Französische Kommunen und DMARC: eine Bestandsaufnahme

Von Thomas · virtueller CISO · 02. September 2026

Eine E-Mail, die vom Rathaus zu kommen scheint, genießt ein Vertrauen, das kaum ein anderer Absender erreicht. Die Nachricht kündigt eine Kantinenrechnung an, eine Steuererinnerung, ein abholbereites Bauamtsdokument — und sie wird geöffnet, gelesen, befolgt. Genau dieses Vertrauen kapern die Fälschungskampagnen gegen Gebietskörperschaften: eine falsche Zahlungsaufforderung in den Farben der Gemeinde, eine erfundene „Regularisierung" an die Einwohner, eine gefälschte Änderung der Bankverbindung an die Buchhaltung eines Lieferanten. Die angezeigte Absenderadresse ist die Waffe dieser Betrugsmaschen — und genau das, was DMARC zu authentifizieren weiß.

Ob Frankreichs Kommunen gegen die Fälschung ihrer Domains geschützt sind, ist keine Frage des Eindrucks, sondern der Messung. Eine DMARC-Policy ist eine öffentliche Erklärung im DNS, lesbar für jeden — Einwohner, Journalist, Präfektur und Angreifer gleichermaßen. Es genügt, sie abzulesen, Gemeinde für Gemeinde, Monat für Monat, um zu wissen, wo der kommunale Sektor wirklich steht.

Genau das leistet das Sektor-Barometer von dmarc.com. Wie bei den anderen beobachteten Sektoren schreibt dieser Artikel nicht „die Zahlen des Monats" ab — in einem Beitrag eingefroren, wären sie im nächsten Quartal veraltet. Er liefert das Leseraster: warum Rathäuser zur Zielscheibe wurden, was dieses Korpus einzigartig macht, was die Erhebung erfasst, welche Strukturmuster sie sichtbar macht, welcher Rahmen gilt — und womit eine Gemeinde beginnt, deren gesamtes Sicherheitsbudget auf eine Zeile passt.

Warum Rathäuser zur Zielscheibe wurden

Die Fälschung einer Gemeinde zahlt sich doppelt aus. Auf der Seite der Einwohner monetarisiert sie Vertrauen: eine falsche Zahlungsaufforderung für Kantine oder Hort, ein erfundener Strafzettel, eine gefälschte Steuererinnerung führen das Opfer auf eine betrügerische Zahlungsseite — und niemand wundert sich über eine E-Mail des Rathauses. Auf der Seite der Lieferanten wächst der Einsatz: Beim Bankverbindungsbetrug schreibt der Angreifer an die Finanzabteilung eines Unternehmens mit öffentlichem Auftrag und gibt sich als die Kommune aus — oder umgekehrt an das Rathaus im Namen des Lieferanten —, um die Zahlung einer Rechnung oder einer Bauabschlagszahlung umzuleiten. Eine einzige umgeleitete Überweisung übersteigt das jährliche IT-Budget vieler kleiner Gemeinden.

Die Nachrichtenlage erinnert regelmäßig daran, dass die Bedrohung alles andere als theoretisch ist. Seit Jahren zählen die Gebietskörperschaften zu den sichtbarsten Opfern von Cyberangriffen in Frankreich — Ransomware, die ganze kommunale Dienste lahmlegt, kompromittierte Postfächer, Phishing-Kampagnen, dokumentiert von öffentlichen Hilfsangeboten wie cybermalveillance.gouv.fr. E-Mail ist der erste Vektor dieser Angriffe, und die Fälschung ist ihr Treibstoff: Solange die Domain der Gemeinde reibungslos imitiert werden kann, ist jeder Einwohner und jeder Lieferant ein Ziel.

Ein Punkt gehört gleich zu Beginn festgehalten: DMARC schützt nicht das Rathaus vor den E-Mails, die es empfängt, sondern die Empfänger vor den E-Mails, die vorgeben, von ihm zu stammen. Es ist ein Schutz des Ökosystems — Einwohner, Unternehmen, andere Verwaltungen — und genau deshalb liegt er in der Verantwortung der Körperschaft, nicht in der der Opfer.

Tausende Strukturen, kaum ein Sicherheitsteam

Frankreich zählt knapp 35.000 Gemeinden, die überwältigende Mehrheit davon mit weniger als 2.000 Einwohnern. In dieser Größenordnung ist der „IT-Verantwortliche" meist ein vielseitiges Gemeindesekretariat, unterstützt — bestenfalls — von einem lokalen Dienstleister. Von jeder Gemeinde zu erwarten, SPF, DKIM und DMARC wie eine Bank auszurollen, ergibt keinen Sinn: Dem Sektor fehlen die Teams, die Budgets und die Zeit.

