FTSE-250-DMARC-Bericht: 39 % der größten britischen Unternehmen blockieren gefälschte E-Mails noch immer nicht

Red Sift hat die DMARC-Einträge aller 250 Mitgliedsunternehmen des FTSE 250, dem Index der größten britischen Mid-Cap-Unternehmen, analysiert. 152 davon (60,8 %) haben die vollständige DMARC-Durchsetzung bei p=reject erreicht. Die übrigen 98 nicht. Das bedeutet, dass 39 % der größten britischen Mid-Caps weiterhin Spielraum lassen, damit jemand E-Mails versenden kann, die scheinbar von ihnen stammen.

Die Gesamtzahl ist besser als das, was wir in den USA beobachtet haben. Red Sifts regionale US-Serie ergab DMARC-Durchsetzungsraten von 35 % im Nordosten, 44 % im mittleren Atlantikraum, 40 % im Südwesten, 36 % im Heartland und 41 % in den nordzentralen Bundesstaaten. Der FTSE 250 liegt vorn. Aber vorne bei einer niedrigen Messlatte zu liegen, ist noch lange nicht dasselbe wie fertig zu sein.

• 152 von 250 FTSE-250-Unternehmen (60,8 %) haben die DMARC-Durchsetzung bei p=reject erreicht
• 47 Unternehmen (18,8 %) nutzen p=none-Richtlinien, die den Datenverkehr überwachen, aber keine Maßnahmen gegen gefälschte E-Mails ergreifen
• 33 Unternehmen (13,2 %) befinden sich bei p=quarantine und senden verdächtige Nachrichten in den Spam-Ordner, anstatt sie vollständig zu blockieren
• 18 Unternehmen (7,2 %) haben überhaupt keinen DMARC-Eintrag veröffentlicht
• 98 der größten britischen Mid-Cap-Unternehmen (39,2 %) haben die vollständige Durchsetzung noch nicht erreicht

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist der E-Mail-Authentifizierungsstandard, der empfangenden Mailservern mitteilt, was zu tun ist, wenn eine Nachricht SPF- oder DKIM-Prüfungen nicht besteht. Es gibt drei Richtlinienstufen:

• p=none dient nur der Überwachung. Der Domain-Inhaber erhält Berichte, aber nicht authentifizierte E-Mails werden weiterhin zugestellt.
• p=quarantine verschiebt verdächtige E-Mails in den Spam-Ordner.
• p=reject blockiert nicht authentifizierte E-Mails vollständig, bevor sie den Posteingang erreichen.

Nur p=reject bietet vollständigen Schutz vor Spoofing. Alles darunter ist nur teilweiser Schutz.

Bei den analysierten 250 FTSE-250-Domains ist die Verteilung stark in Richtung Durchsetzung gewichtet, was die gute Nachricht ist. Die schlechte Nachricht ist der lange Schwanz der Verteilung. Fast jedes fünfte FTSE-250-Unternehmen hat DMARC eingerichtet, ist aber bei p=none stehen geblieben, was dem Einbau einer Überwachungskamera gleichkommt, deren Aufnahmen nie überprüft werden. Weitere 13 % befinden sich bei p=quarantine, nahe am vollständigen Schutz, aber noch nicht ganz dort. Und 18 Unternehmen, darunter bekannte Namen, haben überhaupt keinen DMARC-Eintrag veröffentlicht.

Der FTSE 100 erhält die meisten Sicherheitsschlagzeilen. Banken, große Ölkonzerne und Pharmariesen verfügen über vollständige Sicherheitsteams, Cyberrisiko-Aufsicht auf Vorstandsebene und ein entsprechendes Budget. Der FTSE 250 ist anders.

Zu den 250 Mid-Cap-Mitgliedern zählen Bauunternehmen, regionale Einzelhändler, Fondsmanager, Verteidigungszulieferer, Lebensmittelhersteller und Verbrauchermarken, die Millionen von Transaktions-E-Mails pro Jahr versenden. Sie sind groß genug, um wertvolle Ziele für Identitätsdiebstahl zu sein, und klein genug, dass die Sicherheitsteams oft überlastet sind. Die Lücke zwischen der Reife des FTSE 100 und der des FTSE 250 ist genau dort, wo Angreifer agieren.

