69% der Unternehmen im Nordwesten der USA anfällig für E-Mail-Phishing

Red Sift analysierte 600 Domains der größten Organisationen in sechs Bundesstaaten im Nordwesten und stellte fest, dass nur 188 (31%) eine vollständige DMARC-Durchsetzung erreicht haben. Das ist die niedrigste regionale Durchsetzungsrate, die Red Sift in den USA je verzeichnet hat. Der Nordwesten deckt einen großen Teil der Energieversorgung des Landes ab, beherbergt zwei der drei landgestützten Atomraketen-Geschwader und ist Sitz einiger der größten Technologie- und Luftfahrtunternehmen der Welt. Trotzdem blockieren 69% der führenden Organisationen der Region keine gefälschten E-Mails. Ähnliche Untersuchungen von Red Sift zu anderen Regionen umfassen den Nordosten (35%), den Mid-Atlantic (44%), den Südwesten (40%), das Heartland (36%) und die North-Central-Staaten (41%).

• Nur 188 von 600 Domains (31%) in sechs Bundesstaaten im Nordwesten haben eine DMARC-Durchsetzung (p=reject) erreicht – der niedrigste Wert aller von Red Sift untersuchten US-Regionen
• 182 Domains (30,3%) verwenden p=none-Richtlinien, die gefälschte E-Mails zwar überwachen, aber nicht dagegen vorgehen
• 136 Domains (22,7%) befinden sich bei p=quarantine – nah am vollständigen Schutz, aber ohne den letzten Schritt zu reject
• 94 Domains (15,7%) haben überhaupt keinen DMARC-Eintrag veröffentlicht – die höchste Quote fehlender Einträge aller Regionen in dieser Reihe
• Washington führt mit 44% Durchsetzung. Montana liegt mit 25% am Ende – die niedrigste Einzelstaaten-Quote, die Red Sift je verzeichnet hat

Red Sift analysierte 100 Domains der führenden Organisationen in jedem der sechs Bundesstaaten im Nordwesten: Alaska, Idaho, Montana, Oregon, Washington und Wyoming. Die Ergebnisse zeigen eine Region, die fast genau in der Mitte gespalten ist: Die technologiestarken Küstenregionen haben DMARC-Einträge veröffentlicht, sind aber vor der Durchsetzung stehen geblieben, während die Binnenstaaten einen großen Anteil führender Organisationen ohne jegliche E-Mail-Authentifizierung aufweisen.

Über alle 600 Domains hinweg haben 31% p=reject erreicht, die DMARC-Richtlinienstufe, die gefälschte E-Mails aktiv blockiert. Damit liegt der Nordwesten hinter jeder anderen Region im laufenden Vergleich von Red Sift: dem Nordosten (35%), dem Heartland (36%), dem Südwesten (40%), North Central (41%) und Mid-Atlantic (44%).

Das prägende Merkmal der Region ist die Kluft zwischen ihren beiden Hälften. Washington und Oregon, Heimat der Technologie- und Luftfahrtwirtschaft des Nordwestens, haben fast keine Domains ganz ohne Eintrag (5% bzw. 4%). Die vier Binnenstaaten erzählen eine andere Geschichte. Wyoming hat bei 30% seiner führenden Organisationen keinen DMARC-Eintrag, Montana bei 23% und Idaho bei 19%. Die Quote fehlender Einträge von 15,7% im Nordwesten ist die höchste aller Regionen in dieser Reihe, und fast diese gesamte Lücke stammt aus dem Binnenland.

