Nur 44 % der führenden Organisationen im mittleren Atlantikraum blockieren gefälschte E-Mails

Red Sift hat 700 Domains der größten Organisationen in sieben Staaten des mittleren Atlantikraums sowie im District of Columbia analysiert und festgestellt, dass nur 309 (44 %) eine vollständige DMARC-Durchsetzung erreicht haben. Im mittleren Atlantikraum befindet sich die Bundesregierung, das zweitgrößte Bankenzentrum der Nation, wichtige Verteidigungs- und Geheimdienststandorte sowie einige der bedeutendsten Gesundheitssysteme des Landes. Trotz dieser Konzentration an hochrangigen Zielen blockieren mehr als die Hälfte der führenden Organisationen der Region keine gefälschten E-Mails. Das ist zwar ein besseres Ergebnis als der U.S.-Nordosten (40 %), liegt aber immer noch unter dem Niveau, das angesichts des Risikoprofils für die Region angebracht wäre.

• Nur 309 von 700 Domains (44 %) in sieben Staaten des mittleren Atlantikraums haben die DMARC-Durchsetzung (p=reject) erreicht
• 191 Domains (27,3 %) verwenden Richtlinien mit p=none, die überwachen, aber keine Maßnahmen gegen gefälschte E-Mails ergreifen
• 136 Domains (19,4 %) stehen auf p=quarantine – fast vollständiger Schutz, aber ohne abschließende Umstellung auf reject
• 64 Domains (9,1 %) haben überhaupt keinen DMARC-Eintrag veröffentlicht
• Washington D.C. führt die Region mit 57 % Durchsetzung an. Maryland liegt mit 30 % deutlich zurück

Red Sift hat jeweils 100 Domains von Top-Organisationen in sieben Staaten des mittleren Atlantikraumes und dem District of Columbia analysiert: Delaware, District of Columbia, Maryland, North Carolina, Pennsylvania, Virginia und West Virginia. Die Ergebnisse zeigen eine Region, die besser abschneidet als der US-Nordosten, aber immer noch den Großteil ihrer wichtigsten Organisationen ohne vollständige E-Mail-Authentifizierung lässt.

Insgesamt haben von 700 Domains 44 % p=reject erreicht – das DMARC-Policy-Level, das gefälschte E-Mails aktiv blockiert. Damit liegt der mittlere Atlantikraum vor dem Nordosten (40 %), aber weit hinter New York (73 %) in Red Sifts regionalem Vergleich.

