Outbound
KNK-Studie · Oktober 2026

58 % der B2B-Firmen im DACH-Raum weisen gefälschte Absender nicht ab

Wir haben die öffentlichen DNS-Einträge von 23.488 Firmen-Domains aus Deutschland, Österreich und der Schweiz ausgewertet. Ergebnis: SPF ist Standard, DMARC bleibt meist im Beobachtungsmodus.

23.488 Domains · Stand 19.10.2026 · Methodik unten

Eigene Domain prüfenDaten als CSV

41,7 %

setzen DMARC durch

p=quarantine oder p=reject

33,1 %

stehen auf p=none

DMARC nur beobachtend

25,1 %

haben gar kein DMARC

kein gültiger _dmarc-Eintrag

58,3 %

haben SPF, DKIM und DMARC

Untergrenze, siehe Methodik

DMARC-Richtlinie

So verteilen sich die DMARC-Einstellungen

Nur quarantine und reject sagen dem Empfänger, was er mit gefälschten Mails tun soll. p=none sammelt bestenfalls Berichte.

  • 25,1 %kein DMARC
  • 33,1 %p=none
  • 22,9 %p=quarantine
  • 18,8 %p=reject

Ungültige oder doppelte DMARC-Einträge (0,3 %) zählen als „kein DMARC“.

Ergebnisse

Acht Befunde aus über 23.000 Domains

  1. 1

    Nur 41,7 % setzen DMARC durch

    Bei 25,1 % fehlt DMARC ganz, weitere 33,1 % stehen auf p=none. Bei 58,3 % der Domains sagt also kein DMARC-Eintrag dem Empfänger, dass er Mails mit gefälschtem Absender abweisen oder in den Spam legen soll.

  2. 2

    Ein Drittel bleibt im Beobachtungsmodus

    p=none ist als Startpunkt gedacht: erst Berichte sammeln, dann verschärfen. Viele bleiben dort stehen. 15,5 % aller Domains haben p=none und nicht einmal eine Berichtsadresse (rua). Sie schützen nichts und sehen auch nichts.

  3. 3

    SPF ist Standard, aber oft weich

    97,5 % haben einen SPF-Eintrag. 62,2 % enden mit -all, 31,3 % mit dem weicheren ~all. 1,5 % erlauben mit +all oder ?all praktisch jeden Absender.

  4. 4

    Vier von zehn fehlt ein Baustein für Gmail und Outlook

    Google und Yahoo verlangen von Massenversendern seit 2024 SPF, DKIM und DMARC, Microsoft für Outlook.com seit Mai 2025. Alle drei fanden wir bei 58,3 % der Domains. Weil DKIM nur mit bekanntem Selektor auffindbar ist, ist das eine Untergrenze.

  5. 5

    Microsoft 365 dominiert mit 63,2 %

    63,2 % der Domains empfangen Mails über Microsoft 365, 9,5 % über Google Workspace. 15,0 % schalten ein Security-Gateway wie Hornetsecurity, Sophos oder Proofpoint davor.

  6. 6

    Der Hoster entscheidet oft mit

    Bei Strato setzen 80,2 % DMARC durch, bei IONOS nur 12,6 %, obwohl dort 89,8 % einen Eintrag haben. Die Einträge sind meist identisch und ohne Berichtsadresse. Das spricht für Voreinstellungen des Hosters, nicht für eine bewusste Entscheidung.

  7. 7

    Die Schweiz liegt vorn, Recht und Steuern hinten

    In der Schweiz setzen 47,1 % DMARC durch, in Deutschland 41,6 %, in Österreich 39,1 %. Unter den Branchen hat Recht & Steuern mit 64,9 % die niedrigste DMARC-Quote, Logistik & Handel mit 82,1 % die höchste.

  8. 8

    Neuere Standards sind die Ausnahme

    MTA-STS, das die Verschlüsselung eingehender Mails erzwingt, nutzen 3,0 %. TLS-Reporting 3,2 %, BIMI für das Markenlogo im Postfach 2,3 %.

Vergleich

DMARC nach Land, Plattform und Branche

Heller Balken: DMARC vorhanden. Dunkler Balken: DMARC durchgesetzt. Segmente unter 150 Domains weisen wir nicht aus.

DMARC durchgesetztDMARC vorhanden

Nach Land

  • Deutschland41,6 % / 74,6 %
  • Österreich39,1 % / 75,2 %
  • Schweiz47,1 % / 77,7 %

Nach Mail-Plattform

  • Microsoft 36542,7 % / 74,3 %
  • Eigener oder sonstiger Server39,7 % / 71,3 %
  • Google Workspace40,7 % / 81,7 %
  • Gateway, Plattform unbekannt56,4 % / 79,9 %
  • IONOS12,6 % / 89,8 %
  • Strato80,2 % / 95,0 %
  • All-Inkl13,2 % / 60,5 %
  • domainfactory13,0 % / 38,5 %

Nach Branche

  • IT & Software47,0 % / 80,5 %
  • Maschinen- & Anlagenbau41,8 % / 69,4 %
  • Industrie & Fertigung45,0 % / 75,3 %
  • Marketing & Medien34,9 % / 72,3 %
  • Beratung & Dienstleistung36,8 % / 71,5 %
  • Finanzen & Versicherung40,8 % / 77,3 %
  • Recht & Steuern34,2 % / 64,9 %
  • Bau & Immobilien39,2 % / 67,6 %
  • Logistik & Handel50,5 % / 82,1 %
  • Gesundheit & Medizintechnik33,8 % / 72,2 %

Über welche Plattform die Firmen Mails empfangen

Ermittelt aus den MX-Einträgen. Steht ein Security-Gateway davor, haben wir die Plattform aus dem SPF-Eintrag abgeleitet.

