27,9 % der Top-Domains sind Ende 2026 weiterhin anfällig für E-Mail-Spoofing

Eine aktuelle Analyse der Majestic Million Top-1.000-Domains zeigt, dass 27,9 % dieser Domains zum Stichtag 19. Oktober 2026 weiterhin anfällig für E-Mail-Spoofing sind. Die Studie hebt hervor, dass zwar die großen Plattformen ihre Adoption verbessert haben, viele Organisationen jedoch immer noch auf nachlässige DNS-Einträge setzen, die gefälschte E-Mails nicht blockieren.

Was passiert ist

Die Untersuchung prüfte die Domain-based Message Authentication, Reporting, and Conformance (DMARC)-Einträge von 974 registrierbaren Domains aus der Majestic Million Liste. Dieses Ranking misst die globale Webpräsenz anhand von Backlinks. Ziel war es festzustellen, wie viele dieser prominenten Domains Angreifer effektiv daran hindern, E-Mails zu versenden, die scheinbar von ihnen stammen. Die Ergebnisse zeigen, dass 272 Domains entweder keinen DMARC-Eintrag veröffentlichen, eine nicht-durchsetzende Richtlinie verwenden oder ungültige Konfigurationen aufweisen.

Während 72,1 % der auditierten Domains DMARC nun durchsetzen, bleibt ein erheblicher Teil exponiert. Innerhalb der Gruppe, die DMARC durchsetzt, verwenden 53,1 % die strengste „reject“-Richtlinie, die empfangende Server anweist, nicht authentifizierte Nachrichten vollständig zu verwerfen. Weitere 19,0 % nutzen „quarantine“, was verdächtige Post in der Regel in Spam-Ordner umleitet. Allerdings verwenden 16,9 % immer noch „none“, einen reinen Überwachungsmodus, der alle E-Mails unabhängig vom Authentifizierungsstatus durchlässt, und 11,0 % haben überhaupt keinen Eintrag.

Die Daten zeigen auch eine Diskrepanz basierend auf der E-Mail-Infrastruktur. Domains, die große gehostete Anbieter wie Google Workspace oder Microsoft 365 nutzen, weisen niedrigere Spoofability-Raten auf, die zwischen 18,1 % und 20,5 % liegen. Im Gegensatz dazu sind Domains, die andere oder selbst gehostete Mail-Lösungen nutzen, zu 40,7 % spoofable. Selbst Domains ohne Mail Exchange (MX)-Einträge, die theoretisch keine E-Mails empfangen sollten, zeigen eine Spoofability-Rate von 38,2 %, da ihnen oft schützende DNS-Einträge fehlen.

Wichtige Details

• Definition von „spoofable“: Eine Domain gilt als spoofable, wenn ihre effektive DMARC-Richtlinie fehlt, auf p=none gesetzt ist oder ungültig ist.
• Anbieterlücke: Selbst gehostete oder Nischen-E-Mail-Anbieter zeigen eine doppelt so hohe Spoofability-Rate (40,7 %) im Vergleich zu großen Plattformen wie Google (18,1 %).
• Compliance vs. Sicherheit: Große Anbieter wie Gmail und Yahoo verlangen von Massenversendern nur p=none, was bedeutet, dass Compliance nicht gleichbedeutend mit vollem Schutz ist.
• SPF-Probleme: 15,5 % der Domains haben überhaupt keinen SPF-Eintrag, und 1,0 % überschreiten das Limit von 10 DNS-Lookups, was zu Validierungsfehlern führt.
• Transport-Sicherheit: Nur 1,5 % der Domains setzen MTA-STS durch, ein Protokoll, das verschlüsselte E-Mail-Zustellung sicherstellt.
• Nicht-Mail-Domains: Domains, die keine E-Mails empfangen, sollten v=spf1 -all und p=reject veröffentlichen, um Identitätsmissbrauch zu verhindern, tun dies aber oft nicht.

Hintergrund

DMARC arbeitet zusammen mit SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail), um die Echtheit von E-Mails zu überprüfen. SPF listet autorisierte IP-Adressen für den Mailversand auf, während DKIM eine digitale Signatur zu Nachrichten hinzufügt. DMARC verknüpft diese Mechanismen, indem es empfangenden Servern mitteilt, was zu tun ist, wenn eine E-Mail diese Prüfungen nicht besteht. Eine Richtlinie von p=none weist Empfänger an, die Mail dennoch zuzustellen, aber einen Bericht an den Domain-Inhaber zu senden. Dies ist für die initiale Einrichtung nützlich, bietet aber keinen Schutz gegen Phishing.

