DMARC-Adoption: Was 2026 zeigt

Von Thomas · virtueller CISO · 03. September 2026

„Wie steht es um die DMARC-Adoption?" 2026 taucht die Frage in Sicherheitsgremien, Cyber-Versicherungsfragebögen, Ausschreibungen und Compliance-Audits auf — und die kursierenden Antworten widersprechen einander munter. Das Protokoll sei „inzwischen überall", sagen die einen; „immer noch marginal", sagen die anderen. Das Paradox ist nur scheinbar: Beide Lager können sich auf korrekte Erhebungen stützen, weil nicht dasselbe gezählt wird. Eine Domain, die einen DMARC-Eintrag veröffentlicht, und eine Domain, die gefälschte Post tatsächlich abweist, sind zwei sehr verschiedene Realitäten — und die Lücke zwischen beiden ist 2026 zur eigentlichen Nachricht geworden.

Dieser Artikel schließt die hier veröffentlichte Serie sektoraler Messungen — Banken, Kommunen, Gesundheitswesen — und nimmt die Vogelperspektive ein. Vier Fragen strukturieren die Synthese: Welche Kräfte haben die Adoption seit 2024 beschleunigt? Warum besteht die Kluft zwischen „einen Eintrag haben" und „eine Policy durchsetzen" in allen beobachteten Sektoren fort? Was zeichnen die sektoralen Unterschiede? Und was bereitet die Veröffentlichung von DMARCbis für 2027 vor?

Ein Prinzip aus den Barometern gilt weiter: kein eingefrorener Prozentwert in diesen Zeilen. Eine Zahl, in einen datierten Beitrag gedruckt, wäre ein Quartal später veraltet und würde trotzdem weiter zitiert. Die hier vorgetragenen Befunde sind qualitativ, öffentlich und nachprüfbar; die lebendige Messung — Domain für Domain, Sektor für Sektor, Monat für Monat — lebt in den Monatsausgaben des Observatoriums, vorgestellt am Ende des Artikels.

2024–2026: Drei Kräfte haben den Zeitplan komprimiert

Ein Jahrzehnt lang schritt die DMARC-Adoption im Takt freiwilliger Sicherheitsprojekte voran: langsam. Drei Kräfte haben diesen Takt in drei Jahren gebrochen.

Die erste kam aus den Postfächern. Im Februar 2024 verlangten Gmail und Yahoo von Massenversendern eine vollständige Authentifizierung: SPF, DKIM und einen DMARC-Eintrag — mindestens auf p=none. Über Nacht wurde aus einem seit Jahren „auf später" verschobenen Protokoll eine Zustellbedingung für völlig legitime Post. Microsoft zog 2025 für seine Verbraucherpostfächer nach und schloss das letzte Schlupfloch: Kein ernsthafter Versender kann die drei größten Postfachbestände der Welt ignorieren. Der Knick in den Veröffentlichungskurven kam sofort und ist in allen öffentlichen Erhebungen ablesbar.

Die zweite Kraft ist regulatorisch. NIS2 dehnt die Pflichten des Cyber-Risikomanagements im Zuge der nationalen Umsetzungen auf Tausende „wesentliche" und „wichtige" Einrichtungen aus; DORA, anwendbar seit Januar 2025, tut dasselbe für den europäischen Finanzsektor. Keiner der beiden Texte nennt DMARC beim Namen, doch beide machen aus der Domain-Fälschung ein zu behandelndes Risiko und einen zu dokumentierenden Vorfall: Ein Eintrag, der trotz Berichten über Missbrauch auf p=none verharrt, wird im Audit zu einer schwer haltbaren Position. Das Thema hat den Eigentümer gewechselt — vom Mail-Team zur Risikofunktion — und damit auch das Budget.

