Über 50 % der US-Banken sind weiterhin anfällig für Phishing-Angriffe

Zusammenfassung: Mehr als die Hälfte der großen US-Banken bleibt Phishing-Angriffen ausgesetzt, weil eine schwache oder fehlende DMARC-Durchsetzung besteht – trotz steigender Verluste durch Cyberkriminalität und immer raffinierterer E-Mail-Bedrohungen. Operative Herausforderungen, regulatorische Lücken und eine Unterschätzung des Risikos verhindern stärkere Schutzmaßnahmen und gefährden so das Vertrauen der Kunden sowie die finanzielle Stabilität.

Die wichtigsten Erkenntnisse

• Weniger als die Hälfte der großen US-Banken setzt strenge DMARC-Richtlinien durch (p=reject), wodurch ihre Domains anfällig für Spoofing und Phishing-Angriffe bleiben, während fast ein Drittel lediglich passiv überwacht, ohne schädliche E-Mails zu blockieren.
• Finanzinstitute sind die häufigsten Ziele von Phishing und machen weltweit über 50 % aller Phishing-Angriffe aus, wobei die Angriffe durch generative KI und zunehmende Risiken durch Drittanbieter an Umfang und Raffinesse zunehmen.
• Operative Hürden, regulatorische Unklarheiten und Risikoscheu sind die Hauptgründe, warum Banken die DMARC-Durchsetzung hinauszögern – trotz ihrer nachgewiesenen Wirksamkeit bei der Verhinderung von E-Mail-Betrug und dem Schutz des Kundenvertrauens.

E-Mail bleibt das wichtigste Kommunikationsmittel der Finanzbranche, und Angreifer wissen das. Im Jahr 2024 verzeichnete das Internet Crime Complaint Center (IC3) des FBI Verluste durch Cyberkriminalität in Höhe von 16,6 Milliarden US-Dollar – ein Anstieg um 33 % gegenüber dem Vorjahr. Business Email Compromise (BEC) – bei dem Angreifer vertrauenswürdige Institutionen per E-Mail imitieren – führte zu 21.489 Beschwerden und 2,9 Milliarden US-Dollar Schaden, womit es die zweitteuerste vom FBI erfasste Form der Cyberkriminalität darstellt.

Die Zahlen für Anfang 2025 deuten auf eine weitere Verschlechterung hin: Laut dem Verizon Data Breach Investigations Report 2025 waren unter den mehr als 22.000 analysierten Vorfällen und 12.195 bestätigten Sicherheitsverletzungen Zugangsdatenmissbrauch und Social-Engineering-Vorwände die häufigsten Zugriffsvektoren. Die Beteiligung Dritter verdoppelte sich auf 30 % der Sicherheitsverletzungen, was das Lieferkettenrisiko für Banken unterstreicht.

Phishing nimmt weiterhin stark zu. Die Anti-Phishing Working Group verzeichnete im vierten Quartal 2024 989.123 Angriffe – das höchste Quartalsvolumen aller Zeiten. Generative KI hat die Bedrohung noch verschärft: Ausgefeilte, fehlerfreie Nachrichten, die von großen Sprachmodellen erstellt werden, beseitigen die verräterischen Anzeichen, auf die Verbraucher bisher achten sollten.

Abgesehen vom direkten Betrug sind die Folgen einer Sicherheitsverletzung gravierend. Die IBM-Studie „Cost of a Data Breach 2024“ beziffert die durchschnittlichen Kosten eines Vorfalls im Finanzsektor auf 6 Millionen US-Dollar – deutlich über dem branchenübergreifenden Durchschnitt. Zusammen mit Bußgeldern, verlorenen Handelstagen und Reputationsschäden wird deutlich: Jede gefälschte E-Mail stellt ein erhebliches Risiko für Erträge und Kundenvertrauen dar.

Um die Vorbereitung der Branche zu bewerten, untersuchten Analysten von Red Sift DMARC-Daten (Domain-based Message Authentication, Reporting & Conformance) der 510 größten US-Geschäftsbanken. Die Ergebnisse sind ernüchternd:

• 210 Banken (41,2 %) setzen p=reject durch, das heißt, betrügerische Nachrichten werden komplett blockiert.
• 96 Banken (18,8 %) nutzen p=quarantine, wobei fragwürdige E-Mails in den Spam-Ordner verschoben werden.
• 144 Banken (28,2 %) sammeln Berichte mit p=none, liefern aber weiterhin mögliche Spoofing-Mails aus.
• 60 Banken (11,8 %) veröffentlichen überhaupt keinen DMARC-Eintrag.

