Informe sobre la adopción de DMARC y MTA-STS en Alemania en 2025

En Alemania, el coste medio de cada ciberataque alcanza los 16.000 euros. Aunque es inferior al coste de los años anteriores, sigue siendo una enorme cantidad de dinero que las empresas deben cubrir. Como resultado, en 2024, casi el 38% de las empresas en Alemania tuvieron que sacrificar alrededor del 10-20% de su presupuesto de TI para la seguridad informática.

El Gobierno alemán califica oficialmente sus sectores bancario, sanitario y de transporte como «infraestructuras críticas», esenciales para la estabilidad nacional. Sin embargo, nuestro análisis de 2025 revela que estos mismos sectores se encuentran peligrosamente desprotegidos frente al fraude sofisticado por correo electrónico y al espionaje.

Este informe PowerDMARC analiza más de 600 dominios en siete sectores clave, revelando un panorama en el que la autenticación básica es sólida, pero la aplicación y el cifrado siguen estando peligrosamente subdesarrollados.

Postura alemana en materia de seguridad del correo electrónico: métricas para 2025

Alemania cuenta con una sólida base de SPF, pero las capas críticas de aplicación de DMARC y adopción de MTA-STS están muy rezagadas, lo que deja al país expuesto a sofisticados ataques por correo electrónico.

DMARC-Alemania
Logotipo BIMI
MétricaTasa de adopciónConclusiones principales
Corrección SPF96.8%Una base muy sólida para la autenticación del correo electrónico.
Presencia DMARC67.2%Un buen comienzo, pero sigue habiendo una laguna importante.
Sin registro DMARC32.3%Casi 1 de cada 3 organizaciones está expuesta a la suplantación de identidad.
Aplicación de DMARC (p=reject)17.5%CRÍTICO: La gran mayoría no bloquea activamente el fraude.
Adopción de MTA-STS2.6%CRÍTICO: El tráfico de correo electrónico está casi universalmente sin cifrar en tránsito.
Adopción de DNSSEC13.0%Una vulnerabilidad generalizada al secuestro de DNS.

El resultado final:

En Alemania, más de 1 de cada 3 organizaciones carece de cualquier política DMARC. De las que tienen una política, más del 80% no la utilizan para hacerla cumplir. Esto supone un riesgo grave e inmediato de pérdidas económicas, filtraciones de datos y una erosión catastrófica de la confianza pública.

Prueba de 15 días

Desglose por sectores: Riesgos y oportunidades

Sector bancario: A la cabeza, pero aún expuesto

El sector bancario alemán marca la pauta en materia de seguridad del correo electrónico, pero siguen existiendo lagunas importantes en un sector en el que la confianza es fundamental.

Sector bancario Métrica Tasa de adopción
Corrección SPF 93.2%
Aplicación de DMARC (p=reject) 39.0%
Sin registro DMARC 6.7%
Adopción de MTA-STS 0%
Adopción de DNSSEC 3.4%
sector-bancario-(DMARC)

Análisis de riesgos:

A pesar de liderar la aplicación de DMARC, el 0% de adopción de MTA-STS y el bajo nivel de DNSSEC constituyen una gran vulnerabilidad. Las comunicaciones financieras confidenciales están expuestas a la interceptación y el secuestro de DNS, lo que crea un resquicio para sofisticados ataques de phishing que pueden hacerse pasar por bancos de confianza.

Por ejemplo:

Un cliente de alto poder adquisitivo envía un correo electrónico a su banquero acerca de una transferencia bancaria importante. Un atacante intercepta este correo sin cifrar, altera los datos del banco receptor en una respuesta y roba los fondos.

Sector público: Bases sólidas, grandes lagunas en la aplicación

Los dominios gubernamentales muestran un compromiso con la autenticación básica, pero su aplicación es alarmantemente débil.

Sector público Métrica Tasa de adopción
Corrección SPF 98.3%
Aplicación de DMARC (p=reject) 12.5%
Sin registro DMARC 42.7%
Adopción de MTA-STS 1.7%
Adopción de DNSSEC 20.7%
Sector público (SPF)

Análisis de riesgos:

En más del 40% de los dominios gubernamentales carecen de DMARC y sólo el 12,5% lo aplica, suplantar la identidad de organismos gubernamentales es alarmantemente fácil. Esto permite una amplia gama de estafas fiscales, campañas de ingeniería social y ataques de desinformación contra los ciudadanos.

Por ejemplo:

Los ciudadanos reciben un correo electrónico fraudulento de un dominio falso de la Agencia Tributaria (por ejemplo, [email protected]) exigiendo el pago inmediato de un "impuesto no pagado" para evitar acciones legales.

