EIGENE MESSUNG · ERHEBUNG 24.09.2026
Mail-Sicherheit im Raum Karlsruhe 2026: 3.380 Betriebe gemessen.
77,3 Prozent der Betriebe haben SPF eingerichtet, 56,3 Prozent haben DMARC. Wirksam gestellt haben DMARC aber nur 23,9 Prozent, und alle drei Verfahren, also SPF, DKIM und DMARC, nutzen nur 18,6 Prozent. Das zeigt unsere Messung vom 24.09.2026 bei 3.380 Firmendomains aus Stadt und Landkreis Karlsruhe, Landkreis Rastatt, Baden-Baden, Landkreis Calw, Pforzheim und Enzkreis.
Gemessen haben wir ausschließlich über öffentliche DNS-Abfragen. Keine Firma wird namentlich genannt, veröffentlicht werden nur Summen.
DER KERNBEFUND
Eingerichtet ist nicht gleich wirksam: Jede vierte Firmendomain hat einen DMARC-Eintrag, der weder schützt noch berichtet.
Mehr als die Hälfte der gemessenen Betriebe hat einen DMARC-Eintrag, 56,3 Prozent. Vorhanden ist aber nicht gleich wirksam: 1.096 Einträge, 58 Prozent aller DMARC-Nutzer, stehen auf p=none. Diese Richtlinie weist keine gefälschte Mail ab. Beobachten kann sie nur, wenn der Eintrag eine Berichtsadresse (rua) nennt, und das tun nur 222 davon. Die übrigen 874 Einträge, 79,7 Prozent aller p=none-Einträge, weisen nichts ab und lösen auch keinen einzigen Bericht aus. Das sind 25,9 Prozent aller 3.380 Firmendomains. Wirksam wird DMARC erst mit der Richtlinie quarantine oder reject, und so eingestellt ist DMARC nur bei 23,9 Prozent der Betriebe.
56,3 %
haben einen DMARC-Eintrag
25,9 %
haben einen DMARC-Eintrag ohne Wirkung: p=none ohne Berichtsadresse (874 Domains)
23,9 %
haben DMARC wirksam gestellt (quarantine oder reject)
18,6 %
haben alle drei Verfahren: SPF, DKIM und DMARC
p=none
Weist keine gefälschte Mail ab. Berichte gibt es nur, wenn der Eintrag eine Berichtsadresse (rua) nennt; bei 874 der 1.096 Einträge fehlt sie.
p=quarantine
Mails, die die Prüfung nicht bestehen, landen beim Empfänger in Quarantäne oder im Spam.
p=reject
Mails, die die Prüfung nicht bestehen, werden abgewiesen.
Was die DMARC-Einträge tatsächlich leisten
Alle 3.380 Domains, aufgeteilt in vier Fälle. Sie schließen einander aus und ergeben zusammen die Stichprobe.
| Fall | Domains | Anteil |
|---|---|---|
wirksam (p=quarantine oder p=reject) | 807 | 23,9 % |
beobachtet wirklich (p=none mit rua) | 222 | 6,6 % |
ohne Wirkung (p=none ohne rua) | 874 | 25,9 % |
| kein DMARC-Eintrag | 1.477 | 43,7 % |
| Summe | 3.380 | 100 % |
Wie die drei Verfahren zusammenspielen, erklärt unser Ratgeber SPF, DKIM und DMARC.
GESAMTERGEBNIS
Alle 3.380 Domains im Überblick.
| Merkmal | Anteil |
|---|---|
| SPF vorhanden | 77,3 % |
davon streng (-all) | 36 % (941 von 2.613) |
| DMARC vorhanden | 56,3 % |
| DMARC wirksam (quarantine oder reject) | 23,9 % |
DMARC auf p=none (weist nichts ab) | 1.096 Einträge = 58 % aller DMARC-Nutzer |
davon ohne Berichtsadresse (rua), also ohne Wirkung | 874 Einträge = 79,7 % |
| DKIM unter gängigen Selektoren | 24,1 % (Untergrenze) |
| MTA-STS | 1,1 % |
| Alle drei (SPF, DKIM, DMARC) | 18,6 % |
| kein MX-Eintrag (kein Mailempfang unter der Domain) | 369 Domains = 10,9 % |
Der DKIM-Wert ist eine Untergrenze, weil nur acht gängige Selektoren abgefragt wurden. Warum, steht unter Was die Zahlen nicht sagen.
NACH KREIS
Ergebnis je Kreis.
| Kreis | Domains | SPF | DMARC | DMARC wirksam | DKIM | alle drei | Microsoft 365 |
|---|---|---|---|---|---|---|---|
| Landkreis Karlsruhe | 996 | 75 % | 57 % | 24 % | 23 % | 18 % | 14 % |
| Karlsruhe (Stadt) | 893 | 79 % | 61 % | 27 % | 30 % | 23 % | 16 % |
| Landkreis Rastatt | 725 | 80 % | 52 % | 22 % | 23 % | 17 % | 21 % |
| Baden-Baden | 263 | 79 % | 60 % | 23 % | 24 % | 18 % | 21 % |
| Landkreis Calw | 257 | 74 % | 52 % | 23 % | 19 % | 15 % | 16 % |
| Pforzheim | 162 | 76 % | 53 % | 21 % | 19 % | 17 % | 9 % |
| Enzkreis | 84 | 74 % | 49 % | 21 % | 14 % | 12 % | 14 % |
Die Zahl der Domains je Kreis sagt etwas über die Datenlage in OpenStreetMap, nicht über die Wirtschaftskraft der Region.
