Spoofhound-Forschung · 2026-11-08
Stand von DMARC 2026 — USA
Vier von fünf US-Unternehmen lassen sich per E-Mail fälschen.
Spoofhound hat US-Unternehmen geprüft: 113.484 Domains, die E-Mails empfangen, fast alle von lokalen Unternehmen, kartiert in allen 50 Bundesstaaten, geprüft mit derselben Engine wie unser kostenloser Domain-Check. Es ist eine der größten Stichproben unserer Forschung.
Domain prüfen — kostenlosDie Kernzahl
Vier von fünf US-Unternehmen, die E-Mails empfangen, lassen sich fälschen. Von 113.484 geprüften Domains haben 91.419 (80,6 %) keine durchgesetzte DMARC-Richtlinie: gar kein Eintrag, nur Beobachtung oder ein defekter Eintrag. Empfangende Mailsysteme werden nie angewiesen, Fälschungen in ihrem Namen zu blockieren.
Drei Zahlen tragen die Geschichte:
- •19,4 % setzen DMARC durch. Das liegt hinter dem Vereinigten Königreich (24,5 %), Indien (24,9 %), Südafrika (34,1 %) und Saudi-Arabien (45,7 %) und vor Frankreich (15,7 %). Zählt man nur Unternehmen, liegen die USA bei 19,0 %. Siehe den Vergleich aller Länder, die wir gemessen haben.
- •Die Hälfte hat gar keinen DMARC-Eintrag: 48,6 %. 55.208 Domains veröffentlichen nichts, ihre Inhaber würden also nie erfahren, dass jemand in ihrem Namen Mails verschickt.
- •Die Lücke bei Kleinunternehmen: 18,5 % gegenüber 73,5 %. US-Unternehmen mit ein bis drei Standorten setzen DMARC zu 18,5 % durch. US-Unternehmen, deren Website weltweit unter den Top 100.000 liegt, schaffen 73,5 %.
Die durchschnittliche Domain eines US-Unternehmens erreicht 28,9 von 100 Punkten im vollständigen E-Mail-Sicherheitscheck, und 84,7 % haben mindestens ein Problem, das sich zu beheben lohnt.
DMARC bei US-Unternehmen
81 % der Domains von US-Unternehmen lassen sich fälschen
91.419 von 113.484 geprüften Domains haben keine durchgesetzte DMARC-Richtlinie.
Kein DMARC-Eintrag
Nur Beobachtung (p=none)
Defekter oder doppelter Eintrag
p=quarantine
p=reject
Rot: Empfänger werden nie angewiesen, Fälschungen zu blockieren · Grün: Nachahmer-Mail wird in Quarantäne geschickt oder abgewiesen.
Die USA haben eine der größten Gruppen ohne Eintrag, die wir gemessen haben: fast die Hälfte aller Domains (48,6 %), gegenüber 39,2 % in Indien und 34,2 % in Südafrika. Ein weiteres Drittel veröffentlicht einen Eintrag, belässt ihn aber bei p=none (31,5 %). Diese Gruppe mit reiner Beobachtung ist geschäftlich am wichtigsten. Diese Unternehmen haben schon angefangen und erhalten womöglich Berichte, haben aber vor der Einstellung aufgehört, die Nachahmer-Mail tatsächlich blockiert. Genau diese Arbeit zu Ende zu bringen, ist das, was Spoofhound tut.
Der Rest der Kette
| Prüfung | Befund | Domains |
|---|---|---|
| SPF | Gar kein Eintrag: jeder beliebige Server darf als die Domain senden | 20.225 (17,8 %) |
| SPF | Eintrag endet auf +all oder ?all: veröffentlicht, erlaubt aber trotzdem jedem alles | 3.365 (3,0 %) |
| Microsoft 365 DKIM | Beide Signatur-Selektoren defekt: ausgehende Mail kann schon heute an der Authentifizierung scheitern | 385 |
| MTA-STS | Schützt eingehende Mail vor dem Abfangen: eingeführt (davon 339 nur im Testmodus) | 656 (0,6 %) |
| TLS-RPT | Meldet fehlgeschlagene sichere Zustellung: eingeführt | 944 (0,8 %) |
| BIMI | Verifiziertes Logo im Posteingang: aktiv | 899 (0,8 %) |
Die US-Lücke beginnt schon unterhalb von DMARC. Fast jedes fünfte Unternehmen hat gar keinen SPF-Eintrag, eine der höchsten Quoten, die wir gemessen haben: dreimal so hoch wie in Südafrika (5,8 %) und deutlich über Indien (11,6 %). Ohne SPF kann ein Unternehmen DMARC nicht durchsetzen, ohne seine eigene Mail zu beschädigen. Die neueren Standards sind kaum angekommen: Weniger als 1 von 100 Domains nutzt MTA-STS, TLS-RPT oder BIMI.
