Die meisten Finanzinstitute nutzen DMARC. Fast keines davon ist geschützt.

Die Schlagzeile: Das Problem der Adoption ist (fast) gelöst

Beginnen wir mit den guten Nachrichten, denn sie sind erwähnenswert: Die Finanzdienstleistungsbranche hat bei der Einführung von DMARC schneller Fortschritte gemacht als fast jede andere Branche. In allen von PowerDMARC untersuchten Ländern rangieren das Bank- und Finanzwesen landesweit durchweg unter den ersten ein oder zwei Sektoren, was das bloße Vorhandensein eines DMARC-Eintrags angeht – in den meisten Märkten deutlich vor dem Einzelhandel, dem Gesundheitswesen oder dem öffentlichen Sektor.

• Belgien: Finanzinstitute sind „die klaren Vorreiter bei der Einführung von E-Mail-Sicherheitsmaßnahmen “ – nur eines von zwölf verfügt laut dem „Belgien -DMARC-Bericht 2025“ von PowerDMARC überhaupt nicht über einen DMARC-Eintrag.
• Deutschland: Laut dem DMARC-Bericht 2025 von PowerDMARC für Deutschland gibt der Bankensektor landesweit „das Tempo vor“, wenn es um E-Mail-Sicherheit geht.
• Norwegen: Im Finanzdienstleistungssektor ist die DMARC-Einführung laut dem „Norway DMARC & MTA-STS Adoption Report“ von PowerDMARC „nahezu flächendeckend“ – nur bei 6,8 % der Domains fehlt ein entsprechender Eintrag gänzlich.
• Vereinigte Staaten: Der „PowerDMARC-Bericht zur DMARC- und MTA-STS-Einführung in den Vereinigten Staaten 2026“ ergab, dass die landesweite DMARC-Einführungsrate bei mehr als 900 Domains insgesamt bei 95,8 % lag und damit praktisch flächendeckend ist, wobei der Banken- und Finanzsektor zu den Branchen gehört, die diese Zahl maßgeblich vorantreiben.
• Kanada: Im Bankensektor ist die Nicht-Einführungsrate eine der niedrigsten im ganzen Land: Laut dem „Canada DMARC & MTA-STS Adoption Report 2026“ von PowerDMARC weisen nur 8,0 % der Domains überhaupt keinen DMARC-Eintrag auf.
• Polen: Im Bank- und Finanzsektor verfügen laut dem „PowerDMARC-Bericht zur DMARC- und MTA-STS-Einführung in Polen 2026“ 83,7 % der Domains über einen DMARC-Eintrag, während bei beachtlichen 16,3 % noch gar kein solcher Eintrag vorhanden ist.
• Frankreich: Der Bankensektor liegt bei der DMARC-Einführung vor allen anderen Branchen; laut dem „France DMARC & MTA-STS Adoption Report 2026“ von PowerDMARC fehlen nur bei 7,6 % der Domains DMARC-Einträge.

Entdecken Sie die Berichte zur DMARC-Einführung nach Ländern

Gründe für die hohen Akzeptanzraten im Jahr 2026

Die hohe Akzeptanz von DMARC bei Finanzinstituten ist kein Zufall. Der regulatorische Druck auf diesen Sektor hat sich seit Jahren aufgebaut und kommt nun aus mehreren Richtungen gleichzeitig.

