2026-07-20 · RESEARCH · Das Offensive Technology-Team

Wie anfällig sind die meistbesuchten Domains der Welt für E-Mail-Spoofing?

Kurz gesagt: Wir haben die 1.000 meistbesuchten Domains im Internet analysiert, 994 davon aufgelöst und ihre öffentlichen DNS-Records zur E-Mail-Authentifizierung ausgelesen. 41.5% veröffentlichen keine erzwingende DMARC-Policy, was bedeutet, dass E-Mails, die ihre Domain in der From-Zeile gefälscht nutzen, aus diesem Grund weder abgewiesen noch unter Quarantäne gestellt werden und im Posteingang landen können. Knapp 30% (29.6%) veröffentlichen überhaupt keinen DMARC-Record, und weitere 11.9% veröffentlichen eine reine Monitoring-Policy (p=none), die Spoofing zwar beobachtet, aber nicht verhindert. Die weitergehenden Schutzmaßnahmen sind noch seltener: 13.6% nutzen DNSSEC und 3.2% kündigen MTA-STS an. Jede Zahl hier stammt aus passiven, öffentlichen DNS-Abfragen, die wir selbst gegen eine veröffentlichte Liste der Top-Websites durchgeführt haben. Es wurde kein Host kontaktiert und nichts gescannt. Hier ist genau beschrieben, wie wir es gemessen haben und was es beweist und was nicht.

Das Ergebnis in einem Diagramm

Für jede Domain haben wir vier öffentliche Fragen gestellt. Veröffentlicht sie einen SPF-Record? Veröffentlicht sie einen DMARC-Record und ist die Policy tatsächlich erzwingend? Ist die Zone mit DNSSEC signiert? Kündigt sie MTA-STS an? Die Antworten dünnen sich schnell aus, je strenger die Schutzmaßnahmen werden:

Die eine Zahl, auf die es ankommt: erzwingendes DMARC

E-Mail verfügt über drei bekannte Authentifizierungs-Records, und man kann leicht fälschlicherweise annehmen, geschützt zu sein, wenn nur einige davon vorhanden sind. SPF (RFC 7208) listet auf, welche Server E-Mails für eine Domain senden dürfen. DKIM (RFC 6376) signiert eine Nachricht, sodass ein Empfänger überprüfen kann, ob sie nicht manipuliert wurde. Keines von beiden schützt für sich genommen die Adresse, die ein Mensch tatsächlich liest.

Hier ist die Lücke, die ein Angreifer ausnutzt. SPF validiert den Envelope-Sender, den versteckten Return-Path, der bei der Zustellung verwendet wird, nicht die From-Adresse, die im E-Mail-Client angezeigt wird. Eine Nachricht kann SPF für eine Wegwerf-Domain bestehen, die der Angreifer kontrolliert, während in der From-Zeile Ihre Domain angezeigt wird. DKIM hilft nur, wenn etwas prüft, ob die Signatur mit der sichtbaren Domain übereinstimmt, und E-Mails abweist, wenn dies nicht der Fall ist. Der Record, der die Authentifizierung an die sichtbare From-Adresse bindet und Empfängern mitteilt, was bei einem Fehlschlag zu tun ist, ist DMARC (RFC 7489).

DMARC hat drei Policy-Einstellungen, und der Unterschied zwischen ihnen macht das gesamte Spiel aus:

• p=reject weist Empfänger an, fehlgeschlagene E-Mails abzulehnen. Das ist die Einstellung, die Fälschungen von Domains tatsächlich stoppt.
• p=quarantine weist Empfänger an, fehlerhafte E-Mails als verdächtig zu behandeln und sie typischerweise in den Spam-Ordner zu verschieben. Erzwingend, wenn auch schwächer als reject.
• p=none weist Empfänger an, nichts zu unternehmen, außer Berichte an den Domain-Inhaber zu senden. Gefälschte E-Mails kommen weiterhin an. Das ist Monitoring, keine Abwehr.

Die ehrliche Frage lautet also nicht "Hat diese Domain DMARC", sondern "Wird DMARC tatsächlich erzwungen". Wenn man nur quarantine und reject als Durchsetzung zählt, erfüllen 58.5% der von uns aufgelösten Domains dieses Kriterium. Die anderen 41.5% sind die anfällige Gruppe: kein Record oder ein Record, der nur beobachtet.

Liest man die unteren drei Zeilen zusammen, ergibt das die 41.5%: Gefälschte E-Mails mit deren Domain werden durch DMARC nicht gestoppt. Man sollte klar sagen, dass die Verbreitung von SPF mit 73.7% höher ist, eben weil SPF der Record ist, den man zuerst setzt und als "erledigt" betrachtet. Es ist jedoch nicht der Record, der verhindert, dass sich jemand gegenüber einem Kunden oder der Finanzabteilung als diese ausgibt, was genau der Angriff ist, den wir in unserem Leitfaden dazu beschrieben haben, was Angreifer über Ihr Unternehmen sehen können.

