Bericht zur Einführung von DMARC und MTA-STS im Vereinigten Königreich 2026

Wir bei PowerDMARC haben die E-Mail-Authentifizierung von 875 in Großbritannien ansässigen Domänen. Die Ergebnisse deuten darauf hin, dass sich das Land in einem Zustand „teilweiser Bereitschaft” befindet, was angesichts der Tatsache, dass das das britische National Cyber Security Centre (NCSC) seine Dienste „Mail Check” und „Web Check” bis zum 31. März 2026 offiziell einstellt.

Dies markiert eine grundlegende Veränderung in der Cyber-Landschaft Großbritanniens. Seit Jahren verlassen sich Unternehmen bei der Überwachung auf diese zentralisierten Tools. Nun überträgt das NCSC die volle Verantwortung für die Implementierung und Durchsetzung von DMARC direkt an die einzelnen Unternehmen. Mit dem Wegfall des Sicherheitsnetzes von Mail Check vergrößert sich die Kluft zwischen dem Vorhandensein einer Aufzeichnung und der tatsächlichen Durchsetzung ist nicht mehr nur ein technisches Versäumnis, sondern ein Notfall in Bezug auf Compliance und Sicherheit.

Um mehr darüber zu erfahren, wie Ihr Unternehmen diesen Wandel bewältigen und seine Sichtbarkeit bewahren kann, lesen Sie unseren Leitfaden: Änderungen beim NCSC Mail Check für den öffentlichen Sektor im Vereinigten Königreich.

Die folgende Analyse zeigt ein Bild, in dem Unternehmen zwar die Option „Authentifizierung“ (SPF) aktiviert haben, die Ebenen „Verschlüsselung“ (MTA-STS) und „Integrität“ (DNSSEC) jedoch weitgehend ignoriert haben.

Berichtsanfrage – Einführung von DMARC im Vereinigten Königreich

"*" kennzeichnet Pflichtfelder

Dieses Feld dient der Validierung und sollte unverändert bleiben.
Name*

Ein Schnappschuss aus Großbritannien: Eine Geschichte zweier Verteidigungsstrategien

Bevor wir uns mit den einzelnen Sektoren befassen, hier zunächst die allgemeine Sicherheitslage für das Vereinigte Königreich in allen 875 analysierten Domänen.

UK SPF

SPF-Korrektheit – 93,7 %

DMARC im Vereinigten Königreich

DMARC-Einführung – 86,4 %

DMARC p=reject – 44,1 %

Großbritannien MTA-STS

MTA-STS-Einführung – 20,6 %

Kein MTA-STS – 79,4 %

MTA-STS-Prüfung – 4,5 %

MTA-STS Durchsetzen – 16,1 %

BIMI-Logo

DNSSEC-Einführung – 3,8 %

15-Tage-Test starten

1. Bankwesen und Finanzen: Der sichere Perimeter mit offenen Tunneln

Britische Banken sind landesweit führend bei der Durchsetzung, doch aufgrund einer kritischen Lücke im Transportwesen sind Überweisungen in Höhe von Billionen an Abhörmaßnahmen ausgesetzt.

Metrisch Adoptionsrate
SPF Korrektheit 93.5%
DMARC p=ablehnen 61.3%
Kein DMARC-Eintrag 0.0%
MTA-STS-Annahme 4.8%
DNSSEC-Annahme 11.3%
Bankwesen SPF-Einführung Großbritannien

Das kritische Risiko: Abfangen von Transaktionen mit hohem Wert.

Während britische Banken die höchste Durchsetzungsquote (61,3 %) aufweisen, beträgt die 95,2 %-Lücke bei MTA-STS katastrophal, da nur 1,6 % im Testmodus und 3,2 % im Durchsetzungsmodus sind. Ohne Transportsicherheit werden sensible SWIFT-Bestätigungs-E-Mails über unverschlüsselte Pfade versendet. Aktuelle Daten zeigen, dass durch Zahlungsbetrug und Betrugsmaschen über 629,3 Millionen Pfund , die oft durch manipulierte E-Mail-Kommunikation initiiert wurden.

Die PowerDMARC-Lösung:

Mit Hosted MTA-STSzwingen wir alle finanziellen E-Mail-Transfers in verschlüsselte TLS 1.2+-Kanäle und reduzieren so erheblich das Risiko von „Downgrade-Angriffen“, bei denen Kriminelle die Verschlüsselung entfernen, um sensible Bank-Kunden-Kommunikationen während der Übertragung zu lesen.