• Washington D.C. (57 % Durchsetzung): D.C. führt den mittleren Atlantikraum mit 57 Domains auf p=reject an. Als Sitz der Bundesregierung hat D.C. das klarste Mandat für E-Mail-Authentifizierung. Bundesbehörden, Lobbygruppen, Think Tanks, Branchenverbände und Nonprofits sind hier aktiv und versenden täglich E-Mails an den Kongress, Regulierungsbehörden, internationale Organisationen und Medien. 21 Domains laufen noch auf p=none und 20 stehen bei p=quarantine. Nur 2 Domains haben keinen DMARC-Eintrag – zusammen mit Pennsylvania der niedrigste Wert in der Studie.
• North Carolina (55 % Durchsetzung): North Carolina folgt knapp mit 55 Domains auf p=reject. Charlotte ist das zweitgrößte Bankenzentrum der USA. Der Research Triangle ist ein bedeutender Tech- und Biotech-Standort. Die Gesundheitssysteme des Bundesstaates zählen zu den größten im Südosten. Die 55 % sind ein starkes Resultat, dennoch laufen 21 Domains auf p=none und 20 auf p=quarantine. Nur 4 Domains fehlt ein DMARC-Eintrag komplett.
• Pennsylvania (48 % Durchsetzung): Pennsylvania hat 48 Domains, die gefälschte E-Mails komplett blockieren, doch 27 nutzen p=none und 23 stehen auf p=quarantine. Nur 2 Domains haben keinen DMARC-Eintrag. Der Staat beheimatet große Gesundheitssysteme in Philadelphia und Pittsburgh, eine bedeutende Finanzdienstleistungsbranche, Energieunternehmen und einige der größten Universitäten des Landes. Die 23 Domains mit p=quarantine sind eine klare Zielgruppe – die DNS-Arbeit ist erledigt, der Schritt zu reject ist nur noch ein kleines Projekt.
• Virginia (45 % Durchsetzung): Virginia hat 45 Domains mit p=reject. Aber die Lücke liegt vor allem bei p=none: 37 Domains überwachen, ohne Maßnahmen zu ergreifen – einer der höchsten Werte in der Studie. Nur 16 Domains stehen bei p=quarantine, nur 2 haben keinen Eintrag. Nord-Virginia beheimatet eine der dichtesten Ansammlungen von Rüstungsunternehmen und Geheimdienst-Operationen. Die größte AWS-Datenzenter-Region befindet sich hier. 37 Domains mit p=none sammeln zwar DMARC-Berichte, aber reagieren nicht darauf.
• Delaware (40 % Durchsetzung): 40 der Top-100-Domains aus Delaware haben p=reject erreicht, aber der Staat hat die zweithöchste N/A-Quote: 23 % der wichtigsten Unternehmen haben keinen DMARC-Eintrag. Delaware ist der Sitz von mehr als 60 % der Fortune-500-Unternehmen und hat einen großen Finanz- und Versicherungssektor. 19 Domains laufen auf p=none, 18 auf p=quarantine. Die hohe N/A-Quote ist das auffälligste Problem.
• West Virginia (34 % Durchsetzung): West Virginia hat 34 Domains mit p=reject und die höchste N/A-Quote der Studie: 24 Domains besitzen keinen DMARC-Eintrag. 25 laufen auf p=none – 17 auf p=quarantine. Der Energiesektor, regionale Gesundheitssysteme und staatliche Behörden agieren mit mangelndem E-Mail-Schutz. Die hohe N/A-Quote deutet darauf hin, dass viele Organisationen noch nicht einmal begonnen haben.
• Maryland (30 % Durchsetzung): Maryland steht am Ende: 30 Domains mit p=reject und mit 41 die höchste Zahl an p=none – das heißt, 41 % der wichtigsten Organisationen haben einen DMARC-Eintrag veröffentlicht, der nichts gegen Betrug ausrichtet. 22 stehen auf p=quarantine, 7 ohne Eintrag. Maryland beheimatet u.a. Fort Meade, die NSA, U.S. Cyber Command, Johns Hopkins, das NIH und einen großen Biotech-Korridor. Die Diskrepanz zwischen der Cybersecurity-Bedeutung des Staates und seiner E-Mail-Authentifizierung ist schwer zu erklären.

Die 136 Organisationen auf p=quarantine sind fast am Ziel. Die DNS-Arbeit ist gemacht, Absender wurden identifiziert und SPF sowie DKIM konfiguriert. Der Wechsel von quarantine zu reject dauert meist 6 bis 8 Wochen. Das sind 136 Domains, bei denen ein kurzes Projekt den fast abgeschlossenen Schutz fertigstellt.

Im mittleren Atlantikraum sind Branchen ansässig, in denen eine gefälschte E-Mail keinesfalls nur eine Lästigkeit ist, sondern ein nationales Sicherheitsrisiko, ein Compliance-Verstoß oder ein millionenschwerer Betrug.

D.C., Virginia und Maryland bilden das Herz der amerikanischen Behörden- und Verteidigungsinfrastruktur. Pentagon, NSA, U.S. Cyber Command, die Intelligence Community und Tausende Defense-Zulieferer befinden sich in dieser Region. Gefälschte E-Mails an Behörden oder Lieferketten können geheime Programme kompromittieren, Beschaffung umlenken oder Einfallstore für staatlich gesteuerte Angreifer schaffen. D.C. führt mit 57 % Enforcement, doch Marylands 30 % und Virginias 45 % lassen große Lücken. DMARC blockiert Identitätsbetrug, bevor er das Postfach erreicht.

North Carolinas Finanzbranche verwaltet Billionenwerte. Zahlungsanweisungen, Kontoverifizierungen und regulatorische Meldungen erfolgen per E-Mail. Das IC3 des FBI meldete 2024 BEC-Verluste in Höhe von 2,77 Milliarden Dollar, 2022–2024 zusammen fast 8,5 Milliarden Dollar. Eine gefälschte Bank-E-Mail an eine Treasury-Abteilung kann siebenstellige Beträge bewegen, bevor es auffällt. DMARC ist hier die erste Verteidigungslinie.