  • Microsoft 36563,2 %
  • Eigener oder sonstiger Server14,9 %
  • Google Workspace9,5 %
  • Gateway, Plattform unbekannt4,9 %
  • IONOS2,7 %
  • Strato1,5 %
  • All-Inkl1,0 %
  • domainfactory0,7 %

Plattformen unter 150 Domains sind nicht einzeln aufgeführt.

Was daraus folgt

Was Sie mit diesen Zahlen anfangen

p=none ist ein Startpunkt, kein Ziel

Mit Berichtsadresse (rua) starten, zwei bis vier Wochen auswerten, dann auf quarantine und später reject gehen. Wer nie verschärft, hat DMARC nur auf dem Papier.

Wer Mails in Menge sendet, braucht alle drei

Newsletter, Rechnungen, Vertriebsmails: Ab 5.000 Mails am Tag an Gmail oder Outlook.com sind SPF, DKIM und DMARC Pflicht. Fehlt einer, landen Mails im Spam oder werden abgelehnt.

Spoofing-Schutz ist Markenschutz

Ohne durchgesetztes DMARC kann jeder Mails im Namen Ihrer Domain verschicken. Das trifft Ihre Kunden zuerst, Ihren Ruf danach.

Kaltakquise nie von der Hauptdomain

Für Outbound richten wir eigene Versanddomains mit SPF, DKIM und DMARC ein, bevor eine Mail rausgeht. So bleibt die Hauptdomain sauber, auch wenn eine Kampagne nicht läuft.

Done-for-you Outbound

Saubere Zustellung ist bei uns die Basis, nicht das Extra

KNK baut die Versand-Infrastruktur, schreibt und versendet die Kampagnen, beantwortet jede Antwort und ruft Interessenten an. Sie bekommen Termine in Ihren Kalender.

Erstgespräch buchenEigene Domain prüfen

Methodik und Grenzen

  • Stichprobe: 23.831 Firmen-Domains aus dem DACH-Raum, die wir für B2B-Kampagnen recherchiert haben (Firmensitz DE, AT oder CH laut Firmenprofil, sonst Domain-Endung .de, .at oder .ch). Ausgewertet sind die 23.488 Domains mit MX-Eintrag.
  • Die Stichprobe ist nicht repräsentativ für alle Unternehmen. Sie besteht überwiegend aus B2B-Firmen, mit Schwerpunkt auf IT, Software, Industrie und Dienstleistung.
  • Abgefragt wurden öffentliche DNS-Einträge (MX, SPF, _dmarc, _mta-sts, _smtp._tls, default._bimi und DKIM-Selektoren) per DNS-over-HTTPS über Cloudflare und Google, Stand 19.10.2026.
  • DKIM lässt sich nur finden, wenn man den Selektor kennt. Wir haben 28 gängige Selektoren geprüft, darunter die von Microsoft 365, Google, IONOS und Strato. DKIM-Werte sind daher Untergrenzen.
  • „DMARC durchgesetzt“ heißt p=quarantine oder p=reject. Ungültige oder doppelte Einträge zählen als „kein DMARC“, mehrere SPF-Einträge als „kein SPF“.
  • Wir veröffentlichen keine einzelnen Domains, nur Summen. Segmente mit weniger als 150 Domains weisen wir nicht aus.

Studie zitieren

KNK Outbound (2026): DMARC-Statistik 2026. Auswertung von 23.488 Firmen-Domains aus Deutschland, Österreich und der Schweiz. https://knkoutbound.com/de/dmarc-statistik/

Daten als CSV

Zahlen und Grafiken stehen unter CC BY 4.0. Nutzen Sie sie gern in Artikeln, Präsentationen und Berichten, mit Quellenangabe und Link auf diese Seite.

Häufige Fragen

Wie viele Unternehmen in Deutschland nutzen DMARC?

In unserer Stichprobe von 20.333 deutschen Firmen-Domains haben 74,6 % einen DMARC-Eintrag. Durchgesetzt (quarantine oder reject) ist er bei 41,6 %. Die Stichprobe besteht überwiegend aus B2B-Firmen.

Was bedeutet p=none bei DMARC?

p=none ist der Beobachtungsmodus. Empfänger behandeln Mails, die SPF und DKIM nicht bestehen, ganz normal und schicken nur Berichte an die rua-Adresse. Schutz gegen gefälschte Absender bringen erst p=quarantine (Spam-Ordner) und p=reject (Ablehnung).

Ist DMARC Pflicht?

Gesetzlich nicht. Google und Yahoo verlangen es seit Februar 2024 von allen, die mehr als 5.000 Mails am Tag an ihre Postfächer senden, Microsoft für Outlook.com seit Mai 2025. Dafür reicht p=none. Sicherheitsbehörden wie das BSI empfehlen SPF, DKIM und DMARC allen Unternehmen.

Wie prüfe ich meine eigene Domain?

Mit unserem kostenlosen E-Mail-Check: Domain eingeben, und Sie sehen in wenigen Sekunden, wie SPF, DKIM, DMARC, MX, MTA-STS und BIMI eingerichtet sind, mit konkreten Hinweisen zur Behebung.

Darf ich die Zahlen verwenden?

Ja. Zahlen und Grafiken stehen unter CC BY 4.0. Bitte nennen Sie KNK Outbound als Quelle und verlinken Sie diese Seite. Die aggregierten Daten gibt es als CSV.

Wird die Studie aktualisiert?

Ja, wir wiederholen die Auswertung mit derselben Methode, damit sich die Entwicklung über die Zeit vergleichen lässt. Die URL bleibt gleich.