2. Regierung: Durch Mandat führen, durch Identitätskontrolle scheitern

Der öffentliche Sektor im Vereinigten Königreich weist die höchsten Verschlüsselungsraten des Landes auf, dennoch fehlt in jeder achten Behörde noch immer ein grundlegender DMARC-Eintrag.

Metrisch Adoptionsrate
SPF Korrektheit 94.8%
DMARC p=ablehnen 57.1%
Kein DMARC-Eintrag 12.2%
MTA-STS-Annahme 39.9%
DNSSEC-Annahme 2.6%
Einführung von DMARC durch die Regierung im Vereinigten Königreich

Das kritische Risiko: Identitätsdiebstahl und Offenlegung personenbezogener Daten.

Regierungsdomänen sind mit 39,9 % klar führend bei der Einführung von MTA-STS, angetrieben durch NCSC-Vorgaben. 7,6 % befinden sich im Testmodus und 32,4 % im Durchsetzungsmodus. Allerdings 12,2 % jedoch keinen DMARC-Eintragund weiteren 42,9 % nicht p=reject erreichen, bleibt die Identitätsschicht durchlässig. Der Datenverstoß im Verteidigungsministerium im Jahr 2024, bei dem die Gehaltsdaten von 272.000 Mitarbeiter, zeigt, wie anfällig die Infrastruktur des öffentlichen Sektors für identitätsbasierte Angriffe sein kann.

Die PowerDMARC-Lösung:

Unsere Plattform automatisiert den Weg zu p=reject für Subdomains der Regierung und stellt sicher, dass diese die höchsten Sicherheitsstandards erfüllen, ohne dass dabei die Gefahr besteht, wichtige Kommunikationsflüsse mit den Bürgern zu unterbrechen.

3. Gesundheitswesen: Risiken auf HIPAA-Niveau auf britischem Boden

Das Vertrauen der Patienten steht auf dem Spiel, da nur jeder dritte Gesundheitsdienstleister aktiv verhindern kann, dass eine gefälschte E-Mail einen Patienten erreicht.

Metrisch Adoptionsrate
SPF Korrektheit 92.5%
DMARC p=ablehnen 34.0%
Kein DMARC-Eintrag 13.2%
MTA-STS-Annahme 9.4%
DNSSEC-Annahme 1.9%
Einführung von MTA-STS im Gesundheitswesen Großbritannien

Das kritische Risiko: Datenlecks bei geschützten Gesundheitsdaten (PHI).

Das Gesundheitswesen bleibt ein bevorzugtes Ziel für Ransomware-Gruppen wie Qilin, die kürzlich den britischen Gesundheitsdienst NHS angegriffen und 400 GB an privaten Daten veröffentlicht haben. Aufgrund der geringen DMARC-Durchsetzung (34,0 %) und der fast nicht vorhandenen DNSSEC-Durchsetzung (1,9 %) können Angreifer leicht Krankenhauszugangsdaten fälschen, um Malware zu verbreiten oder Mitarbeiter dazu zu verleiten, sensible medizinische Daten preiszugeben.

Die PowerDMARC-Korrektur:

Wir bieten einen verwalteten Pfad zu vollständiger DMARC und MTA-STS-Durchsetzung und stellen sicher, dass jede ausgehende Krankenakte verschlüsselt und jede offizielle Gesundheitsmitteilung überprüft wird.

Demo buchen

4. Transport und Logistik: Das ungeschützte Tor der Lieferkette

Die britischen Verkehrsnetze sind eine offene Einladung für Betrüger und weisen die höchste „No-DMARC“-Rate des Landes auf.

Metrisch Adoptionsrate
SPF Korrektheit 91.3%
DMARC p=ablehnen 32.8%
Kein DMARC-Eintrag 26.7%
MTA-STS-Annahme 6.2%
DNSSEC-Annahme 2.6%

Das kritische Risiko: Rechnungsentführung und Dienstunterbrechung.

Der Transportsektor ist besonders gefährdet, da über 26 % der Domains, die überhaupt kein DMARC haben. Der Cyberangriff von 2024 auf Transport for London (TfL), bei dem die Finanzdaten von 5.000 Kunden kompromittiert wurden, beweist, dass Verkehrssysteme hochkarätige Ziele sind. Angreifer nutzen gefälschte „Critical Equipment Alerts” (Warnmeldungen zu kritischen Anlagen) oder gefälschte Manifeste, um die Lücke zwischen dem Posteingang des Unternehmens und der physischen Logistik zu schließen.

