Nur 40 % der größten Organisationen im Südwesten der USA blockieren gefälschte E-Mails

Red Sift analysierte 500 Domains der größten Organisationen in fünf Bundesstaaten im Südwesten der USA und stellte fest, dass nur 201 (40 %) eine vollständige DMARC-Durchsetzung erreicht haben. Der Südwesten ist Heimat der größten Technologieunternehmen der Welt, der am schnellsten wachsenden Metropolregionen des Landes, des US-Pazifikkommandos sowie einer Glücksspiel- und Gastgewerbebranche, die jährlich Finanztransaktionen in Milliardenhöhe abwickelt. Trotz dieser Konzentration hochwertiger Angriffsziele blockieren 60 % der führenden Organisationen der Region keine gefälschten E-Mails. Ähnliche Untersuchungen von Red Sift zu anderen Regionen umfassen den Nordosten (35 %) und die Mid-Atlantic-Region (44 %).

• Nur 201 von 500 Domains (40 %) in fünf Bundesstaaten im Südwesten haben eine DMARC-Durchsetzung (p=reject) erreicht
• 138 Domains (27,6 %) verwenden eine p=none-Richtlinie, die gefälschte E-Mails zwar überwacht, aber nicht blockiert
• 114 Domains (22,8 %) befinden sich auf p=quarantine – nah am vollständigen Schutz, aber der letzte Schritt zu „reject“ fehlt noch
• 47 Domains (9,4 %) haben überhaupt keinen DMARC-Eintrag veröffentlicht
• Kalifornien führt die Region mit 53 % Durchsetzung an. Hawaii bildet mit 29 % das Schlusslicht

Red Sift analysierte 100 Domains der führenden Organisationen in jedem der fünf Bundesstaaten Arizona, Kalifornien, Hawaii, Nevada und Utah. Die Ergebnisse zeigen eine Region mit großen Unterschieden zwischen den Bundesstaaten und einer erheblichen Lücke zwischen der wirtschaftlichen Bedeutung des Südwestens und seiner E-Mail-Sicherheitslage.

Über alle 500 Domains hinweg haben 40 % die Durchsetzungsstufe p=reject erreicht, also die DMARC-Richtlinie, die gefälschte E-Mails aktiv blockiert. Damit liegt der Südwesten im laufenden regionsübergreifenden Vergleich von Red Sift vor dem Nordosten (35 %), aber hinter der Mid-Atlantic-Region (44 %).

• Kalifornien (53 % Durchsetzung): Kalifornien führt den Südwesten mit 53 Domains auf p=reject an – die zweithöchste Durchsetzungsrate eines einzelnen Bundesstaats, die Red Sift bisher verzeichnet hat, nach New York (73 %). Der Bundesstaat ist Heimat der größten Technologieunternehmen der Welt, bedeutender Finanzinstitute, der Unterhaltungsindustrie und des produktivsten Agrarsektors des Landes. 27 Domains verwenden p=none und 20 befinden sich auf p=quarantine. Keine einzige Domain in der kalifornischen Stichprobe hat keinen DMARC-Eintrag – der einzige Bundesstaat in der Studie mit einer N/A-Quote von 0 %. Die Durchsetzungsrate von 53 % ist zwar solide, doch der Bundesstaat, in dem das Silicon Valley liegt, sollte den Maßstab setzen, statt nur knapp über der Hälfte zu liegen.
• Arizona (45 % Durchsetzung): Arizona liegt mit 45 Domains auf p=reject an zweiter Stelle. Phoenix zählt zu den am schnellsten wachsenden Metropolregionen des Landes, mit einem boomenden Technologiesektor, großen Gesundheitssystemen und einer bedeutenden militärischen Präsenz, darunter die Luke Air Force Base. 32 Domains verwenden p=none – die höchste None-Quote der gesamten Studie. Nur 3 haben keinen DMARC-Eintrag. Diese 32 Domains auf p=none sammeln DMARC-Berichte, handeln aber nicht danach. Die Daten fließen ein. Niemand liest sie.
• Nevada (39 % Durchsetzung): Nevada hat 39 Domains auf p=reject. Allein Las Vegas erwirtschaftet jährlich zig Milliarden an Glücksspielumsätzen, und die Gastgewerbebranche des Bundesstaats wickelt enorme Mengen an Finanztransaktionen, Kundendaten und Lieferantenzahlungen per E-Mail ab. 24 Domains verwenden p=none, 25 befinden sich auf p=quarantine, und 12 haben keinen DMARC-Eintrag. Die 25 Domains auf Quarantäne sind nah dran. Die DNS-Arbeit ist erledigt. Der Wechsel zu „reject“ ist ein kurzes Projekt, kein neues.
• Utah (35 % Durchsetzung): Utah hat 35 Domains auf p=reject und mit 33 die höchste Anzahl an Quarantäne-Domains in der Studie. Der Technologiekorridor „Silicon Slopes“ entlang der Wasatch Front hat große Technologieunternehmen und einen wachsenden Finanzdienstleistungssektor angezogen. 18 Domains verwenden p=none und 14 haben keinen Eintrag. Diese 33 Domains auf Quarantäne stechen hier besonders hervor. Sie haben ihre Absender identifiziert, SPF und DKIM konfiguriert und eine Quarantäne-Richtlinie eingerichtet. Der letzte Schritt zu „reject“ könnte in wenigen Wochen erledigt sein.
• Hawaii (29 % Durchsetzung): Hawaii bildet mit 29 Domains auf p=reject das Schlusslicht und hat mit 37 die höchste Anzahl an p=none-Domains in der Studie. Der Bundesstaat weist zudem mit 18 Domains ohne jeglichen DMARC-Eintrag die höchste N/A-Quote auf. Hawaii ist Sitz des US-Indo-Pazifikkommandos, einer der strategisch bedeutendsten Militäreinrichtungen der Welt, sowie großer Tourismus- und Gastgewerbebetriebe, die sensible Kunden- und Finanzdaten verarbeiten. Die Kluft zwischen der strategischen Bedeutung des Bundesstaats und seiner E-Mail-Authentifizierungslage lässt sich nur schwer erklären.