Sector sanitario: La confianza de los pacientes, en la cuerda floja

La seguridad del correo electrónico en el sector sanitario es deficiente, lo que supone un riesgo inaceptable para los datos y la confianza de los pacientes.

Sector sanitario Métrica Tasa de adopción
Corrección SPF 97.7%
Aplicación de DMARC (p=reject) 9.3%
Sin registro DMARC 53.4%
Adopción de MTA-STS 2.3%
Adopción de DNSSEC 7.0%
Sector sanitario-MTA-STS

Análisis de riesgos:

Se trata de un punto de crisis. Más de la mitad de los dominios sanitarios carecen de DMARC y menos del 10% lo aplican. Esto expone a los pacientes a campañas de phishing que pueden robar información sanitaria confidencial, cometer fraude a las aseguradoras y dañar la reputación de los proveedores sanitarios de confianza.

Por ejemplo:

Los pacientes reciben un falso correo electrónico con el mensaje "Test Results Ready" desde el dominio falsificado de su hospital (por ejemplo, [email protected]). El enlace roba sus datos de acceso al portal del paciente, lo que pone en peligro su información sanitaria personal confidencial.

Agendar demo

Sector de los medios de comunicación: La primera línea contra la desinformación

Los medios de comunicación son uno de los principales objetivos de la suplantación de identidad y la desinformación, pero sus defensas no son lo bastante sólidas.

Sector de los medios de comunicación Tasa de adopción
Corrección SPF 91.0%
Aplicación de DMARC (p=reject) 17.9%
Sin registro DMARC 17.9%
Adopción de MTA-STS 0%
Adopción de DNSSEC 11.5%

Análisis de riesgos:

Con menos del 18% de los medios de comunicación aplicando DMARC y cero adopción de MTA-STS los actores malintencionados disponen de un terreno fértil para distribuir noticias falsas, realizar campañas de phishing contra periodistas y suplantar marcas de noticias de confianza para estafar al público.

Por ejemplo:

Un periodista recibe un correo electrónico falso de una «fuente confidencial» (o incluso de su propio editor) con un documento «ultrasecreto», que en realidad es un programa espía diseñado para comprometer a toda la redacción.

Sector del Transporte: Expuesto al fraude y la perturbación

Las organizaciones de transporte y logística son muy susceptibles de sufrir fraudes en las facturas y estafas a clientes debido a sus complejas cadenas de suministro.

Sector del transporte Métrica Tasa de adopción
Corrección SPF 96.1%
Aplicación de DMARC (p=reject) 18.2%
Sin registro DMARC 33.7%
Adopción de MTA-STS 5.2%
Adopción de DNSSEC 10.4%
Transporte-Sector-DMARC

Análisis de riesgos:

Más de un tercio de los dominios de transporte carecen de DMARC, y sólo el 18,2% lo aplican. Esto crea un entorno de alto riesgo para el fraude en el redireccionamiento de facturas y pagos, que puede costar millones y perturbar gravemente las operaciones.

Por ejemplo:

Un atacante se hace pasar por una autoridad portuaria y envía una factura fraudulenta de "Tasas de amarre actualizadas" a una naviera, lo que provoca el desvío de un pago de seis cifras.

Sector educativo: Un objetivo prioritario para el robo de credenciales

Las universidades y las instituciones educativas son objetivos prioritarios de los ciberataques, y sin embargo sus defensas se encuentran entre las más débiles.

Métrica del sector de la educación Tasa de adopción
Corrección SPF 98.8%
Aplicación de DMARC (p=reject) 8.2%
Sin registro DMARC 31.8%
Adopción de MTA-STS 3.5%
Adopción de DNSSEC 8.2%
Logotipo BIMI

Análisis de riesgos:

Con menos del 10% de aplicación los dominios educativos están totalmente abiertos. Esto los hace excepcionalmente vulnerables a las campañas de recolección de credenciales dirigidas a estudiantes y profesores, lo que conduce al robo de valiosos datos personales y de investigación.

Por ejemplo:

Los atacantes utilizan estas credenciales robadas para acceder a valiosas investigaciones académicas inéditas y robarlas, que luego venden a competidores o entidades extranjeras.

Prueba de 15 días

Sector de las telecomunicaciones: Protección de clientes y servicios básicos

Como infraestructura crítica, los proveedores de telecomunicaciones son un objetivo de alto valor, pero su postura de seguridad del correo electrónico tiene un margen de mejora significativo.

Sector de las telecomunicaciones Métrica Tasa de adopción
Corrección SPF 98.7%
Aplicación de DMARC (p=reject) 30.4%
Sin registro DMARC 21.5%
Adopción de MTA-STS 6.3%
Adopción de DNSSEC 8.9%

Análisis de riesgos:

Aunque el cumplimiento es mejor que la media más del 20% de los proveedores de telecomunicaciones aún carecen de DMARC. Esto expone a millones de abonados a sofisticadas estafas (por ejemplo, facturas falsas, solicitudes de actualización de cuentas) que suplantan a su proveedor de confianza.

