it-sa 2026: über 60% der Aussteller ungeschützt

Auswertung von DmarcDkim.com über 982 Ausstellerprofile: Nur 364 lassen Fälschungen ihrer Absenderadresse beim Empfänger abweisen

Berlin, 6. November 2026. DmarcDkim.com hat die Domains von 982 Ausstellerprofilen der it-sa 2026 in Nürnberg geprüft: Bei 63 Prozent würden gefälschte E-Mails mit ihrer Absenderadresse von empfangenden Servern nicht abgewiesen.

Die Absenderadresse einer E-Mail lässt sich frei wählen. Ob ein empfangender Server eine Fälschung erkennt und abweist, hängt davon ab, was der Inhaber der Domain öffentlich im DNS vorgibt. Diese Vorgabe regelt der Standard DMARC, zusammen mit den Prüfverfahren SPF und DKIM.

Für Kunden und Partner der Aussteller heißt das: Eine E-Mail mit der Adresse eines Sicherheitsanbieters ist bei den meisten Ausstellern kein verlässlicher Beleg dafür, dass sie tatsächlich von diesem stammt.

 

Zentrale Ergebnisse

618 der 982 geprüften Profile (62,9 Prozent) geben nicht vor, gefälschte E-Mails mit ihrer Absenderadresse abzuweisen.

Was mit einer gefälschten E-Mail passiert	Profile	Anteil	Vorgabe im DNS
Wird abgewiesen	364	37,1 %	DMARC p=reject
Landet meist im Spamordner, also trotzdem im Postfach	345	35,1 %	DMARC p=quarantine
Wird normal zugestellt, der Inhaber erhält nur einen Bericht	192	19,6 %	DMARC p=none
Wird normal zugestellt, ohne jede Vorgabe	81	8,2 %	kein gültiger Eintrag für DMARC
Summe	982	100 %

Empfangende Server setzen zusätzlich eigene Spamfilter ein. Die Tabelle zeigt, was der Inhaber der Domain vorgibt, nicht das Ergebnis in jedem einzelnen Postfach.

Weitere Befunde aus den Einträgen:

• Auch Anbieter, die Lösungen für die Sicherheit von E-Mails verkaufen, lassen gefälschte E-Mails im eigenen Namen normal zustellen.

• Mehrere Aussteller schützen ihre Hauptdomain, lassen Subdomains aber ohne Vorgabe. Eine gefälschte E-Mail von einer Subdomain wie rechnung.beispiel.de würde dann nicht abgewiesen.

• Einige Aussteller wenden ihre Vorgabe nur auf einen Teil der E-Mails an, in einem Fall auf 1 Prozent.

• Ein Teil der Aussteller erhält keine Berichte darüber, wer E-Mails in ihrem Namen verschickt, weil im Eintrag keine Berichtsadresse (rua) steht.

• Bei mehreren Ausstellern ist der Eintrag für SPF so umfangreich, dass die Prüfung mit einem Fehler endet. Echte E-Mails dieser Aussteller lassen sich dann nur noch über DKIM bestätigen.

 

 

Methodik

DmarcDkim.com hat die öffentlichen Ausstellerprofile der it-sa 2026 auf itsa365.de erfasst und jedem Profil die dort angegebene Website zugeordnet. Für jede Domain wurden die Einträge für DMARC, SPF und DKIM im DNS abgefragt und automatisch ausgewertet. Messzeitpunkt: 26.10.2026.

Gewertet wurde die Vorgabe p der jeweiligen Hauptdomain; Einschränkungen über pct oder sp sind in den Zahlen nicht berücksichtigt. Von 992 Profilen gingen 982 in die Auswertung ein; acht Profile ohne Website und zwei Domains, die sich nicht auflösen ließen, blieben außen vor. Domains mit mehreren Einträgen für DMARC zählen als „kein gültiger Eintrag“, weil Empfänger DMARC in diesem Fall nach RFC 7489 nicht anwenden.

