Spoofhound-Forschung · veröffentlicht am 2026-10-17
Stand von DMARC 2026 — Frankreich
84 % der französischen Domains können per E-Mail nachgeahmt werden.
Spoofhound hat das französische Web gescannt — jede E-Mail empfangende .fr-Domain aus den Tranco-Top-1-Million plus 63.069 kartierte französische Unternehmen, insgesamt 71.101 Domains — mit derselben Engine wie unser kostenloser Domain-Check. So sieht die E-Mail-Sicherheit Frankreichs 2026 wirklich aus.
Domain prüfen — kostenlosDie Kernzahl
84 % der französischen Domains, die E-Mail empfangen, können nachgeahmt werden. Von 71.101 geprüften französischen Mail-Domains veröffentlichen 59.920 entweder gar kein DMARC, lassen es im reinen Beobachtungsmodus oder haben einen defekten Eintrag — die empfangenden Mailsysteme werden also nie angewiesen, Fälschungen in ihrem Namen zu blockieren.
Drei Zahlen tragen die Geschichte:
- •84,3 % der französischen Mail-Domains haben keine durchgesetzte DMARC-Richtlinie. Weniger als jede sechste (15,7 %) weist die Welt an, Nachahmer in Quarantäne zu schicken oder abzuweisen.
- •Die Kleinunternehmens-Lücke: 87 % exponiert, gegenüber 44 % im populären Web. Französische Unternehmen mit ein bis drei Standorten erzwingen DMARC zu 13,4 %; Frankreichs Top-100.000-Websites schaffen 55,8 %. Die Unternehmen, die einen Rechnungsbetrug am wenigsten überleben können, sind am schlechtesten geschützt.
- •Die durchschnittliche französische Domain erreicht 32,8 von 100 im vollständigen E-Mail-Sicherheitscheck (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI); 89,9 % haben mindestens ein behebenswertes Problem.
DMARC im französischen Web
Fast die Hälfte der französischen Mail-Domains (47,4 %) veröffentlicht überhaupt keinen DMARC-Eintrag — der empfangende Server bekommt weder Richtlinie noch Berichtsadresse, der Inhaber erfährt also nie, dass seine Domain missbraucht wird. Weitere 36,5 % veröffentlichen einen Eintrag, lassen ihn aber auf p=none: sie erhalten vielleicht Berichte, doch Nachahmer-Mails landen weiterhin im Posteingang. Die 318 defekten Einträge (Duplikate, falsch geschriebene Richtlinien wie „quarentine“) behandeln Empfänger genauso wie gar keinen Eintrag.
Der Rest der Kette
DMARC ist die Durchsetzungsschicht, der Scan deckt aber die ganze Kette ab. Unter denselben 71.101 französischen Mail-Domains:
| Prüfung | Befund | Domains |
|---|---|---|
| SPF | Gar kein Eintrag — jeder Server darf im Namen der Domain senden | 6.511 (9,2 %) |
| SPF | Eintrag endet auf +all oder ?all — veröffentlicht, erlaubt aber trotzdem allen | 5.132 (7,2 %) |
| Microsoft-365-DKIM | Beide Signatur-Selektoren defekt — ihre ausgehende Mail kann heute an der Authentifizierung scheitern | 158 |
| MTA-STS | Schützt eingehende Mail gegen Abfangen — eingeführt | 276 (0,4 %) |
| TLS-RPT | Meldet gescheiterte sichere Zustellung — eingeführt | 414 (0,6 %) |
| BIMI | Verifiziertes Logo im Posteingang — aktiv | 532 (0,7 %) |
Die Verschlüsselungs- und Markenebenen existieren in Frankreich kaum: weniger als eine Domain von hundert hat MTA-STS, TLS-RPT oder BIMI. Für Vorreiter ist das eine Chance — ein verifiziertes Logo und erzwungene Transportsicherheit sind hier noch Differenzierer, keine Selbstverständlichkeit.
