64 % der Organisationen im US-amerikanischen Heartland sind anfällig für E-Mail-Spoofing

Red Sift analysierte 900 Domains, die den größten Organisationen in neun Heartland-Bundesstaaten gehören, und stellte fest, dass nur 328 (36 %) eine vollständige DMARC-Durchsetzung erreicht haben. Das Heartland treibt die Energiewirtschaft des Landes an, versorgt seine Bevölkerung und beherbergt einige der strategisch sensibelsten militärischen und Forschungseinrichtungen der Welt. Trotz dieser Konzentration kritischer Infrastruktur blockieren 64 % der führenden Organisationen der Region keine gefälschten E-Mails. Ähnliche Untersuchungen zu anderen Regionen von Red Sift umfassen den Nordosten (35 %), den Mid-Atlantic (44 %) und den Südwesten (40 %).

• Nur 328 von 900 Domains (36 %) in neun Heartland-Bundesstaaten haben die DMARC-Durchsetzung erreicht (p=reject)
• 287 Domains (31,9 %) betreiben p=none-Richtlinien, die zwar überwachen, aber nicht gegen gefälschte E-Mails vorgehen
• 202 Domains (22,4 %) befinden sich bei p=quarantine, nah am vollständigen Schutz, haben den Übergang zu reject aber noch nicht abgeschlossen
• 83 Domains (9,2 %) haben überhaupt keinen DMARC-Eintrag veröffentlicht
• Nebraska führt die Region mit 46 % Durchsetzung an. New Mexico bildet mit 25 % das Schlusslicht

Red Sift analysierte 100 Domains der führenden Organisationen in jedem der neun Heartland-Bundesstaaten: Arkansas, Colorado, Kansas, Louisiana, Missouri, Nebraska, New Mexico, Oklahoma und Texas. Die Ergebnisse zeigen eine Region, in der die Durchsetzungsraten zwischen den Bundesstaaten stark variieren und in der die Kluft zwischen der Gefährdung kritischer Infrastruktur und der E-Mail-Sicherheitslage größer ist als in jeder anderen bisher von Red Sift untersuchten Region.

Von allen 900 Domains haben 36 % p=reject erreicht, die DMARC-Richtlinienstufe, die gefälschte E-Mails aktiv blockiert. Damit liegt das Heartland nur einen Punkt über dem Nordosten (35 %) und deutlich hinter dem Mid-Atlantic (44 %) sowie dem Südwesten (40 %) im laufenden regionsübergreifenden Vergleich von Red Sift.

