Spoofhound-Forschung · 2026-11-10

English Français Español Deutsch Italiano Português

Stand von DMARC 2026 — Deutschland

Fast drei von vier deutschen Domains lassen sich per E-Mail fälschen.

Spoofhound hat das deutsche Web geprüft: 199.513 Domains, die E-Mails empfangen, aus kartierten Unternehmen und öffentlichen Stellen in Deutschland und seinen populären Websites, geprüft mit derselben Engine wie unser kostenloser Domain-Check.

Domain prüfen — kostenlos

Die Kernzahl

Fast drei von vier deutschen Domains, die E-Mails empfangen, lassen sich fälschen. Von 199.513 geprüften Domains haben 144.813 (72,6 %) keine durchgesetzte DMARC-Richtlinie: gar kein Eintrag, nur Beobachtung oder ein defekter Eintrag. Empfangende Mailsysteme werden nie angewiesen, Fälschungen in ihrem Namen zu blockieren.

Drei Zahlen tragen die Geschichte:

•27,4 % setzen DMARC durch. Das ist mehr als im Vereinigten Königreich (24,5 %) und in Frankreich (15,7 %) und weniger als in den Niederlanden (30,6 %) und in Dänemark (39,0 %). Sehen Sie, wie alle von uns gemessenen Länder abschneiden.
•Die Lücke bei Kleinunternehmen: 26,3 % gegen 45,1 %. Deutsche Unternehmen mit einem bis drei Standorten setzen DMARC zu 26,3 % durch. Deutschlands .de-Websites unter den weltweiten Top 100.000 kommen auf 45,1 %.
•Berufe, die mit Geld umgehen, liegen im Durchschnitt. Anwaltskanzleien (27,8 %), Notariate (27,7 %), Immobilienmakler (26,6 %) und Steuerberater (25,2 %) sind nicht besser geschützt als deutsche Unternehmen insgesamt, obwohl sie die Zahlungen abwickeln, auf die Nachahmer-E-Mails zielen.

Die durchschnittliche deutsche Domain erreicht 28,5 von 100 Punkten im vollständigen E-Mail-Sicherheitscheck, und 91,3 % haben mindestens ein Problem, das sich zu beheben lohnt.

DMARC im deutschen Web

73 % der deutschen Domains, die E-Mails empfangen, lassen sich fälschen

144.813 von 199.513 geprüften Domains haben keine durchgesetzte DMARC-Richtlinie.

Kein DMARC-Eintrag

76.803 · 38,5 %

Nur Beobachtung (p=none)

67.734 · 33,9 %

Defekter oder doppelter Eintrag

276 · 0,1 %

p=quarantine

18.356 · 9,2 %

p=reject

36.344 · 18,2 %

Rot: Empfänger werden nie angewiesen, Fälschungen zu blockieren · Grün: Nachahmer-Mail wird in Quarantäne geschickt oder abgewiesen.

Spoofhound-Prüfung von 199.513 deutschen Domains, die E-Mails empfangen, geprüft in den 30 Tagen bis 2026-11-10.

Deutsche Domains verteilen sich auf keinen DMARC-Eintrag (38,5 %) und p=none (33,9 %). Von den 67.734 Domains bei p=none fordern 53.127 (78,4 %) keine DMARC-Berichte an. Ihr Eintrag blockiert also weder Fälschungen, noch informiert er irgendjemanden darüber. Wer durchsetzt, geht meist den ganzen Weg: p=reject (18,2 %) ist doppelt so häufig wie p=quarantine (9,2 %). Erst die Berichte zeigen jeden Dienst, der im Namen einer Domain Mail versendet. Sie auszuwerten und die Arbeit zu Ende zu bringen, ist genau das, was Spoofhound tut.

