Mehr als die Hälfte der größten Organisationen in Massachusetts bleibt anfällig für Phishing und Domain-Spoofing, weil sie den E-Mail-Authentifizierungsstandard, der dies verhindern würde, nicht vollständig umgesetzt haben. Eine neue Cybersecurity-Analyse beziffert diese Gefährdung präzise, und die Ergebnisse sollten jeden Business Owner, Marketer und Security Manager aufhorchen lassen, der E-Mails unter einer Unternehmens-Domain versendet.
Die Ergebnisse: Mehrheit bleibt ungeschützt
Eine Analyse der 100 größten Unternehmen, Nonprofit-Organisationen und Behörden in Massachusetts zeigt, dass nur 42% den E-Mail-Authentifizierungsstandard DMARC vollständig umgesetzt haben, wie die Cybersecurity-Firma Red Sift berichtet.
Nach Angaben von Axios Boston sieht die Aufschlüsselung in der Massachusetts-Stichprobe deutlich aus:
- 26% haben eine teilweise Umsetzung, etwa durch Quarantäne verdächtiger E-Mails.
- 28% setzen
DMARCüberhaupt nicht um, sondern überwachen und melden gefälschte E-Mails nur passiv. - 4% haben keinerlei E-Mail-Sicherheitsprotokoll implementiert.
Das Muster zeigt sich auch über Massachusetts hinaus. Red Sift analysierte 700 Domains in sieben Bundesstaaten und stellte fest, dass 43% DMARC-Protokolle nicht umgesetzt hatten oder nicht vorhanden waren, während nur 35% eine vollständige Umsetzung angaben.
Diese Lücke ist besonders signifikant in Massachusetts, wo das Zentrum des US-amerikanischen Gesundheitswesens, der Biotechnologie, Hochschulbildung, Finanzdienstleistungen und Rüstung liegt, Branchen, in denen vertrauensbasierte, hochriskante Kommunikation stark von E-Mail abhängt.
"Wenn Sie E-Mails versenden, sind Sie ein Ziel", sagt Brian Westnedge, Vice President of Alliance and Partnerships bei Red Sift.
Warum "teilweise" Umsetzung nicht ausreicht
DMARC (englisch: Domain-based Message Authentication, Reporting and Conformance) ist eine DNS-Richtlinie, die Mailservern beim Empfänger mitteilt, wie sie mit Nachrichten umgehen sollen, die Authentifizierungsprüfungen nicht bestehen. Sie kann gefälschte E-Mails ablehnen oder in Quarantäne stellen und gewährleistet, dass Nachrichten in Ihrem Posteingang tatsächlich von der Organisation stammen, die sie zu vertreten beansprucht.
Das Problem besteht darin, dass das Veröffentlichen eines DMARC-Eintrags nicht dasselbe ist wie die Umsetzung. Viele Unternehmen veröffentlichen DMARC-Einträge mit einer Richtlinie von p=none, was Sichtbarkeit bietet, aber gefälschte E-Mails nicht am Erreichen des Posteingangs hindert.
Viele Organisationen einigen sich auf einen Kompromiss, indem sie DMARC im Quarantäne-Modus belassen, bei dem nicht authentifizierte Nachrichten nicht abgelehnt, sondern in Spam-Ordner verschoben werden. Experten warnen jedoch, dass dies kein echter Schutz ist, da Benutzer Nachrichten aus Junk-Ordnern abrufen können und häufig tun, besonders wenn sie anscheinend von vertrauenswürdigen Kontakten stammen. Dies schafft ein anhaltendes Risiko für erfolgreiches Phishing oder Betrug.
Die breitere Authentifizierungskrise
Die Massachusetts-Studie ist keine Ausnahme, sondern spiegelt ein systemisches globales Problem. Die Analyse des 2. Quartals 2025 zeigt, dass nur etwa 18% der 10 Millionen meistbesuchten Domains der Welt einen gültigen DMARC-Eintrag veröffentlichen, und nur etwa 4% eine Reject-Richtlinie vollständig umsetzen.