Por ejemplo:

Un cliente recibe un falso mensaje de correo electrónico de su proveedor en el que se indica que es necesario actualizar la tarjeta SIM. Esto les engaña para que proporcionen información que permita al atacante realizar un ataque de intercambio de SIM, apoderándose de su número de teléfono para saltarse la autenticación de 2 factores de sus cuentas bancarias.

Evaluación comparativa: ¿En qué punto se encuentra Alemania?

Alemania está a la cabeza en la adopción de SPF básicos, pero está por detrás de sus homólogos europeos en las dos áreas más importantes: aplicación de DMARC y adopción de DNSSEC.

PaísCorrección SPFAplicación de DMARC (p=reject)Adopción de MTA-STSAdopción de DNSSEC
Alemania
Alemania		96.8%17.5%2.6%13.0%

Bélgica		90.1%24.7%2.1%21.4%

Países Bajos		70.0%23.2%0.9%37.7%

Suecia		85.0%29.7%2.9%25.9%

Noruega		85.2%29.0%4.4%45.6%

Italia		91.0%16.7%1.0%3.5%

1. El falso escudo de DMARC parcial

Muchas organizaciones alemanas cuentan con un registro DMARC configurado en p=none (solo supervisión). Aunque se trata de un primer paso importante para la visibilidad, ofrece cero protección. Los atacantes lo saben y se centran activamente en los dominios que no han avanzado hasta p=cuarentena o p=rechazo. Un política «p=none» supone una puerta abierta para los atacantes.

2. La fragilidad del SPF

La elevada adopción de SPF enmascara una complejidad subyacente. Los registros SPF son limitados a 10 búsquedas DNS. A medida que las organizaciones adoptan más servicios de terceros (por ejemplo, marketing, RRHH, plataformas de pago), este límite se supera fácilmente. Este "permerror" hace que el registro SPF falle la validación y deja el dominio desprotegido a pesar de tener un registro SPF.

3. MTA-STS: El escudo invisible

Con tan solo un 2,6 % de adopción, MTA-STS es el punto débil más importante de Alemania. Si SPF y DMARC son el control de pasaportes de un correo electrónico, MTA-STS es el vehículo blindado que lo protege durante el trayecto. Sin él, los correos electrónicos se envían en texto sin cifrar, lo que permite a los atacantes interceptar, leer y alterar las comunicaciones entre servidores de correo (un ataque de «hombre en el medio»).

4. DNSSEC: La base olvidada

La baja adopción de DNSSEC (13%) es una debilidad fundamental. DNS es la agenda telefónica de Internet. Sin DNSSEClos atacantes pueden ejecutar secuestro de DNS y "envenenamiento de caché", en los que corrompen esta agenda para redirigir a los usuarios de un dominio legítimo y seguro a otro malicioso de aspecto idéntico para robar credenciales o datos.

Conclusiones: De la concienciación a la acción

Alemania se encuentra en un punto de inflexión crítico. El conocimiento generalizado del DMARC y la fuerte adopción del SPF constituyen una excelente plataforma de lanzamiento. Sin embargo, la concienciación no es protección.

Ahora hay que pasar decididamente de la supervisión a la aplicación y de la autenticación al encriptación. Los riesgos de la inacción son evidentes: pérdidas financieras por el compromiso del correo electrónico empresarial, erosión de la confianza de los clientes debido al phishing, interrupción operativa por el ransomware e incumplimiento de la normativa de protección de datos. Los próximos pasos vitales para asegurar el tejido de confianza del correo electrónico en Alemania son el despliegue generalizado de MTA-STS y un enfoque renovado en DNSSEC.

PowerDMARC es la mejor solución DMARC de Alemania

PowerDMARC ofrece una plataforma totalmente integrada que permite a las organizaciones alemanas salvar la distancia entre la concienciación y la verdadera resistencia del correo electrónico. Proporcionamos la vía más rápida y fiable para la aplicación de DMARC, la adopción de MTA-STS y la validación de DNSSEC. Nuestras soluciones gestionadas eliminan la complejidad, proporcionan información sobre amenazas en tiempo real y protegen sus canales de correo electrónico de principio a fin.

No espere a que un ataque demuestre la necesidad de hacer cumplir la normativa. Póngase en contacto con [email protected] o reserve hoy mismo una sesión individual con nuestros expertos para construir un futuro de seguridad del correo electrónico resistente para su organización.

Prueba de 15 díasAgendar demo