Ein neues technisches Whitepaper des Miami-basierten Blockchain-Sicherheitsunternehmens TrustNFT.io vom 8. April 2026 argumentiert, dass DMARC (Domain-based Message Authentication, Reporting and Conformance) drei kritische Lücken im E-Mail-Sicherheitsschutz von Unternehmen offenlässt, die keine noch so sorgfältige Konfiguration schliessen kann. Das Papier mit dem Titel "The Authentication Gap: Why DMARC Alone Is Not Enough" richtet sich an IT-Sicherheitsverantwortliche, CISOs und Risikomanagement-Führungskräfte in Unternehmen und plädiert für Blockchain-gestützte Domain-Verifikation als sichtbare Vertrauensschicht, die der bestehende Authentifizierungsstack nicht bieten kann. Für E-Mail-Marketer und Growth Teams, die E-Mail als Umsatzkanal nutzen, haben diese Erkenntnisse direkte Auswirkungen auf Zustellbarkeit, Markenvertrauen und ROI von Kampagnen.
Die drei Lücken, die DMARC nicht schliessen kann
Die erste Lücke sind Lookalike-Domain-Angriffe. DMARC schützt nur die exakt registrierte Domain und bietet keinen Schutz vor E-Mails, die von gefälschten Lookalike-Adressen versendet werden, die Kriminelle registrieren, um bekannte Marken nachzuahmen. Sicherheitsforscher haben dies unabhängig bestätigt und weisen darauf hin, dass DMARC auch bei korrekter Authentifizierung und Enforcement nur gegen direktes Domain-Spoofing wirksam ist und nicht gegen Lookalike- oder ähnliche Domains schützt.
In einem 30-tägigen Überwachungszeitraum meldeten TrustNFT Guardian-Benutzer Phishing von vier verschiedenen Lookalike-Domains, die auf ein grosses Versorgungsunternehmen abzielten, und alle passierten die DMARC-Authentifizierung ihrer eigenen betrügerischen Domains. Dieses Detail ist wichtig: Die DMARC-Prüfung war erfolgreich, weil die betrügerische Domain ihre eigenen gültigen Records hatte. Das Protokoll funktionierte exakt wie vorgesehen, trotzdem war der Phishing-Angriff erfolgreich.
Die zweite Lücke ist das Fehlen jeglicher für Verbraucher sichtbaren Vertrauenssignale. DMARC arbeitet vollständig im Hintergrund. Auch wenn ein Unternehmen DMARC perfekt durchsetzt, sehen Verbraucher kein Badge, keinen Indikator und keine sichtbare Bestätigung, dass eine E-Mail echt ist. Sie haben keine Möglichkeit, eine DMARC-konforme E-Mail von einer ausgefeilten Fälschung zu unterscheiden.
Die dritte Lücke betrifft die realen Adoptionszahlen. Nach Newswire behauptet das Whitepaper, dass weniger als 50% der Fortune-500-Unternehmen irgendein DMARC-Record veröffentlicht haben, und weniger als 30% haben den Standard auf der höchsten Schutzstufe konfiguriert.
Was die breiteren Daten zeigen
Das Adoptionsbild ist differenzierter, als das Whitepaper vermuten lässt, und andere aktuelle Forschungsergebnisse sind wissenswert.
Laut EasyDMARC's 2026 DMARC Adoption and Enforcement Report erreichte die Fortune-500-Adoption 475 von 500 Unternehmen, mit mehr als 80% bei Enforcement-Level-Richtlinien. Das widerlegt TrustNFT's Aussage, obwohl der Unterschied wahrscheinlich widerspiegelt, wann die einzelnen Datensätze erfasst wurden und wie "gültiges DMARC-Record" definiert wird.
Wo beide Quellen übereinstimmen, ist die Enforcement-Lücke unterhalb der Fortune 500. Nur 15,2% der Inc.-5000-Unternehmen haben die p=reject-Enforcement-Stufe erreicht, und mehr als die Hälfte verfügt über eine reine Monitoring-Richtlinie p=none, die Sichtbarkeit bietet, sie aber für Phishing-Angriffe anfällig lässt. Breitere Domain-Level-Daten sind noch besorgniserregender: Im Dezember 2025 hatten nur 14,9% der Domains aus einer Stichprobe von 73,3 Millionen irgendeine DMARC-Richtlinie implementiert, und nur 2,5% erzwangen die strengste p=reject-Einstellung. 83,9% aller Domains zeigten gar kein sichtbares DMARC-Record, laut Red Sift's globalem DMARC-Adoption-Tracker.