• Mit Inkrafttreten von PCI DSS v4.0.1 am 31. März 2025 sind Anti-Phishing-Maßnahmen für alle Organisationen, die Zahlungskartendaten verarbeiten, nicht mehr nur eine bewährte Vorgehensweise, sondern eine verbindliche Anforderung. Im Rahmen dieser Vorschrift werden DMARC, SPF und DKIM als empfohlene Optionen zur Erfüllung dieser Anforderungen genannt.
• In den USA wurde der Geltungsbereich der „FTC Safeguards Rule“ still und leise auf ein weitaus breiteres Spektrum von Finanzdienstleistungen ausgeweitet, als den meisten Menschen bewusst ist.
• Nationale Finanzaufsichtsbehörden von Riad bis Ottawa haben im Rahmen ihrer jeweiligen Aufgaben im Bereich der Domänensicherheit immer wieder dieselbe Botschaft vermittelt.
• Zu all dem kam noch der Druck seitens der großen E-Mail-Anbieter hinzu. Seit Februar 2024 verlangen Google und Yahoo von jeder Domain, die mehr als etwa 5.000 E-Mails pro Tag versendet, mindestens einen DMARC-Eintrag mit „p=none“ sowie entsprechend abgestimmte SPF- und DKIM-Einträge – andernfalls besteht die Gefahr, dass E-Mails abgelehnt oder direkt in den Spam-Ordner verschoben werden. Microsoft hat für Absender mit hohem Versandvolumen an Outlook- und Hotmail-Adressen ähnliche Maßnahmen ergriffen. Für eine Bank, die regelmäßig Kontoauszüge und Benachrichtigungen an Millionen von Gmail- und Yahoo-Kunden versendet, ist dies ebenfalls keine Option mehr.

Die nackte Wahrheit: Die Durchsetzung ist noch lange nicht gesichert

An dieser Stelle nimmt die Geschichte eine Wendung. Blickt man über die Schlagzeilenzahlen einzelner Länder hinaus, zeigt sich überall dort, wo PowerDMARC die Branche untersucht hat, dasselbe Muster: Der Bankensektor ist in der Regel landesweit führend bei der Durchsetzung der Vorschriften, und selbst diese Führungsrolle lässt einen großen Teil der Branche ungeschützt.

• Vereinigte Staaten: Der „PowerDMARC-Bericht zur DMARC- und MTA-STS-Einführung in den Vereinigten Staaten 2026“, in dem mehr als 900 Domains analysiert wurden, beziffert die landesweite Durchsetzungsquote für „p=reject“ auf 49,0 % – den höchsten Wert aller Länder im PowerDMARC-Benchmarking. Der Bericht führt dieses Ergebnis teilweise auf „frühzeitige regulatorische Vorgaben und das risikoreiche Umfeld“ in Branchen wie dem Bankwesen und dem Gesundheitswesen zurück. Speziell im Banken- und Finanzsektor liegt die SPF-Korrektheit bei 90,9 %, während die Akzeptanz von MTA-STS, das Nachrichten während der Übertragung schützt, nur 3,0 % beträgt.
• Kanada: Der Bankensektor ist mit einer Ablehnungsrate von 42,0 % landesweit führend bei der Durchsetzung, wie aus dem „Canada DMARC & MTA-STS Adoption Report 2026“ von PowerDMARC hervorgeht, in dem 555 Domains analysiert wurden. Derselbe Bericht stellt fest, dass 8,0 % der Domains im Bankensektor überhaupt keinen DMARC-Eintrag aufweisen, und beschreibt die Lücke wie folgt: „Die verbleibenden 58,0 %, einschließlich derjenigen mit dem Status ‚None‘ oder ‚Quarantine‘, sind weiterhin anfällig für raffinierte Spoofing-Angriffe, die zu massivem Finanzbetrug und einem Verlust des Kundenvertrauens führen können.“
• Norwegen: Der Finanzdienstleistungssektor liegt bei 44,7 % (p = abgelehnt) und ist damit laut dem „Norway DMARC & MTA-STS Adoption Report“ von PowerDMARC der zweitstärkste Sektor nach dem Gesundheitswesen mit 55,6 %.
• Saudi-Arabien: Der von der SAMA regulierte Bankensektor, der am strengsten beaufsichtigte Teil der saudischen Wirtschaft, hat eine Durchsetzungsquote von fast 50 % erreicht, obwohl die Gesamtdurchsetzungsquote des Landes über alle Sektoren hinweg laut dem „Saudi Arabia DMARC & MTA-STS Adoption Report“ von PowerDMARC bei nur 18,4 % liegt.
• Polen: Der Bankensektor weist laut dem „PowerDMARC-Bericht zur DMARC- und MTA-STS-Einführung in Polen 2026“ mit 40,8 % (p=reject) die höchste Einhaltungsquote aller polnischen Branchen auf, doch 16,3 % der Domains im Bankensektor verfügen nach wie vor über keinerlei DMARC-Eintrag, und die MTA-STS-Einführung in diesem Sektor liegt bei 0 %.
• Frankreich: Der Bankensektor ist hier mit einem Anteil von 63,3 % (p=reject) laut dem „France DMARC & MTA-STS Adoption Report 2026“ von PowerDMARC klar führend. Dennoch verfügen 7,6 % der französischen Bankendomains über keinerlei DMARC-Eintrag, und wie in Polen liegt die MTA-STS-Akzeptanz in diesem Sektor bei 0 %.