Das macht die Durchsetzungsrate von 60,8 % so interessant. Sie liegt deutlich über dem, was wir in regionalen US-Datensätzen gesehen haben, allerdings enthalten diese Stichproben auch öffentliche Einrichtungen und kleinere Organisationen. Ein Trend deutet darauf hin, dass britische Mid-Caps DMARC im Allgemeinen ernster nehmen als ihre US-Pendants, wahrscheinlich getrieben durch:

1. NCSC-Richtlinien. Das britische National Cyber Security Centre (NCSC) empfiehlt seit Jahren DMARC bei p=reject und hat dies seit 2016 im Rahmen des Active-Cyber-Defence-Programms zur Standarderwartung für Domains des öffentlichen Sektors gemacht. Sicherheitsteams im privaten Sektor orientieren sich am selben Leitfaden.
2. Druck durch Mailbox-Anbieter. Die Massenversender-Anforderungen von Google, Yahoo und Microsoft ab 2024 betreffen jeden, der an Verbraucher in diesen Ökosystemen sendet. Verbrauchermarken im Mid-Cap-Segment spürten diesen Druck zuerst.
3. Anforderungen aus der Lieferkette. Viele FTSE-250-Unternehmen sind Teil der Lieferkette von FTSE-100-Kunden, die zunehmend DMARC als Teil der Lieferantenprüfung verlangen.

Trotz dieser Fortschritte ist die Zahl, dass 39 % des Index gefälschte E-Mails nicht blockieren, die interessantere Kennzahl. Das sind Unternehmen mit ordentlichen Sicherheitsteams, Prüfungsausschüssen und Offenlegungspflichten. Die Lücke ist keine Frage der Fähigkeit. Sie ist eine Frage der Priorisierung.

Dies ist die größte Kategorie ohne Durchsetzung. Diese Unternehmen haben den schwierigsten Teil bereits erledigt. Sie haben einen DMARC-Eintrag veröffentlicht, Berichterstattung eingerichtet und (in den meisten Fällen) SPF und DKIM für ihre wichtigsten Versandquellen konfiguriert. Sie haben die Aufgabe nur nie abgeschlossen.

Der Übergang von p=none zu p=reject ist der Punkt, an dem DMARC-Projekte ins Stocken geraten. Der Grund ist operativer, nicht technischer Natur. Um sicher durchzusetzen, müssen Sie jeden legitimen Dienst kennen, der in Ihrem Namen E-Mails versendet, jeden davon so konfigurieren, dass er sich korrekt authentifiziert, und sicherstellen, dass beim Umstellen der Richtlinie nichts kaputtgeht. Für ein Mid-Cap-Unternehmen mit Marketingautomatisierung, HR-Systemen, Lohnbuchhaltungsanbietern, CRM-Plattformen und Drittanbieter-Support-Tools, die alle E-Mails versenden, ist diese Transparenz manuell nur schwer zu erreichen.

Unternehmen, die bei p=none feststecken, erhalten Berichte, die sie keine Zeit haben zu lesen. Sie bezahlen für eine Kontrolle, die sie nicht nutzen. Und sie bieten dieselbe Angriffsfläche wie Unternehmen ganz ohne DMARC, denn Angreifern ist die Richtlinie egal. Ihnen ist wichtig, ob ihre gefälschte E-Mail durchkommt.

p=quarantine ist die vertretbarste Teilposition. Verdächtige E-Mails landen im Spam-Ordner, sodass die meisten Nutzer sie nie zu Gesicht bekommen. Aber „die meisten“ ist nicht „alle“, und Unternehmens-Spamfilter arbeiten uneinheitlich. Eine gefälschte Rechnung, die bei einem Empfänger im Junk-Ordner landet, könnte bei einem anderen im Posteingang landen, abhängig vom Mailbox-Anbieter, den Einstellungen des Nutzers und dem Ruf der versendenden IP-Adresse.

Quarantäne ist auch der Ort, an dem Angreifer ihre Zustellung testen. Wenn eine Kampagne konsequent im Spam-Ordner landet, kann sie iteriert werden, um die Platzierung im Posteingang zu verbessern. Reject schließt diese Tür vollständig.

Die 33 FTSE-250-Unternehmen bei Quarantäne sind in der Regel nur eine Projektentscheidung von der Durchsetzung entfernt. Sie haben die Arbeit geleistet, um ihre Versender zu validieren. Sie haben nur den letzten Schritt noch nicht getan.

Dies ist die besorgniserregendste Kategorie und betrifft Unternehmen branchenübergreifend. Zu den 18 gehören Unternehmen aus dem Wohnungsbau, Einzelhandel, Gastgewerbe, der Lebensmittelproduktion und der Industrieproduktion. Mehrere davon sind verbraucherorientierte Marken, die Transaktions-E-Mails an Millionen britischer Kunden versenden.

Ohne DMARC-Eintrag gibt es keine Richtlinie, die empfangende Mailserver anwenden können. Jeder kann E-Mails versenden, die vorgeben, von diesen Domains zu stammen, und es gibt kein Signal an den Empfänger, dass die Nachricht nicht autorisiert ist. SPF und DKIM sind möglicherweise vorhanden, aber ohne DMARC, das sie mit einer veröffentlichten Richtlinie verbindet, verhindert keiner der beiden Standards tatsächlich Spoofing.