Wie EasyDMARC in seinem 2026-Bericht anmerkt, ist DMARC-Adoption weit verbreitet, doch Adoption allein garantiert keinen Schutz. Viele Organisationen haben DMARC-Records implementiert, um technische Anforderungen zu erfüllen, sind aber nicht zu Richtlinien übergegangen, die gespoofed E-Mails aktiv blockieren.
Für E-Mail-Marketer ist die praktische Konsequenz real. CSC Domain-Sicherheitsforschung zeigt, dass 80% der Domains, die Global-2000-Marken ähneln, von Dritten betrieben werden, und 42% davon sind so konfiguriert, dass sie E-Mails versenden. Wenn Kriminelle überzeugende Lookalike-E-Mails versenden, die ihre eigenen DMARC-Checks bestehen, hören die betroffenen Empfänger oft auf, mit der echten Marke zu interagieren.
Der Blockchain-Vorschlag
Das TrustNFT-Whitepaper enthält eine vierschichtige Implementierungs-Roadmap mit SPF, DKIM, DMARC und Blockchain-Verifizierung, zusammen mit einem technischen Vergleich, was jede Schicht schützt und welche Sicherheitslücken ohne den vollständigen Stack bestehen bleiben.
Die Forschung des Unternehmens deutet darauf hin, dass die Implementierung des vollständigen Authentifizierungsstacks in Kombination mit Blockchain-gestützter Domain-Verifizierung erfolgreiche Impersonation-Angriffe bei vollständiger Bereitstellung um bis zu 67% reduziert. TrustNFT Verify ermöglicht es Unternehmen, ihre Versand-Domains über einen Prozess auf der Blockchain zu registrieren, der nur das Hinzufügen eines einzelnen DNS-Records erfordert, wobei die vollständige Verifizierung typischerweise innerhalb von 48 Stunden abgeschlossen ist.
Es ist erwähnenswert, dass TrustNFT ein Anbieter mit einem kommerziellen Produkt ist. Die 67%-Zahl stammt aus der eigenen Forschung des Unternehmens, und das Whitepaper dient sowohl als technisches Argument als auch als Produktpräsentation. Eine unabhängige Überprüfung dieser Aussage liegt noch nicht vor.
Was E-Mail-Marketer mitnehmen sollten
DMARC bleibt unverzichtbare Grundlage. Die durchschnittlichen Kosten eines Phishing-bedingten Datenbrechens betrugen 2025 etwa 4,88 Millionen Dollar, und US-Organisationen, die DMARC auf Policy-Ebene durchsetzten, reduzierten erfolgreiche Phishing-Zustellung von 69% auf 14%, laut EasyDMARC 2025 DMARC Adoption Report. Das rechtfertigt allein schon den Wechsel zu p=reject.
Aber das TrustNFT-Papier hebt etwas hervor, das Marketer oft übersehen: Authentifizierung ist für Kunden unsichtbar. Wenn Ihre Marke über eine Lookalike-Domain nachgeahmt wird, können Ihre Abonnenten keinen Unterschied erkennen, und der Reputationsschaden trifft Sie, egal wie sauber Ihre eigenen DNS-Records sind.
Die unmittelbaren Prioritäten für jedes Marketing- oder Growth-Team sind klar:
- Verschieben Sie Ihre DMARC-Richtlinie von p=none zu p=quarantine oder p=reject
- Richten Sie RUA-Aggregate-Berichterstattung ein, um zu sehen, wer in Ihrem Namen versendet
- Überwachen Sie Lookalike-Domain-Registrierungen, die auf Ihre Marke abzielen
- Stellen Sie sicher, dass jede Drittanbieter-Versandplattform (ESP, CRM, transaktionale E-Mail) ordnungsgemäss in Ihrem SPF-Record enthalten ist und mit DKIM signiert
Ob Blockchain-Verifizierung eine Mainstream-Schicht des E-Mail-Vertrauensstacks wird, bleibt abzuwarten. Was schon jetzt klar ist: DMARC allein war nie dafür ausgelegt, das Problem der Markenimitation auf Domain-Ökosystem-Ebene zu lösen, und es als vollständige Lösung zu behandeln, hinterlässt sowohl Ihre Kunden als auch Ihren Sender-Ruf gefährdet.