Die 114 Organisationen auf p=quarantine sind nah dran. Sie haben die DNS-Arbeit erledigt, ihre Absender identifiziert und SPF sowie DKIM konfiguriert. Der Wechsel von Quarantäne zu Reject dauert in der Regel 6 bis 8 Wochen. Das sind 114 Domains, bei denen ein kurzes Projekt eine Aufgabe abschließt, die größtenteils bereits erledigt ist.

Der Südwesten lebt von Branchen, in denen eine gefälschte E-Mail Überweisungsbetrug auslösen, geheime Operationen gefährden oder Millionen von Kundendaten offenlegen kann. Die wirtschaftliche Vielfalt der Region macht das Risiko schwerer erkennbar, aber nicht weniger gravierend.

Kalifornien ist das globale Zentrum der Technologiebranche. Die hier ansässigen Unternehmen entwickeln die Plattformen, Cloud-Infrastrukturen und Sicherheitstools, auf die der Rest der Welt angewiesen ist. Eine gefälschte E-Mail eines großen Technologieunternehmens kann Lieferketten kompromittieren, Malware über vertrauenswürdige Kanäle verbreiten oder Zugangsdaten von Millionen Nutzern abgreifen. Kaliforniens Durchsetzungsrate von 53 % führt zwar die Region an, doch mit 47 Domains, die weiterhin keine gefälschten E-Mails blockieren, schützt der Bundesstaat, der digitales Vertrauen prägt, sich selbst nicht vollständig. Arizonas wachsender Technologiesektor in Phoenix und Utahs Silicon-Slopes-Korridor stehen vor derselben Gefährdung, jedoch mit weniger ausgereifter Sicherheitsinfrastruktur.

Die Glücksspiel- und Gastgewerbebranche Nevadas erwirtschaftet jährlich zig Milliarden an Umsatz. Überweisungsanweisungen, Verifizierungen von Spielerkonten, Lieferantenzahlungen und behördliche Meldungen werden allesamt per E-Mail abgewickelt. Das IC3 des FBI meldete für 2024 BEC-Verluste in Höhe von 2,77 Milliarden US-Dollar und zwischen 2022 und 2024 insgesamt fast 8,5 Milliarden US-Dollar. Eine gefälschte E-Mail eines Casinobetreibers an ein Finanzinstitut oder einer Resortkette an einen Firmenveranstaltungsplaner kann sechs- und siebenstellige Summen bewegen, bevor es jemand bemerkt. DMARC-Durchsetzung stoppt die Identitätsfälschung, bevor sie den Posteingang erreicht.

Hawaii ist Sitz des US-Indo-Pazifikkommandos, des größten vereinigten Kommandos des US-Militärs, sowie zahlreicher Einrichtungen von Marine, Heer, Luftwaffe und Marineinfanterie. Verteidigungsunternehmen, Logistikdienstleister und Behörden, die im Bundesstaat tätig sind, versenden E-Mails im Zusammenhang mit geheimen Programmen, Beschaffung und Geheimdienstoperationen. Eine gefälschte Domain, die auf diese Lieferkette abzielt, ist nicht nur ein Phishing-Versuch – sie stellt ein nationales Sicherheitsrisiko dar. Hawaiis Durchsetzungsrate von 29 % und die N/A-Quote von 18 % hinterlassen erhebliche Lücken in einem der strategisch sensibelsten Bundesstaaten des Landes.

