43% der wichtigsten Organisationen in Washington D.C. anfällig für Phishing

• 57 Domains (57%) haben die DMARC-Enforcement-Stufe (p=reject) erreicht, sodass 43% ungeschützt bleiben
• 21 Domains (21%) verwenden p=none-Richtlinien, die zwar überwachen, aber nichts gegen gefälschte E-Mails unternehmen
• 20 Domains (20%) befinden sich auf der Quarantäne-Stufe, nahe am vollständigen Schutz, haben den Wechsel zu „reject“ aber noch nicht abgeschlossen
• 2 Domains (2%) haben überhaupt keinen DMARC-Eintrag veröffentlicht

Washington D.C. hat ein DMARC-Problem, das sich angesichts der Rolle der Stadt bei der Gestaltung von Cybersicherheitsstandards für den Rest des Landes schwer ignorieren lässt.

Die Analyse von Red Sift von 100 Domains, die den führenden Organisationen in D.C. gehören, ergab, dass 57 (57%) die Stufe p=reject erreicht haben – die DMARC-Richtlinienebene, die gefälschte E-Mails aktiv blockiert. Damit liegt D.C. vor Boston (50,5%), aber deutlich hinter New York (72,7%) im städteübergreifenden Vergleich von Red Sift.

Die verbleibenden 43 Domains teilen sich in drei Gruppen auf. 20 befinden sich auf der Stufe p=quarantine, bei der gefälschte E-Mails in den Spam-Ordner verschoben, aber nicht vollständig blockiert werden. Diese Organisationen haben den größten Teil der technischen Arbeit erledigt, und der Übergang zur Enforcement dauert in der Regel 6 bis 8 Wochen. 21 Domains verwenden p=none, was bedeutet, dass sie zwar einen DMARC-Eintrag veröffentlicht haben, dieser aber nichts dagegen unternimmt, dass betrügerische E-Mails in Postfächern landen. Und 2 Domains haben überhaupt keinen DMARC-Eintrag.

Diese 43%-Lücke ist bemerkenswert für eine Stadt, in der CISA, NIST, die NSA und die Bundesbehörden ansässig sind, die die Cybersicherheitsagenda sowohl für die Regierung als auch für die Privatwirtschaft festlegen. D.C. ist der Ort, an dem die Regeln geschrieben werden. Doch ein erheblicher Teil ihrer wichtigsten Organisationen hält sich nicht daran.

D.C. liegt an der Schnittstelle von Regierung, Lobbyarbeit, Verteidigungsauftragswesen und Politik. Jeder einzelne dieser Bereiche ist auf vertrauenswürdige E-Mail-Kommunikation angewiesen. Und jeder von ihnen ist ein bevorzugtes Ziel für Identitätsbetrug.

Regierungsangelegenheiten, Beschaffung, Politikkoordination und Lobbyarbeit sind alle stark von E-Mail abhängig. BEC-Angreifer wissen das. Eine gefälschte E-Mail eines Regierungsauftragnehmers an eine Bundesbehörde oder von einer Lobbyfirma an ein Kongressbüro kann Überweisungen auslösen, vertrauliche Informationen offenlegen oder laufende Verhandlungen gefährden. Das IC3 des FBI meldete für 2024 BEC-Verluste in Höhe von 2,77 Milliarden US-Dollar, und zwischen 2022 und 2024 wurden insgesamt fast 8,5 Milliarden US-Dollar verloren. Die Konzentration von hochwertiger, vertrauensabhängiger Kommunikation macht D.C. zu einem lohnenden Ziel.

Die Binding Operational Directive 18-01 der CISA verpflichtete Bundesbehörden bereits 2017 zur Implementierung von DMARC auf Enforcement-Ebene. Die NIST-Richtlinien empfehlen DMARC als zentrale Kontrollmaßnahme für E-Mail-Sicherheit. Die Ironie besteht darin, dass die Bundesregierung die DMARC-Einführung in ihren eigenen Behörden zwar vorangetrieben hat, die breitere Geschäftswelt in D.C. – einschließlich der Auftragnehmer, Beratungsfirmen und Unternehmen, die mit der Regierung zusammenarbeiten – jedoch nicht Schritt gehalten hat. Eine Bundesbehörde mit starkem DMARC bleibt weiterhin verwundbar, wenn die Domain eines vertrauenswürdigen Auftragnehmers gefälscht werden kann.