• Nebraska (46 % Durchsetzung): Nebraska führt das Heartland mit 46 Domains bei p=reject an – die stärkste Durchsetzungsrate der Studie. Der Bundesstaat ist ein bedeutendes Zentrum für Versicherungen, Finanzdienstleistungen und den Handel mit landwirtschaftlichen Rohstoffen, wobei Omaha als Hauptsitz mehrerer Fortune-500-Unternehmen dient. 24 Domains betreiben p=none, 22 befinden sich bei p=quarantine, und 8 haben keinen Eintrag. Für einen Bundesstaat, der Milliarden an Finanztransaktionen und Versicherungsansprüchen abwickelt, ist 46 % ein solider Anfang, lässt aber immer noch mehr als die Hälfte seiner führenden Organisationen ungeschützt.
• Texas (45 % Durchsetzung): Texas folgt mit 45 Domains bei p=reject an zweiter Stelle. Der Bundesstaat ist die Energiehauptstadt der Vereinigten Staaten, Heimat der weltweit größten Konzentration von Öl- und Gasunternehmen, eines riesigen Gesundheitssystems, militärischer Einrichtungen wie Fort Cavazos und der Joint Base San Antonio sowie eines schnell wachsenden Technologiesektors in Austin und Dallas. Nur 3 Domains haben keinen DMARC-Eintrag – die niedrigste N/A-Rate in der Studie. Aber 34 Domains betreiben p=none und sammeln Berichte, ohne darauf zu reagieren.
• Kansas (42 % Durchsetzung): Kansas hat 42 Domains bei p=reject und mit 25 die zweithöchste Quarantäne-Anzahl der Studie. Der Bundesstaat ist zentral für die Landwirtschafts- und Lebensmittelproduktionskette des Landes und beherbergt bedeutende Luftfahrtfertigung in Wichita neben einer starken militärischen Präsenz in Fort Riley und der McConnell Air Force Base. 28 Domains betreiben p=none und nur 5 haben keinen Eintrag. Diese 25 Domains bei Quarantäne haben bereits den Großteil der Arbeit erledigt. Der letzte Schritt zu reject ist ein kurzes Projekt.
• Missouri (40 % Durchsetzung): Missouri hat 40 Domains bei p=reject. St. Louis und Kansas City verankern einen Sektor für Finanzdienstleistungen, Gesundheitswesen und Logistik, der die östliche und westliche Landeshälfte verbindet. 34 Domains betreiben p=none – die gemeinsam höchste None-Anzahl in der Studie – und 6 haben keinen Eintrag. 40 % Durchsetzung ist für sich genommen nicht schlecht, aber die 34 Domains bei p=none sind das eigentliche Problem. Sie haben einen DMARC-Eintrag veröffentlicht. Die Daten fließen ein. Niemand reagiert darauf.
• Oklahoma (37 % Durchsetzung): Oklahoma hat 37 Domains bei p=reject. Die Wirtschaft des Bundesstaates läuft auf Energie, mit einer Konzentration von Öl- und Gasunternehmen, Pipelinebetreibern und Energiedienstleistern neben einem wachsenden Luft- und Raumfahrtsektor. 34 Domains betreiben p=none, 23 befinden sich bei p=quarantine, und 6 haben keinen Eintrag. Überweisungsanweisungen, Bohrverträge und Joint-Venture-Vereinbarungen laufen in diesem Bundesstaat alle per E-Mail. Eine gefälschte Domain, die auf diese Arbeitsabläufe abzielt, kann sechsstellige Zahlungen umleiten, bevor jemand es bemerkt.
• Colorado (33 % Durchsetzung): Colorado hat 33 Domains bei p=reject. Der Bundesstaat beherbergt NORAD, das U.S. Space Command, die U.S. Air Force Academy und eine dichte Ansammlung von Verteidigungsunternehmen entlang der Front Range. Colorado verfügt zudem über einen wachsenden Technologiesektor und eine bedeutende Rohstoffindustrie. 39 Domains betreiben p=none – die höchste None-Anzahl der Studie – und 7 haben keinen Eintrag. Ein Bundesstaat, der das Kommandozentrum für die nordamerikanische Luft- und Raumfahrtverteidigung beherbergt, sollte nicht zulassen, dass zwei Drittel seiner führenden Organisationen keine gefälschten E-Mails blockieren.
• Louisiana (32 % Durchsetzung): Louisiana hat 32 Domains bei p=reject und mit 30 die zweithöchste Quarantäne-Anzahl. Der Bundesstaat betreibt einen der größten petrochemischen Korridore der Welt entlang der Golfküste, den Port of South Louisiana (den tonnagemäßig größten Hafen der westlichen Hemisphäre) und verfügt über einen bedeutenden Gesundheits- und Hochschulsektor. 23 Domains betreiben p=none und 15 haben keinen Eintrag. Diese 30 Domains bei Quarantäne stechen hier besonders hervor. Sie haben ihre Absender identifiziert, SPF und DKIM konfiguriert und eine Quarantäne-Richtlinie festgelegt. Der Schritt von Quarantäne zu reject ist in Wochen zu messen.
• Arkansas (28 % Durchsetzung): Arkansas hat 28 Domains bei p=reject und mit 13 die dritthöchste N/A-Rate der Studie. Der Bundesstaat beherbergt den Hauptsitz von Walmart und einen bedeutenden Einzelhandels- und Logistikkorridor, neben Geflügel- und Landwirtschaftsbranchen, die zu den größten des Landes zählen. 37 Domains betreiben p=none und 22 befinden sich bei p=quarantine. Mit 28 % Durchsetzung zählt Arkansas zu den leistungsschwächsten Bundesstaaten in jeder von Red Sift untersuchten Region.
• New Mexico (25 % Durchsetzung): New Mexico liegt mit 25 Domains bei p=reject am Ende – die niedrigste Durchsetzungsrate im Heartland und die zweitniedrigste Einzelstaaten-Rate, die Red Sift je verzeichnet hat, nach Hawaii (29 % in der Südwest-Studie). Der Bundesstaat beherbergt die Sandia National Laboratories und das Los Alamos National Laboratory, zwei der weltweit wichtigsten Einrichtungen für Nuklear- und Verteidigungsforschung, neben der Kirtland Air Force Base und der White Sands Missile Range. 34 Domains betreiben p=none und 20 haben überhaupt keinen DMARC-Eintrag – die höchste N/A-Rate der Studie. Die Kluft zwischen New Mexicos Bedeutung für die nationale Sicherheit und seiner E-Mail-Authentifizierungslage ist schwer zu rechtfertigen.