• Washington (44% Durchsetzung): Washington führt den Nordwesten mit 44 Domains bei p=reject an und liegt damit gleichauf mit Mid-Atlantic als stärkste regionale Spitzenreiter-Quote, die Red Sift außerhalb von New York je verzeichnet hat. Der Bundesstaat ist Sitz von Microsoft, Amazon, Boeing, Costco und Starbucks, neben bedeutenden Pazifikhäfen und einer starken militärischen Präsenz auf der Joint Base Lewis-McChord und der Naval Base Kitsap. 28 Domains verwenden p=none, 23 befinden sich bei p=quarantine und nur 5 haben keinen Eintrag. Die Konzentration von Technologie und Luftfahrt zeigt sich in der niedrigen Zahl fehlender Einträge, doch 56% der führenden Organisationen des Staates haben den vollständigen Schutz noch nicht erreicht.
• Oregon (36% Durchsetzung): Oregon hat 36 Domains bei p=reject und mit 4 die niedrigste Quote fehlender Einträge in der gesamten Studie. Der Bundesstaat beherbergt Intels größten Produktionsstandort, Nike und einen als Silicon Forest bekannten Halbleiter-Cluster, dazu Forstwirtschaft, Landwirtschaft und eine wachsende Weinindustrie. 34 Domains verwenden p=none – die höchste None-Zahl der Studie –, 26 befinden sich bei p=quarantine, und 4 haben keinen Eintrag. Fast jede führende Organisation in Oregon hat einen DMARC-Eintrag veröffentlicht. Das Problem ist, dass 60 davon bei none oder quarantine stehen geblieben sind, ohne den Schritt zu reject abzuschließen.
• Idaho (29% Durchsetzung): Idaho hat 29 Domains bei p=reject. Der Bundesstaat ist Sitz der Zentrale von Micron Technology, einer schnell wachsenden Technologie- und Agrarwirtschaft sowie des Idaho National Laboratory, des führenden Kernenergieforschungslabors des US-Energieministeriums. 33 Domains verwenden p=none, 19 befinden sich bei p=quarantine, und 19 haben keinen Eintrag. Für einen Staat, der eine nationale Nuklearforschungseinrichtung beherbergt, ist es eine Lücke, die geschlossen werden sollte, dass 19% seiner führenden Organisationen überhaupt keinen DMARC-Eintrag haben.
• Alaska (28% Durchsetzung): Alaska hat 28 Domains bei p=reject und mit 31 die höchste Quarantäne-Zahl der Studie. Die Wirtschaft des Bundesstaates basiert auf Öl- und Gasförderung an der North Slope, kommerzieller Fischerei und Tourismus, mit einer strategischen militärischen Präsenz auf der Joint Base Elmendorf-Richardson und dem Ground-based-Midcourse-Defense-System in Fort Greely. 28 Domains verwenden p=none, 31 befinden sich bei p=quarantine, und 13 haben keinen Eintrag. Diese 31 Quarantäne-Domains haben die schwierige Arbeit bereits erledigt. Würde Alaska sie auf reject umstellen, würde die Durchsetzungsrate von 28% auf 59% springen.
• Wyoming (26% Durchsetzung): Wyoming hat 26 Domains bei p=reject und mit 30% die höchste Quote fehlender Einträge, die Red Sift je verzeichnet hat. Der bevölkerungsärmste Bundesstaat ist der größte Kohleproduzent des Landes, ein bedeutender Öl-, Gas- und Uranproduzent und Sitz der F.E. Warren Air Force Base, die eines der drei Minuteman-III-Atomraketen-Geschwader des Landes betreibt. 27 Domains verwenden p=none, 17 befinden sich bei p=quarantine, und 30 haben keinen Eintrag. Ein Staat, der ein nukleares ICBM-Geschwader beherbergt und einen großen Teil des nationalen Stromnetzes versorgt, sollte nicht bei 30% seiner führenden Organisationen völlig ohne DMARC-Eintrag dastehen.
• Montana (25% Durchsetzung): Montana liegt mit 25 Domains bei p=reject am Ende – die niedrigste Einzelstaaten-Durchsetzungsrate, die Red Sift in der gesamten Reihe verzeichnet hat. Die Wirtschaft des Bundesstaates umfasst Landwirtschaft, Energie und Tourismus, und er beherbergt die Malmstrom Air Force Base, Sitz eines weiteren der drei Minuteman-III-Atomraketen-Geschwader des Landes. 32 Domains verwenden p=none, 20 befinden sich bei p=quarantine, und 23 haben keinen Eintrag. Montana und Wyoming beherbergen zusammen zwei der drei landgestützten nuklearen Abschreckungs-Geschwader der USA und weisen gleichzeitig die beiden niedrigsten Durchsetzungsraten der Region auf.

