Jeder zweite Mittelständler ohne wirksamen Schutz gegen gefälschte E-Mails

Hechingen, 15. Oktober 2026 – Mehr als die Hälfte der deutschen Mittelständler schützt ihre E-Mail-Domain nicht wirksam davor, dass Betrüger in ihrem Namen E-Mails versenden. Das zeigt eine Auswertung öffentlicher DNS-Einträge von 1.000 Unternehmen mit 50 bis 4.999 Beschäftigten, die das Fachportal mehr-b2b-neukunden.de im Oktober 2026 durchgeführt hat. Bei 51,6 Prozent der Unternehmen mit E-Mail-Empfang fehlt eine DMARC-Richtlinie ganz oder sie steht nur auf „p=none“ – also auf reiner Beobachtung ohne Schutzwirkung. Zum Vergleich: Bei den DAX-40-Konzernen trifft das auf 22,5 Prozent zu.

Die wichtigsten Ergebnisse

• DMARC vorhanden, aber oft wirkungslos: 77,4 Prozent der Mittelständler haben einen DMARC-Eintrag. Durchgesetzt (Richtlinie „quarantine“ oder „reject“) wird er aber nur bei 48,4 Prozent. Bei den DAX-40-Konzernen sind es 77,5 Prozent, 65,0 Prozent weisen gefälschte Mails sogar konsequent ab („reject“).
• DMARC nur auf dem Papier: Jeder zehnte Mittelständler (10,2 Prozent) hat eine DMARC-Richtlinie ohne Schutzwirkung und ohne Berichtsadresse – das Unternehmen erfährt also nicht einmal, wenn jemand seine Domain missbraucht.
• Je kleiner, desto verwundbarer: Bei Unternehmen mit 50–249 Beschäftigten setzen nur 41,0 Prozent DMARC durch, bei 1.000–4.999 Beschäftigten 53,7 Prozent.
• SPF ist Standard, aber nicht immer korrekt: 96,2 Prozent nutzen SPF. 2,5 Prozent überschreiten jedoch das technische Limit von zehn DNS-Abfragen, wodurch die Prüfung bei Empfängern fehlschlagen kann.
• Vollständig abgesichert (korrektes SPF plus durchgesetztes DMARC) sind 45,7 Prozent der Mittelständler gegenüber 75,0 Prozent der DAX-Konzerne.
• Moderne Zusatzstandards fehlen fast völlig: MTA-STS, das die verschlüsselte Zustellung absichert, nutzen 4,3 Prozent des Mittelstands, aber 30,0 Prozent der DAX-Konzerne.

Warum das wichtig ist

Ohne durchgesetztes DMARC können Angreifer E-Mails versenden, die scheinbar von der echten Firmenadresse stammen – etwa gefälschte Rechnungen mit geänderter Bankverbindung oder Zahlungsanweisungen im Namen der Geschäftsführung. Gleichzeitig verlangen große Postfachanbieter wie Google, Yahoo und Microsoft seit 2024 bzw. 2025 von Massenversendern SPF, DKIM und DMARC. Fehlende oder fehlerhafte Einträge kosten deshalb auch Zustellbarkeit: Angebote, Newsletter und Vertriebs-E-Mails landen häufiger im Spam.

Kostenlos selbst prüfen

Unternehmen können ihre eigene Domain kostenlos mit den Werkzeugen auf mehr-b2b-neukunden.de prüfen: DMARC-Check, SPF-Check, DKIM-Check und Blacklist-Check. Die vollständige Studie mit Methodik und allen Kennzahlen: https://mehr-b2b-neukunden.de/studie/dmarc-spf-mittelstand-2026/

Methodik

Stichprobe: 1.000 Unternehmen mit Sitzland Deutschland, offizieller Website und 50 bis 4.999 Beschäftigten laut Wikidata (ohne Vereine, Stiftungen, öffentliche Einrichtungen und Genossenschaftsbanken) sowie die 40 DAX-Konzerne als Vergleichsgruppe. Gemessen wurden am 14. Oktober 2026 ausschließlich öffentlich abrufbare DNS-Einträge (MX, SPF, DMARC, DKIM, MTA-STS, TLS-RPT, BIMI). Prozentwerte beziehen sich auf die 949 Mittelstands- bzw. 40 DAX-Domains mit E-Mail-Empfang (MX-Eintrag). Da die Stichprobe auf Unternehmen mit Wikidata-Eintrag beruht, dürfte sie eher besser organisierte Firmen enthalten; die Werte für den gesamten Mittelstand liegen vermutlich darunter. DKIM-Werte sind eine Untergrenze. Es werden keine einzelnen Unternehmen genannt.

Über mehr-b2b-neukunden.de

mehr-b2b-neukunden.de ist ein Fachportal für planbare B2B-Neukundengewinnung mit Ratgebern, Branchenleitfäden und kostenlosen Online-Werkzeugen zu SEO, KI-Sichtbarkeit, LinkedIn, Outbound und E-Mail-Zustellbarkeit. Herausgeber ist Felix Wilhelm, Gründer von vertriebsmitarbeiter.ai.

Pressekontakt

Felix Wilhelm
Königsberger Weg 12, 72379 Hechingen
Telefon: +49 174 164 5727
E-Mail: info@vertriebsmitarbeiter.ai