Vergleicht man diese Zahlen miteinander, zeichnet sich ein Muster ab, das sich über sechs Länder und ein breites Spektrum an regulatorischen Rahmenbedingungen erstreckt: Der Bankensektor ist landesweit durchweg der Sektor, in dem die Vorschriften am besten oder fast am besten durchgesetzt werden, wobei der Wert für „p=reject“ in der Regel zwischen 40 % und knapp über 60 % liegt. Das bedeutet jedoch, dass immer noch etwa ein Drittel bis 60 % der Finanzinstitute gefälschte E-Mails nicht sofort blockieren.

Es gibt einen wirklich ermutigenden Datenpunkt, der es verdient, fair hervorgehoben zu werden. Die Studie von dmarcian zu den 100 umsatzstärksten Banken weltweit ergab echte, messbare Fortschritte zwischen 2021 und 2025:

• Ein Rückgang um 74 % bei Domains, die überhaupt keinen DMARC-Eintrag aufweisen.
• Ein Rückgang um 52 % bei den Domains, die weiterhin bei „p=none“ stehen.
• Ein Anstieg der Ablehnungsquote um 50 %.

Der Teil, den niemand misst: Jenseits der Megabanken

Nahezu jede DMARC-Studie zum Finanzdienstleistungssektor, einschließlich der oben genannten Zahlen, befasst sich mit demselben engen Ausschnitt der Branche: den größten US-Banken, den 100 umsatzstärksten Banken weltweit sowie einer Handvoll Institute, die groß genug sind, um bei einem nationalen Domain-Scan zu erscheinen. Das ist nur ein kleiner Bruchteil dessen, was die Aufsichtsbehörden tatsächlich meinen, wenn sie von „Finanzinstituten“ sprechen.

Für wen gilt die „Safeguards Rule“ der FTC eigentlich?

Seit 2024 gilt die „FTC Safeguards Rule“ für einen wesentlich größeren Kreis von Einrichtungen, der sich nach der Art der Tätigkeit und nicht nach der Art der Einrichtung richtet:

• Autohändler, die Finanzierungen vermitteln oder ermöglichen
• Hypothekenvermittler
• Finanzberater und registrierte Anlageberater
• Steuerberater
• Inkassounternehmen und Zahltagskreditgeber

Im Grunde kann jedes Unternehmen, das Finanzdienstleistungen anbietet und personenbezogene Daten von Kunden erfasst, unter diese Regelung fallen. Dazu könnte auch ein regionales Autohaus gehören, das Kreditanträge über einen gemeinsamen Posteingang bearbeitet – nicht nur eine große nationale Bank.

Es gibt zwar keine spezifische Studie zur DMARC-Umsetzung in diesen Unternehmen, doch das Gesamtbild gibt Anlass zur Sorge. Der „2025 Global DMARC Adoption Report“ von EasyDMARC ergab, dass nur 7,7 % der weltweit führenden 1,8 Millionen E-Mail-Domains durch eine „p=reject“-Richtlinie vollständig geschützt waren. Das bedeutet, dass rund 92 % nach wie vor ungeschützt waren.

Das Fazit:

Zwar verfügen viele Finanzunternehmen möglicherweise über DMARC-Einträge, doch haben weitaus weniger davon die Durchsetzung umgesetzt und sind höchstwahrscheinlich weiterhin anfällig für Spoofing.

.BANK-Domains sind zur Durchsetzung erforderlich. Die meisten .com-Domains von Banken sind es nicht.

