Ab 16. April 2026 wird DMARC erstmals in die Bitsight Security Rating einer Organisation einfließen und trägt mit 1 Prozent zum jährlichen Algorithm-Update der Plattform bei. Für Unternehmen, die DMARC bislang als "nice to have" behandelt haben, hat diese Haltung jetzt messbare Auswirkungen auf einen Score, auf den Versicherer, Anbieter und Vorstände bei der Bewertung von Cyberrisiken setzen.
Was sich ändert und warum es wichtig ist
DMARC trägt jetzt mit 1 Prozent Gewichtung zur Bitsight Rating bei, wobei dieser Anteil aus der Kategorie Compromised Systems umverteilt wurde. Dies komplettiert das Trio der grundlegenden E-Mail-basierten Risikofaktoren: Sender Policy Framework (SPF) Domains, DomainKeys Identified Mail (DKIM) Records und DMARC.
DMARC-Grades waren bereits in der Bitsight-Plattform sichtbar, hatten aber vor diesem Update keinen Einfluss auf die Gesamtbewertung. DKIM und SPF haben jeweils ein Gewicht von 1 Prozent, und Organisationen, die DMARC-Richtlinien implementieren, sehen diese Investition nun direkt in ihrer Bitsight Rating widergespiegelt.
Das 2026 Bitsight Ratings Algorithm Update steht ab 16. April zur Vorschau bereit. Um Transparenz zu gewährleisten und Organisationen Zeit zur Vorbereitung zu geben, bietet Bitsight ein dreimonatiges Vorschau-Fenster vor dem Live-Start.
Die Relevanz reicht weit über diesen einen Prozentpunkt hinaus. Von Vorständen bis zu Kreditagenturen, von Versicherern bis zu Regulierungsbehörden, von Compliance-Verantwortlichen bis zu SOC-Analysten: Bitsight Security Ratings sind in die Struktur des globalen Handels eingewoben. Das Rating-System der Plattform korreliert mit Breech-Wahrscheinlichkeiten und wird von Versicherern und Finanzinstituten weit verbreitet genutzt. Für Marketing- und Growth-Teams bedeutet das: Eine schwache DMARC-Ausgestaltung kann jetzt indirekt Cyber-Versicherungsprämien, Vendor-Genehmigungen und Beschaffungsentscheidungen beeinflussen, nicht nur die E-Mail-Zustellbarkeit.
Was DMARC eigentlich tut
DMARC ist ein E-Mail-Authentifizierungsprotokoll, das auf SPF und DKIM aufbaut und Domain-Inhabern größere Kontrolle über die E-Mail-Authentifizierung gibt. Dies umfasst die Möglichkeit, entweder SPF oder DKIM zum Passieren für authentifizierte E-Mails zu fordern, anzugeben, welche Maßnahmen Mail-Server ergreifen sollen, wenn die Authentifizierung fehlschlägt (wie Ablehnung oder Quarantäne der Nachricht), und Authentifizierungsstatistiken von empfangenden Mail-Servern anzufordern, um die Effektivität der Implementierung zu überprüfen.
Für E-Mail-Marketer hat dies eine direkte Auswirkung auf die Zustellbarkeit. Marketer erkennen, dass DMARC nicht nur die Sicherheit verbessert, sondern auch die E-Mail-Zustellbarkeit steigert. Wenn Internet Service Provider sehen, dass ein Absender eine starke Authentifizierungshaltung hat, werden legitime Kampagnen weniger wahrscheinlich als Spam gekennzeichnet, was für den Erfolg von E-Mail-Marketing entscheidend ist.
Die Adoptierungslücke, die Risiken schafft
Die Herausforderung besteht darin, dass die meisten Organisationen noch keine vollständige DMARC-Durchsetzung erreicht haben. Die DMARC-Adoption unter Top-Domains stieg zwischen 2023 und 2025 von 27,2 Prozent auf 47,7 Prozent, ein Anstieg geschützter Domains um 75 Prozent, wobei Durchsetzungsrichtlinien (Quarantäne und Ablehnung) in diesem Zeitraum um 50 Prozent wuchsen. Dieses Wachstum klingt ermutigend, doch das Detail der Durchsetzung erzählt eine andere Geschichte.
Die gültige DMARC-Adoption stieg von 523.921 Domains im Jahr 2023 auf 858.782 im Jahr 2025 und 937.931 in der ersten Hälfte 2026. Allerdings bleibt p=none weltweit die häufigste Richtlinie, und viele Organisationen nutzen DMARC hauptsächlich für die Sichtbarkeit statt für aktiven Schutz. Im Jahr 2026 befanden sich 525.996 Domains noch auf p=none.