Seine Struktur bietet jedoch einen Hebel, den wenige Sektoren besitzen: die Bündelung. Ein großer Teil der Gemeinden vertraut Messaging und Website öffentlichen Digitaldienstleistern, departementalen IT-Zweckverbänden oder interkommunalen Strukturen an. Jeder gebündelte Dienstleister verwaltet Dutzende, manchmal Hunderte kommunaler Domains auf gemeinsamer Infrastruktur: Eine DMARC-Remediation auf seiner Ebene schützt den gesamten Bestand auf einen Schlag. Wo eine Bank ihre Domains einzeln härtet, kann der kommunale Sektor gleich gruppenweise vorankommen — der stärkste Multiplikator der kommunalen Landschaft, ausgeführt in DMARC für den öffentlichen Sektor.

Die Domain-Landschaft fügt eine eigene Schwierigkeit hinzu. Eine Gemeinde versendet von ihrer .fr-Domain — oft von mehreren: Rathaus, Agglomeration, Tourismusbüro, Sozialzentrum —, während ein Teil der Verwaltungsvorgänge über die Plattformen des Staates unter dem für dessen Dienste reservierten Suffix .gouv.fr läuft. Die Einwohner erhalten also legitime Nachrichten von mehreren verschiedenen Domains für ein und dieselbe Verwaltungsbeziehung: idealer Boden für Phishing, denn niemand weiß mehr, wie eine „normale" Adresse aussieht. Ein Grund mehr, wenigstens die eigene Domain der Gemeinde zweifelsfrei zu authentifizieren.

Was das Observatorium über dieses Korpus misst

Das monatliche Barometer des DMARC-Observatoriums verfolgt ein Korpus französischer Kommunal-Domains — jene, die die Einwohner kennen und die Betrüger imitieren — und liest sie im öffentlichen DNS ab. Die Methode ist in nichts invasiv: Gelesen wird, was jeder Resolver sieht. Der Eintrag auf _dmarc.beispiel.de, die deklarierte p=-Policy, das Schicksal der Subdomains, der SPF-Eintrag und seine Strenge, die öffentlichen Spuren von DKIM.

Jede Domain wird nach ihrer effektiven Policy eingeordnet: reject (die Fälschung wird abgewiesen), quarantine (sie landet im Spam), none (Beobachtung ohne Blockade), Eintrag fehlend oder ungültig — ein einziger Syntaxfehler genügt, um einer Policy jede Wirkung zu nehmen. Die Hierarchie liest sich: fehlend < ungültig < none < quarantine < reject. Ein Eintrag mit p=none:

v=DMARC1; p=none; rua=mailto:dmarc@beispiel.de

blockiert schlicht nichts: Er ist ein Lauschmodus, unverzichtbar für den Anfang, ohne jeden defensiven Wert. Ein Rathaus bei p=none bleibt exakt so fälschbar, als hätte es nie etwas veröffentlicht.

Der aktuelle Standard, DMARCbis (RFC 9989 bis 9991), schärft die Lektüre: Das pct-Tag ist zugunsten des Testmodus t=y verschwunden, die Policy-Ermittlung folgt dem DNS Tree Walk, und das np=-Tag deckt nicht existierende Subdomains ab — wertvoll für Körperschaften, deren alte Subdomains sich häufen. Der Header v=DMARC1 bleibt abwärtskompatibel.

Prozentzahlen werden hier keine genannt: Eine in einem Artikel gedruckte Zahl wäre sechs Monate später falsch und würde trotzdem weitergelesen. Die Verteilung nach Status, der Anteil tatsächlich durchgesetzter Policies und ihre Entwicklung leben in der monatlichen Ausgabe, aktualisiert bei jeder Erhebung — sie ist maßgeblich.

Die Strukturmuster der kommunalen Landschaft

Ohne die Zahlen abzuschreiben, kehren drei Muster in diesem Korpus wieder, und sie unterscheiden sich deutlich von denen der Privatwirtschaft.

Zuerst die großen Körperschaften. Metropolen, Großstädte und Regionen verfügen über eine IT-Direktion, manchmal über einen CISO — gebündelt oder nicht. Deren Hauptdomains sind in der Regel die bestgepflegten des Korpus: Eintrag vorhanden, Policy teils schon verschärft. Es ist das kommunale Gegenstück zu den „Konzernen vor ihren Marken" aus dem Barometer der französischen Banken — dasselbe Leseraster, nur ohne die Mittel.

Dann der lange Schwanz der Verteilung. Tausende kleiner Gemeinden haben schlicht nie einen DMARC-Eintrag veröffentlicht — nicht als Ergebnis einer Abwägung, sondern weil die Frage nie auf dem Tisch des Gemeinderats lag. Das ist der große Unterschied zu den beobachteten Privatsektoren: Das Ende der Verteilung ist nicht „im Rückstand", es ist nie gestartet. Die gute Nachricht: Genau dieses lange Ende kann die Bündelung gruppenweise voranbringen.