Der Rest der Kette

Prüfung	Befund	Domains
SPF	Gar kein Eintrag: jeder beliebige Server darf als die Domain senden	32.449 (16,3 %)
SPF	Eintrag endet auf +all oder ?all: veröffentlicht, erlaubt aber trotzdem jedem alles	5.815 (2,9 %)
Microsoft 365 DKIM	Beide Signatur-Selektoren defekt: ausgehende Mail kann schon heute an der Authentifizierung scheitern	411
MTA-STS	Schützt eingehende Mail vor dem Abfangen: eingeführt (347 davon nur im Testmodus)	1.581 (0,8 %)
TLS-RPT	Meldet fehlgeschlagene sichere Zustellung: eingeführt	1.792 (0,9 %)
BIMI	Verifiziertes Logo im Posteingang: aktiv	1.217 (0,6 %)

Jede sechste deutsche Domain (16,3 %) hat gar keinen SPF-Eintrag, ähnlich wie in den USA (17,8 %). Ohne SPF kann ein Unternehmen DMARC nicht durchsetzen, ohne die eigene Mail zu beschädigen. Die neueren Standards sind kaum angekommen: Weniger als 1 von 100 Domains nutzt MTA-STS, TLS-RPT oder BIMI.

Kleinunternehmen gegen größere

Population	Geprüfte Domains	Kein DMARC-Eintrag	Nur Beobachtung	Durchgesetzt
Deutsche Unternehmen mit 1–3 Standorten (Läden, Büros, Handwerk)	169.234	39,4 %	34,2 %	26,3 %
Deutsche Unternehmen mit 4–9 Standorten	2.376	31,7 %	35,0 %	33,2 %
Deutsche Unternehmen mit 10 oder mehr Standorten	1.090	22,2 %	37,4 %	40,2 %
Deutschlands .de-Websites unter den weltweiten Top 100.000	2.045	20,7 %	33,9 %	45,1 %

Der Schutz steigt mit der Größe, aber weniger steil als in den USA: Deutsche Unternehmen mit zehn oder mehr Standorten kommen auf 40,2 %, gegenüber 62,1 % in den USA. Kleinunternehmen machen den Großteil der Stichprobe aus, und 93,2 % von ihnen haben mindestens ein E-Mail-Sicherheitsproblem. Gerade sie trifft Betrug mit gefälschten Rechnungen am härtesten, weil kein Sicherheitsteam ihn bemerkt.

Behörden gegen Kleinunternehmen

Öffentliche Stellen sind ein naheliegendes Ziel für Nachahmer-Mail. Wir haben die Domains des öffentlichen Sektors, die wir erkennen können (auf OpenStreetMap als Behörde kartierte Büros), mit deutschen Kleinunternehmen verglichen:

Population	Domains	Kein DMARC-Eintrag	Nur Beobachtung	p=quarantine	p=reject	Durchgesetzt
Deutsche Behörden	1.350	39,4 %	26,4 %	15,9 %	18,1 %	34,1 %
Deutsche Unternehmen mit 1–3 Standorten	169.234	39,4 %	34,2 %	8,1 %	18,2 %	26,3 %

Deutsche Behörden schneiden besser ab als Kleinunternehmen (34,1 % gegen 26,3 %), aber genauso viele haben gar keinen DMARC-Eintrag (39,4 %). Im Nachbarland setzen niederländische Behördendomains DMARC zu 80,7 % durch, mehr als doppelt so oft wie in Deutschland.

Wer am stärksten exponiert ist

Deutsche Berufe, die Kundengeld verwalten, sind nicht besser geschützt als der Durchschnitt

Anteil der E-Mail empfangenden Domains jeder Branche mit p=quarantine oder p=reject (geprüfte Domains in Klammern).