Eine p=none Richtlinie generiert Berichtsdaten, blockiert aber keine gefälschten oder nicht authentifizierten E-Mails. Die Analyse der Top 10 Millionen Internet-Domains ergab, dass nur 22,9 Prozent der Domains, die DMARC-Berichtsdaten an sich selbst senden, eine DMARC-Reject-Richtlinie haben. Nach dem neuen Bitsight-Scoring wird eine p=none Konfiguration wahrscheinlich eine niedrigere Note erhalten als eine vollständig durchgesetzte p=reject Richtlinie. Das bedeutet, dass die Bewertungslücke zwischen Organisationen, die Durchsetzung implementiert haben, und solchen, die das nicht getan haben, in einem externen Score bald sichtbar wird.
Wie Bitsight DMARC bewertet
Nur Domains mit spezifischen Kriterien generieren einen DMARC-Befund: Domains, die durch einen DMARC-Record geschützt sind, und Domains, die nicht durch einen DMARC-Record geschützt sind, aber einem MX-Record zugeordnet sind. Wenn ein MX-Record vorhanden ist und kein DMARC-Record konfiguriert ist, führt dies zu einem Befund mit dem Problem "Record does not exist" und einer schlechten Note.
Für Entitäten, die keine zugeordneten Domains haben, werden SPF und DKIM jetzt standardmäßig auf N/A gesetzt und haben keine negativen Auswirkungen auf das Rating. Zuvor erhielten diese Entitäten Standardnoten, obwohl sie keine Domains zur Evaluierung hatten.
Durch die Messung von DMARC neben SPF und DKIM stärkt Bitsight die Fähigkeit der Rating, evidenzgestützte Schutzmaßnahmen gegen Spoofing und Phishing zu zeigen und gibt Sicherheits- und Risk-Teams einen klareren, praktikabler anwendbaren Indikator, um eine verbesserte E-Mail-Sicherheitshaltung nachzuweisen.
Was E-Mail-Marketer und Geschäftsinhaber jetzt tun sollten
Das Vorschau-Fenster bietet eine praktische Gelegenheit, die Lücke zu schließen, bevor sich die Scores verschieben. Hier sind die wichtigsten Schritte für Marketing- und Growth-Teams:
- Prüfen Sie Ihren aktuellen DMARC-Record. Überprüfen Sie, ob Ihre Versand-Domains einen gültigen
_dmarcTXT-Record in DNS haben. Tools wie MXToolbox können dies in Sekunden verifizieren. - Gehen Sie über
p=nonehinaus. Eine reine Überwachungsrichtlinie verdient keine starke Bitsight-Note. Streben Siep=quarantineoderp=rejectmitpct=100an. Eine aktive Richtlinie mitp=rejectoderp=quarantine, die auf alle Authentifizierungsfehler mitpct=100reagiert, ist für die bestmögliche Note erforderlich. - Überprüfen Sie alle Versand-Domains, auch Nicht-E-Mail-Domains. Bitsight sucht nach ordnungsgemäß konfigurierten SPF-Records für alle Domains einer Organisation, auch solche, die nicht für den E-Mail-Versand genutzt werden, da Bedrohungsakteure versuchen könnten, E-Mails von einer Domain zu fälschen, auch wenn die Organisation diese nicht für E-Mail nutzt.
- Informieren Sie Stakeholder vor Ende der Vorschauphase. Viele Organisationen teilen ihre Bitsight Rating mit Anbietern, Partnern, Vorständen und Versicherern. Die Vorschauphase ist eine Gelegenheit, diese Stakeholder zu informieren und Abstimmung zu sichern.
Die breiteren Daten zeigen klar, warum dies wichtig ist. Länder mit obligatorischen DMARC-Anforderungen zeigen dramatisch unterschiedliche Phishing-Angriffsmuster. Die USA reduzierten die erfolgreiche Phishing-Zustellung von 69 Prozent auf 14 Prozent, während Länder ohne Durchsetzungsmandaten wie die Niederlande eine Anfälligkeit von 97 Prozent sahen. Für jede Organisation, die E-Mail-Marketing im großen Maßstab verwaltet, ist der Business Case für DMARC-Durchsetzung jetzt sowohl ein Sicherheitsargument als auch ein Ratings-Argument.
