78 Prozent haben DMARC-Record - aber ungesichert
© freepik / dashu83
- 78 % haben DMARC-Record, nur 42 % setzen Enforcement um
- 58 % der Domains bleiben ohne echten Schutz
- BIMI-Adoption liegt bei nur 4 %
Viele Unternehmen wiegen sich in falscher Sicherheit: Zwar verfügen 78 Prozent über einen DMARC-Record (Domain-based Message Authentication, Reporting, and Conformance), doch nur 42 Prozent setzen eine konsequente Enforcement-Policy um. Das zeigt der „2026 State of DMARC Report“ von Valimail. Damit bleiben 58 Prozent der Domains faktisch ungeschützt gegen Spoofing.
Die sogenannte „Enforcement Gap“ von 36 Prozentpunkten gilt als zentrales Problem. Unternehmen erfüllen zwar formale Anforderungen großer Mailbox-Provider wie Google oder Microsoft, indem sie DMARC im Reporting-Modus implementieren. Doch ohne aktive Durchsetzung (p=reject oder p=quarantine) bleibt die Domain offen für Missbrauch.
Laut Studienautoren entsteht dadurch ein gefährlicher Schwebezustand: Angreifer erkennen anhand des DMARC-Eintrags exakt, wo Schutzmechanismen enden. Besonders kritisch wird dies im Zeitalter generativer KI. Moderne Phishing-Mails enthalten keine verdächtigen Links oder auffällige Sprache mehr, sondern sind individuell formuliert und umgehen klassische Secure Email Gateways (SEGs). Domain-Level-Enforcement gilt daher als letzte wirksame Verteidigungslinie.
Auch BIMI (Brand Indicators for Message Identification), das verifizierten Absendern die Anzeige ihres Logos im Posteingang ermöglicht, stagniert mit einer Adoptionsrate von nur 4 Prozent. Damit verschenken viele Marken zusätzliches Vertrauen und Sichtbarkeit im E-Mail-Kanal.
Für Unternehmen bedeutet das: Reine Compliance reicht nicht. Wer nur Reporting aktiviert, signalisiert Professionalität, ohne tatsächlichen Schutz zu gewährleisten. Angesichts KI-gestützter Angriffsszenarien wird konsequentes DMARC-Enforcement zur strategischen Notwendigkeit – nicht nur für IT-Sicherheit, sondern auch für Markenreputation, Zustellbarkeit und Kundenschutz.
Fazit: Unternehmen sollten ihre DMARC-Policy prüfen, schrittweise auf Enforcement umstellen und BIMI als vertrauensbildende Maßnahme evaluieren. Andernfalls riskieren sie, im Posteingang ihrer Kunden zur Angriffsfläche zu werden.