Die Durchschnittswerte verbergen die eigentliche Geschichte. Teilt man die sechs Bundesstaaten geografisch auf, ist das Muster kaum zu übersehen.

Washington und Oregon, die Pazifikküstenstaaten mit der Technologie- und Luftfahrtwirtschaft der Region, haben DMARC-Einträge fast durchgängig veröffentlicht. Zusammen haben nur 9 von 200 Domains überhaupt keinen Eintrag. Ihr Problem ist die letzte Etappe: 28% bzw. 34% verharren bei p=none und beobachten in ihren Berichten, wie gefälschte E-Mails eintreffen, ohne auch nur eine davon zu blockieren.

Die vier Binnenstaaten stellen ein völlig anderes Problem dar. Idaho, Wyoming, Montana und Alaska vereinen 85 der 94 Domains der Region ohne Eintrag. Wyoming und Montana allein tragen 53 davon. Das sind Staaten mit nuklearer Waffeninfrastruktur, nationaler Energieproduktion und einem bedeutenden Bundesforschungslabor, und ein Viertel bis ein Drittel ihrer führenden Organisationen hat überhaupt keinen Schritt zur E-Mail-Authentifizierung unternommen.

Zwei Regionen, zwei unterschiedliche Lösungsansätze. Die Küstenstaaten müssen ein Projekt abschließen, das sie bereits begonnen haben. Die Binnenstaaten müssen erst eines beginnen.

Die 136 Organisationen bei p=quarantine sind nah dran. Sie haben die DNS-Arbeit erledigt, ihre Absender identifiziert und SPF und DKIM konfiguriert. Der Wechsel von quarantine zu reject dauert typischerweise 6 bis 8 Wochen. Das sind 136 Domains, bei denen ein kurzes Projekt eine größtenteils abgeschlossene Aufgabe zu Ende bringt.

Alaska sticht mit 31 Quarantäne-Domains hervor – die höchste Einzelstaaten-Zahl der Studie –, gefolgt von Oregon mit 26. Würden diese Organisationen auf reject umstellen, würde Alaska auf 59% und Oregon auf 62% Durchsetzung springen. Die Infrastruktur ist vorhanden. Es fehlt nur noch die letzte Richtlinienänderung.

Der Nordwesten lebt von Branchen, in denen eine gefälschte E-Mail Überweisungsbetrug auslösen, eine Energietransaktion abfangen, eine Lieferkette in der Luftfahrt stören oder eine Verteidigungseinrichtung ins Visier nehmen kann. Die Ausdehnung der Region über sechs Bundesstaaten und mehrere kritische Sektoren macht das Risiko breit und den Einsatz hoch.

Alaskas Ölfelder an der North Slope, Wyomings Kohle- und Erdgasvorkommen, Montanas Energieproduktion und Idahos Kernforschungslabor machen den Nordwesten zu einem nationalen Energiezentrum. Energiehandel, Tantiemenzahlungen, Pipeline-Verträge und Lieferantenrechnungen laufen alle per E-Mail ab, oft in sechs- bis siebenstelliger Höhe. Das IC3 des FBI verzeichnete 2025 3,04 Milliarden US-Dollar an Verlusten durch Business Email Compromise (BEC), wobei 86% dieser Gelder per Überweisung oder ACH bewegt wurden. Eine gefälschte E-Mail, die auf eine Tantiemenzahlung oder einen Pipeline-Lieferantenvertrag abzielt, kann große Summen umleiten, bevor es jemand bemerkt. Die Binnenstaaten, die den Großteil dieser Energie produzieren, haben zugleich die schwächste DMARC-Aufstellung – genau dort, wo das Geld fließt.

