EIGENE MESSUNG · ERHEBUNG 24.09.2026
Mail-Sicherheit im Raum Karlsruhe 2026: 3.380 Betriebe gemessen.
77,3 Prozent der Betriebe haben SPF eingerichtet, 56,3 Prozent haben DMARC. Wirksam gestellt haben DMARC aber nur 23,9 Prozent, und alle drei Verfahren, also SPF, DKIM und DMARC, nutzen nur 18,6 Prozent. Das zeigt unsere Messung vom 24.09.2026 bei 3.380 Firmendomains aus Stadt und Landkreis Karlsruhe, Landkreis Rastatt, Baden-Baden, Landkreis Calw, Pforzheim und Enzkreis.
Gemessen haben wir ausschließlich über öffentliche DNS-Abfragen. Keine Firma wird namentlich genannt, veröffentlicht werden nur Summen.
DER KERNBEFUND
Eingerichtet ist nicht gleich wirksam: 58 Prozent der DMARC-Einträge stehen auf „nur beobachten“.
Mehr als die Hälfte der gemessenen Betriebe hat einen DMARC-Eintrag. Fast sechs von zehn dieser Einträge stehen aber auf p=none, also „nur beobachten“: 1.096 Einträge, 58 Prozent aller DMARC-Nutzer. Sie verhindern keine einzige gefälschte Mail. Wirksam wird DMARC erst mit der Richtlinie quarantine oder reject, und so eingestellt ist DMARC nur bei 23,9 Prozent der Betriebe.
56,3 %
haben einen DMARC-Eintrag
58 %
dieser Einträge stehen auf „nur beobachten“ (1.096 Einträge)
23,9 %
haben DMARC wirksam gestellt (quarantine oder reject)
18,6 %
haben alle drei Verfahren: SPF, DKIM und DMARC
p=none
Der Eintrag bittet nur um Berichte. Er verhindert keine gefälschte Mail.
p=quarantine
Mails, die die Prüfung nicht bestehen, landen beim Empfänger in Quarantäne oder im Spam.
p=reject
Mails, die die Prüfung nicht bestehen, werden abgewiesen.
Wie die drei Verfahren zusammenspielen, erklärt unser Ratgeber SPF, DKIM und DMARC.
GESAMTERGEBNIS
Alle 3.380 Domains im Überblick.
| Merkmal | Anteil |
|---|---|
| SPF vorhanden | 77,3 % |
davon streng (-all) | 36 % (941 von 2.613) |
| DMARC vorhanden | 56,3 % |
| DMARC wirksam (quarantine oder reject) | 23,9 % |
DMARC nur beobachtend (p=none) | 1.096 Einträge = 58 % aller DMARC-Nutzer |
| DKIM unter gängigen Selektoren | 24,1 % (Untergrenze) |
| MTA-STS | 1,1 % |
| Alle drei (SPF, DKIM, DMARC) | 18,6 % |
| kein MX-Eintrag (kein Mailempfang unter der Domain) | 369 Domains = 10,9 % |
Der DKIM-Wert ist eine Untergrenze, weil nur acht gängige Selektoren abgefragt wurden. Warum, steht unter Was die Zahlen nicht sagen.
NACH KREIS
Ergebnis je Kreis.
| Kreis | Domains | SPF | DMARC | DMARC wirksam | DKIM | alle drei | Microsoft 365 |
|---|---|---|---|---|---|---|---|
| Landkreis Karlsruhe | 996 | 75 % | 57 % | 24 % | 23 % | 18 % | 14 % |
| Karlsruhe (Stadt) | 893 | 79 % | 61 % | 27 % | 30 % | 23 % | 16 % |
| Landkreis Rastatt | 725 | 80 % | 52 % | 22 % | 23 % | 17 % | 21 % |
| Baden-Baden | 263 | 79 % | 60 % | 23 % | 24 % | 18 % | 21 % |
| Landkreis Calw | 257 | 74 % | 52 % | 23 % | 19 % | 15 % | 16 % |
| Pforzheim | 162 | 76 % | 53 % | 21 % | 19 % | 17 % | 9 % |
| Enzkreis | 84 | 74 % | 49 % | 21 % | 14 % | 12 % | 14 % |
Die Zahl der Domains je Kreis sagt etwas über die Datenlage in OpenStreetMap, nicht über die Wirtschaftskraft der Region.
NACH BETRIEBSART
Ergebnis je Betriebsart.
| Art | Domains | DMARC wirksam | alle drei |
|---|---|---|---|
| Büro und Dienstleistung | 762 | 30 % | 27 % |
| Handel und Gastronomie | 1.711 | 22 % | 18 % |
| Gesundheit | 567 | 22 % | 14 % |
| Handwerk | 340 | 24 % | 12 % |
MAILANBIETER
Mailanbieter in der Region.
| Anbieter | Domains | Anteil |
|---|---|---|
| eigener oder anderer Server | 1.442 | 42,7 % |
| IONOS / 1&1 | 625 | 18,5 % |
| Microsoft 365 | 556 | 16,4 % |
| kein MX | 369 | 10,9 % |
| All-Inkl | 135 | 4,0 % |
| Hornetsecurity | 103 | 3,0 % |
| Google Workspace | 67 | 2,0 % |
| Security-Gateway (sonstige) | 29 | 0,9 % |
| Telekom | 28 | 0,8 % |
MICROSOFT 365
Was das für Betriebe mit Microsoft 365 heißt.