Die tiefergehenden Schutzschichten fehlen fast völlig

Zwei weitere Schutzmaßnahmen härten E-Mail und DNS über das SPF-DKIM-DMARC-Trio hinaus, und beide sind selbst unter den meistbesuchten Domains selten.

DNSSEC (RFC 4033 und zugehörige Standards) signiert DNS-Antworten kryptografisch, sodass ein Resolver eine gefälschte Antwort erkennen kann. Wir haben eine Domain als signiert eingestuft, wenn ihre übergeordnete Zone einen DS-Record veröffentlicht hat. Das trafen nur 13.6% an. DNSSEC bildet die Grundlage für stärkere E-Mail-Sicherheitskonzepte wie DANE, weshalb dieses seltene Vorkommen die E-Mail-Sicherheit für die meisten dieser Domains begrenzt.

MTA-STS (RFC 8461) ermöglicht es einer Domain, sendenden Servern mitzuteilen, dass bei der Zustellung von E-Mails TLS erforderlich ist, was gegen Downgrade-Angriffe und Abfangen zwischen Mailservern schützt. Nur 3.2% kündigten dies an. Wir haben nur die DNS-Ankündigung (den _mta-sts TXT-Record) geprüft und die Policy-Datei bewusst nicht über HTTPS abgerufen, da dies eine Verbindung zum Host der Domain bedeuten würde, was eine Grenze ist, die wir für Recherchen nicht überschreiten.

Wie wir das gemessen haben

Ein Skeptiker sollte in der Lage sein, dies von Grund auf nachzuvollziehen, daher ist hier die gesamte Methodik ohne Auslassungen.

• Die Gesamtheit. Wir haben die Tranco-Liste (Liste 64YYX, erstellt am 19. Juli 2026) verwendet, ein forschungsorientiertes Ranking der Top-Websites, das den Durchschnitt mehrerer Anbieter über 30 Tage bildet, um kurzfristigen Manipulationen zu widerstehen. Es ist veröffentlicht, versioniert und dauerhaft zitierfähig, was für die Reproduzierbarkeit wichtiger ist als die Liste eines einzelnen Anbieters. Siehe tranco-list.eu und das zugrundeliegende NDSS-2019-Paper.
• Die Stichprobe. Die obersten 1,000 Domains aus dieser Liste. 994 wurden auf aktive Nameserver aufgelöst; 6 ließen sich nicht auflösen und wurden verworfen, sodass die Grundgesamtheit 994 beträgt.
• Die Abfragen. Für jede Domain vier passive DNS-Abfragen über dig gegen öffentliche rekursive Resolver: TXT auf der Domain für SPF, TXT auf _dmarc.<domain> für DMARC (unter Parsen des p=-Tags), DS auf der Domain für DNSSEC und TXT auf _mta-sts.<domain> für die MTA-STS-Ankündigung.
• Was wir nicht getan haben. Wir haben weder eine E-Mail gesendet, noch eine Verbindung zu einem Mailserver aufgebaut, eine Policy-Datei abgerufen oder irgendetwas gescannt. Das Auslesen eines öffentlichen DNS-Records ist eine Abfrage, keine Sondenprüfung. Das ist dieselbe Grenze zwischen einer Überprüfung und einer Straftat, die auch jeden unserer Aufträge leitet.
• Was wir aufbewahrt haben. Nur aggregierte Zahlen und Prozentwerte. Ergebnisse pro Domain verblieben für die Dauer des Durchlaufs im Arbeitsspeicher und wurden nie auf Festplatte geschrieben. Es werden keine Domains namentlich genannt. Es wurden keine personenbezogenen Daten erhoben; Domains und ihre DNS-Records sind keine personenbezogenen Daten, und wir haben keine E-Mail-Adressen erfasst.

Was das nicht beweist

Ehrliche Grenzen, denn eine Zahl ohne Vorbehalte ist bloß Marketing.

