Duitsland DMARC & MTA-STS adoptieverslag 2025

In Duitsland bedragen de gemiddelde kosten van elke cyberaanval 16.000 euro. Hoewel dit lager is dan de kosten in de voorgaande jaren, is het nog steeds een enorm bedrag dat bedrijven moeten dekken. Het resultaat is dat in 2024 bijna 38% van de bedrijven in Duitsland ongeveer 10-20% van hun IT-budget moeten opofferen voor IT-beveiliging.

De Duitse regering bestempelt de bank-, gezondheids- en transportsector officieel als ‘kritieke infrastructuren’ die essentieel zijn voor de nationale stabiliteit. Uit onze analyse voor 2025 blijkt echter dat juist deze sectoren gevaarlijk kwetsbaar zijn voor geavanceerde e-mailfraude en spionage.

Dit PowerDMARC-rapport analyseert meer dan 600 domeinen in zeven belangrijke sectoren en onthult een landschap waarin basisverificatie sterk is, maar handhaving en versleuteling gevaarlijk onderontwikkeld blijven.

Beveiligingsbeleid voor e-mail in Duitsland: 2025 statistieken

Duitsland heeft een sterke basis van SPF, maar de kritieke lagen van DMARC handhaving en MTA-STS adoptie blijven ver achter, waardoor het land blootgesteld wordt aan geraffineerde e-mailaanvallen.

DMARC-Duitsland
BIMI-logo
MetrischAdoptiegraadBelangrijkste bevindingen
SPF juistheid96.8%Een zeer sterke basislijn voor e-mailverificatie.
DMARC Aanwezigheid67.2%Een goed begin, maar er blijft een grote kloof.
Geen DMARC record32.3%Bijna 1 op de 3 organisaties staat wijd open voor imitatie.
Handhaving DMARC (p=weigeren)17.5%CRITISCH: De overgrote meerderheid blokkeert fraude niet actief.
MTA-STS adoptie2.6%CRITISCH: E-mailverkeer is bijna altijd onversleuteld onderweg.
DNSSEC-adoptie13.0%Een wijdverspreide kwetsbaarheid voor DNS-kaping.

De kern van de zaak:

In Duitsland heeft meer dan 1 op de 3 organisaties geen DMARC-beleid. Van degenen die wel een beleid hebben, gebruikt meer dan 80% dit niet voor handhaving. Dit betekent een ernstig, direct risico op financieel verlies, gegevenslekken en een catastrofale erosie van het publieke vertrouwen.

Begin een 15 dagen proefabonnement

Opsplitsing per sector: Risico's en kansen ontmaskeren

Banksector: Voorop, maar nog steeds blootgesteld

De Duitse banksector loopt voorop op het gebied van e-mailbeveiliging, maar er blijven kritieke hiaten bestaan in een sector waar vertrouwen van het grootste belang is.

Metriek banksector Adoptiegraad
SPF juistheid 93.2%
Handhaving DMARC (p=weigeren) 39.0%
Geen DMARC record 6.7%
MTA-STS adoptie 0%
DNSSEC-adoptie 3.4%
banksector-(DMARC)

Risicoanalyse:

Ondanks de leidende positie in DMARC, is de 0% toepassing van MTA-STS en weinig DNSSEC een grote kwetsbaarheid. Gevoelige financiële communicatie wordt blootgesteld aan onderschepping en DNS-kaping, waardoor een achterpoortje ontstaat voor geavanceerde phishingaanvallen die zich kunnen voordoen als vertrouwde banken.

Een voorbeeld:

Een vermogende klant e-mailt zijn bankier over een grote overboeking. Een aanvaller onderschept deze onversleutelde e-mail, verandert de ontvangende bankgegevens in een antwoord en steelt het geld.

Overheidssector: Sterke fundamenten, grote handhavingslacunes

Overheidsdomeinen tonen een betrokkenheid bij basisauthenticatie, maar de handhaving is alarmerend zwak.