NACH BETRIEBSART
Ergebnis je Betriebsart.
| Art | Domains | DMARC wirksam | alle drei |
|---|---|---|---|
| Büro und Dienstleistung | 762 | 30 % | 27 % |
| Handel und Gastronomie | 1.711 | 22 % | 18 % |
| Gesundheit | 567 | 22 % | 14 % |
| Handwerk | 340 | 24 % | 12 % |
MAILANBIETER
Mailanbieter in der Region.
| Anbieter | Domains | Anteil |
|---|---|---|
| eigener oder anderer Server | 1.442 | 42,7 % |
| IONOS / 1&1 | 625 | 18,5 % |
| Microsoft 365 | 556 | 16,4 % |
| kein MX | 369 | 10,9 % |
| All-Inkl | 135 | 4,0 % |
| Hornetsecurity | 103 | 3,0 % |
| Google Workspace | 67 | 2,0 % |
| Security-Gateway (sonstige) | 29 | 0,9 % |
| Telekom | 28 | 0,8 % |
Nicht einzeln aufgeführt: netcup (22 Domains) und mailbox.org / Posteo (4). Die Anteile beziehen sich auf alle 3.380 Domains.
Wo die Einträge ohne Wirkung liegen
| Anbieter | Domains | mit DMARC | davon p=none |
davon ohne rua |
wirksam |
|---|---|---|---|---|---|
| eigener oder anderer Server | 1.442 | 807 | 287 | 197 | 520 |
| IONOS / 1&1 | 625 | 579 | 567 | 542 | 12 |
| Microsoft 365 | 556 | 296 | 122 | 59 | 174 |
| kein MX | 369 | 11 | 5 | 3 | 6 |
| All-Inkl | 135 | 58 | 54 | 51 | 4 |
| Hornetsecurity | 103 | 82 | 29 | 13 | 53 |
| Google Workspace | 67 | 38 | 15 | 6 | 23 |
| Security-Gateway (sonstige) | 29 | 25 | 12 | 2 | 13 |
| Telekom | 28 | 1 | 0 | 0 | 1 |
| netcup | 22 | 3 | 3 | 1 | 0 |
| mailbox.org / Posteo | 4 | 3 | 2 | 0 | 1 |
Bei IONOS / 1&1 haben 92,6 Prozent der Domains einen DMARC-Eintrag, der höchste Wert aller Anbieter. Davon stehen 567 von 579 auf p=none, 542 davon ohne Berichtsadresse. Nur 12 von 625 IONOS-Domains weisen gefälschte Mails tatsächlich ab. 542 der 874 Einträge ohne Wirkung in der Region, also 62,0 Prozent, stehen damit bei einem einzigen Anbieter. Zum Vergleich Microsoft 365: 122 Einträge auf p=none, davon 59 ohne Berichtsadresse (48,4 Prozent), und 174 wirksam.
Das Muster spricht für einen Standardeintrag, der bei der Einrichtung gesetzt und danach nicht mehr angepasst wird. Nachprüfen lässt sich das von außen nicht. Für jeden Betrieb heißt es: Ein vorhandener DMARC-Eintrag sagt noch nichts darüber, ob er schützt. Das zeigt der Domain-Check für die eigene Domain.
MICROSOFT 365
Was das für Betriebe mit Microsoft 365 heißt.
556 der gemessenen Betriebe nutzen Microsoft 365, das sind 16,4 Prozent. Davon haben 57,6 Prozent DKIM aktiv, aber nur 16,2 Prozent haben DMARC auf reject gestellt. Die Technik ist in Microsoft 365 also schon vorhanden, sie wird nur nicht scharf geschaltet.
Wo Ihr eigenes Konto steht, zeigt unser Sicherheitscheck für Microsoft 365. Das Scharfschalten übernehmen wir in der Betreuung von Microsoft 365.
METHODE
So haben wir gemessen.
- Auswahl. Grundlage sind die offenen Kartendaten von OpenStreetMap. Ausgewählt haben wir Betriebe mit eigener Website aus den Kategorien Büro (office), Handwerk (craft), Gesundheit (healthcare) und Handel (shop) in sieben Gebieten: Stadt und Landkreis Karlsruhe, Landkreis Rastatt, Baden-Baden, Landkreis Calw, Pforzheim und Enzkreis. Aus der Adresse der Website haben wir die Domain abgeleitet, Doppelte entfernt, Plattformen wie Facebook oder Baukästen für Websites ausgeschlossen und Domains mit mehr als vier Standorten (Ketten) verworfen. Übrig blieben 3.380 Firmendomains.