556 der gemessenen Betriebe nutzen Microsoft 365, das sind 16,4 Prozent. Davon haben 57,6 Prozent DKIM aktiv, aber nur 16,2 Prozent haben DMARC auf reject gestellt. Die Technik ist in Microsoft 365 also schon vorhanden, sie wird nur nicht scharf geschaltet.
Wo Ihr eigenes Konto steht, zeigt unser Microsoft 365 Sicherheitscheck. Das Scharfschalten übernehmen wir in der Betreuung von Microsoft 365.
METHODE
So haben wir gemessen.
- Auswahl. Grundlage sind die offenen Kartendaten von OpenStreetMap. Ausgewählt haben wir Betriebe mit eigener Website aus den Kategorien Büro (office), Handwerk (craft), Gesundheit (healthcare) und Handel (shop) in sieben Gebieten: Stadt und Landkreis Karlsruhe, Landkreis Rastatt, Baden-Baden, Landkreis Calw, Pforzheim und Enzkreis. Aus der Adresse der Website haben wir die Domain abgeleitet, Doppelte entfernt, Plattformen wie Facebook oder Baukästen für Websites ausgeschlossen und Domains mit mehr als vier Standorten (Ketten) verworfen. Übrig blieben 3.380 Firmendomains.
- Messung. Je Domain haben wir den MX-Eintrag abgefragt, den TXT-Eintrag mit SPF, den DMARC-Eintrag unter
_dmarc, acht gängige DKIM-Selektoren (selector1, selector2, google, default, k1, dkim, hse1, s1) und den TXT-Eintrag für MTA-STS unter_mta-sts. Die Abfragen liefen über öffentliches DNS, per DNS over HTTPS bei Cloudflare und Google. - Nur lesen. Es waren reine Leseabfragen: keine Verbindung zu fremden Mailservern, keine Zustellversuche.
- Zeitpunkt. Erhoben am 24.09.2026.
- Wirksam. Als wirksam zählt ein DMARC-Eintrag mit der Richtlinie quarantine oder reject. „Alle drei“ heißt: SPF, DKIM und DMARC sind vorhanden.
- Keine Namen. Keine Firma wird namentlich genannt. Veröffentlicht werden ausschließlich Summen.
Kartendaten: © OpenStreetMap-Mitwirkende, verfügbar unter der Open Database License (ODbL).
GRENZEN DER MESSUNG
Was die Zahlen nicht sagen.
DKIM ist eine Untergrenze
DKIM-Selektoren sind frei wählbar. Wir haben acht gängige abgefragt; wer einen anderen Namen nutzt, erscheint in der Messung ohne DKIM. Der DKIM-Wert ist deshalb eine Untergrenze und keine exakte Quote.
Keine Vollerhebung
Die Stichprobe umfasst Betriebe, die in den offenen Kartendaten von OpenStreetMap mit Website erfasst sind. Betriebe ohne solchen Eintrag fehlen.
Die Menge je Kreis ist Datenlage
Die Zahl der Domains je Kreis sagt etwas über die Datenlage, nicht über die Wirtschaftskraft der Region.
DATEN
Die Werte als CSV.
Die zusammengefassten Werte je Kreis und Betriebsart stehen als CSV-Datei bereit, ohne Formular und ohne E-Mail-Adresse. Die Anteile stehen dort mit einer Nachkommastelle, die Betriebsarten mit ihren Kategorien aus OpenStreetMap (office, shop, healthcare, craft). Einzelne Domains veröffentlichen wir nicht.
Sie dürfen die Werte unter Namensnennung weiterverwenden: „High5Manufaktur GmbH, Mail-Sicherheit im Raum Karlsruhe 2026 (h5m.de); Auswahl der Betriebe auf Grundlage von OpenStreetMap (© OpenStreetMap-Mitwirkende, ODbL)“.
CSV herunterladenSELBST NACHPRÜFEN
Prüfen Sie Ihre eigene Domain in zwei Minuten.
- Domain-Check: MX, SPF, DMARC, DKIM und MTA-STS auf einen Blick
- DKIM-Check: den DKIM-Eintrag je Selektor prüfen
- Mail-Tester: eine echte Mail schicken und sehen, was beim Empfänger ankommt
FAQ
Fragen zur Messung
Wie wurde gemessen?+
Über öffentliche DNS-Abfragen am 24.09.2026: je Domain der MX-Eintrag, SPF, DMARC, acht gängige DKIM-Selektoren und MTA-STS. Es gab keine Verbindung zu fremden Mailservern und keine Zustellversuche. Die 3.380 Betriebe stammen aus den offenen Kartendaten von OpenStreetMap.
Warum ist DMARC ohne scharfe Richtlinie wirkungslos?+
Mit p=none bittet der Eintrag die empfangenden Server nur um Berichte, er sagt ihnen nicht, was mit gefälschten Mails geschehen soll. Wirksam wird DMARC erst mit quarantine oder reject; so eingestellt ist DMARC bei 23,9 Prozent der gemessenen Betriebe.
Wird die Messung wiederholt?+
Die Messung lässt sich mit derselben Methode jederzeit wiederholen, weil alle Abfragen öffentlich sind. Für eine Zeitreihe bietet sich eine Wiederholung im Frühjahr an.
Lassen Sie uns sprechen.
Wie steht Ihre Domain da? Wir prüfen SPF, DKIM und DMARC mit Ihnen und stellen sie so ein, dass sie gefälschte Mails wirklich abwehren.