Die PowerDMARC-Lösung:

Wir optimieren komplexe SPF-Einträge, um innerhalb der DNS-Lookup-Grenzen und setzen strenge DMARC-Richtlinien durch, um Logistikkanäle vor Rechnungsbetrug zu schützen.

5. Bildung: Das Feld der Ernte geistigen Eigentums

Akademische Campusse sind hochkarätige Ziele für IP-Diebstahl, dennoch weisen sie die niedrigsten Durchsetzungsraten im Vereinigten Königreich auf.

Metrisch Adoptionsrate
SPF Korrektheit 94.6%
DMARC p=ablehnen 23.9%
Kein DMARC-Eintrag 4.3%
MTA-STS-Annahme 17.4%
DNSSEC-Annahme 4.3%
Bildung SPF Adoption UK

Das kritische Risiko: Forschung und Login-Erfassung.

Erstaunliche 91 % der britischen Hochschuleinrichtungen im Jahr 2025 eine Cyber-Sicherheitsverletzung festgestellt. Eine geringe DMARC-Durchsetzung (23,9 %) ermöglicht es Angreifern, sich in die Logins von Universitäten zu hacken und so Zugang zu Forschungsdatenbanken im Wert von mehreren Millionen Pfund sowie zu den Finanzdaten von Studierenden zu erhalten.

Die PowerDMARC-Lösung:

Wir helfen Universitäten dabei, Tausende von Subdomains ihrer Fachbereiche über ein einziges Dashboard zu verwalten und so erfolgreiche Phishing-Versuche auf dem gesamten Campus drastisch zu reduzieren.

6. Medien: Der Verstärker von Desinformation

Redaktionen bekämpfen Fake News, aber ihre eigenen E-Mail-Domains bleiben anfällig für gefälschte Autorenangaben und die Verbreitung von Deepfakes.

Metrisch Adoptionsrate
SPF Korrektheit 98.4%
DMARC p=ablehnen 41.3%
Kein DMARC-Eintrag 3.2%
MTA-STS-Annahme 1.6%
DNSSEC-Annahme 1.6%
BIMI-Logo

Das kritische Risiko: Identitätsdiebstahl und Deepfake-Betrug.

Während Media eine hohe SPF-Korrektheit (98,4 %) aufweist, liegt die MTA-STS- und DNSSEC-Akzeptanz bei nahezu null. Das bedeutet, dass die Kommunikation von Journalisten für diejenigen sichtbar ist, die das Netzwerk überwachen, und dass ihre Namen gefälscht werden können, um Deepfake-Geschichten zu verbreiten oder Mitarbeiter zu betrügerischen Überweisungen zu verleiten.

Die PowerDMARC-Lösung:

Wir verschieben Mediendomänen nach p=rejectund stellen so sicher, dass nur verifizierte Mitarbeiter E-Mails versenden können, wodurch das Vertrauen in die Marke in Zeiten von KI-gesteuerten Informationskriegen gewahrt bleibt.

15-Tage-Test starten

7. Telekommunikation: Magnet für Betrüger

Mobilfunkanbieter schützen ihre Netzwerke, lassen jedoch ihre Posteingänge offen, was Abrechnungsbetrug und SIM-Swap-Epidemien begünstigt.

Metrisch Adoptionsrate
SPF Korrektheit 91.0%
DMARC p=ablehnen 32.8%
Kein DMARC-Eintrag 11.9%
MTA-STS-Annahme 9.0%
DNSSEC-Annahme 9.0%
BIMI-Logo

Das kritische Risiko: Abrechnungsbetrug und Kontoübernahmen.

Hohe „No-DMARC“-Raten (11,9 %) ermöglichen es Betrügern, gefälschte Rechnungsbenachrichtigungen zu versenden, die echt aussehen, und so Nutzer dazu zu verleiten, die für SIM-Swapping oder Identitätsdiebstahl erforderlichen 2FA-Codes preiszugeben.

Die PowerDMARC-Lösung:

Unsere Plattform setzt p=reject über alle Carrier-Domains hinweg und hostet MTA-STS, um automatisierte Abrechnungsabläufe zu sichern, sodass es Betrügern unmöglich ist, den Namen des Carriers gegen dessen Abonnenten zu verwenden.