Die dritte Kraft ist die Reife des Standards selbst. Die Veröffentlichung von DMARCbis im Jahr 2026 — die RFC 9989 bis 9991 — hat das Protokoll von einer alternden informativen Spezifikation zu einer nach Jahren der Arbeit stabilisierten IETF-Norm gemacht. Das Signal reicht über die Technik hinaus: Sicherheitsrahmenwerke, Einkaufsfragebögen und Versicherer behandeln DMARC inzwischen als Basisinfrastruktur der E-Mail, so wie TLS beim Transport.

Einen Eintrag veröffentlichen heißt nicht, eine Policy durchsetzen

Die Beschleunigung von 2024–2026 hat vor allem Einträge produziert. Doch ein Eintrag auf p=none hat noch nie eine einzige Fälschung blockiert: Er ist ein Lauschmodus — unverzichtbar zum Start, ohne jeden Verteidigungswert. Der Unterschied passt in zwei DNS-Zeilen:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de
v=DMARC1; p=reject; rua=mailto:dmarc@beispiel.de; sp=reject; np=reject

Die erste beobachtet; die zweite schützt. Zwischen beiden liegt die gesamte eigentliche Arbeit: Inventar der Versandquellen, Ausrichtung von SPF und DKIM, Verschärfung in Stufen.

Der Befund, der sich durch alle gemessenen Korpora zieht, ist qualitativ, aber konstant — und im DNS öffentlich nachprüfbar: Unter den Domains mit Eintrag dominieren jene, die auf p=none verharren, in allen beobachteten Sektoren und Geografien. Die Anforderungen von 2024 sind daran nicht unschuldig: Verlangt war nur das Minimum, ein Eintrag, und sei es auf p=none. Die Konformität mit den Postfachregeln wurde also massenhaft erreicht … ohne dass der Schutz vor Fälschung auch nur annähernd gleich stark vorankam. Die nützliche Hierarchie lautet: fehlend < ungültig < none < quarantine < reject. Nur die letzten beiden Stufen wirken auf gefälschte Post, und nur die letzte schließt die Tür.

Warum dieses Plateau? Weil die nächste Stufe Angst macht: Eine Policy auf Basis unvollständig gelesener Berichte zu verschärfen kann einen legitimen Fluss blockieren — und viele Organisationen empfangen die Berichte, ohne sie je zu öffnen. Das Konformitäts-p=none ist zum Standard-Haltepunkt geworden: ein Eintrag, gesetzt, um Gmail zufriedenzustellen, XML-Dateien, die sich in einem ungelesenen Postfach stapeln, und eine unveränderte Angriffsfläche.

Was die Barometer-Serie zeichnet, Sektor für Sektor

Die sektoralen Barometer von dmarc.com erheben jeden Monat im öffentlichen DNS die Haltung ganzer Domain-Korpora. Ohne die Zahlen des Monats abzuschreiben, treten drei relative Positionen deutlich hervor.

Die Banken führen. Als meistgefälschter, am stärksten auf Vertrauen angewiesener und am strengsten regulierter Sektor — DORA lässt grüßen — vereinen sie Mittel und externen Druck. Das Barometer zu den französischen Banken behandelt sie als Testfeld des Protokolls: Wenn ein Sektor p=reject auf seinem gesamten Perimeter erreichen kann, dann dieser — und seine Position misst die Obergrenze dessen, was andere anpeilen können.

Der kommunale Sektor hinkt hinterher. Das Barometer der Städte und Gebietskörperschaften dokumentiert eine Landschaft aus kleinen Teams, verstreuten Dienstleistern und schwachem Zustellbarkeitsdruck — ein Rathaus versendet wenig Massenpost, die Gmail-Anforderungen haben es daher kaum gebunden. Das Paradox ist bitter: Die Fälschung einer Kommune trifft die Bürger direkt, bei Themen — Steuern, Personenstand, Schulanmeldung —, bei denen das Vertrauen in den Absender am größten ist.

