DMARC in Irland: wo die größten Unternehmen stehen

Red Sift hat die DMARC-Einträge von 201 der größten Unternehmen Irlands in zwei Gruppen analysiert: 100 multinationale Konzerne mit bedeutender Geschäftstätigkeit in Irland und 101 in Irland gegründete Unternehmen. Dies ist eine Momentaufnahme davon, wo jede Gruppe bei der Kontrolle steht, die darüber entscheidet, ob eine gefälschte E-Mail mit Ihrer Domain ihr Ziel erreicht oder gestoppt wird.

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist das Protokoll, das entscheidet, was mit einer E-Mail geschieht, die die Authentifizierungsprüfungen für Ihre Domain nicht besteht. Wird es auf Enforcement gesetzt, wird eine gefälschte Nachricht, die vorgibt, von Ihrem Unternehmen zu stammen, blockiert oder als Spam markiert, bevor sie den Empfänger erreicht. Bleibt es deaktiviert oder wird nur auf Überwachung eingestellt, kann jeder Ihre Domain im Absenderfeld verwenden, und Ihre Kunden haben keinen technischen Grund, daran zu zweifeln.

Diese Studie reiht sich in dieselbe Analyse ein, die Red Sift bereits in anderen europäischen Märkten durchgeführt hat, darunter der FTSE 250 im Vereinigten Königreich mit 60,8 % Enforcement und die Top 250 in Deutschland mit 44,8 %. In jedem von uns untersuchten Markt ist die DMARC-Einführung real und steigt weiter an – und in den meisten von ihnen ist die Arbeit bereits weit fortgeschritten, wenn auch noch nicht abgeschlossen.

• 63 von 100 multinationalen Konzernen mit Geschäftstätigkeit in Irland (63 %) setzen DMARC mit p=reject durch – der Richtlinie, die gefälschte E-Mails vollständig blockiert
• 40 von 101 in Irland gegründeten Unternehmen (39,6 %) setzen DMARC mit p=reject durch, weitere 34 (33,7 %) befinden sich bei p=quarantine, nur einen Schritt vor vollständigem Enforcement
• 74 von 101 in Irland gegründeten Unternehmen (73,3 %) verfügen bereits über eine aktive DMARC-Bereitstellung auf Quarantäne- oder Reject-Stufe
• Schätzungsweise 4.500 bis 6.000 irische Einrichtungen fallen in den Anwendungsbereich, sobald Irland die Umsetzung von NIS2 abgeschlossen hat, was bis Ende 2026 erwartet wird – und die meisten Unternehmen dieser Studie stehen auf dieser Liste
• Rechnungsumleitung und CEO-Betrug, beide basierend auf E-Mail-Spoofing, sind die größten Betrugsbedrohungen für irische Unternehmen – das macht DMARC zu einer direkten Kontrollmaßnahme gegen die Art und Weise, wie irische Unternehmen tatsächlich angegriffen werden

Von den 100 multinationalen Konzernen mit bedeutender Geschäftstätigkeit in Irland setzen 63 DMARC mit p=reject durch. Hier die vollständige Aufschlüsselung.

Die Stärke dieser Gruppe spiegelt das wider, was diese Unternehmen sind: globale Konzerne mit eigenen Sicherheitsteams und Berichtswegen bis auf Vorstandsebene. Viele wurden bereits durch die Bulk-Sender-Anforderungen von Google und Yahoo im Jahr 2024, durch die SEC-Offenlegungspflichten oder durch Sicherheitsprüfungen ihrer eigenen Kunden zum Enforcement gedrängt. Wenn ein globales Technologie- oder Pharmaunternehmen ein Büro in Dublin eröffnet, steht DMARC bei der übergeordneten Domain in der Regel bereits auf p=reject. E-Mail-Authentifizierung ist eine globale Kontrollmaßnahme, und diese Unternehmen haben eine fertige Version davon mitgebracht.

Von den 101 in Irland gegründeten Unternehmen setzen 40 DMARC mit p=reject durch, weitere 34 befinden sich bei p=quarantine. Hier die vollständige Aufschlüsselung.

Die Enforcement-Kennzahl allein unterschätzt, wie viel Arbeit bereits geleistet wurde. Addiert man die 40 Unternehmen bei Reject zu den 34 bei Quarantäne, verfügen 74 der 101 in Irland gegründeten Unternehmen (73,3 %) über eine aktive DMARC-Bereitstellung. Dies sind die Branchen, auf denen die irische Wirtschaft aufgebaut wurde – von Banken und Baustoffen über Lebensmittel und Landwirtschaft bis hin zu Luftfahrt und Glücksspiel – und die überwiegende Mehrheit von ihnen hat bereits einen Eintrag veröffentlicht, ihre legitimen Absender geprüft und die reine Überwachungsphase hinter sich gelassen.

Damit ergibt sich ein klares, abschließbares Bild. 34 Unternehmen sind nur eine Richtlinienänderung von vollständigem Schutz entfernt, und 27 haben noch Raum, um überhaupt zu beginnen. Die Richtung stimmt, und die letzten Schritte sind die einfachsten.