Unter der Haube: Vier strukturelle Schwächen

Die p=none-Implementierungslücke

18,9 % der britischen Domains verfügen über DMARC, aber es fehlt die Durchsetzung.

Expertenwissen:

„Eine DMARC-Richtlinie mit der Einstellung p=none bietet lediglich Berichte und Transparenz hinsichtlich Spoofing-Versuchen, ohne diese zu blockieren. Die hohe Akzeptanzrate im Vereinigten Königreich ist zwar ermutigend, doch ist eine Umstellung auf eine DMARC-Richtlinie mit der Einstellung p=reject erforderlich, um die unbefugte Nutzung von E-Mails aktiv zu verhindern.“

Maitham Al Lawati, Geschäftsführer, PowerDMARC

Expertenwissen:

„Die Beschränkung auf 10 Lookups ist eine feste Obergrenze im DNS. Ohne SPF-Optimierungstechniken wie Flattening oder Makros zur Komprimierung dieser Datensätze beeinträchtigt das Wachstum Ihres digitalen Stacks unweigerlich die Zustellbarkeit Ihrer E-Mails.“

Yunes Tarada, Leiter der Dienstleistungsabteilung, PowerDMARC

SPF-Komplexität in großem Maßstab

6,3 % der britischen Domains weisen kritische Fehlkonfigurationen auf, die häufig auf die „10-Lookup-Limit”.

MTA-STS: Das Verschlüsselungsdefizit

79,4 % der britischen Domains weisen eine vollständige Kontrolllücke hinsichtlich der Transportsicherheit auf.

Expertenwissen:

„Die Standard-E-Mail-Verschlüsselung (STARTTLS) ist opportunistisch. MTA-STS ist eine Möglichkeit, die Transportverschlüsselung durchzusetzen. Da fast der gesamte Datenverkehr im Vereinigten Königreich offenliegt, ist es für einen Angreifer ein Leichtes, die Verschlüsselung zu umgehen und vertrauliche Unternehmenskommunikation während der Übertragung zu lesen.“

Ayan Bhuiya, Schichtleiter für Betrieb und Lieferung, PowerDMARC

Expertenwissen:

„DNSSEC fungiert als Wächter Ihrer digitalen Identität. Es handelt sich nicht mehr nur um ein IT-Protokoll, sondern um eine grundlegende Ebene des Markenrufmanagements. Ein einziger DNS-Hijacking-Vorfall kann das Vertrauen in eine Marke innerhalb von Sekunden zerstören.“

Ahona Rudra, Marketing Manager, PowerDMARC

DNSSEC: Das schwache Fundament

Nur bei 3,8 % der britischen Domains aktiviert.

Kontakt

Globales Benchmarking: Großbritannien im Kontext

Diese Tabelle vergleicht wichtige Sicherheitsprotokolle: SPF-Korrektheit (gültige Datensätze), DMARC-Durchsetzung (p=reject), MTA-STS-Einführung (Transportverschlüsselung) und DNSSEC aktiviert.

LandSPF RichtigDMARC (p=ablehnen)MTA-STSDNSSEC
Vereinigte Staaten 🇺🇸95.7%49.0%1.7%18.0%
Australien 🇦🇺92.3%46.7%5.8%6.8%
Vereinigtes Königreich 🇬🇧93.7%44.1%20.6%3.8%
Norwegen 🇳🇴85.2%29.0%2.8%45.6%
Italien 🇮🇹91.0%16.7%1.0%3.5%
Saudi-Arabien 🇸🇦80.6%18.4%0.2%11.9%
Japan 🇯🇵95.0%9.2%0.5%16.4%
Nigeria 🇳🇬70.3%14.2%0.0%8.2%

Wichtige Erkenntnisse aus den offiziellen Berichten

Die Vollstreckungslücke

Die Akzeptanz von SPF ist zwar allgemein hoch (durchschnittlich über 90 % in den Industrieländern), ist die Abkehr von der „Überwachung” (p=none) hin zur „Durchsetzung“ (p=ablehnen) bleibt die größte Hürde. Japan beispielsweise hat einen hohen SPF (95 %), leidet jedoch unter einer massiven Durchsetzungslücke mit nur 9,2 % der Domains gefälschte E-Mails aktiv blockieren.

Großbritanniens herausragendes MTA-STS

The United Kingdom shows an unusually high MTA-STS adoption rate (20.6%) compared to the global average (typically <2%). This is largely attributed to strict NCSC (National Cyber Security Centre) guidelines that have pushed for transport layer security across government and critical infrastructure sectors.