Overheidssector Metriek Adoptiegraad
SPF juistheid 98.3%
Handhaving DMARC (p=weigeren) 12.5%
Geen DMARC record 42.7%
MTA-STS adoptie 1.7%
DNSSEC-adoptie 20.7%
Overheid-sector-(SPF)

Risicoanalyse:

Met meer dan 40% van de overheidsdomeinen geen DMARC hebben en slechts 12,5% het afdwingt, is het alarmerend eenvoudig om je voor te doen als overheidsinstantie. Dit maakt een breed scala aan belastingfraude, social engineering-campagnes en desinformatieaanvallen tegen burgers mogelijk.

Een voorbeeld:

Burgers ontvangen een frauduleuze e-mail van een vervalst belastingkantoordomein (bijv, [email protected]) waarin onmiddellijke betaling wordt geëist voor een "gemiste belasting" om gerechtelijke stappen te voorkomen.

Sector Gezondheidszorg: Patiëntenvertrouwen op een precair randje

De beveiliging van e-mail in de gezondheidszorg blijft achter, waardoor onaanvaardbare risico's ontstaan voor patiëntgegevens en vertrouwen.

Metriek sector gezondheidszorg Adoptiegraad
SPF juistheid 97.7%
Handhaving DMARC (p=weigeren) 9.3%
Geen DMARC record 53.4%
MTA-STS adoptie 2.3%
DNSSEC-adoptie 7.0%
Gezondheidszorg-sector-MTA-STS

Risicoanalyse:

Dit is een crisispunt. Meer dan de helft van de gezondheidszorgdomeinen heeft geen DMARCen minder dan 10% dwingt het af. Hierdoor worden patiënten blootgesteld aan phishingcampagnes die gevoelige gezondheidsinformatie kunnen stelen, verzekeringsfraude kunnen plegen en de reputatie van betrouwbare zorgverleners kunnen schaden.

Een voorbeeld:

Patiënten ontvangen een valse e-mail "Testresultaten gereed" van het gespoofde domein van hun ziekenhuis (bijv, [email protected]). Via de link wordt hun patiëntportaal-login gestolen, waardoor hun gevoelige persoonlijke gezondheidsinformatie in gevaar komt.

Een demo boeken

Media: De frontlinie tegen desinformatie

Mediakanalen zijn een primair doelwit voor imitatie en desinformatie, maar hun verdediging is niet robuust genoeg.

Metriek mediasector Adoptiegraad
SPF juistheid 91.0%
Handhaving DMARC (p=weigeren) 17.9%
Geen DMARC record 17.9%
MTA-STS adoptie 0%
DNSSEC-adoptie 11.5%

Risicoanalyse:

Met minder dan 18% van de media-organisaties die DMARC afdwingen en nul MTA-STS adoptiehebben slechte actoren een vruchtbare bodem om nepnieuws te verspreiden, phishingcampagnes tegen journalisten uit te voeren en zich voor te doen als vertrouwde nieuwsmerken om het publiek op te lichten.

Een voorbeeld:

Een journalist ontvangt een vervalste e-mail van een „vertrouwelijke bron“ (of zelfs van zijn redacteur) met een „strikt geheim“ document, dat in werkelijkheid spyware is die bedoeld is om de hele redactie te compromitteren.

Transportsector: Blootgesteld aan fraude en verstoring

Transport- en logistieke organisaties zijn zeer gevoelig voor factuurfraude en zwendel met klanten vanwege hun complexe toeleveringsketens.

Metriek transportsector Adoptiegraad
SPF juistheid 96.1%
Handhaving DMARC (p=weigeren) 18.2%
Geen DMARC record 33.7%
MTA-STS adoptie 5.2%
DNSSEC-adoptie 10.4%
Transportsector-DMARC

Risicoanalyse:

Bij meer dan een derde van de transportdomeinen ontbreekt DMARC en slechts 18,2% ziet toe op de naleving ervan. Dit creëert een omgeving met een hoog risico voor fraude bij het doorsturen van facturen en betalingen, wat miljoenen kan kosten en de bedrijfsvoering ernstig kan verstoren.

Een voorbeeld:

Een aanvaller doet zich voor als een havenautoriteit en stuurt een frauduleuze "Updated Mooring Fees" factuur naar een scheepvaartmaatschappij, waardoor een betaling van zes cijfers verkeerd wordt doorgestuurd.