Die 34 in Irland gegründeten Unternehmen bei p=quarantine haben den schwierigen Teil bereits erledigt. Eine Quarantäne-Richtlinie schickt verdächtige E-Mails in den Spam-Ordner, statt sie zu blockieren, bietet also bereits echten Schutz. Diese Stufe zu erreichen bedeutet, dass ein Unternehmen einen Eintrag veröffentlicht, seine Absender authentifiziert und bewusst über die reine Überwachung hinausgegangen ist. Der verbleibende Schritt hin zu p=reject besteht in der Regel nur darin, zu bestätigen, dass die Berichtsdaten sauber sind, und die Richtlinie entsprechend zu verschärfen.

Die meisten Unternehmen bei Quarantäne können innerhalb weniger Wochen vollständiges Enforcement erreichen, sobald jemand die Entscheidung übernimmt, den Prozess abzuschließen. Für die 27 Unternehmen bei p=none oder ohne Eintrag gilt der übliche Weg: einen Eintrag veröffentlichen, die Berichtsdaten auswerten, um jeden legitimen Absender zu identifizieren, diese Absender authentifizieren und die Richtlinie dann schrittweise verschärfen, bis p=reject gefahrlos aktiviert werden kann.

Zwei Faktoren machen dieses Jahr zum richtigen Zeitpunkt für irische Unternehmen, DMARC ganz oben auf die Liste zu setzen.

Der erste ist die Regulierung. Irland hat die Frist der EU im Oktober 2024 zur Umsetzung der NIS2-Richtlinie verpasst, und die Verzögerung hat sich seitdem verschärft. Die Europäische Kommission sandte im November 2024 ein Mahnschreiben, im Mai 2025 eine begründete Stellungnahme und verwies Irland im Juli 2026 an den Gerichtshof der Europäischen Union, mit der Bitte, finanzielle Sanktionen zu verhängen, bis die Umsetzung abgeschlossen ist.

Das National Cyber Security Bill, Irlands Instrument zur Umsetzung von NIS2, befindet sich noch in der Ausarbeitung. Die Regierung erwartet, es im Herbst 2026 zu veröffentlichen, danach den parlamentarischen Prozess im Oireachtas zu beginnen und Brüssel bis Jahresende über die Umsetzung zu informieren. Sobald es in Kraft tritt, erweitert es die Zahl der betroffenen Einrichtungen von wenigen Hundert unter den alten Regeln auf schätzungsweise 4.500 bis 6.000, wobei das National Cyber Security Centre als federführende zuständige Behörde fungiert und leitende Führungskräfte persönlich haftbar gemacht werden können, wenn sie das Cyberrisikomanagement vernachlässigen. Die meisten Unternehmen dieser Studie werden in den Anwendungsbereich fallen, und DMARC ist eine grundlegende, dokumentierbare Kontrollmaßnahme, die direkt den Risikomanagement-Pflichten entspricht, die NIS2 einführt.

Der zweite Faktor ist Betrug, der bereits stattfindet. Rechnungsumleitung und CEO-Betrug sind die größten Betrugsmaschen gegen irische Unternehmen, und beide beginnen mit einer E-Mail, die aussieht, als käme sie von einer vertrauenswürdigen Partei. FraudSMART, die von der Banking & Payments Federation Ireland betriebene Aufklärungsinitiative, berichtete, dass irische KMUs über zwei Jahre hinweg mehr als 17,4 Millionen Euro durch E-Mail-bezogene Betrugsmaschen verloren haben, mit Verlusten durch Rechnungsumleitung von 15,7 Millionen Euro zwischen Januar 2023 und Dezember 2024 und durchschnittlichen Verlusten von 11.500 Euro pro Unternehmen. Eine Studie von ISME und BPFI ergab, dass 68 % der irischen KMUs innerhalb eines einzigen Jahres Ziel von Betrugsversuchen waren.

Diese Zahlen betreffen kleinere Unternehmen, aber der Mechanismus zieht sich direkt durch die Unternehmen dieser Studie. Wenn ein großes irisches Unternehmen DMARC durchsetzt, entzieht es seinen eigenen Namen dem Werkzeugkasten der Angreifer und schützt so seine Kunden, seine Lieferanten und die kleineren Unternehmen in seiner Lieferkette vor E-Mails, die seine Domain fälschen.

Unternehmen, die bei DMARC ins Stocken geraten, machen das meist manuell – sie jagen DNS-Änderungen hinterher und lesen Rohberichte über Dutzende von Versanddiensten hinweg. Diejenigen, die den Prozess abschließen, behandeln die Einführung als gesteuerten Prozess, bei dem die Berichtsdaten jede Entscheidung leiten. Red Sift OnDMARC automatisiert diesen Prozess und bringt eine Domain innerhalb weniger Wochen von der Überwachung zum Enforcement, indem Absender automatisch klassifiziert werden und genau gezeigt wird, was jede Richtlinienänderung beeinflussen wird, bevor Sie sie vornehmen.

Für Irlands größte Unternehmen, ob einheimisch oder international, ist das Ziel dasselbe: eine Domain, die nicht zur Nachahmung ihrer Identität missbraucht werden kann.