Es wurden keine E-Mails versendet. Alle Angaben beruhen auf öffentlichen Einträgen im DNS. Einige Unternehmen sind mit mehreren Profilen vertreten, etwa als Mitaussteller an Partnerständen; diese Profile wurden jeweils einzeln gezählt. Die Auswertung nennt keine einzelnen Aussteller.

 

Einordnung

„Wir könnten heute im Namen von mehr als sechs von zehn Ausstellern der it-sa E-Mails verschicken, die beim Empfänger nicht abgewiesen würden. Getan haben wir das nicht. Nötig wäre dafür aber kein Angriff, sondern nur ein beliebiger Mailserver“, sagt Oleksii Antypov, Mitgründer und CEO von DmarcDkim.com. „Gerade Unternehmen, die von Vertrauen leben, können das mit überschaubarem Aufwand ändern: erst alle echten Absender sauber authentifizieren, dann die Vorgabe schrittweise auf Abweisen stellen.“

Unternehmen können den Status ihrer eigenen Domain kostenlos auf dmarcdkim.com prüfen.

 

FAQ

Wie lassen sich E-Mails im Namen einer fremden Firma verschicken?

Das Protokoll für den Versand von E-Mails prüft die Absenderadresse nicht; jeder Mailserver kann eine beliebige Adresse eintragen. Empfangende Server prüfen deshalb drei öffentliche Angaben der Absenderdomain im DNS. Mit SPF legt der Inhaber fest, welche Server für ihn senden dürfen. Mit DKIM signiert er seine E-Mails. Mit DMARC gibt er vor, was mit E-Mails geschehen soll, die keine der beiden Prüfungen passend zur Domain bestehen: normal zustellen (none), in den Spamordner verschieben (quarantine) oder abweisen (reject). Fehlt diese Vorgabe, entscheidet der Empfänger allein.

Warum reicht der Spamordner nicht aus?

Der Spamordner ist Teil des Postfachs. Eine gefälschte E-Mail, die dort landet, kann der Empfänger öffnen, ihre Links anklicken oder ihre Anhänge laden. Nur die Vorgabe reject sorgt dafür, dass solche E-Mails das Postfach gar nicht erst erreichen. Hinzu kommt: Die seit Februar 2024 geltenden Regeln von Google und Yahoo für Massenversender verlangen zwar einen Eintrag für DMARC, akzeptieren aber auch die Stufe none. Ein vorhandener Eintrag sagt deshalb wenig darüber aus, ob eine Domain gegen Fälschungen geschützt ist.

Wie können Unternehmen ihre eigene Domain prüfen?

Der Eintrag für DMARC steht öffentlich im DNS unter _dmarc.beispiel.de und lässt sich etwa mit dig oder nslookup abfragen. Neben der Richtlinie p lohnt der Blick auf drei Werte: ob sp für Subdomains eine eigene, schwächere Vorgabe setzt, ob pct unter 100 liegt und ob rua eine Adresse für Sammelberichte enthält. Für SPF ist zusätzlich die Grenze von zehn Abfragen im DNS zu beachten. DmarcDkim.com bietet auf dmarcdkim.com eine kostenlose Prüfung an, die DMARC, SPF und DKIM einer Domain gemeinsam auswertet.

 

Über DmarcDkim.com

DmarcDkim.com ist ein 2024 gegründetes Unternehmen aus Berlin. Die in der EU gehostete Plattform (SaaS) überwacht und steuert die Authentifizierung von E-Mails mit DMARC, DKIM, SPF und MTA-STS für kleine und mittlere Unternehmen, Konzerne und Managed Service Provider. Grundlage der Analysen von DmarcDkim.com ist ein eigener Datenbestand aus 1.250.158 geprüften Domains. Das Angebot ist auch über den Microsoft Azure Marketplace erhältlich.

Pressekontakt

Oleksii Antypov, Mitgründer und CEO DmarcDkim.com UG (haftungsbeschränkt), Pappelallee 64, 10437 Berlin E-Mail: oa@dmarcdkim.com Telefon: +49 30 5444 8445 Web: dmarcdkim.com