Die 202 Organisationen bei p=quarantine sind nah dran. Sie haben die DNS-Arbeit erledigt, ihre Absender identifiziert und SPF sowie DKIM konfiguriert. Der Übergang von Quarantäne zu reject dauert in der Regel 6 bis 8 Wochen. Das sind 202 Domains, bei denen ein kurzes Projekt eine Aufgabe abschließt, die größtenteils bereits erledigt ist.

Das Heartland lebt von Branchen, in denen eine gefälschte E-Mail Überweisungsbetrug auslösen, geheime Forschung kompromittieren, Energieversorgungsketten stören oder die Kommunikation zur Lebensmittelsicherheit kontaminieren kann. Die Verteilung der Region auf neun Bundesstaaten und mehrere kritische Sektoren macht das Risiko diffus, aber nicht weniger schwerwiegend.

Texas, Oklahoma, Louisiana, Colorado und New Mexico produzieren den Großteil des Öls, Gases und der erneuerbaren Energie des Landes. Überweisungsanweisungen, Bohrverträge, Wegerechtsvereinbarungen für Pipelines und Joint-Venture-Zahlungen laufen alle per E-Mail. Das IC3 des FBI verzeichnete 3,04 Milliarden US-Dollar an BEC-Verlusten im Jahr 2025, wobei 86 % dieser Gelder per Überweisung oder ACH bewegt wurden. Energieunternehmen sind hochwertige Ziele, da ihre Zahlungsabläufe große Summen, mehrere Vertragspartner und zeitkritische Genehmigungen umfassen. Eine gefälschte E-Mail von einem Betreiber an ein Midstream-Unternehmen oder von einem EPC-Auftragnehmer an einen Projektinhaber kann siebenstellige Summen bewegen, bevor jemand es bemerkt. DMARC-Durchsetzung bei p=reject stoppt die Identitätsfälschung, bevor sie den Posteingang erreicht.

Kansas, Nebraska, Missouri und Arkansas stehen im Zentrum der landwirtschaftlichen Produktion des Landes. Diese Bundesstaaten wickeln Getreidehandel, Viehverarbeitung, Lebensmittelverteilung und die Lieferantenzahlungsnetzwerke ab, die Landwirte, Verarbeiter, Vertriebe und Einzelhändler verbinden. Kommunikation in der Lieferkette, einschließlich Bestellungen, phytosanitärer Zertifikate, Lieferbestätigungen und Zahlungsanweisungen, läuft per E-Mail. Eine gefälschte Domain, die auf ein Getreidesilo, eine Fleischverarbeitungsanlage oder einen Lebensmittelvertrieb abzielt, kann Zahlungen umleiten, Lieferungen verzögern oder betrügerische Anweisungen in eine Lieferkette einschleusen, die Millionen von Menschen versorgt. Die 31,9 % der Heartland-Domains bei p=none beobachten dies in ihren DMARC-Berichten, ohne etwas davon zu blockieren.

New Mexico beherbergt die Sandia National Laboratories und das Los Alamos National Laboratory, zwei Einrichtungen, die für die Verwaltung von Nuklearwaffen, fortschrittliche Verteidigungsforschung und Programme der nationalen Sicherheit verantwortlich sind. Colorado beherbergt NORAD, das U.S. Space Command und die U.S. Air Force Academy. Texas hat eine der höchsten Konzentrationen militärischer Einrichtungen im Land. Verteidigungsunternehmen, Forschungspartner und Regierungsbehörden, die in diesen Bundesstaaten tätig sind, versenden E-Mails im Zusammenhang mit geheimen Programmen, Beschaffung und nachrichtendienstlichen Operationen. New Mexicos Durchsetzungsrate von 25 % und N/A-Rate von 20 % sind die niedrigsten der Studie, und sie gehören zu einem Bundesstaat, in dem eine gefälschte Domain, die auf die Verteidigungslieferkette abzielt, kein Phishing-Versuch ist. Es ist ein Risiko für die nationale Sicherheit.

Google und Yahoo verlangten ab Februar 2024 DMARC für Massenversender. Microsoft folgte im Mai 2025 mit einer eigenen Durchsetzung für Massenversender an Outlook-, Hotmail- und Live.com-Adressen. Nicht konforme Nachrichten werden nun rundweg abgelehnt. Für Heartland-Organisationen, die Energieverträge, landwirtschaftliche Rechnungen, Versicherungsansprüche oder Verteidigungskorrespondenz versenden, bedeutet eine fehlende oder schwache DMARC-Richtlinie, dass diese Nachrichten möglicherweise nie ankommen. Die 83 Domains ohne jeglichen DMARC-Eintrag sind am stärksten gefährdet, aber auch die 287 bei p=none sind gefährdet, da sich die Durchsetzung bei allen großen Mailbox-Anbietern verschärft.