Das Gesundheitswesen illustriert den Spagat zwischen Kritikalität und Mitteln: lebenswichtige Post — Einbestellungen, Befunde, Versorgungskoordination —, IT-Teams unter Dauerlast und ein selten inventarisierter Domain-Bestand. Das Barometer des Gesundheitssektors findet dort dasselbe Kopf-und-Schwanz-Profil wie die anderen Korpora, nach unten verschoben.

Jenseits der relativen Positionen wiederholen sich die strukturellen Muster von Sektor zu Sektor: eine nie gleichförmige Verteilung — eine Spitze, seit Langem auf reject eingerichtet, ein Mittelfeld, das ruckweise und selten ohne externen Zwang vorankommt, ein Ende, das nicht begonnen hat; Hauptdomains, besser gepflegt als Zweitmarken und Töchter; schlafende Domains, von allen vergessen außer von den Betrügern. Der Durchschnitt eines Sektors sagt wenig; die Form seiner Verteilung sagt alles.

Die Reifestufen einer Organisation

Auf eine einzelne Organisation übertragen, liest sich die typische Trajektorie in fünf Stufen — und jedes Barometer fotografiert, wie sich ein Sektor darauf verteilt.

Stufe null: nichts, oder ein ungültiger Eintrag — ein Syntaxfehler genügt, um einer Policy jede Wirkung zu nehmen. Stufe eins: p=none veröffentlicht, Berichte ungenutzt; das ist das Plateau der Minimalkonformität, auf dem ein großer Teil der ausgestatteten Domains parkt. Stufe zwei: Die Berichte werden gelesen und die Arbeit beginnt — Quelleninventar, SPF- und DKIM-Ausrichtung, Dienstleister für Dienstleister. Stufe drei: Verschärfung in Schritten Richtung quarantine und dann reject, heute sauber unterstützt durch den Testmodus t=y. Stufe vier: Die Durchsetzung deckt den gesamten Perimeter ab — Subdomains (sp=, np=), Zweitmarken, verriegelte schlafende Domains — und BIMI markiert gegebenenfalls die Ankunft. Der Weg von Stufe eins zu Stufe vier ist ein Projekt weniger Monate für ein einfaches Ökosystem, länger für einen Konzern; die Compliance-Checkliste für 2026 schlüsselt jeden Schritt auf.

Dieses Raster schärft die Lesart der Messungen: Ein Sektor kommt nur dann wirklich voran, wenn Domains die Stufen zwei und drei überqueren. Eine sich füllende Stufe eins hebt die Präsenzkurve — nicht den Schutz.

Was DMARCbis für 2027 ändert

Die Veröffentlichung von DMARCbis erzwingt keine eilige Migration — v=DMARC1 bleibt rückwärtskompatibel —, mischt aber drei Karten für 2027 neu.

Erstens folgt die Policy-Ermittlung nun dem DNS Tree Walk: Die Organisationsdomain wird durch das Hinaufwandern im DNS-Baum selbst bestimmt, nicht mehr über die Public Suffix List, jene externe Liste, die der Standard wie eine Krücke mitschleppte. Für Konzerne mit tiefen Domain-Bäumen wird die anwendbare Policy vorhersehbarer; das Tag psd= begleitet den Mechanismus.

Zweitens ist das Tag pct verschwunden. Die schrittweise Hochfahrt drückt sich jetzt im Testmodus t=y aus, mit deutlich lesbareren Effekten — pct hat den versprochenen Anteil nie wirklich garantiert. Einträge, die noch ein pct= tragen, verdienen eine Überprüfung, während die Empfänger auf den neuen Text konvergieren.

Drittens regelt das Tag np= ausdrücklich das Schicksal nicht existierender Subdomains — Lieblingsziel technischer Fälschungen, gerade weil von dort nie legitime Post stammt. Ein np=reject zählt zu den risikoärmsten Verschärfungen des Protokolls. Die vollständige Vorstellung von DMARCbis erläutert sämtliche Änderungen und was sie je nach Ausgangslage bedeuten.