Washington und Oregon beherbergen einige der größten Technologie- und Luftfahrtunternehmen der Welt, samt der Zulieferer, Auftragnehmer und Forschungspartner, die sie umgeben. Boeings Lieferkette in der Luftfahrt, die Halbleiter-Fertigungsnetzwerke rund um Intel und Micron sowie die in Seattle ansässigen Cloud- und Softwareriesen sind alle auf E-Mails für Bestellungen, Designspezifikationen und Zahlungsanweisungen angewiesen. Genau das sind die Marken, die Angreifer am liebsten imitieren. Die 62 Domains in Washington und Oregon, die bei p=none stehen, verfügen über DMARC-Berichte, die Spoofing-Versuche in Echtzeit anzeigen. Sie handeln nur nicht auf Basis dieser Daten.

Idahos Kartoffel- und Milchindustrie, Montanas Weizen- und Rinderproduktion, Washingtons Apfel- und Weinsektoren sowie Oregons Agrarexporte verbinden ein Netzwerk aus Anbauern, Verarbeitern, Vertreibern und Lieferanten, das per E-Mail läuft. Warenverträge, Versandbestätigungen und Zahlungsanweisungen bewegen sich täglich durch Postfächer. Eine gefälschte Domain, die auf ein Getreidesilo, eine Molkereigenossenschaft oder einen Lebensmittelvertrieb abzielt, kann Zahlungen umleiten oder betrügerische Anweisungen in die Lieferkette einschleusen. Die 182 Domains im Nordwesten bei p=none beobachten dies in ihren Berichten, ohne auch nur eine dieser E-Mails zu blockieren.

Hier sind die Zahlen des Nordwestens am schwersten zu rechtfertigen. Wyomings F.E. Warren Air Force Base und Montanas Malmstrom Air Force Base betreiben zwei der drei Minuteman-III-Atomraketen-Geschwader des Landes. Alaska beherbergt die Joint Base Elmendorf-Richardson und das Ground-based-Midcourse-Defense-System in Fort Greely, ein Kernstück der US-Raketenabwehr für das Heimatland. Das Idaho National Laboratory führt die föderale Kernenergieforschung an. Verteidigungsauftragnehmer, Forschungspartner und Bundesbehörden, die in diesen Bundesstaaten tätig sind, versenden E-Mails im Zusammenhang mit Beschaffung, Logistik und sensiblen Programmen. Montanas Durchsetzungsrate von 25% und Wyomings 26%, kombiniert mit Quoten fehlender Einträge von 23% und 30%, gehören zu den niedrigsten, die Red Sift je verzeichnet hat – und das in Bundesstaaten, in denen eine gefälschte Domain, die auf die Verteidigungslieferkette abzielt, nicht nur ein Phishing-Versuch ist. Es ist ein Risiko für die nationale Sicherheit.

Google und Yahoo verlangen seit Februar 2024 DMARC für Massenversender. Microsoft folgte im Mai 2025 mit einer eigenen Durchsetzung für Massenversender an Outlook-, Hotmail- und Live.com-Adressen. Nicht konforme Nachrichten werden inzwischen rundweg abgelehnt. Für Organisationen im Nordwesten, die Energie-Rechnungen, Bestellungen aus der Luftfahrt, Bestätigungen aus der Landwirtschaft oder finanzielle Korrespondenz versenden, bedeutet eine fehlende oder schwache DMARC-Richtlinie, dass diese Nachrichten möglicherweise nie ankommen. Die 94 Domains ganz ohne DMARC-Eintrag sind am stärksten gefährdet, aber auch die 182 bei p=none sind gefährdet, da die Durchsetzung bei allen großen Mailbox-Anbietern strenger wird.