DNSSEC-Annahme

Norwegen und die Vereinigten Staaten sind führend bei der Einführung von DNSSEC, insbesondere im Regierungs- und Finanzsektor, was darauf hindeutet, dass der Verhinderung von DNS-Hijacking- und Cache-Poisoning-Angriffen in diesen Regionen eine höhere Priorität eingeräumt wird.

Die „Compliance-Falle“

PowerDMARC betont, dass viele Unternehmen weiterhin p=none . Im Bericht „Saudi Arabia 2025”befinden sich beispielsweise zahlreiche Organisationen mit DMARC immer noch im „passiven” Modus, wodurch sie trotz ihrer Aufzeichnungen anfällig für Identitätsdiebstahl sind.

Fazit: Von Kennzahlen zu Maßnahmen

Die Daten sprechen eine klare Sprache: Das Vereinigte Königreich hat eine solide technische Grundlage geschaffen, muss jedoch noch die Lücke zwischen passiver Überwachung und aktiver Verkehrsüberwachung schließen. Zwar ist SPF fast allgegenwärtig (93,7 %) und die DMARC-Akzeptanz hoch ist (86,4 %), hat mehr als die Hälfte des Landes die vollständige Durchsetzung noch nicht erreicht (p=reject) und der weit verbreitete Mangel an DNSSEC-Integrität (96,2 %) eine Schwachstelle im Wert von einer Milliarde Pfund.

Britische Organisationen können es sich nicht leisten, auf das nächste NCSC oder einen katastrophalen Vorfall im Zusammenhang mit Business Email Compromise (BEC) zu warten, um von der Überwachung zum Schutz überzugehen. PowerDMARC schließt diese „Implementierungslücke”, indem es Folgendes bietet:

Automatisierte Durchsetzungswege: Sichere Migration von FTSE-100-Unternehmen und KMUs von p=none zu p=reject zu migrieren, ohne wichtige Geschäftskommunikation oder den E-Mail-Fluss zwischen Abteilungen zu blockieren.

Vereinfachung der Infrastruktur: Überwindung der „10-Lookup-Beschränkung“ durch SPF-Optimierung, Hosting von MTA-STS zur Schließung der 79 , 4 %-Verschlüsselungslücke und Validierung von DNSSEC-Einträgen in einem einzigen, cloud-nativen Dashboard.

Regulatorische Bereitschaft: Unterstützung bei der Einhaltung der DSGVO, UK Cyber Essentialsund PCI-DSS 4.0 durch Vereinfachung des Anti-Phishing-Schutzes und Sicherung sensibler E-Mail-Kommunikation.

Demo buchen Kontaktieren Sie uns

PowerDMARC-Perspektive

„Großbritannien ist derzeit ein Hauptziel für KI-gesteuertes Phishing und Rechnungsbetrug. Britische IT-Teams sind zwar hervorragend darin, grundlegende Aufzeichnungen zu veröffentlichen, aber oft sind sie gelähmt von der Angst, legitime E-Mails zu blockieren. Im Jahr 2026 ist eine reine Überwachungshaltung im Wesentlichen eine Kapitulation vor ausgeklügelten Spoofing-Angriffen. Der Übergang zu einer aktiven Verteidigung ist nicht nur eine Verbesserung der Sicherheit, sondern auch unerlässlich für den Schutz vor Angriffen, die das Herzstück der digitalen Wirtschaft Großbritanniens ins Visier nehmen.“

PowerDMARC-Team

Verwandeln Sie Sichtbarkeit noch heute in Verteidigung

Die Akzeptanzraten in Großbritannien zeigen, dass die Grundlagen geschaffen sind; jetzt ist es an der Zeit, den Schalter umzulegen. In einer Landschaft, in der KI den Tonfall eines Führungskräften perfekt imitieren kann, reicht es nicht aus, sich allein auf „Sichtbarkeit“ zu verlassen.

Lassen Sie Ihre Domain nicht länger eine „ungeschützte Grenze“ bleiben. Wechseln Sie von passiver Überwachung zu aktivem Schutz, bevor die nächste Welle koordinierter Angriffe Ihre Branche trifft.

Wenden Sie sich an PowerDMARC , um Ihren Weg zur Durchsetzung zu beginnen.

15-Tage-TestDemo buchen