Für die Adoptionsmessung liefert der neue Standard beobachtbare Reifemarker: das Vorhandensein eines np=, die Nutzung des Testmodus, das allmähliche Verschwinden geerbter pct-Tags. Die Erhebungen von 2027 bekommen neue Spalten.

Wo die Messung weiterläuft

Eine Synthese hat ein Datum; die Adoption bewegt sich jeden Monat. Genau dafür gibt es das DMARC-Observatorium: Monatsausgaben nach Sektor und Land, erhoben im öffentlichen DNS — Präsenz, Gültigkeit, effektive Policy, Umgang mit Subdomains, SPF-, DKIM- und BIMI-Signale — mit namentlichem Ranking und Historie. Nichts an der Methode ist invasiv: Gelesen wird, was jeder Resolver sieht, denn die DMARC-Haltung einer Domain ist eine öffentliche, für alle nachprüfbare Erklärung.

Der Monatstakt liefert, was keine Jahresstudie kann. Rückschritte werden sichtbar — ein durch eine DNS-Migration zerbrochener Eintrag, ein reject, nach einem falsch diagnostizierten Zustellbarkeitsvorfall zurück auf none gestuft. Die Wirkung regulatorischer Fristen lässt sich fast live beobachten. Und die Trajektorien — wer vorankommt, wer stagniert — zählen mehr als Momentaufnahmen: Eine Studie ist ein Foto, ein Observatorium ist ein Film.

Eine vorsichtige Projektion

Was die Dynamik von 2024–2026 zu sagen erlaubt, ohne eine einzige Zahl zu wagen, passt in drei Trendlinien.

Die Präsenz von Einträgen wird weiter steigen: sie kostet nichts, und die Anforderungen ziehen sie mechanisch nach oben. Die Kurve, die Aufmerksamkeit verdient, ist die andere — der Anteil tatsächlich durchgesetzter Policies. Drei Kräfte schieben sie an: die Postfachanforderungen, die sich Klick um Klick verschärfen, mit sinkenden Schwellen und sich schließenden Ausnahmen; die Regulierung, die ein verlängertes p=none nach und nach in einen Audit-Befund verwandelt; und das Werkzeug, das DMARCbis vereinfacht. In die Gegenrichtung wirkt der lange Schwanz — kleine Strukturen, schlafende Domains, Kommunen ohne eigenes Team —, der Jahre brauchen wird, um sich aufzulösen.

Die Richtung ist also gewiss; das Tempo ist es nicht. Genau deshalb verweist die ehrliche Projektion auf die Messung: Die reale Geschwindigkeit steht in den Monatsausgaben, Erhebung für Erhebung, nicht in Prognosen.

Fazit

2026 markiert einen Kipppunkt für DMARC: Drei Kräfte — die Anforderungen von Gmail, Yahoo und dann Microsoft, der Druck von NIS2 und DORA, die Veröffentlichung von DMARCbis — haben in drei Jahren eine Adoption komprimiert, die zehn zu brauchen versprach. Doch die am schnellsten steigende Kurve zählt Einträge, nicht Schutz: Überall dominiert das Konformitäts-p=none unter den ausgestatteten Domains, und nur eine durchgesetzte Policy — quarantine, dann reject — schließt der Fälschung die Tür. Die sektoralen Barometer zeichnen klare Abstände, Banken vorn, Kommunen und Gesundheitswesen zurück, mit denselben strukturellen Mustern überall. DMARCbis bereitet 2027 vor: Tree Walk, Testmodus, np=, das Ende von pct. Die kontinuierliche Messung lebt derweil im Observatorium — nach Sektor, nach Land, Monat für Monat.

Um eine Domain auf derselben Skala zu verorten, zeigt ein Durchlauf durch den Online-Analyzer in Sekunden die reale Position: Präsenz, Gültigkeit, effektive Policy, Subdomains. Und das Anlegen eines Kontos öffnet den logischen nächsten Schritt — aggregierte Berichte, Quelleninventar und der stufenweise Aufstieg zu p=reject, in dem Tempo, das das Versand-Ökosystem erlaubt.