DMARC in Deutschland: Wie stehen die Top 250 Unternehmen?

Kurzfassung: Von Deutschlands 250 größten Unternehmen setzen 44,8 % DMARC mit der stärksten Richtlinie (p=reject) durch, 23,2 % haben p=quarantine, 23,2 % veröffentlichen einen DMARC-Eintrag, der jedoch nur überwacht (p=none), und 8,8 % verfügen über keinen gültigen DMARC-Eintrag. Damit setzen 68 % eine gewisse Durchsetzung um, während 32 % keinen wirklichen Schutz gegen das Spoofing ihrer Hauptdomain haben.

• 112 von 250 Unternehmen (44,8 %) setzen DMARC mit p=reject um – der einzigen Richtlinie, die tatsächlich gefälschte Mails blockiert.
• 80 Unternehmen (32 %) sind exponiert: 58 überwachen nur und 22 haben überhaupt keinen DMARC-Eintrag.
• Einige Unternehmen mit Durchsetzung untergraben sich durch geringe Durchsetzungsquoten oder offene Subdomain-Policies, was bedeutet, dass der genannte Wert die tatsächliche Schutzwirkung überbewertet.
• Das NIS2-Umsetzungsgesetz in Deutschland gilt seit Dezember 2025 ohne Übergangsfrist und betrifft die meisten dieser Unternehmen direkt.
• BIMI mit Verified Mark Certificate ist kaum verbreitet: Nur etwa 12 von 250 Unternehmen nutzen es, obwohl 170 bereits die Voraussetzungen für die Durchsetzung erfüllen.

Red Sift hat die E-Mail-Authentifizierungs-Einstellungen der 250 umsatzstärksten deutschen Unternehmen analysiert. Das Ergebnis: Weniger als die Hälfte sind vollständig geschützt. Fast ein Drittel verfügt über keinen wirksamen Schutz gegen Domain-Spoofing – darunter ein Flughafenbetreiber, ein Krankenhausverbund und mehrere bekannte Namen aus der Pharmabranche, die unter den Anwendungsbereich von NIS2 fallen.

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist das Protokoll, das entscheidet, wie mit E-Mails umgegangen wird, die bei der Authentifizierung Ihrer Domain durchfallen. Wenn es durchgesetzt wird, wird eine gefälschte Nachricht, die vorgibt, von Ihrem Unternehmen zu stammen, blockiert oder in Quarantäne verschoben, bevor sie das Postfach des Empfängers erreicht. Wird die Durchsetzung ausgeschaltet oder nur auf Überwachung eingestellt, kann jeder Ihre Domain in das From-Feld eintragen, und Ihre Kunden haben keinen technischen Grund, der E-Mail zu misstrauen.

Wir haben die aktuellen DNS-Einträge der 250 größten deutschen Unternehmen nach Umsatz abgefragt und die DMARC-Richtlinie, den Durchsetzungsgrad, die Subdomain-Policy und den BIMI-Status jeder Domain ausgewertet. Die Aufschlüsselung:

• p=reject (vollständige Durchsetzung): 112 Unternehmen, 44,8 %. Nicht autorisierte Mails werden direkt blockiert.
• p=quarantine: 58 Unternehmen, 23,2 %. Fehlgeschlagene Mails landen im Spam statt blockiert zu werden.
• p=none (nur Überwachung): 58 Unternehmen, 23,2 %. Es existiert ein Eintrag, aber er verhindert kein Spoofing.
• Kein gültiger DMARC-Eintrag: 22 Unternehmen, 8,8 %. Keine veröffentlichte Policy oder Eintrag ist so fehlerhaft, dass er nicht gelesen werden kann.

Kombiniert man reject und quarantine, erhält man 170 Unternehmen (68 %), die aktiv etwas gegen Identitätsdiebstahl im E-Mail-Verkehr unternehmen. Das ist im Vergleich zu vielen Märkten ein guter Wert, liegt aber hinter dem Vereinigten Königreich, wo dieser Wert insgesamt bei 74 % liegt. Damit haben 80 der umsatzstärksten deutschen Unternehmen keinen funktionierenden Schutz gegen das Versenden gefälschter Mails im Namen ihrer Domain.

Ein DMARC-Eintrag mit p=none weist E-Mail-Anbieter lediglich an, zu überwachen und zu berichten – aber nicht zu handeln. Gefälschte Mails werden also trotzdem zugestellt. Der Wert liegt in den Rapportdaten, denn genau darauf baut man die Durchsetzung auf, aber eine Domain, die seit Jahren nur auf p=none steht, sammelt zwar Beweise, tut aber nichts damit.

Unsere Analyse ergab, dass ein Pharma- und Life-Science-Unternehmen mit 51,8 Milliarden Euro Umsatz – in einem Sektor, den NIS2 als besonders kritisch einstuft – immer noch auf p=none steht. DMARC-Berichte werden gesammelt, aber ein ausgehender Schutz ist nicht vorhanden.

Ebenso steht einer der größten Rückversicherer der Welt auf „nur Überwachung“. Drei bekannte Namen aus dem Energiesektor verhalten sich genauso. Das Muster wiederholt sich: Große, regulierte, vom Geltungsbereich umfasste Unternehmen, die den DMARC-Prozess zwar angestoßen, aber einen Schritt vor entscheidender Schutzwirkung abgebrochen haben.

Das Policy-Feld zeigt die beabsichtigte Schutzwirkung. Zwei andere Felder verraten jedoch, ob diese Absicht der Realität standhält – und hier fallen einige Unternehmen mit Durchsetzung durch.

