80,9 % der lokalen Unternehmen lassen sich per E-Mail imitieren
Eine E-Mail Ihres Steuerberaters bittet Sie, die Rechnung dieses Monats auf ein neues Bankkonto zu überweisen. Ob Ihr Mailserver erkennen kann, dass sie gefälscht ist, hängt von einigen öffentlichen Einträgen ab, die der Steuerberater veröffentlicht. Wir haben sie für 6.937 lokale Unternehmen in 10 Ländern im Oktober 2026 gelesen.
Studie von Guglielmo Paesano, Gründer von AIGROW · Daten unter CC BY 4.0
- Gelesene Domains
- 6.937
- Länder
- 10
- Städte
- 30
- Branchen
- 10
- Kein DMARC-Eintrag
- 3.458
Kann jemand im Namen eines lokalen Unternehmens E-Mails versenden? Bei den meisten: ja. Im Oktober 2026 hat AIGROW die öffentlichen DMARC- und SPF-Einträge von 6.937 Domains lokaler Unternehmen in 10 Ländern gelesen. 80,9 % veröffentlichten keinen Eintrag, der empfangende Mailserver auffordert, jede gefälschte E-Mail abzulehnen. Eine E-Mail, die vorgibt, von ihnen zu stammen, kann also im Posteingang eines Kunden landen.
Ergebnisse
Jede Domain wurde einmal aus dem öffentlichen DNS gelesen. „Kann imitiert werden“ heißt: Der kostenlose E-Mail-Spoofing-Checker stuft die Domain als fälschbar ein.
80,9 % der untersuchten Domains lokaler Unternehmen lassen sich per E-Mail imitieren: 5.611 von 6.937.
3.458 haben gar keinen DMARC-Eintrag, 2.093 haben einen auf p=none gesetzten, der nur Berichte anfordert und nichts stoppt, und 60 haben einen fehlerhaften Eintrag oder einen, der nur auf einen Teil ihrer E-Mails angewendet wird. 1.266 (18,2 %) weisen empfangende Server an, jede gefälschte Nachricht in Quarantäne zu verschieben oder abzulehnen.
Von den 5.611 imitierbaren Domains veröffentlichen 4.159 SPF, und bei 1.573 davon endet der Eintrag auf -all, der strikten Einstellung.
SPF listet die Server auf, die für eine Domain senden dürfen, und prüft die in der Nachricht verborgene Rücksendeadresse. Den Absender, den ein Kunde sieht, prüft es nur, wenn DMARC den empfangenden Server bittet, beide abzugleichen. In der gesamten Stichprobe veröffentlichen 5.329 von 6.937 Domains SPF.
Nach Land reicht der Anteil von 72,2 % in den Niederlanden bis 94,3 % in Italien.
Nach Branche reicht er von 72,5 % (Rechtsanwälte) bis 89,2 % (Restaurants). Bei Steuerberatern, deren Kunden auf E-Mails zu Zahlungen reagieren, liegt der Wert bei 74,2 %.
Land für Land
Anteil der Domains jedes Landes nach DMARC-Richtlinie, drei Städte pro Land, die am stärksten gefährdeten zuerst.
| Land | Domains | Kein DMARC | p=none | Quarantäne | Ablehnen | Ungültig | Kann imitiert werden |
|---|---|---|---|---|---|---|---|
| Italien | 546 | 43,8 % | 49,3 % | 3,5 % | 2,6 % | 0,9 % | 94,3 % |
| Frankreich | 717 | 64,7 % | 22,3 % | 8,1 % | 4,7 % | 0,1 % | 87,7 % |
| Kanada | 766 | 56,3 % | 28,9 % | 10,1 % | 4,3 % | 0,5 % | 86,2 % |
| Vereinigte Staaten | 629 | 61,2 % | 23,1 % | 8,9 % | 6,7 % | 0,2 % | 84,7 % |
| Spanien | 689 | 51,1 % | 31,2 % | 13,2 % | 3,8 % | 0,7 % | 83,3 % |
| Australien | 659 | 51,9 % | 28,7 % | 10,5 % | 8,3 % | 0,6 % | 81,6 % |
| Vereinigtes Königreich | 651 | 43,8 % | 31,8 % | 10,1 % | 14,3 % | 0,0 % | 77,1 % |
| Deutschland | 996 | 43,4 % | 29,2 % | 7,6 % | 19,7 % | 0,1 % | 73,2 % |
| Schweiz | 618 | 53,1 % | 19,4 % | 16,5 % | 10,8 % | 0,2 % | 72,8 % |
| Niederlande | 666 | 30,0 % | 41,4 % | 15,9 % | 11,9 % | 0,8 % | 72,2 % |
Nach Unternehmensart
Anteil der Domains jeder Branche nach DMARC-Richtlinie, alle zehn Länder zusammen, die am stärksten gefährdeten zuerst.