Fazit: Weniger als die Hälfte der größten US-Banken schützt ihre Domains aktiv, und fast ein Drittel überwacht weiterhin nur passiv, wodurch gefälschte Nachrichten die Postfächer erreichen können.

Die Realität ist kein Mangel an DMARC-Wissen, sondern operative Komplexität und Risikoscheu. Banken jonglieren mit Hunderten legitimer Drittanbieter – von Marketingplattformen bis zu Hypothekensystemen – und befürchten, dass eine falsch konfigurierte Richtlinie wichtige Dienste wie Gehaltsabrechnungen, Kreditunterlagen oder Kontoauszüge blockieren könnte.

Erschwerend kommt mangelnde Transparenz hinzu. Viele Sicherheitsteams verfügen über keinen konsolidierten Überblick über den E-Mail-Versand. Aufgrund begrenzter Ressourcen greifen sie standardmäßig auf p=none zurück – in der Hoffnung, dass Angreifer nicht bemerken, wie leicht ihre Domain zu fälschen ist.

Zudem herrscht regulatorische Unklarheit: Zwar empfehlen Institutionen wie NIST und die FFIEC DMARC und andere Authentifizierungsstandards, doch keine formelle US-Bankenregulierung schreibt eine vollständige Durchsetzung vor. Im Gegensatz dazu sind US-Bundesbehörden seit 2017 im Rahmen der Binding Operational Directive 18-01 des DHS verpflichtet, p=reject umzusetzen. Ohne vergleichbare branchenweite Vorgaben haben viele Banken die Durchsetzung nach hinten verschoben.

Schließlich unterschätzen viele die Bedrohung. Trotz der Zunahme raffinierter, KI-gestützter Phishing-Angriffe glauben manche Sicherheitsverantwortliche, dass SPF und DKIM ausreichen, oder gehen davon aus, dass Kunden Fälschungen erkennen – und ignorieren dabei die zunehmenden Identitätsmissbrauchsangriffe auf Marken wie Bank of America, die 2024 und 2025 eine sprunghafte Zunahme gefälschter SMS und Anrufe verzeichnete.

US-Geschäftsbanken sind bevorzugte Ziele für Phishing- und BEC-Angriffe, weshalb der Schutz der eigenen Domain nicht optional, sondern unerlässlich ist. Die Implementierung von DMARC mit Durchsetzung auf Stufe p=reject unterbindet die unbefugte Nutzung Ihrer Domain und stoppt Identitätsmissbrauchsversuche, bevor sie überhaupt Ihre Kunden erreichen.

Der Weg dorthin kann jedoch herausfordernd sein. Ohne die richtigen Tools ist die Analyse von DMARC-Berichten und die Identifizierung legitimer Absender zeitaufwändig. Deshalb sind Lösungen wie Red Sift OnDMARC entscheidend. OnDMARC automatisiert die Auswertung von Authentifizierungsdaten, bietet klare Hinweise für eine sichere Richtliniendurchsetzung und hilft Institutionen, Probleme zu beheben, bevor sie den Betrieb stören. Mit nativer Unterstützung für SPF, DKIM, TLS-Reporting und MTA-STS beseitigt die Plattform Unsicherheiten und beschleunigt die sichere Umsetzung.

Überprüfen Sie Ihren DMARC-Status in 30 Sekunden

Sie wissen nicht, wie Ihr aktueller DMARC-Eintrag aussieht? Jetzt kostenlos prüfen.

Die Bedrohungslage im E-Mail-Bereich entwickelt sich rasant weiter. Da Phishing-, Spoofing- und BEC-Angriffe immer raffinierter werden, können Banken es sich nicht länger leisten, die Durchsetzung zu verzögern. Mit dem richtigen DMARC-Partner können Institutionen:

• Gefälschte E-Mails bereits an der Quelle blockieren
• Kunden und Partner schützen
• Das Vertrauen in die Marke bewahren
• Steigenden regulatorischen Anforderungen gerecht werden
• Das Risiko kostspieliger, rufschädigender Sicherheitsverletzungen verringern

Wenn Sie Unterstützung bei der Bewertung Ihres aktuellen DMARC-Status benötigen – oder einen Partner suchen, der Sie bis zur vollständigen Durchsetzung begleitet – beginnen Sie mit diesem Leitfaden. Denn in der heutigen Bedrohungslandschaft ist eine „p=none“-Richtlinie eine Einladung für Angreifer.