• Es ist eine Momentaufnahme. DNS ändert sich täglich. Diese Zahlen beschreiben den Stand vom 20. Juli 2026, keinen Trend. Eine Domain mit p=none heute befindet sich möglicherweise mitten in der Einführung und erzwingt im nächsten Monat.
• Es ist rein DNS-basiert. Wir lesen die veröffentlichte Policy aus, nicht zugestellte E-Mails. Ein großer E-Mail-Betreiber kann Schutzschichten aufbauen, die im DNS nicht sichtbar sind. DMARC ist schlicht das standardisierte öffentliche Signal, auf das Empfänger tatsächlich reagieren, weshalb es das richtige Merkmal ist, um es in großem Maßstab zu messen.
• Die Top-Positionen der Liste sind nicht nur E-Mail-Domains. Ein Teil der meistbesuchten Domains sind CDNs, API-Endpunkte und Infrastruktur, die niemals interaktive E-Mails versenden. Für diese stellt ein fehlendes DMARC ein geringeres praktisches Risiko dar, da niemand eine Nachricht von ihnen erwartet. Eine Lücke bleibt es dennoch: Das empfohlene Sicherheitsniveau für eine Domain, die keine E-Mails versendet, ist ein Null-MX plus DMARC reject, und ein Angreifer kann weiterhin E-Mails im Namen jeder Domain fälschen, die keine Durchsetzung betreibt.
• p=none ist aus gutem Grund weit verbreitet. Die Einführung von DMARC beginnt mit der Überwachung, damit eine Organisation ihre eigenen legitimen Absender identifizieren kann, bevor sie mit der Ablehnung beginnt. Wir werten p=none als nicht erzwingend, da gefälschte E-Mails im laufenden Betrieb nicht blockiert werden, solange eine Domain auf diesem Status verharrt. Das ist eine Aussage über den Ist-Zustand, kein Urteil über den Betreiber.
• DMARC auf Organisationsebene. Die Tranco-Liste ist auf registrierte Domains (Hauptdomains) gefiltert, daher haben wir die Policy dort geprüft, wo sie hingehört: auf der Organisationsdomain. Einzelne Subdomains können abweichen.

Warum es einen Angreifer interessiert und warum es Sie interessieren sollte

Domain-Fälschung ist nichts Exotisches. Eine E-Mail, die scheinbar von der Buchhaltungsadresse eines Unternehmens stammt, an den eigenen Finanzverantwortlichen oder an einen Kunden gesendet wird und um Änderung von Bankverbindungen bittet, ist einer der verlässlichsten Einstiege für Angriffe. Es wird kein System gehackt; eine Identität wird ausgeliehen, weil ein DNS-Record nie auf reject gesetzt wurde. Wenn 41.5% der meistfrequentierten Domains im Internet diesen Record nicht erzwingend einstellen, funktioniert diese Technik weiterhin, weil die Verteidigung optional ist und oft übersprungen wird.

Die Lösung ist unspektakulär und weitgehend kostenlos. Veröffentlichen Sie SPF und DKIM, führen Sie dann DMARC ein und schrittweise von p=none über p=quarantine zu p=reject, sobald Ihre Berichte Ihre echten Absender bestätigen. Der schwierige Teil ist nie die Änderung im DNS; es ist das Wissen, welche Ihrer Versandquellen durch die Durchsetzung gestört würden, und die Gewissheit, alle gefunden zu haben. Das erfordert Erfahrung, genau wie die Erkenntnis, welche Ihrer exponierten Angriffsflächen tatsächlich relevant sind und welche bloßes Rauschen darstellen.

Anfälligkeit für E-Mail-Spoofing: Kurze Antworten

Welcher Anteil der Top-Domains kann per E-Mail gefälscht werden?

In unserer Überprüfung der 1,000 meistbesuchten Domains vom Juli 2026 (994 aufgelöst) veröffentlichten 41.5% keine erzwingende DMARC-Policy, sodass E-Mails, die ihre Domain in der sichtbaren From-Zeile gefälscht nutzen, auf dieser Grundlage weder abgelehnt noch unter Quarantäne gestellt werden. Etwa 29.6% hatten überhaupt keinen DMARC-Record und weitere 11.9% veröffentlichten eine reine Monitoring-Policy (p=none).

Stoppt ein SPF-Record E-Mail-Spoofing?

Nein, nicht von allein. SPF autorisiert Server für den Envelope-Sender, nicht für die From-Adresse, die eine Person sieht. Nur DMARC, das auf quarantine oder reject gesetzt ist, bindet die Authentifizierung an die sichtbare From-Domain und weist Empfänger an, bei Fehlschlägen zu handeln.

Reicht DMARC p=none aus?

Nein, nicht zum Blockieren von Spoofing. p=none dient nur dem Monitoring: Empfänger senden Berichte, ergreifen aber keine Maßnahmen, sodass gefälschte E-Mails weiterhin ankommen. Es ist eine gute erste Phase, aber solange die Policy nicht auf quarantine oder reject umgestellt wird, stoppt sie keine Identitätsanmaßung.

Wie kann ich die E-Mail-Authentifizierung meiner eigenen Domain prüfen?

Lesen Sie Ihr eigenes öffentliches DNS aus: dig TXT yourdomain.com für SPF, dig TXT _dmarc.yourdomain.com für DMARC und dessen p=-Policy, dig DS yourdomain.com für DNSSEC und dig TXT _mta-sts.yourdomain.com für MTA-STS. Das sind passive Abfragen von Records, die Sie veröffentlichen, daher ist es sicher und kostenlos.

Weiterführende Artikel

• Wie viele Top-Domains schränken ein, wer ihre Zertifikate ausstellen darf? Dieselbe passive DNS-Methode, angewendet auf CAA-Records.
• Was können Angreifer tatsächlich über Ihr Unternehmen sehen?
• Check, Scan oder vollständiger Pentest?
• Wie viel kostet ein Penetrationstest?