Google und Yahoo verlangten ab Februar 2024 DMARC für Massenversender. Microsoft folgte im Mai 2025. Seit Ende 2025 gibt Google für nicht konforme Nachrichten dauerhafte Ablehnungsfehler aus. Für D.C.-Organisationen, die Beschaffungsupdates, politische Kurzberichte, Veranstaltungseinladungen oder Stakeholder-Kommunikation versenden, bedeutet eine fehlende oder schwache DMARC-Richtlinie, dass diese Nachrichten möglicherweise nie ankommen.

PCI DSS 4.0.1 schreibt DMARC für Organisationen vor, die Zahlungskartendaten verarbeiten. NIS2 gilt für jede D.C.-Firma mit EU-Aktivitäten oder EU-Kunden. Und Cyberversicherer verschärfen ihre Anforderungen, wobei einige BEC-Auszahlungen für Organisationen ausschließen, die keine grundlegende E-Mail-Authentifizierung besitzen. Für Verteidigungsauftragnehmer und Regierungsdienstleister in D.C. wird DMARC zunehmend zur Vertragsanforderung – nicht mehr nur zu einer Best Practice.

Organisationen in D.C. agieren in einem einzigartig komplexen Umfeld: staatliche Compliance-Anforderungen, Kommunikationsketten mit mehreren Interessengruppen, Flüsse klassifizierter und sensibler Informationen sowie Anbieter-Ökosysteme, die den öffentlichen und den privaten Sektor umfassen. Red Sift OnDMARC wurde genau für diese Komplexität entwickelt.

• Enforcement in 6 bis 8 Wochen: Manuelle DMARC-Projekte dauern im Durchschnitt rund 32 Wochen. OnDMARC verkürzt diese Zeit auf 6 bis 8 Wochen, indem es die Identifizierung von Quellen, die Konfiguration von SPF und DKIM sowie die Bereitschaftsprüfung für die Enforcement automatisiert. Für die 20 D.C.-Organisationen im Quarantäne-Status könnte der letzte Schritt zu „reject“ nur wenige Wochen dauern.
• Dynamisches SPF für umfangreiche Absenderlisten: Organisationen in D.C. verfügen häufig über lange Listen autorisierter E-Mail-Absender: Regierungsportale, CRM-Plattformen, Veranstaltungsmanagement-Tools, Marketingdienste und mehr. SPF-Einträge unterliegen einer festen Grenze von 10 DNS-Lookups, die in einer komplexen Umgebung leicht überschritten wird. Red Sifts Dynamic SPF verwaltet dies automatisch und hält die Authentifizierung gültig – ohne manuelle Pflege der Einträge.
• Klare Berichterstattung über alle Domains hinweg: OnDMARC wandelt rohe DMARC-Aggregat- und Forensikberichte in ein Dashboard um, das jeden Dienst anzeigt, der im Namen Ihrer Domains E-Mails versendet. Sicherheits- und Compliance-Teams erhalten sofortige Transparenz darüber, was autorisiert ist, was die Authentifizierung nicht besteht und was behoben werden muss. Kein XML-Parsing. Kein Rätselraten.
• Kontinuierliches Monitoring für Organisationen, die sich Abweichungen nicht leisten können: Regierungsauftragnehmer und regulierte Unternehmen unterliegen laufenden Audit- und Compliance-Anforderungen. OnDMARC bietet kontinuierliches Monitoring und Alarmierung, sodass die Enforcement bestehen bleibt, selbst wenn neue Absender hinzukommen, Domains den Besitzer wechseln oder sich die Infrastruktur durch Fusionen und Übernahmen verändert.

D.C. setzt den Cybersicherheitsstandard für den Rest des Landes. Die 57% der Organisationen, die die Enforcement bereits erreicht haben, beweisen, dass es machbar ist. Für die 43%, die dies noch nicht geschafft haben, kann Red Sift OnDMARC die Lücke zwischen Richtlinie und Praxis schließen.