- Messung. Je Domain haben wir den MX-Eintrag abgefragt, den TXT-Eintrag mit SPF, den DMARC-Eintrag unter
_dmarc, acht gängige DKIM-Selektoren (selector1, selector2, google, default, k1, dkim, hse1, s1) und den TXT-Eintrag für MTA-STS unter_mta-sts. Die Abfragen liefen über öffentliches DNS, per DNS over HTTPS bei Cloudflare und Google. - Nur lesen. Es waren reine Leseabfragen: keine Verbindung zu fremden Mailservern, keine Zustellversuche.
- Zeitpunkt. Erhoben am 24.09.2026.
- Wirksam. Als wirksam zählt ein DMARC-Eintrag mit der Richtlinie quarantine oder reject. Als ohne Wirkung zählt ein Eintrag mit p=none ohne Berichtsadresse. „Alle drei“ heißt: SPF, DKIM und DMARC sind vorhanden.
- Berichtsadresse. Ob ein DMARC-Eintrag eine Berichtsadresse (rua) nennt, steckt in denselben Messdaten vom 24.09.2026; ausgewertet haben wir es am 24.10.2026. Nach dem aktuellen DMARC-Standard RFC 9989 beobachtet ein Eintrag mit p=none nur dann, wenn tatsächlich Berichte eingehen. Ohne rua geht kein Bericht an den Betrieb.
- Keine Namen. Keine Firma wird namentlich genannt. Veröffentlicht werden ausschließlich Summen.
Kartendaten: © OpenStreetMap-Mitwirkende, verfügbar unter der Open Database License (ODbL).
GRENZEN DER MESSUNG
Was die Zahlen nicht sagen.
DKIM ist eine Untergrenze
DKIM-Selektoren sind frei wählbar. Wir haben acht gängige abgefragt; wer einen anderen Namen nutzt, erscheint in der Messung ohne DKIM. Der DKIM-Wert ist deshalb eine Untergrenze und keine exakte Quote.
Keine Vollerhebung
Die Stichprobe umfasst Betriebe, die in den offenen Kartendaten von OpenStreetMap mit Website erfasst sind. Betriebe ohne solchen Eintrag fehlen.
Die Menge je Kreis ist Datenlage
Die Zahl der Domains je Kreis sagt etwas über die Datenlage, nicht über die Wirtschaftskraft der Region.
Ohne Berichtsadresse heißt nicht immer ohne Wirkung
Eine fehlende Berichtsadresse macht nur p=none wirkungslos. Bei quarantine und reject wirkt die Richtlinie auch ohne rua, der Betrieb sieht dann nur nicht, was abgewiesen wird. Die 370 reject-Einträge ohne rua sind also blind, nicht wirkungslos.
DATEN
Die Werte als CSV.
Die zusammengefassten Werte je Kreis und Betriebsart stehen als CSV-Datei bereit, ohne Formular und ohne E-Mail-Adresse. Die Anteile stehen dort mit einer Nachkommastelle, die Betriebsarten mit ihren Kategorien aus OpenStreetMap (office, shop, healthcare, craft). Einzelne Domains veröffentlichen wir nicht.
Sie dürfen die Werte unter Namensnennung weiterverwenden: „High5Manufaktur GmbH, Mail-Sicherheit im Raum Karlsruhe 2026 (h5m.de); Auswahl der Betriebe auf Grundlage von OpenStreetMap (© OpenStreetMap-Mitwirkende, ODbL)“.
CSV herunterladenSELBST NACHPRÜFEN
Prüfen Sie Ihre eigene Domain in zwei Minuten.
- Domain-Check: MX, SPF, DMARC, DKIM und MTA-STS auf einen Blick
- DKIM-Check: den DKIM-Eintrag je Selektor prüfen
- Mail-Tester: eine echte Mail schicken und sehen, was beim Empfänger ankommt
FAQ
Fragen zur Messung
Wie wurde gemessen?+
Über öffentliche DNS-Abfragen am 24.09.2026: je Domain der MX-Eintrag, SPF, DMARC, acht gängige DKIM-Selektoren und MTA-STS. Es gab keine Verbindung zu fremden Mailservern und keine Zustellversuche. Die 3.380 Betriebe stammen aus den offenen Kartendaten von OpenStreetMap.
Warum ist DMARC ohne scharfe Richtlinie wirkungslos?+
Mit p=none sagt der Eintrag den empfangenden Servern nicht, was mit gefälschten Mails geschehen soll; abgewiesen wird nichts. Berichte gibt es nur, wenn der Eintrag eine Berichtsadresse (rua) nennt: In unserer Messung fehlt sie bei 874 der 1.096 p=none-Einträge. Wirksam wird DMARC erst mit quarantine oder reject; so eingestellt ist DMARC bei 23,9 Prozent der gemessenen Betriebe.
Wird die Messung wiederholt?+
Die Messung lässt sich mit derselben Methode jederzeit wiederholen, weil alle Abfragen öffentlich sind. Für eine Zeitreihe bietet sich eine Wiederholung im Frühjahr an.
Lassen Sie uns sprechen.
Wie steht Ihre Domain da? Wir prüfen SPF, DKIM und DMARC mit Ihnen und stellen sie so ein, dass sie gefälschte Mails wirklich abwehren.