Kirchliche Büros (948)

18,5 %

Buchhandlungen (1.325)

20,9 %

Metzgereien (2.448)

21,3 %

Friseure (6.192)

22,2 %

Bäckereien (3.133)

22,8 %

Optiker (2.628)

22,9 %

Bekleidungsgeschäfte (4.674)

23,0 %

Blumenläden (2.057)

23,7 %

Steuerberater (1.636)

25,2 %

Fahrradläden (3.626)

25,7 %

Autohäuser (4.721)

25,8 %

Immobilienmakler (2.162)

26,6 %

Finanzberater (184)

26,6 %

Buchhalter (281)

27,4 %

Notariate (267)

27,7 %

Anwaltskanzleien (3.254)

27,8 %

Kfz-Werkstätten (5.996)

29,2 %

Versicherungsagenturen (793)

32,3 %

Unternehmensbüros (20.255)

32,4 %

Finanzdienstleister (130)

34,6 %

Computerläden (1.097)

36,1 %

Energieversorger (228)

38,6 %

IT-Unternehmen (3.470)

43,6 %

Blau: Berufe, die Kundengeld verwalten · gestrichelte Linie: deutscher Durchschnitt (27,4 %).

Auf OpenStreetMap kartierte deutsche Unternehmen, ausgewählte Branchen mit 100+ geprüften Domains; Spoofhound-Scan bis 2026-11-10. Behörden werden im Abschnitt oben behandelt.

Steuerberater (25,2 %), Immobilienmakler (26,6 %), Notariate (27,7 %) und Anwaltskanzleien (27,8 %) liegen alle nah am deutschen Durchschnitt, obwohl sie Anzahlungen, Honorare und Kaufpreiszahlungen abwickeln, auf die Nachahmer-E-Mails zielen. In den Niederlanden führen Notariate mit 52,3 %. Versicherungsagenturen (32,3 %) und Finanzdienstleister (34,6 %) schneiden etwas besser ab. Ladengeschäfte liegen knapp über einem von fünf, und kirchliche Büros bilden mit 18,5 % das Schlusslicht. IT-Unternehmen führen mit 43,6 %.

Methodik

Population. 199.513 deutsche Domains, die E-Mails empfangen (funktionierende MX-Einträge), aus zwei Quellen:

deutsche Unternehmen und Organisationen, auf OpenStreetMap kartiert, mit eigener Website, beliebige Endung: 174.048 Domains
jede .de-Domain im Popularitätsranking Tranco Top 1 Million: 30.449 Domains, die E-Mails empfangen

4.984 Domains kommen in beiden vor. Social-Media-Profile, Verzeichnisse und gehostete Seiten, die das Unternehmen nicht kontrolliert, sind ausgeschlossen.

Prüfungen. Jede Domain wurde mit Spoofhounds eigener Engine geprüft, derselben wie beim kostenlosen Domain-Check. Sie umfasst SPF, DKIM (bekannte Selektoren großer E-Mail-Anbieter wie Microsoft, Google, SendGrid, Mailchimp und weiterer), DMARC, MTA-STS, TLS-RPT und BIMI. Jede Zahl beruht auf einer Prüfung in den 30 Tagen bis 2026-11-10.

Ehrliche Grenzen.

Behördendomains. Die 1.350 Behördendomains sind auf OpenStreetMap als Behörde kartierte Büros. Deutsche öffentliche Stellen nutzen gewöhnliche .de-Namen ohne eigene Endung, an der man sie erkennen könnte, daher ist dies eine Stichprobe der Verwaltung, nicht die ganze. Sie machen 0,7 % der Gesamtzahl aus, die Kernzahl ist also praktisch ein Unternehmenswert (auch ohne sie 27,4 %).
Verzerrung der Stichprobe. Die Unternehmensstichprobe umfasst kartierte Unternehmen mit Website, was zu sichtbaren, kundennahen Branchen neigt. Branchenzahlen beruhen auf 130 bis 20.255 Domains je Branche.
DKIM. DKIM lässt sich nur als vorhanden bestätigen, nie als fehlend.
Was „durchgesetzt“ bedeutet. p=quarantine oder p=reject auf der Domain selbst. Defekte Einträge zählen als nicht durchgesetzt, weil empfangende Mailserver sie so behandeln.

Wo steht Ihre Domain in diesen Zahlen? Finden Sie es in 30 Sekunden heraus.

Domain prüfen — kostenlos