| Unternehmensart | Domains | Kein DMARC | p=none | Quarantäne | Ablehnen | Ungültig | Kann imitiert werden |
|---|---|---|---|---|---|---|---|
| Restaurants | 1.190 | 57,8 % | 30,5 % | 5,7 % | 5,6 % | 0,3 % | 89,2 % |
| Friseursalons | 940 | 57,4 % | 26,9 % | 8,4 % | 6,3 % | 1,0 % | 85,5 % |
| Hotels | 997 | 47,3 % | 32,0 % | 11,8 % | 8,6 % | 0,2 % | 80,2 % |
| Tierärzte | 411 | 42,6 % | 36,7 % | 9,0 % | 11,2 % | 0,5 % | 80,0 % |
| Zahnärzte | 806 | 47,1 % | 31,6 % | 12,9 % | 7,9 % | 0,4 % | 79,5 % |
| Autowerkstätten | 549 | 55,9 % | 22,2 % | 11,7 % | 10,0 % | 0,2 % | 78,7 % |
| Architekten | 451 | 49,7 % | 28,4 % | 11,8 % | 10,2 % | 0,0 % | 78,5 % |
| Immobilienmakler | 653 | 37,4 % | 38,4 % | 11,3 % | 12,3 % | 0,6 % | 77,0 % |
| Steuerberater | 275 | 49,1 % | 24,0 % | 11,6 % | 14,5 % | 0,7 % | 74,2 % |
| Rechtsanwälte | 665 | 44,1 % | 27,8 % | 13,7 % | 14,4 % | 0,0 % | 72,5 % |
Wie die SPF-Einträge enden
Der letzte Term eines SPF-Eintrags sagt dem Empfänger, was er mit E-Mails von einem Server tun soll, den der Eintrag nicht aufführt. Alle 6.937 Domains.
| SPF-Eintrag | Domains | Teilen | Kann imitiert werden |
|---|---|---|---|
| Endet auf -all, die strikte Einstellung | 2.293 | 33,1 % | 1.573 |
| Endet auf ~all, markiert, aber akzeptiert | 2.842 | 41,0 % | 2.401 |
| Endet auf ?all, keine Vorgabe | 155 | 2,2 % | 150 |
| Endet auf +all, jeder Server erlaubt | 3 | 0,0 % | 3 |
| Kein all-Term | 36 | 0,5 % | 32 |
| Fehlerhaft oder doppelt | 53 | 0,8 % | 50 |
| Kein SPF-Eintrag | 1.555 | 22,4 % | 1.402 |
So wurde die Studie durchgeführt
- Die Unternehmen
- Unternehmen, die auf OpenStreetMap verzeichnet sind, im Umkreis von 6 km um das Zentrum von 30 Städten, drei in jedem Land, aus 10 Branchen, jeweils mit eigener Website. Gelesen wird die Domain dieser Website. Höchstens 40 pro Branche und Stadt, ausgewählt über einen festen Hash der Domain, damit ein erneuter Durchlauf dieselben auswählt. Die Städte: Vereinigte Staaten (New York, Chicago, Los Angeles), Vereinigtes Königreich (London, Manchester, Birmingham), Kanada (Toronto, Vancouver, Montreal), Australien (Sydney, Melbourne, Brisbane), Frankreich (Paris, Lyon, Marseille), Deutschland (Berlin, München, Hamburg), Italien (Mailand, Rom, Turin), Niederlande (Amsterdam, Rotterdam, Utrecht), Spanien (Madrid, Barcelona, Valencia), Schweiz (Zürich, Bern, Lausanne).