Google und Yahoo verlangen seit Februar 2024 DMARC für Massenversender. Microsoft folgte im Mai 2025. Seit Ende 2025 gibt Google nun dauerhafte Zurückweisungsfehler für nicht konforme Nachrichten aus. Für Organisationen im Südwesten, die Finanzbestätigungen, Kommunikation mit Spielern, militärische Korrespondenz oder Lieferanten-Updates versenden, bedeutet eine fehlende oder schwache DMARC-Richtlinie, dass diese Nachrichten möglicherweise nie ankommen.

PCI DSS 4.0.1 schreibt DMARC für Organisationen vor, die Zahlungskartendaten verarbeiten – eine Anforderung, die Nevadas Glücksspielbranche und Kaliforniens E-Commerce-Sektor direkt betrifft. NIS2 gilt für jedes Unternehmen im Südwesten mit EU-Aktivitäten oder EU-Kunden. Cyberversicherer verschärfen ihre Anforderungen, wobei einige BEC-Auszahlungen für Organisationen ohne grundlegende E-Mail-Authentifizierung ausschließen. Für die Verteidigungsunternehmen der Region in Arizona und Hawaii überschneiden sich diese Anforderungen mit CMMC- und NIST-Rahmenwerken, die DMARC bereits als grundlegende Kontrollmaßnahme empfehlen.

Organisationen im Südwesten sehen sich einer Mischung aus Herausforderungen gegenüber: dem Ruf des Technologiesektors, Vorschriften für Glücksspiel und Gastgewerbe, Anforderungen an militärische Lieferketten und schnellem organisatorischem Wachstum in den expandierenden Metropolregionen der Region. Red Sift OnDMARC ist genau für diese Komplexität konzipiert.

• Durchsetzung in 6 bis 8 Wochen: Manuelle DMARC-Projekte dauern durchschnittlich rund 32 Wochen. OnDMARC verkürzt das auf 6 bis 8 Wochen, indem es die Identifizierung von Absendern, die Konfiguration von SPF und DKIM sowie Prüfungen der Durchsetzungsbereitschaft automatisiert. Für die 114 Organisationen im Südwesten, die sich auf p=quarantine befinden, könnte der letzte Schritt zu „reject“ in Wochen statt Monaten erreicht werden.
• Dynamisches SPF für komplexe Absenderlisten: Organisationen im Südwesten haben tendenziell lange Listen autorisierter E-Mail-Absender: Marketingplattformen, Treueprogramme für Spieler, militärische Beschaffungstools, CRM-Plattformen, Buchungssysteme im Gastgewerbe und vieles mehr. SPF-Einträge haben eine feste Obergrenze von 10 DNS-Lookups, die komplexe Organisationen schnell überschreiten. Red Sifts Dynamisches SPF verwaltet dies automatisch und hält die Authentifizierung gültig, ohne manuelle Eintragspflege.
• Klare Berichterstattung über jede Domain hinweg: OnDMARC wandelt rohe DMARC-Aggregat- und forensische Berichte in ein Dashboard um, das jeden Dienst anzeigt, der E-Mails im Namen Ihrer Domains versendet. Sicherheits- und Compliance-Teams erhalten sofortige Transparenz darüber, was autorisiert ist, was bei der Authentifizierung scheitert und was behoben werden muss. Kein XML-Parsing. Kein Rätselraten.
• Kontinuierliche Überwachung für regulierte Branchen: Glücksspiel-, Finanzdienstleistungs-, Verteidigungs- und Technologieorganisationen unterliegen alle laufenden Prüf- und Compliance-Anforderungen. OnDMARC bietet kontinuierliche Überwachung und Alarmierung, sodass die Durchsetzung auch dann bestehen bleibt, wenn neue Absender hinzukommen, Domains den Besitzer wechseln oder sich die Infrastruktur durch Fusionen und Übernahmen verändert.

Mit 40 % Durchsetzung liegt der Südwesten zwischen dem Nordosten (35 %) und der Mid-Atlantic-Region (44 %) – doch das ist nicht dort, wo die Region stehen sollte. Kaliforniens 53 % zeigen, dass der Weg funktioniert. Hawaiis 29 % zeigen, wie weit manche Bundesstaaten noch gehen müssen. Für die 299 Organisationen, die noch keine vollständige Durchsetzung erreicht haben, kann Red Sift OnDMARC die Lücke zwischen dem Risikoprofil der Region und ihrer aktuellen E-Mail-Sicherheitslage schließen.