PCI DSS 4.0.1 schreibt DMARC für Organisationen vor, die mit Zahlungskartendaten umgehen – das betrifft Einzelhandel, Finanzdienstleister und Energieunternehmen in der gesamten Region. NIS2 gilt für jedes Unternehmen im Nordwesten mit EU-Aktivitäten oder -Kunden. Cyberversicherer verschärfen ihre Anforderungen, wobei manche BEC-Auszahlungen für Organisationen ohne grundlegende E-Mail-Authentifizierung ausschließen. Für Verteidigungsauftragnehmer in Wyoming, Montana und Alaska empfehlen CMMC- und NIST-Rahmenwerke DMARC bereits als grundlegende Kontrollmaßnahme. Die niedrige Durchsetzungsrate der Region ist kein Zeichen dafür, dass diese Anforderungen nicht gelten. Sie zeigt, dass viele Organisationen bislang noch nicht danach gehandelt haben.

Organisationen im Nordwesten sehen sich einer Vielzahl von Herausforderungen gegenüber: Betrug bei Energietransaktionen, Angriffe auf Lieferketten in Luftfahrt und Halbleiterindustrie, Komplexität in der Landwirtschaft und die Sicherheit von Verteidigungseinrichtungen. Red Sift OnDMARC wurde genau für diese Komplexität entwickelt.

• Durchsetzung in 6 bis 8 Wochen: Manuelle DMARC-Projekte dauern durchschnittlich rund 32 Wochen. OnDMARC verkürzt dies auf 6 bis 8 Wochen, indem es die Identifizierung von Quellen, die Konfiguration von SPF und DKIM sowie Prüfungen zur Durchsetzungsbereitschaft automatisiert. Für die 136 Organisationen im Nordwesten, die bei p=quarantine stehen, könnte der letzte Schritt zu reject in Wochen statt Monaten gemessen werden.
• Dynamisches SPF für komplexe Absenderlisten: Organisationen im Nordwesten haben tendenziell lange Listen autorisierter E-Mail-Absender: Energiehandelsplattformen, ERP-Systeme aus der Luftfahrt, Logistik-Tools für die Landwirtschaft, Finanzsysteme und Marketingplattformen. SPF-Einträge haben eine feste Obergrenze von 10 DNS-Abfragen, und komplexe Organisationen überschreiten diese schnell. Dynamic SPF von Red Sift verwaltet dies automatisch und hält die Authentifizierung gültig, ohne dass Einträge manuell gepflegt werden müssen.
• Klare Berichterstattung über jede Domain hinweg: OnDMARC wandelt rohe DMARC-Aggregat- und Forensikberichte in ein Dashboard um, das jeden Dienst anzeigt, der im Namen Ihrer Domains E-Mails versendet. Sicherheits- und Compliance-Teams erhalten sofortige Transparenz darüber, was autorisiert ist, was bei der Authentifizierung fehlschlägt und was behoben werden muss. Kein XML-Parsing. Kein Rätselraten.
• Kontinuierliches Monitoring für regulierte Branchen: Energie-, Luftfahrt-, Verteidigungs-, Finanzdienstleistungs- und Agrarunternehmen stehen alle vor laufenden Prüfungs- und Compliance-Anforderungen. OnDMARC bietet kontinuierliches Monitoring und Alarmierung, sodass die Durchsetzung auch dann bestehen bleibt, wenn neue Absender hinzukommen, Domains den Besitzer wechseln oder sich die Infrastruktur durch Fusionen und Übernahmen verändert.

Mit 31% Durchsetzung ist der Nordwesten die am schlechtesten abschneidende Region, die Red Sift untersucht hat, hinter dem Nordosten (35%) und dem Heartland (36%). Washingtons 44% zeigen, dass der Weg funktioniert. Montanas 25% zeigen, wie weit manche Bundesstaaten noch gehen müssen. Die Küstenstaaten müssen abschließen, was sie begonnen haben, und die Binnenstaaten müssen erst anfangen. Für die 412 Organisationen, die noch keine vollständige Durchsetzung erreicht haben, kann Red Sift OnDMARC die Lücke zwischen dem Risikoprofil der Region und ihrer aktuellen E-Mail-Sicherheitslage schließen.