50% der Top-Organisationen in Boston verfügen nicht über vollständigen DMARC-Schutz

• 50,5% der Top-Organisationen in Boston haben die DMARC-Enforcement-Stufe (p=reject) erreicht, was bedeutet, dass 49,5% weiterhin exponiert sind
• 22 Domains (22,2%) verfügen über keinen wirksamen DMARC-Schutz, sie nutzen entweder p=none oder haben gar keinen DMARC-Eintrag
• 27 Domains (27,3%) verbleiben auf der Quarantäne-Stufe, nur wenige Wochen vom vollständigen Schutz entfernt, ohne den letzten Schritt zu vollziehen
• Google, Microsoft und Yahoo weisen nicht konforme Massen-E-Mails jetzt auf SMTP-Ebene zurück, wodurch Enforcement ebenso sehr ein Zustellbarkeits- wie ein Sicherheitsproblem wird

Die neueste DMARC-Compliance-Analyse von Red Sift untersuchte 99 Domains von Bostons Top-Organisationen. Die Ergebnisse zeichnen ein klares Bild: Die Unternehmen dieser Stadt teilen sich fast gleichmäßig in geschützte und exponierte Organisationen auf.

Etwas mehr als die Hälfte, 50 Domains (50,5%), haben p=reject erreicht. Das ist die DMARC-Richtlinienstufe, die gefälschte E-Mails tatsächlich davon abhält, in Posteingänge zu gelangen. Die anderen 49 Domains? Sie sind entweder nur teilweise geschützt oder völlig offen für Identitätsdiebstahl.

22 dieser 49 Domains verfügen über keinen wirksamen DMARC-Schutz. Dazu gehören 18 Domains mit einer p=none-Richtlinie (die überwacht, aber keine Maßnahmen gegen gefälschte E-Mails ergreift) und 4 Domains, für die überhaupt kein DMARC-Eintrag veröffentlicht wurde.

Die verbleibenden 27 Domains befinden sich auf der Stufe p=quarantine. Diese Organisationen haben den Großteil der Arbeit erledigt. Ihre gefälschten E-Mails werden markiert und in Spam-Ordner umgeleitet. Sie haben jedoch nicht den letzten Schritt zu reject vollzogen, sodass betrügerische Nachrichten die Empfänger trotzdem erreichen können.

Für eine Stadt, die Sitz großer Finanzdienstleister, Gesundheitsanbieter, Universitäten und Technologieunternehmen ist, ist eine Verwundbarkeitsrate von 49,5% ein Problem, das es zu beheben gilt.

Vor zwei Jahren war DMARC eine Best Practice. Im Jahr 2026 ist es eine Grundvoraussetzung. Drei Dinge haben sich geändert.

Google und Yahoo begannen im Februar 2024, DMARC für Massenversender zu verlangen. Microsoft folgte im Mai 2025. Seit Ende 2025 ist Google zu strikter Enforcement auf SMTP-Ebene übergegangen, was bedeutet, dass nicht konforme E-Mails nun permanente Ablehnungsfehler (550er-Codes) erhalten, anstatt nur temporär verzögert zu werden.

Diese drei Anbieter kontrollieren über 80% der globalen E-Mail-Infrastruktur. Wenn Ihre Domain deren Authentifizierungsstandards nicht erfüllt, erreichen Ihre E-Mails Ihre Kunden nicht. Das ist kein Sicherheitsrisiko. Das ist ein Problem für die Geschäftskontinuität.

Das IC3 des FBI meldete für 2024 Verluste durch Business Email Compromise in Höhe von 2,77 Milliarden US-Dollar, bei 21.442 eingereichten Beschwerden. BEC war die zweitschädlichste Cyberkriminalitätskategorie in finanzieller Hinsicht, nur hinter Anlagebetrug. Die gemeldeten Gesamtverluste durch Cyberkriminalität erreichten 2024 16,6 Milliarden US-Dollar, ein Anstieg von 33% gegenüber dem Vorjahr.

BEC-Angriffe beruhen auf E-Mail-Identitätsdiebstahl. Ein Angreifer sendet eine E-Mail, die scheinbar von einer vertrauenswürdigen Führungskraft, einem Lieferanten oder Partner stammt, und überzeugt den Empfänger, Gelder zu überweisen oder sensible Daten weiterzugeben. DMARC im Enforcement-Modus (p=reject) blockiert diese gefälschten Nachrichten, bevor sie das Ziel erreichen.

