht wird trotzdem zugestellt.
10.258 Domains. Auffällige Nachrichten landen im Spam-Ordner. Das ist die Untergrenze des BSI.
10.963 Domains. Die Zustellung wird abgelehnt. Laut BSI das langfristige Ziel.
Ab 5.000 Nachrichten pro Tag ist ein DMARC-Eintrag Pflicht, ausdrücklich auch mit der Richtlinie „none“. Gilt bei Gmail seit dem 1. Februar 2024, bei Outlook.com seit Mai 2025.
TR-03182 erwartet quarantine oder reject, mindestens eine RUA-Adresse und eine Verarbeitung der Reportdaten innerhalb der EU.
Was verlangt das BSI von deutschen Absendern?
Die Technische Richtlinie TR-03182 erwartet als Empfängerrichtlinie quarantine oder reject, weil nur diese beiden die Empfänger schützen. Langfristiges Ziel ist laut BSI reject. Eine Richtlinie auf p=none erfüllt die Anforderung nicht.
Strenger als der Markt. Das Bundesamt für Sicherheit in der Informationstechnik hat die Richtlinie am 24. Januar 2024 veröffentlicht, eine Woche vor Googles Stichtag.[4] Eine Ausrichtung allein an den Vorgaben der Postfachanbieter bleibt damit hinter der deutschen Vorgabe zurück. Das BSI hat den Mittelstand zuletzt gezielt nach seinen NIS2-Umsetzungslücken gefragt.
Die übersehene Datenschutzklausel. Das BSI stuft die Reportdaten als personenbezogen ein, verlangt eine Verarbeitung innerhalb der EU und schließt aus, dass die Jurisdiktion des verarbeitenden Unternehmens die Herausgabe einfordern kann.[4] Bei über 10.000 Reportzielen, viele davon bei US-Dienstleistern, wiegt das schwerer als der Auswertungskomfort, und die gängigen Empfehlungen für sichere E-Mail im Unternehmen gehen selten darauf ein.
Konkret heißt das: den eigenen Eintrag unter _dmarc.ihredomain.de prüfen, die RUA-Adresse auf einen Dienstleister mit EU-Verarbeitung legen, vier Wochen Reports auswerten und dann von none auf quarantine wechseln. Beim Versand über einen externen Dienstleister gehört die Ausrichtung von SPF und DKIM vorher geklärt, sonst landen die eigenen Newsletter als Erstes im Quarantäneordner.
Quellen
[1] CipherCue: „DMARC Has Been Public Since 2012. 68.4% of Domains Still Don’t Enforce It“
[2] Google: „E-Mail-Absenderrichtlinien“ (Google Workspace-Administratorhilfe)
[3] Microsoft: „Strengthening Email Ecosystem: Outlook’s New Requirements for High-Volume Senders“
[4] Bundesamt für Sicherheit in der Informationstechnik: „BSI TR-03182 Email Authentication“, Version 1.0
Mehr Newshunger?
- NIS-2: Das BSI fragt, wo der Mittelstand klemmt
- 86 Prozent KI-Phishing: Wie sich Mittelständler 2026 wirklich schützen
- Jeder Vierte Cyber-Opfer: BSI mahnt KI-Phishing an
- Kein einziger Bug: Wie ShinyHunters ein Jahr lang Salesforce-Daten stahl
- Qilin-Ransomware nutzt Palo-Alto-VPN-Lücke: Wenn ein Cookie die Firewall öffnet
- Cybersecurity-Glossar 2026: 99 Begriffe von BSI bis Zero Trust