- Ausgeschlossene Ketten
- OpenStreetMap führte 34.647 verschiedene Domains auf. 728 davon tauchen in mehr als einer Stadt auf, was auf eine Kette oder ein Verzeichnis hindeutet, und wurden ausgeschlossen. Eine Domain, die in einer Stadt unter zwei Branchen geführt wird, zählt nur einmal.
- Die Auswertung
- Gelesen am 28. Oktober 2026 über die öffentlichen Resolver 1.1.1.1, 8.8.8.8, mit dem Code des kostenlosen E-Mail-Spoofing-Checkers: der DMARC-Eintrag der Domain oder, falls es keinen gibt, der ihrer übergeordneten Domain, der SPF-Eintrag samt Includes und Redirects sowie der MX-Eintrag. 47 Domains, für die das öffentliche DNS keine Antwort lieferte, fließen in keine Zählung ein.
- Kann imitiert werden
- Der Checker stuft eine Domain als fälschbar ein, wenn nichts, was sie veröffentlicht, Empfänger auffordert, gefälschte E-Mails zu stoppen: kein DMARC-Eintrag, die Richtlinie none, ein fehlerhafter oder doppelter Eintrag, Quarantäne nur für einen Teil der E-Mails oder ein SPF-Eintrag, der jedem Server das Senden erlaubt. Teilweise geschützt bedeutet reject nur für einen Teil der E-Mails oder offen gelassene Subdomains. Geschützt bedeutet Quarantäne oder reject für alle E-Mails.
- Was DNS nicht zeigen kann
- Die Einträge sagen, was eine Domain von empfangenden Servern verlangt. Sie zeigen nicht, ob ein bestimmter Server dieser Aufforderung folgt, ob das Unternehmen seine E-Mails mit DKIM signiert (ein Signaturschlüssel findet sich nur unter einem Namen, den der Absender selbst wählt) oder ob ein Fälscher stattdessen eine täuschend ähnliche Domain nutzt. 951 der 6.937 Domains haben keinen MX-Eintrag und versenden möglicherweise gar keine E-Mails; sie werden trotzdem mitgezählt, denn ein Fälscher braucht die echte Domain nicht, um etwas zu empfangen.
- Nur Zählwerte
- Es wurde keine Website geöffnet und kein Mailserver kontaktiert. Die Daten enthalten Zählwerte nach Land und Branche, niemals den Namen eines Unternehmens oder eine Domain: Eine Liste von Unternehmen, deren E-Mails sich fälschen lassen, wäre eine Liste von Zielen. Ein Land mit einer Branche, für die weniger als 10 Domains vorliegen, ist in der CSV-Datei nicht enthalten. Business data © OpenStreetMap contributors, ODbL 1.0.
Daten und Quellenangabe
Guglielmo Paesano, AIGROW. Wie viele lokale Unternehmen sich per E-Mail imitieren lassen, Oktober 2026, aigrow.gg/research/email-spoofing-2026. Die Zahlen und die Daten werden unter CC BY 4.0 veröffentlicht: Nutzen Sie sie weiter und verlinken Sie diese Seite.
Für Presseanfragen: Guglielmo Paesano, Gründer von AIGROW und Autor der Studie, beantwortet Fragen dazu per E-Mail an hello@aigrow.gg.
Über den Autor: Guglielmo Paesano hat AIGROW gegründet. AIGROW entwickelt den kostenlosen E-Mail-Spoofing-Checker, mit dem diese Studie die Domains ausliest, und richtet DMARC für kleine Unternehmen ein.
Kann jemand E-Mails in Ihrem Firmennamen versenden?
Der kostenlose Checker liest Ihre DMARC-, SPF- und DKIM-Einträge und nennt Ihnen genau die Einträge, die Sie veröffentlichen müssen. Wenn Sie das lieber erledigen lassen, kostet der DMARC-Einrichtungsservice 149 €, einmalig bezahlt.
Ausgabe Oktober 2026 · Daten unter CC BY 4.0