Der Trend zu strengeren Durchsetzungsmaßnahmen wurde durch neue Anforderungen großer Mailbox-Anbieter vorangetrieben. Seit Anfang 2024 schreiben Gmail und Yahoo vor, dass Massenversender DMARC-Einträge veröffentlichen müssen, wobei sie zunächst p=none akzeptierten. Microsoft folgte im Mai 2025 mit ähnlichen Regeln für Outlook.com-Nutzer. Diese Regulierungen haben die Anzahl der Domains, die DMARC-Einträge veröffentlichen, erfolgreich erhöht, aber sie haben Organisationen nicht universell dazu gebracht, die strengere p=reject-Richtlinie zu adoptieren, die nötig ist, um Spoofing zu stoppen.

Warum es wichtig ist

Für Teams, die ihre eigene Software und Infrastruktur verwalten, unterstreichen diese Daten das Risiko, sich ausschließlich auf Standardkonfigurationen oder minimale Compliance zu verlassen. Wenn Ihre Organisation einen selbst gehosteten E-Mail-Server oder einen Nischenanbieter nutzt, ist die Wahrscheinlichkeit einer Fehlkonfiguration statistisch höher als bei Kollegen auf großen Plattformen. Angreifer zielen auf bekannte Domains ab, weil Nutzer diesen vertrauen. Eine p=none-Richtlinie lädt Phisher quasi dazu ein, Ihre Marke zu imitieren, da empfangende Server ihre gefälschten Nachrichten nicht blockieren werden.

Darüber hinaus deutet die geringe Adoption von Transport-Sicherheitsstandards wie MTA-STS darauf hin, dass viele Organisationen E-Mails während des Transports nicht vor Downgrade-Angriffen schützen. Während DMARC Identitätsmissbrauch verhindert, stellt MTA-STS sicher, dass die Verbindung zwischen Mailservern verschlüsselt ist und nicht abgefangen werden kann. Das Ignorieren dieser Ebenen macht sowohl Ihren Ruf als auch Ihre Kommunikation verwundbar.

Die Unterscheidung zwischen Compliance und Sicherheit ist kritisch. Das Erfüllen der Mindestanforderungen von Gmail oder Yahoo hält Ihre Marketing-E-Mails aus dem Junk-Ordner, schützt Ihre Domain aber nicht vor Missbrauch. IT-Leiter müssen erkennen, dass das Bestehen eines Bulk-Sender-Checks lediglich der erste Schritt in einer umfassenderen Sicherheitsstrategie ist.

Was Sie tun können

• Prüfen Sie Ihre DMARC-Richtlinie: Kontrollieren Sie, ob Ihre Domain p=none verwendet, und planen Sie eine Migration zu p=quarantine und schließlich p=reject.
• Sichern Sie Nicht-Mail-Domains ab: Für jede Domain, die keine E-Mails empfängt, veröffentlichen Sie v=spf1 -all und p=reject, um jeglichen ausgehenden Mailverkehr zu blockieren.
• Überprüfen Sie SPF-Einträge: Stellen Sie sicher, dass Ihr SPF-Eintrag nur notwendige Dienste enthält und unter dem Limit von 10 DNS-Lookups bleibt, um permanente Fehler zu vermeiden.
• Aktivieren Sie Berichterstattung: Nutzen Sie rua-Tags in Ihrem DMARC-Eintrag, um aggregierte Berichte zu erhalten. Dies hilft Ihnen, legitime Absender zu identifizieren, bevor Sie strenge Richtlinien durchsetzen.
• Implementieren Sie MTA-STS: Setzen Sie MTA-STS und TLS-RPT ein, um verschlüsselte Verbindungen durchzusetzen und Berichte über fehlgeschlagene TLS-Verhandlungen zu erhalten.
• Kontinuierlich überwachen: Prüfen Sie regelmäßig Ihre DNS-Einträge auf versehentliche Änderungen oder Ablaufdaten, besonders wenn Sie mehrere Subdomains verwalten.