PCI DSS 4.0.1 schreibt DMARC für Organisationen vor, die Zahlungskartendaten verarbeiten, und betrifft damit Einzelhandel, Finanzdienstleistungen und Energieunternehmen in der gesamten Region. NIS2 gilt für jedes Heartland-Unternehmen mit EU-Aktivitäten oder EU-Kunden. NERC-CIP-Standards regeln die Cybersicherheit für Betreiber von Massenstromsystemen, und E-Mail-Authentifizierung wird zunehmend Teil dieses Compliance-Bildes für Versorgungsunternehmen in Texas, Oklahoma und Colorado. Cyberversicherer verschärfen ihre Anforderungen, wobei einige BEC-Auszahlungen für Organisationen ohne grundlegende E-Mail-Authentifizierung ausschließen. Für Verteidigungsunternehmen in New Mexico und Colorado empfehlen CMMC- und NIST-Rahmenwerke bereits DMARC als Basiskontrolle.

Die Herausforderung des Südostens bestand nie darin, mit DMARC zu beginnen, sondern den Übergang zur Durchsetzung abzuschließen und die Einträge gesund zu halten, während sich die Infrastruktur verändert. Zwei Produkte machen das praktikabel. Red Sift OnDMARC automatisiert den Weg zur vollständigen Durchsetzung, und Red Sift Radar, der darin integrierte KI-Assistent, diagnostiziert Fehlkonfigurationen und erklärt die Lösung in klarer Sprache, sodass der Schutz einer Domain nicht von tiefgehender Protokoll-Expertise abhängt – in einer Region, in der eine einzige gefälschte Nachricht eine Lieferantenzahlung, eine Frachtbuchung oder einen Beschaffungsvorgang der Verteidigung umleiten kann.

• Durchsetzung erreichen, ohne monatelange Mühe: Der langsame Teil eines Rollouts besteht darin, jeden legitimen Absender zu erfassen, bevor auf reject umgeschaltet wird – genau das zieht manuelle Projekte über ein halbes Jahr hinaus. OnDMARC automatisiert diese Erkennung und verkürzt den Weg zur vollständigen Durchsetzung auf wenige Wochen, wodurch die 145 im Südosten bei Quarantäne feststeckenden Domains zu einer kurzen, abschließbaren Liste werden.
• Einen KI-Analysten für jeden Eintrag einsetzen: Anstatt MXToolBox, DNS-Abfragen und RFC-Threads manuell zusammenzusetzen, untersucht Red Sift Radar Ihre SPF-, DMARC- und DKIM-Einrichtung, deckt Fehlkonfigurationen auf, sobald sie auftreten, und führt Sie in Alltagssprache durch die Lösung. Sowohl technisches als auch nicht-technisches Personal kann Sicherheitslücken beheben, ohne zusätzliches Personal einzustellen.
• SPF funktionsfähig halten, während sich Absender vervielfachen: Hersteller, Häfen und Zahlungsunternehmen autorisieren routinemäßig mehr E-Mail-Dienste, als das Zehn-Abfrage-Limit von SPF erlaubt, und Einträge brechen in dem Moment, in dem sie darüber hinausgehen. Dynamic SPF hält sie automatisch gültig, während der Stack wächst.
• Geschützt bleiben bei Veränderungen: Audits und Übernahmen sind in der Automobil- und Logistikbasis der Region ständig präsent. OnDMARC überwacht kontinuierlich und meldet Abweichungen, während Radar einen Echtzeit-Überblick über Domains, E-Mails und internetzugängliche Assets liefert, sodass eine Domain, die reject erreicht, dort auch bleibt.

36 % Durchsetzung im gesamten Heartland stellt die Region hinter den Südwesten (40 %) und den Mid-Atlantic (44 %) und nur knapp vor den Nordosten (35 %). Nebraskas 46 % zeigen, dass der Weg funktioniert. New Mexicos 25 % zeigen, wie weit manche Bundesstaaten noch gehen müssen. Für die 572 Organisationen, die die vollständige Durchsetzung noch nicht erreicht haben, kann Red Sift OnDMARC die Kluft zwischen der Risikoexposition der Region und ihrer aktuellen E-Mail-Sicherheitslage schließen.