Kleinunternehmen gegen das populäre Web
Das ist die Aufteilung, die keine andere Studie misst: Branchenberichte beproben populäre Websites — genau dort, wo das Problem nicht liegt.
| Population | Geprüfte Domains | Kein DMARC-Eintrag | Nur Beobachtung | Durchgesetzt |
|---|---|---|---|---|
| Französische Unternehmen mit 1–3 Standorten (Läden, Kanzleien, Handwerk) | 61.305 | 50,2 % | 35,9 % | 13,4 % |
| Frankreichs Top-100.000-Websites | 1.472 | 13,4 % | 30,7 % | 55,8 % |
Das populäre Web hat die Arbeit weitgehend erledigt — gedrängt von Googles und Yahoos Absenderregeln 2024 und von Sicherheitsteams. Die Bäckerei, die Anwaltskanzlei und die Werkstatt drängt niemand: 86,6 % der französischen Kleinunternehmen können per E-Mail nachgeahmt werden, und die meisten haben keine Berichtsadresse — sie würden es also nie erfahren. Dabei sind genau das die Unternehmen, für die eine einzige gefälschte Rechnung an einen Kunden oder eine nachgeahmte Nachricht an ihren Buchhalter existenzbedrohend ist.
Wer am stärksten exponiert ist
Da die Unternehmensdaten kartiert sind, lässt sich die Exposition nach Gewerbe lesen. Durchsetzung nach Branche, die schlechtesten zuerst (französische Unternehmen, Branchen mit 400+ geprüften Domains):
| Branche | Domains | Kein DMARC-Eintrag | Durchgesetzt |
|---|---|---|---|
| Friseure | 1.477 | 66,8 % | 6,0 % |
| Buchhandlungen | 1.145 | 58,0 % | 6,9 % |
| Optiker | 916 | 56,6 % | 7,5 % |
| Weinhändler | 882 | 48,6 % | 7,8 % |
| Kosmetikstudios | 1.256 | 54,9 % | 8,0 % |
| Kfz-Werkstätten | 1.243 | 67,7 % | 8,5 % |
| Bäckereien | 1.048 | 56,3 % | 9,3 % |
| Autohäuser | 1.447 | 61,1 % | 9,6 % |
| Immobilienmakler | 3.771 | 59,0 % | 10,2 % |
| Bekleidungsgeschäfte | 1.976 | 38,5 % | 16,3 % |
| Unternehmensbüros | 5.041 | 38,3 % | 26,7 % |
| Behörden | 1.322 | 29,0 % | 35,8 % |
Zwei Lesarten stechen hervor. Immobilienmakler — Unternehmen, die routinemäßig Bankverbindungen für Kautionen und Mieten per E-Mail verschicken — erzwingen zu 10,2 %, und 59 % veröffentlichen gar nichts; sie sind vielleicht Frankreichs ungeschützte Branche mit den höchsten Einsätzen. Und das Gefälle von Friseuren (6 %) zu Behörden (36 %) folgt der IT-Betreuung, nicht dem Risiko: Der Schutz geht dorthin, wo die IT-Leute sind, nicht dorthin, wo die Betrugsgefahr ist.
Methodik
Population. 71.101 französische Domains, die E-Mail empfangen (funktionierende MX-Einträge), aus zwei Quellen: jede .fr-Domain des Forschungsrankings Tranco Top 1 Million populärer Websites (12.412 empfangen Mail) und 63.069 auf OpenStreetMap kartierte französische Unternehmen mit eigener Website (beliebige Endung; Plattform-Seiten und Social-Profile ausgeschlossen). 4.380 Domains erscheinen in beiden. Domains ohne MX und gehostete Seiten-Domains, die das Unternehmen nicht kontrolliert, sind ausgeschlossen.
Prüfungen. Jede Domain wurde von Spoofhounds eigener Engine gescannt — derselben hinter dem kostenlosen Domain-Check — über SPF, DKIM (29 gängige Selektoren), DMARC, MTA-STS, TLS-RPT und BIMI, per DNS und Abruf der Richtliniendateien. Jede Zahl stammt aus einem Scan in den 30 Tagen bis zum 2026-10-17.
Ehrliche Grenzen. DKIM lässt sich nur als vorhanden bestätigen, nie als fehlend — es werden daher keine DKIM-Fehlen-Aussagen gemacht. Die Unternehmensstichprobe umfasst kartierte Unternehmen mit Website und neigt damit zu sichtbaren, konsumentennahen Gewerben. „Durchgesetzt“ heißt p=quarantine oder p=reject auf der Organisationsdomain; pct<100 und defekte Einträge zählen als nicht durchgesetzt, wie Empfänger sie behandeln.
Daten © OpenStreetMap-Mitwirkende (ODbL) · Tranco-Liste des Tranco-Forschungsprojekts.
Wo steht Ihre Domain in diesen Zahlen? Finden Sie es in 30 Sekunden heraus.
Domain prüfen — kostenlos