Für verbraucherorientierte Marken ist dies auch eine Frage des Markenschutzes. Britische Verbraucher erhalten täglich Phishing-E-Mails, die diese Unternehmen imitieren. Einige dieser E-Mails kommen durch. Einige führen zu Erfolgen für die Angreifer.

In den letzten 18 Monaten haben sich drei Dinge geändert, die die 39%-Lücke teurer machen als früher.

Durchsetzung durch Mailbox-Anbieter. Google, Yahoo und Microsoft verlangen mittlerweile DMARC für Massenversender. Marketing-E-Mails von Domains ohne gültigen DMARC-Eintrag landen zunehmend im Spam-Ordner oder werden zurückgewiesen. Die Kosten für Untätigkeit sind nicht theoretisch. Sie zeigen sich messbar in der Zustellbarkeit und im Vertriebspipeline-Erfolg.

Erweiterte Regulierung. NIS2 gilt für britische Unternehmen, die in der EU tätig sind. Der bevorstehende britische Cyber Security and Resilience Bill, der in der King's Speech im Juli 2024 angekündigt wurde, wird voraussichtlich den Geltungsbereich regulierter Einrichtungen erweitern und die Berichterstattungsanforderungen verschärfen. E-Mail-Authentifizierung ist die Grundlage für beides.

BEC-Verluste. Das FBI's IC3 meldete 3 Milliarden US-Dollar an Verlusten durch Business E-Mail Compromise (BEC) weltweit im Jahr 2025. Zahlen von UK Finance beziffern den autorisierten Push-Payment-Betrug, dessen wesentlicher Bestandteil BEC ist, im Jahr 2023 auf 459 Millionen Pfund. DMARC bei p=reject ist die wirksamste einzelne Kontrolle, um den Identitätsdiebstahlschritt zu verhindern, der BEC überhaupt erst funktionieren lässt.

Für die 98 FTSE-250-Unternehmen, die p=reject noch nicht erreicht haben, ist der Weg klar:

1. Überprüfen Sie Ihre aktuelle Einrichtung. Nutzen Sie kostenlose Tools, darunter Red Sift Investigate, um Ihre aktuelle DMARC-, DKIM-, SPF-Einrichtung und mehr zu überprüfen.
2. Überprüfen Sie Ihren aktuellen Versand. Nutzen Sie aggregierte DMARC-Berichte, um jeden Dienst zu erfassen, der in Ihrem Namen E-Mails versendet. Die meisten Mid-Cap-Unternehmen entdecken dabei 30 bis 60 Dienste, von denen sie zuvor nichts wussten.
3. Authentifizieren Sie jede legitime Quelle. Konfigurieren Sie SPF und DKIM für jede einzelne und verschärfen Sie die Ausrichtung (Alignment).
4. Beobachten Sie die Berichte. Bestätigen Sie, dass authentifizierte E-Mails erfolgreich sind und nicht authentifizierte E-Mails sichtbar sind. Beheben Sie etwaige Fehler.
5. Wechseln Sie zu p=quarantine, dann zu p=reject.p=quarantine, dann zu p=reject. Ein stufenweises Vorgehen verringert das Risiko, legitime E-Mails zu beeinträchtigen.

Die Werkzeuge sind ausgereift. Was früher ein Projekt von sechs bis zwölf Monaten war, dauert heute mit der richtigen Plattform nur noch sechs bis acht Wochen.

Red Sift OnDMARC automatisiert die Erkennung, Konfiguration und laufende Überwachung, die nötig sind, um die Durchsetzung zu erreichen und aufrechtzuerhalten. Dynamic SPF verflacht Lookup-Ketten automatisch. Das Berichts-Dashboard zeigt Probleme nach Versandquelle an. Und die kontinuierliche Überwachung erkennt Abweichungen sofort, sobald ein neuer Dienst hinzugefügt wird.

Methodik: Red Sift analysierte die veröffentlichten DNS-Einträge für die 250 Domains der FTSE-250-Mitgliedsunternehmen mit Stand Mai 2026. Zu den geprüften Einträgen gehören SPF, DKIM und DMARC. Die Einordnung der Richtlinie basiert auf dem im veröffentlichten DMARC-Eintrag angegebenen p=-Wert. Unternehmen ohne veröffentlichten DMARC-Eintrag werden als „N/A“ eingestuft. Wenn eine Domain zwar einen DMARC-Eintrag veröffentlicht hat, aber keine gültige Richtlinie abgerufen werden konnte, wird der Eintrag als „Richtlinie nicht gefunden“ eingestuft.