PCI DSS 4.0.1 verlangt DMARC für Organisationen, die Zahlungskartendaten verarbeiten. Das britische NCSC empfiehlt schon lange DMARC auf Enforcement-Ebene für Organisationen des öffentlichen Sektors. NIS2 in der EU treibt ähnliche Anforderungen an die E-Mail-Authentifizierung voran. Für regulierte Branchen in Boston (Finanzdienstleistungen, Gesundheitswesen, Bildung) ist DMARC keine Option. Es ist eine Compliance-Pflicht.

Hierbei geht es nicht nur um Sicherheit. Organisationen ohne DMARC-Enforcement riskieren, dass legitime E-Mails von Google, Microsoft und Yahoo abgelehnt oder in den Spam-Ordner umgeleitet werden. Marketingkampagnen, Rechnungen, Kundenkommunikation und Partnerkorrespondenz hängen alle von der Zustellbarkeit ab. Eine fehlende oder schwache DMARC-Richtlinie wirkt sich nun direkt auf den Umsatz aus.

Red Sift OnDMARC wurde für Organisationen entwickelt, die schnell die DMARC-Enforcement-Stufe erreichen und dort dauerhaft bleiben möchten.

• Enforcement in Wochen statt Monaten erreichen: Der Branchendurchschnitt für die DMARC-Implementierung liegt bei manuellen Ansätzen bei etwa 32 Wochen. Red Sift OnDMARC bringt Organisationen typischerweise innerhalb von 6 bis 8 Wochen auf p=reject. Die Plattform automatisiert die komplexen Teile: die Identifizierung aller legitimen Versandquellen, die Verwaltung von SPF- und DKIM-Konfigurationen und die Bereitstellung klarer Hinweise, was wann zu beheben ist.
• Dynamisches SPF, das Konfigurationsabweichungen verhindert: SPF-Einträge haben ein hartes Limit von 10 DNS-Lookups. Wenn Organisationen immer mehr E-Mail-Dienste von Drittanbietern hinzufügen (Marketingplattformen, CRMs, Ticketing-Systeme, Rechnungstools), erreichen sie schnell diese Obergrenze. Die Dynamic-SPF-Technologie von Red Sift verwaltet dies automatisch und hält SPF gültig, ohne dass Einträge manuell jongliert werden müssen.
• Vollständige Transparenz über jede Versandquelle: OnDMARC verarbeitet DMARC-Aggregat- und Forensikberichte in einem übersichtlichen Dashboard, das genau zeigt, wer im Namen Ihrer Domain E-Mails versendet, ob dies autorisiert ist und ob die Authentifizierung erfolgreich verläuft. Kein mühsames Auswerten von Roh-XML mehr. Kein Rätselraten mehr, welcher Drittanbieterdienst falsch konfiguriert ist.
• Entwickelt für komplexe Umgebungen: Bostons größte Organisationen betreiben keine einfachen E-Mail-Setups. Sie nutzen Dutzende von Drittanbieter-Versendern, verwalten mehrere Domains und Subdomains und agieren über Abteilungen hinweg, die jeweils eigene Tools einsetzen. OnDMARC wurde für diese Komplexität entwickelt, mit Multi-Domain-Management, granularem Reporting und Integrationen, die mit dem Wachstum Ihrer E-Mail-Infrastruktur skalieren.
• Fortlaufendes Monitoring nach Erreichen der Enforcement-Stufe: Das Erreichen von p=reject ist nicht die Ziellinie. Neue Versanddienste werden hinzugefügt. Konfigurationen verändern sich. Übernahmen bringen neue Domains ins Spiel. OnDMARC bietet kontinuierliches Monitoring und Alerting, damit Ihr DMARC-Status auch bei Veränderungen in Ihrem E-Mail-Ökosystem im Enforcement bleibt.

Für die 27 Bostoner Organisationen, die sich derzeit im Quarantäne-Status befinden, ist der Wechsel zu reject in greifbarer Nähe. Für die 22 ohne wirksamen Schutz ist es jetzt an der Zeit zu beginnen.