Pennsylvania und Maryland sind Heimat großer Krankenhausnetzwerke, Forschungseinrichtungen und Biotech-Unternehmen wie Johns Hopkins, Penn Medicine, UPMC und NIH. Patienteninformationen, klinische Studien, Versicherungsfälle und Überweisungen laufen oft per E-Mail. Eine gefälschte Krankenhaus-Domain gefährdet medizinische Daten, kann HIPAA-Prüfungen auslösen und das Patientenvertrauen schwächen. West Virginias Gesundheitssysteme sind genauso betroffen, jedoch mit kleineren IT-Teams.

Google und Yahoo verlangen seit Februar 2024 DMARC für Massenversender, Microsoft seit Mai 2025. Spätestens seit Ende 2025 gibt Google dauerhafte Bounce-Fehler für nicht konforme Nachrichten aus. Für Wire-Transfer-Bestätigungen, Patientenkommunikation, Regierungsmitteilungen oder Beschaffungsupdates bedeutet eine fehlende oder schwache DMARC-Policy, dass solche E-Mails unter Umständen nicht mehr zugestellt werden.

PCI DSS 4.0.1 verpflichtet Unternehmen mit Zahlungskarten-Daten zu DMARC. NIS2 gilt für Firmen mit EU-Geschäft oder -Kunden. Cyber-Versicherer verschärfen ihre Vorgaben und schließen BEC-Zahlungen für Organisationen ohne grundlegende E-Mail-Authentifizierung teilweise aus. Für Rüstungslieferanten überschneiden sich die Vorgaben mit CMMC- und NIST-Frameworks, in denen DMARC längst als Pflichtkontrolle gilt. Delawares Dichte an Unternehmen bedeutet, dass Compliance-Fehler schnell landesweite Folgen für Muttergesellschaften haben können.

Wenn die Artikelserie eines zeigt, dann, dass die Lücke zwischen DMARC-Eintrag und echtem Schutz fast immer an der Umsetzung scheitert, nicht am Willen. Red Sift OnDMARC schließt diese Lücke und hält sie geschlossen – in einer Region, in der gefälschte Nachrichten in Lieferanten-Zahlungen, Frachtausbuchungen und Verteidigungsausschreibungen gelangen können.

Die größte Herausforderung bei der Durchsetzung ist, alle legitimen Absender zu kennen, bevor man auf reject umschaltet. Genau das dauert bei manuellen Projekten oft über ein halbes Jahr. OnDMARC automatisiert Erkennung und Einrichtung – der Weg zur vollen Durchsetzung verkürzt sich auf wenige Wochen. Für 145 Domains im Südosten, die auf quarantine stehen, wird daraus ein klar abgrenzbares und abschließbares Projekt.

Auch die „kniffligen“ Bereiche, die Authentifizierung häufig stören, werden abgedeckt – Hersteller, Häfen, Zahlungsdienstleister autorisieren oft mehr E-Mail-Dienste als SPFs 10-Lookup-Grenze erlaubt, Dynamic SPF hält diese Einträge weiter gültig. Und die Flut an DMARC-Berichten, die sonst aus unlesbaren XML-Daten besteht, wird zur anschaulichen Live-Übersicht über alles, was im Namen Ihrer Domain versendet. Aufgrund von laufenden Audits und Firmenübernahmen in der Logistik- und Automobilbranche überwacht OnDMARC fortwährend und erkennt Abweichungen – eine Domain bleibt geschützt, wenn sie Reject erreicht hat.

44 % Durchsetzung im mittleren Atlantikraum sind ein besserer Ausgangspunkt als im Nordosten (40 %), aber die Region ist noch nicht am Ziel. D.C.s 57 % und North Carolinas 55 % zeigen den Weg. Marylands 30 % zeigen, wie groß die Lücke teilweise noch ist. Für die 391 Unternehmen ohne vollständige Durchsetzung schließt Red Sift OnDMARC die Lücke zwischen dem realen Risiko und dem aktuellen E-Mail-Schutz.