Die meisten Phishing-Mails brauchen keinen gehackten Server, nur eine Absenderadresse, die echt aussieht. Ob eine gefälschte Mail mit @ihrebank.de im Absender zugestellt wird, hängt stark von einem DNS-Eintrag ab: der DMARC-Richtlinie der Domain. Ich habe SPF, DMARC und MTA-STS von 102 bekannten Domains aus dem öffentlichen DNS gelesen. Das vollständige Ergebnis steht als sortierbare Heatmap im E-Mail-Ranking.
Die Zahlen
- SPF: 100 von 102 Domains haben einen Eintrag. 62 enden mit
-all, sodass fremde Server abgelehnt werden. - DMARC mit p=reject: 59 von 102. Fälschungen in ihrem Namen werden abgewiesen.
- p=quarantine: 16. Fälschungen landen im Spam, besser als nichts.
- p=none: 21. DMARC sammelt nur Berichte, Fälschungen werden durch die Richtlinie nicht gestoppt.
- Gar kein DMARC: 6, darunter tim.it, europa.eu, gov.it und faz.net.
- MTA-STS (TLS für eingehende Mails erzwungen): nur 10.
Banken: nur die Hälfte weist ab
Banken sind die am häufigsten imitierten Absender, deshalb hatte ich sie oben erwartet. Von 22 Banken und Zahlungsanbietern setzen 11 auf p=reject. Mehrere große Häuser in Deutschland und Italien beobachten nur mit p=none, etwa sparkasse.de, dkb.de, postbank.de und poste.it, zwei haben auf der Hauptdomain gar keinen DMARC-Eintrag.
Fairerweise: Banken verschicken Kundenmails oft über eigene Domains, und große Mail-Anbieter filtern Fälschungen auch mit anderen Signalen. Eine fehlende Reject-Richtlinie heißt nicht, dass Kunden ungeschützt sind, sondern nur, dass die Domain Empfängern nicht sagt, Fälschungen abzuweisen.
Deutschland und Italien
In Deutschland weisen 20 von 40 Domains Fälschungen ab, in Italien 13 von 30. Bei vielen großen Medien steht die Richtlinie noch auf p=none.
Warum p=none so verbreitet ist
p=none ist als erster Schritt gedacht: Berichte sammeln, jeden legitimen Absender finden (Newsletter-Tool, CRM, Ticketsystem), SPF und DKIM für sie korrigieren, dann auf quarantine und reject umstellen. Viele bleiben nach dem ersten Schritt stehen, weil reject riskant wirkt. Die Berichte (rua) sind meist schon da: 92 von 102 Domains sammeln sie.
So kommen Sie zu reject
- DMARC mit
p=noneund einerrua-Adresse veröffentlichen und die Berichte zwei bis vier Wochen auswerten. - Jeden legitimen Absender mit ausgerichteter Domain durch SPF oder DKIM bringen.
- Auf
p=quarantineumstellen, bei Bedarf zuerst mitpct=für einen Teil der Mails. - Wenn die Berichte sauber sind,
p=rejectsetzen.
Der DMARC-Generator erstellt den Eintrag, der Mail-DNS-Check zeigt, was Ihre Domain heute veröffentlicht. Scheitert SPF am Limit von 10 Lookups, zeigt der SPF-Check, wo.
Methode
Nur öffentliche DNS-TXT-Abfragen, an die Domains wurde nichts gesendet. Bei Subdomains wurde die Organisationsdomain gemessen. DKIM fehlt, weil es sich ohne den Selektor nicht von außen prüfen lässt. Punkte: SPF 20, SPF mit -all 15 (~all 8), DMARC 20, p=reject 30 (quarantine 20), Berichte 5, MTA-STS 10. Das Ranking wird wöchentlich neu gemessen, die Zahlen können sich also ändern. Stand 6. November 2026.