Es gibt hier ein strukturelles Detail, das die Lücke bei der Durchsetzung weniger wie eine technische Einschränkung und eher wie eine bewusste Entscheidung erscheinen lässt. Für jede unter den Top-Level-Domains .BANK oder .INSURANCE registrierte Domain war die Veröffentlichung von DMARC schon immer eine Voraussetzung für die Registrierung. Seit November 2023 wurde diese Anforderung noch weiter verschärft: fTLD, der Registrierungsbetreiber dieser TLDs, hat „Public Suffix Domain DMARC“ gemäß RFC 9091 eingeführt, wodurch die Authentifizierung auf der Ebene der Registrierungsstelle selbst durchgesetzt wird. In der Praxis ist eine „p=reject“-Richtlinie für jede Domain unter .BANK oder .INSURANCE faktisch obligatorisch.

Die reguläre, kundenorientierte .com-Domain derselben Institution hingegen – diejenige, die tatsächlich in den meisten E-Mails an Kunden erscheint – unterliegt keiner solchen Anforderung und wird den oben genannten Daten zufolge bestenfalls in etwa der Hälfte der Fälle durchgesetzt.

Dieser Kontrast ist der deutlichste Beweis dafür, dass die Durchsetzung ein gelöstes technisches und operatives Problem ist, sobald sie verbindlich vorgeschrieben wird. Es handelt sich also nicht um eine Lücke in den Fähigkeiten, sondern um eine Lücke in der Politik und bei der Prioritätensetzung.

Warum die Kluft weiterhin besteht (es liegt nicht an Unwissenheit)

Die Gründe, die Banken dafür anführen, bei p=none zu bleiben, haben nichts damit zu tun, dass sie es nicht besser wüssten. Laut der Analyse von Red Sift liegen die Gründe in der operativen Komplexität und der Risikoscheu:

• Eine große Bank leitet E-Mails über Hunderte von seriösen Drittanbietern weiter: Marketingplattformen, Hypothekenservicesysteme, Systeme zur Erstellung von Kontoauszügen und Anbieter von Kreditunterlagen.
• Wenn man direkt zu „p=reject“ wechselt, besteht die Gefahr, dass die Kreditunterlagen oder die Gehaltsabrechnung eines Kunden blockiert werden, wenn auch nur einer dieser Absender nicht korrekt authentifiziert ist.
• Für eine Bank stellt eine blockierte legitime E-Mail einen Vorfall ganz eigener Art dar, der sofort auffällt, während eine gefälschte E-Mail, die im Status „p=none“ verbleibt, ein Risiko darstellt, das unsichtbar bleibt, bis es nicht mehr unsichtbar ist.

Das ist zwar ein echtes Problem, aber genau dafür ist die standardmäßige, schrittweise Einführung von DMARC gedacht. Der Weg von „p=none“ über „monitoring“ und „p=quarantine“ bis hin zu „p=reject“ ist genau dafür vorgesehen, dass ein Unternehmen jeden legitimen Absender identifizieren kann, bevor es irgendetwas blockiert.

Was „geschützt“ für ein Finanzinstitut im Jahr 2026 bedeuten sollte

Eine angemessene Untergrenze für jedes Finanzinstitut sieht heute wie folgt aus:

• DMARC wird mit der Einstellung „p=reject“ durchgesetzt, und zwar für jede Domain, die Finanzmitteilungen versenden kann oder für den Versand solcher Mitteilungen missbraucht werden könnte – nicht nur für die primäre Unternehmensdomain.
• Der Schutz erstreckt sich auch auf geparkte Domains und defensive Registrierungen, nicht nur auf diejenigen, die aktiv für Kunden-E-Mails genutzt werden.
• Ein Bestandsverzeichnis der Absenderquellen, das tatsächlich auf dem neuesten Stand gehalten wird, damit Drittanbieter nach der anfänglichen Einführung nicht unbemerkt aus dem System herausfallen.

PCI DSS v4.0.1 schreibt ab März 2025 Anti-Phishing-Maßnahmen für Unternehmen vor, die mit Kartendaten umgehen. Die „Safeguards Rule“ der FTC gilt bereits für einen weitaus größeren Kreis von Finanzunternehmen, als den meisten Nicht-Bank-Unternehmen bewusst ist. Keine dieser Vorschriften betrachtet einen Eintrag „p=none“ als Konformität, und das sollte auch kein Institut tun, das sich als geschützt bezeichnen möchte.