Schließlich die schlafenden Domains. Alte Agglomerations-Websites, Event-Portale, Domains aus einer Gemeindefusion oder einer Umbenennung: Der Sektor häuft Domains an, die nichts mehr versenden und die niemand überwacht — perfekte Kandidaten für Fälschung, denn niemand liest deren Berichte. Eine Domain, die nichts versendet, lässt sich dennoch mit zwei Einträgen verriegeln — einem SPF v=spf1 -all und einem DMARC p=reject — die billigste Baustelle des Sektors, ausgeführt in geparkte Domains schützen.

RGS, ANSSI, NIS2: der anwendbare Rahmen

Der Rahmen existiert, und er verdichtet sich. Das französische Sicherheitsreferenzial RGS regelt seit Langem die Online-Dienste der Verwaltungsbehörden; die Leitfäden der ANSSI — der französischen Cybersicherheitsbehörde — zur Absicherung der Messaging-Infrastruktur empfehlen ausdrücklich SPF, DKIM und DMARC; und Begleitprogramme — in den letzten Jahren finanzierte Cybersicherheits-Parcours, die Hilfe von cybermalveillance.gouv.fr — haben das Thema in die Reichweite mittelgroßer Körperschaften gebracht.

NIS2 ändert die Natur der Pflicht für die oberen Ebenen. Die Richtlinie holt die öffentlichen Verwaltungen in ihren Anwendungsbereich, und die französische Umsetzung erfasst namentlich Regionen, Departements, große interkommunale Strukturen und Gemeinden oberhalb einer Bevölkerungsschwelle — mit Pflichten zu Risikomanagement, Systemhärtung und Vorfallsmeldung. DMARC wird im Text nicht genannt, aber eine trotz eindeutiger Berichte fälschbar gelassene Domain wird zu einer schwer verteidigbaren Position. Und der Mitzieheffekt reicht über die regulierten Einheiten hinaus: Ein gebündelter Betreiber, der seine Infrastruktur für seine NIS2-pflichtigen Kunden härtet, härtet faktisch seinen ganzen Bestand — kleine Gemeinden inklusive.

Für das lange Ende der Verteilung dagegen wird keine Pflicht die Arbeit übernehmen: Entscheiden muss die Lücke zwischen den Kosten der Maßnahme — null — und den Kosten eines Vorfalls.

Womit eine kleine Gemeinde ohne Budget beginnt

Die Einstiegsstufe liegt niedriger, als das Wort „Cybersicherheit" befürchten lässt. Einen DMARC-Eintrag im Beobachtungsmodus zu veröffentlichen kostet nichts und zerstört nichts: Es ist eine DNS-Zeile, gesetzt vom Dienstleister, der die Domain ohnehin verwaltet. Die Berichte beginnen einzutreffen und beantworten die erste nützliche Frage: Wer versendet tatsächlich im Namen der Gemeinde — das kommunale Mailsystem, das Newsletter-Werkzeug, die Kantinenplattform und manchmal ein Unbekannter.

Dann folgt das Inventar: Jede legitime Quelle muss in SPF oder DKIM ausgerichtet werden. Für eine kleine Gemeinde ist die Liste kurz — oft zwei oder drei Versender. Die Verschärfung folgt in Stufen: quarantine, dann reject, gestützt auf den Testmodus t=y, um jeden Schritt zu validieren. Schlafende Domains werden dagegen sofort verriegelt. Und für Gemeinden, die von einem gebündelten Betreiber versorgt werden, lautet der richtige Reflex, die Frage beim Dienstleister zu platzieren: Eine Remediation auf seiner Ebene schützt den gesamten Bestand zum Preis eines einzigen Projekts.

Fazit

Der französische Kommunalsektor ist das Spiegelbild des Bankensektors: der fragmentierteste, der am schlechtesten ausgestattete — und doch Träger desselben Vertrauens, das ein Einwohner einer Rathaus-E-Mail entgegenbringt und das ein Betrüger in eine falsche Zahlungsaufforderung oder eine gefälschte Bankverbindung verwandelt. Die DMARC-Haltung des Sektors ist im öffentlichen DNS messbar, Gemeinde für Gemeinde; die Strukturmuster — besser aufgestellte Großkörperschaften, ein nie gestartetes langes Ende der Verteilung, vergessene schlafende Domains — zeigen die echten Baustellen, und die Bündelung bietet einen Hebel, den wenige Sektoren besitzen. RGS und ANSSI empfehlen, NIS2 verpflichtet die oberen Ebenen, doch für tausende kleiner Gemeinden entscheidet das Verhältnis von Kosten und Risiko — ein kostenloser Eintrag gegen eine umgeleitete Überweisung. Die Zahlen des Monats leben derweil in der monatlichen Ausgabe des Observatoriums.

Der erste Schritt dauert Sekunden: Ein Durchlauf der kommunalen Domain durch den Online-Analyzer zeigt deren Position auf derselben Skala wie das Barometer — Präsenz, Gültigkeit, effektive Policy, Subdomains. Und ein Konto anzulegen öffnet die kontinuierliche Überwachung, aggregierte Berichte inklusive, um die Policy in Richtung p=reject zu führen — Gemeinde für Gemeinde oder gleich Bestand für Bestand.