Der erste Punkt ist die Durchsetzungsquote. Mit DMARC können Sie die Richtlinie mithilfe des pct-Werts auf einen Bruchteil fehlerhafter Mails anwenden (obwohl RFC9989 den pct-Tag bald entfernen wird). Pct war eigentlich als zeitlich begrenzter Wert für die Einführung gedacht. Ein Halbleiterhersteller mit 16,3 Milliarden Euro Umsatz veröffentlicht p=quarantine bei pct=10. Das heißt: 90 % der Mails, die auf seiner Domain bei der Prüfung durchfallen, werden weiterhin ganz normal zugestellt. Ein Unternehmen für Verteidigungselektronik macht es ebenso mit pct=10.

Der zweite Punkt ist die Subdomain-Policy. Eine Domain kann p=reject auf der Hauptadresse setzen, aber Subdomains mit sp=none ungeschützt lassen. Angreifer wissen das – und eine gefälschte Rechnung von billing.yourcompany.com ist genauso wirksam wie die vom Hauptdomain. In diesem Datensatz zeigt sich, dass viele Unternehmen ihre Hauptdomain schützen, aber die Subdomains offenlassen, was Angriffe wie SubdoMailing ermöglicht.

Die Unternehmen ohne gültigen DMARC-Eintrag sind das größte Risiko – auf der Liste stehen Namen, die Sicherheitsteams stutzig machen sollten.

Ein bekannter Luftfahrtbetreiber des Frankfurter Flughafens hat keine DMARC-Policy veröffentlicht. Als Verkehrsbetreiber fällt er unter die strengste NIS2-Regulierung. Auch ein Akteur aus dem Gesundheitswesen in derselben Kategorie hat keinen DMARC-Eintrag – ebenso wie ein großes Hafen- und Logistikunternehmen.

Zwei Fälle fallen eher als Konfigurationsfehler denn als völliges Fehlen auf: Ein Automobil- und Industriezulieferer (16,3 Milliarden Euro Umsatz) hat SPF korrekt eingerichtet, aber keinen gültigen DMARC-Eintrag. Europas größter Kupferproduzent (17,1 Milliarden Euro Umsatz) veröffentlichte einen DMARC-Eintrag mit ungültigem Tag (ein großgeschriebenes „PCT“, das der Standard nicht erkennt) – der Eintrag kann also nicht ausgewertet werden und bietet keinen Schutz.

Bei all diesen Unternehmen kann ein Angreifer heute Mails im Namen der Domain verschicken – ohne jede technische Hürde.

Das NIS2-Umsetzungsgesetz, das das BSI-Gesetz anpasst, gilt in Deutschland seit dem 6. Dezember 2025 ohne Übergangsfrist. Die Frist zur Registrierung beim BSI endete am 6. März 2026. Rund 29.500 Organisationen sind betroffen – quer durch Energie, Transport, Gesundheit, Industrie, Bankwesen und digitale Infrastruktur, was auf die meisten Unternehmen dieses Datensatzes zutrifft.

NIS2 nennt DMARC nicht explizit. Allerdings schreibt es Risikomanagement, Lieferkettensicherheit und Verantwortlichkeit des Managements vor – mit persönlicher Haftung für Geschäftsleiter und Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. E-Mail-Authentifizierung ist eine grundlegende Maßnahme, die direkt auf diese Verpflichtungen einzahlt. Bewertet etwa ein Regulator oder ein Unternehmenskunde Ihre Sicherheitslage, ist eine leicht zu fälschende Domain kein nebensächlicher Punkt, sondern ein echtes Manko. Und weil NIS2 die Anforderungen entlang der Lieferkette weitergibt, hängt die Compliance Ihrer Kunden nun teilweise von Ihrer eigenen ab.

Die Unternehmen mit p=reject in diesem Datensatz können diese Frage sauber beantworten. Die 80 ohne echten Schutz nicht.

Die Unternehmen, die alles richtig machen, zeigen ein klares Muster: Sie setzen p=reject um, decken damit 100 % des Mail-Verkehrs ab, richten eine Subdomain-Policy ein, die der Hauptdomain entspricht, und diejenigen mit Markeninteresse ergänzen ein VMC. Allianz, Mercedes-Benz, SAP, Deutsche Bank und RWE gehören zu dieser Gruppe.

Vom Zustand p=none oder keinem Eintrag bis zu voller Durchsetzung ist es kein jahrelanges Projekt. Die Arbeit besteht darin, Berichte zu analysieren, alle legitimen Absender zu ermitteln, diese zu authentifizieren und die Policy schrittweise zu verschärfen, bis reject sicher aktivierbar ist. Unternehmen, die steckenbleiben, machen alles von Hand. Die Erfolgreichen steuern die Einführung als managed process und lassen sich von den Berichten leiten.

Red Sift OnDMARC automatisiert diesen Prozess: Die Lösung bringt Domains innerhalb weniger Wochen von Überwachung zur Durchsetzung, indem sie Absender automatisch klassifiziert und genau anzeigt, wie sich jede Policy-Änderung auswirken würde, bevor sie angewendet wird.

Wenn Sie zu Deutschlands Top 250 gehören oder an diese verkaufen, ist die Frage einfach: Kann heute jemand Mails im Namen Ihrer Domain versenden? Für 80 dieser Unternehmen lautet die Antwort: Ja. Die Lösung ist bekannt.