Eine klare Reifungslücke hat sich abgezeichnet: Große Unternehmen bewegen sich immer weiter zur Umsetzung, während viele schnell wachsende Unternehmen im reinen Überwachungsmodus steckenbleiben. Selbst bei Fortune-500-Unternehmen erreichte die Adoption 475 von 500 Unternehmen, aber mehr als 80% hatten Umsetzungsrichtlinien erreicht, was bedeutet, dass selbst auf höchster Ebene ein von fünf nicht über die Umsetzungsschwelle gekommen war.
Die finanziellen Einsätze sind erheblich. Gartner berichtet, dass Zahlungen für Business-E-Mail-Kompromisse (BEC) 2024 die 6-Milliarden-Dollar-Grenze überschritten haben, und der Posteingang bleibt die "am meisten verbreitete Angriffsfläche", weil Mitarbeiter über alte, unsichere Protokolle mit Außenstehenden interagieren müssen. Die durchschnittlichen Kosten einer Phishing-bedingten Datenpanne erreichten 2025 4,88 Millionen Dollar.
Laut Cloudflares Bedrohungsbericht 2026 bestehen 46% aller E-Mails die DMARC-Validierung nicht, was zeigt, wie viel nicht authentifizierter Datenverkehr noch durch globale Systeme fließt.
Mailbox-Anbieter erzwingen das Problem
Der Druck zur Umsetzung von DMARC ist nicht länger optional, sondern kommt direkt von den Plattformen, die E-Mail liefern. Google, Yahoo (Februar 2024), Microsoft (Mai 2025) und La Poste (September 2025) verlangen jetzt SPF-, DKIM- und DMARC-Authentifizierung für Massen-E-Mail-Versender.
Im Oktober 2025 stellte Google das Legacy-Postmaster-Tools-Dashboard ein und startete Postmaster Tools v2 mit Fokus auf "Compliance Status" statt "Reputation", wobei Absender nach einem binären Modell bewertet werden, ein grundlegender Wandel in der Kommunikation der Absender-Gesundheit durch Google. Das binäre Modell bedeutet, dass teilweise Konformität das gleiche Ergebnis liefert wie keine Konformität: Misserfolg.
Fast die Hälfte der größten Arbeitgeber Bostons hat keine vollständige E-Mail-Sicherheitsumsetzung implementiert und lässt viele lokale Institutionen anfällig für Phishing und Brand-Impersonation-Attacken. Boston bleibt jetzt Schwesterstadt wie New York City und Washington, D.C. bei der Adoption hinterher, selbst da E-Mail-Bedrohungen mit KI leichter zu skalieren werden.
Was das bedeutet
Für Business Owner, Marketer und Growth Teams sind die Red-Sift-Ergebnisse eine direkte Warnung für Zustellbarkeit und Markensicherheit.
Marketing-Teams haben lange für Open Rates, Click-Through-Rates und Conversion-Metriken optimiert. Nach Googles Umsetzungsmodell spielen keine dieser Metriken eine Rolle, wenn Ihre E-Mail den Posteingang nie erreicht.
Die geschäftliche Auswirkung schwacher Authentifizierung ist breit: verminderte Inbox-Platzierung, angegriffener Absenderruf, blockierte E-Mails bei großen empfangenden Servern und direkter finanzieller Verlust durch Credential Theft und Rechnungsbetrügereien.
Obwohl Massachusetts' Stichprobe nur einen Bruchteil der Unternehmen des Staates abdeckt, merkt Red Sift an, dass die Umfrage einen Blick auf die E-Mail-Sicherheitsposition bietet, die Unternehmen tatsächlich haben, und wenn die größten Organisationen des Staates noch nicht stärkere Schutzmaßnahmen vollständig übernommen haben, ist die Wahrscheinlichkeit gering, dass kleinere Unternehmen mit weniger IT-Ressourcen es getan haben.
Der Weg nach vorne ist etabliert: Wechsel von p=none zu p=quarantine zu p=reject, Sicherstellung, dass jede Drittanbieter-Versandplattform authentifiziert ist, und kontinuierliche Überwachung von DMARC-Aggregatberichten. Unternehmen müssen authentifizierte, automatisierte und identitätsorientierte E-Mail-Sicherheit einführen, um ihre Domains zu schützen, Zustellbarkeit zu gewährleisten und Kundenvertrauen zu bewahren.
Die Umsetzungslücke ist messbar. Die Konsequenzen sind real. Die Lösung ist verfügbar, aber nur für Organisationen, die jetzt handeln.