Kleinunternehmen gegen größere
| Population | Geprüfte Domains | Kein DMARC-Eintrag | Nur Beobachtung | Durchgesetzt |
|---|---|---|---|---|
| US-Unternehmen mit 1–3 Standorten (Läden, Büros, Handwerk) | 109.355 | 49,7 % | 31,4 % | 18,5 % |
| US-Unternehmen mit 4–9 Standorten | 1.687 | 16,5 % | 36,3 % | 46,5 % |
| US-Unternehmen mit 10 oder mehr Standorten | 908 | 6,5 % | 31,1 % | 62,1 % |
| US-Unternehmen, deren Website weltweit unter den Top 100.000 liegt | 2.070 | 2,7 % | 23,8 % | 73,5 % |
Der Schutz steigt stetig mit der Größe. Ketten und bekannte Marken haben die Arbeit weitgehend erledigt: Nur jedes fünfzehnte Unternehmen mit zehn oder mehr Standorten hat keinen DMARC-Eintrag. Kleinunternehmen sind das Gegenteil: Die Hälfte veröffentlicht nichts, und 85,6 % haben mindestens ein E-Mail-Sicherheitsproblem. Genau sie trifft Betrug mit gefälschten Rechnungen und Identitätsmissbrauch am härtesten, weil sie kein Sicherheitsteam haben, das es bemerkt.
Wer am stärksten exponiert ist
Die Geschäfte der Einkaufsstraße schützen weniger als jede zehnte Domain
Anteil der E-Mail-empfangenden Domains jedes Sektors mit p=quarantine oder p=reject (geprüfte Domains in Klammern).
Friseursalons (3.208)
Fahrradläden (1.504)
Brauereien (1.552)
Kosmetikstudios (3.010)
Blumenläden (1.004)
Bäckereien (2.160)
Kfz-Werkstätten (3.980)
Juweliere (1.352)
Autohäuser (3.782)
Immobilienmakler (2.604)
Sanitärbetriebe (635)
Steuerberater (366)
Heizung und Klima (HVAC) (937)
Anwaltskanzleien (3.761)
Buchhalter (729)
Architekten (648)
Firmenbüros (5.528)
Finanzberater (489)
IT-Unternehmen (954)
Versicherungsagenturen (2.278)
Blau: Berufe, die Kundengelder verwalten · gestrichelte Linie: US-Durchschnitt (19,4 %).
Die Geschäfte einer typischen Einkaufsstraße liegen am niedrigsten: Friseur- und Kosmetiksalons, Blumenläden, Bäckereien und Fahrradläden schützen alle weniger als jede zehnte Domain. Die Berufe, die mit Geld umgehen, schneiden besser ab, sind aber weiterhin exponiert. Immobilienmakler (18,4 %) und Anwaltskanzleien (23,2 %) sind die üblichen Ziele von Überweisungsbetrug beim Hauskauf, und drei von vier lassen ihren Namen ungeschützt. Versicherungsagenturen führen mit 51,4 %, vermutlich weil große Versicherer die E-Mail ihrer Agenturen einrichten.
Methodik
Population. 113.484 US-Domains, die E-Mails empfangen (funktionierende MX-Einträge), aus zwei Quellen:
- US-Unternehmen, auf OpenStreetMap kartiert, mit eigener Website, beliebige Endung: 111.716 Domains
- jede .us-Domain im Popularitätsranking Tranco Top 1 Million: 1.864 Domains, die E-Mails empfangen
96 Domains kommen in beiden vor. Social-Media-Profile, Verzeichnisse und gehostete Seiten, die das Unternehmen nicht kontrolliert, sind ausgeschlossen.
Prüfungen. Jede Domain wurde mit Spoofhounds eigener Engine geprüft, derselben wie beim kostenlosen Domain-Check. Sie umfasst SPF, DKIM (bekannte Selektoren großer E-Mail-Anbieter wie Microsoft, Google, SendGrid, Mailchimp und weiterer), DMARC, MTA-STS, TLS-RPT und BIMI. Jede Zahl beruht auf einer Prüfung in den 30 Tagen bis 2026-11-08.
Ehrliche Grenzen.
- Ein Unternehmensbericht, kein nationaler. Populäre US-Websites nutzen meist .com, das kein Land erkennen lässt, daher lässt sich das populäre US-Web nicht so erfassen wie .uk für das Vereinigte Königreich oder .in für Indien. Die US-Zahlen beschreiben kartierte Unternehmen; die Vergleichszeile nutzt kartierte Unternehmen, deren Website zusätzlich unter den Tranco-Top-100.000 liegt.
- Öffentlicher Sektor ausgeklammert. Behörden- und Hochschuldomains machen nur 1,3 % der Stichprobe aus (Durchsetzung 53,5 %). In der Tranco-Liste setzen .gov-Domains DMARC zu 63,5 % durch und .edu-Domains zu 57,5 %, weit vor den Unternehmen.
- Stichprobenverzerrung. Die Unternehmensstichprobe umfasst kartierte Unternehmen mit Website und neigt daher zu sichtbaren, verbrauchernahen Branchen. Die Sektorzahlen beruhen auf je 300 bis 5.500 Domains, genug, um sie zu zitieren.
- DKIM. DKIM lässt sich nur als vorhanden bestätigen, nie als fehlend.
- Was „durchgesetzt“ bedeutet. p=quarantine oder p=reject auf der Domain selbst. Defekte Einträge zählen als nicht durchgesetzt, weil empfangende Mailserver sie so behandeln.
Daten © OpenStreetMap-Mitwirkende (ODbL) · Tranco-Liste des Tranco-Forschungsprojekts.
Wo steht Ihre Domain in diesen Zahlen? Finden Sie es in 30 Sekunden heraus.
Domain prüfen — kostenlos