Damit schließt sich der Kreis, auf den die Überschrift anspielt. Eine Organisation kann durchaus ehrlich behaupten, sie „verfüge über DMARC“, obwohl sie bei „p=none“ steht, und ist dabei genauso anfällig für Spoofing wie eine Organisation, die überhaupt keinen Eintrag hat.

Wie PowerDMARC dabei hilft, die Lücke zu schließen

Der Übergang von „p=none“ zu „p=reject“ ist ein Prozess und kein Schalter – und genau an dieser Stelle kommen die meisten Finanzinstitute ins Stocken. Die Plattform von PowerDMARC ist speziell auf diesen Übergang ausgerichtet:

• Transparenz vor der Durchsetzung: Dank Echtzeit-Bedrohungsinformationen werden alle Domains und Drittanbieter erfasst, die im Namen einer Organisation E-Mails versenden, sodass Sicherheitsteams erkennen können, wer autorisiert werden muss, bevor auch nur eine einzige Nachricht blockiert wird.
• Verwaltete Authentifizierung: Dank gehosteter SPF-, DKIM-, DMARC-, MTA-STS- und BIMI-Lösungen kann ein Team die Phasen der Überwachung und Durchsetzung mithilfe eines Live-Compliance-Dashboards durchlaufen, anstatt DNS-Einträge manuell in Tabellenkalkulationen nachzuverfolgen.
• Übereinstimmung mit bestehenden Vorgaben: Da DMARC eine namentlich genannte Kontrollmaßnahme gemäß PCI DSS v4.0.1 ist, erfüllt dieselbe Umsetzung, mit der eine Bank den Wert „p=reject“ festlegt, auch eine Kontrollmaßnahme, die von Prüfern bereits überprüft wird.
• KI-gestützte Bedrohungserkennung: Ziel ist es, Phishing- und BEC-Muster im Finanzsektor – wie gefälschte Überweisungsaufträge oder gefälschte Lieferantenrechnungen – zu erkennen, bevor sie überhaupt im Posteingang landen.

Damit entfällt die Ausrede, dass die Durchsetzung zu komplex oder zu riskant sei, um weiterzumachen.

Abschließende Überlegungen

Die Finanzdienstleistungsbranche hat die Einführung schneller bewältigt als fast jeder andere Sektor. Die Durchsetzung ist jedoch noch nicht gelöst, und die Institutionen, bei denen die Wahrscheinlichkeit einer Durchsetzung am geringsten ist, sind auch diejenigen, die in einer Studie am seltensten auftauchen. Die Zahlen des FBI selbst zeigen, was in der Zwischenzeit auf dem Spiel steht: Der IC3-Jahresbericht 2025 des FBI verzeichnete zum ersten Mal in seiner Geschichte über 1 Million Anzeigen wegen Cyberkriminalität mit einem Gesamtschaden von 20,877 Milliarden US-Dollar – ein Anstieg von 26 % gegenüber 2024. Phishing war die am häufigsten gemeldete Deliktart, und allein auf „Business Email Compromise“ entfielen 3,05 Milliarden US-Dollar des Gesamtschadens.

Was in den meisten Institutionen fehlt, ist nicht eine Lösung. Es ist die organisatorische Entscheidung, diese auch tatsächlich einzusetzen. Wenn Sie wissen möchten, wie es um die Domains Ihrer eigenen Institution tatsächlich steht, zeigt Ihnen der kostenlose Domain Analyzer von PowerDMARC dies in weniger als einer Minute!

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Die meisten Finanzinstitute nutzen DMARC. Fast keines ist geschützt. – 22. Juli 2026
• Was ist MFA-Müdigkeit (Push-Bombing)? – 21. Juli 2026
• DMARC-MSP-Fallstudie: Wie Adoptive Technologies seinen Kunden mit PowerDMARC zentralisierte E-Mail-Sicherheit bietet – 17. Juli 2026