Onderwijssector: Een belangrijk doelwit voor diefstal van diploma's

Universiteiten en onderwijsinstellingen zijn de belangrijkste doelwitten voor cyberaanvallen, maar hun verdediging is een van de zwakste.

Metriek onderwijssector Adoptiegraad
SPF juistheid 98.8%
Handhaving DMARC (p=weigeren) 8.2%
Geen DMARC record 31.8%
MTA-STS adoptie 3.5%
DNSSEC-adoptie 8.2%
BIMI-logo

Risicoanalyse:

Met minder dan 10% handhavingzijn onderwijsdomeinen wijd open. Dit maakt ze uitzonderlijk kwetsbaar voor campagnes om gegevens van studenten en docenten te verzamelen, wat leidt tot diefstal van waardevolle onderzoeks- en persoonlijke gegevens.

Een voorbeeld:

Aanvallers gebruiken deze gestolen referenties om toegang te krijgen tot waardevol, ongepubliceerd academisch onderzoek en dit te stelen, waarna het wordt verkocht aan concurrenten of buitenlandse entiteiten.

Begin een 15 dagen proefabonnement

Telecommunicatiesector: Bescherming van klanten en kerndiensten

Als kritieke infrastructuur zijn telecomproviders een waardevol doelwit, maar hun e-mailbeveiligingsbeleid kan nog aanzienlijk worden verbeterd.

Metriek Telecommunicatiesector Adoptiegraad
SPF juistheid 98.7%
Handhaving DMARC (p=weigeren) 30.4%
Geen DMARC record 21.5%
MTA-STS adoptie 6.3%
DNSSEC-adoptie 8.9%

Risicoanalyse:

Hoewel de handhaving beter is dan gemiddeld, heeft meer dan 20% van de telecomaanbieders nog steeds geen DMARC. Hierdoor worden miljoenen abonnees blootgesteld aan geraffineerde zwendelpraktijken (bijv. valse rekeningen, verzoeken om accountupdates) die zich voordoen als hun vertrouwde provider.

Een voorbeeld:

Een klant ontvangt een valse "SIM Update Required" e-mail van zijn provider. Hierdoor worden ze misleid om informatie op te geven waarmee de aanvaller een SIM-swap aanval kan uitvoeren en hun telefoonnummer kan overnemen om de 2-factor authenticatie voor hun bankrekeningen te omzeilen.

Benchmarking: Waar staat Duitsland?

Duitsland leidt in het gebruik van SPF, maar blijft achter bij zijn Europese collega's op de twee belangrijkste gebieden: DMARC handhaving en toepassing van DNSSEC.

LandSPF juistheidHandhaving DMARC (p=weigeren)MTA-STS adoptieDNSSEC-adoptie
Duitsland
Duitsland		96.8%17.5%2.6%13.0%

België		90.1%24.7%2.1%21.4%

Nederland		70.0%23.2%0.9%37.7%

Zweden		85.0%29.7%2.9%25.9%

Noorwegen		85.2%29.0%4.4%45.6%

Italië		91.0%16.7%1.0%3.5%

1. Het valse schild van gedeeltelijke DMARC

Veel Duitse organisaties hebben een DMARC record ingesteld op p=none (alleen monitoring). Hoewel dit een belangrijke eerste stap is voor meer inzicht, biedt het geen enkele bescherming. Aanvallers weten dit en richten zich actief op domeinen die nog niet zijn overgestapt op p=quarantaine of p=reject. Een p=none beleid is een open deur voor aanvallers.

2. De kwetsbaarheid van SPF

Het grote gebruik van SPF verhult een onderliggende complexiteit. SPF records zijn beperkt tot 10 DNS opzoekingen. Naarmate organisaties meer services van derden gebruiken (bijv. marketing, HR, betalingsplatforms), wordt deze limiet gemakkelijk overschreden. Deze "permerror" zorgt ervoor dat het SPF-record niet gevalideerd wordt en het domein onbeschermd blijft, ondanks het feit dat het een SPF-record heeft.

3. MTA-STS: Het onzichtbare schild

Met slechts 2,6% acceptatiegraad, is MTA-STS is de grootste blinde vlek van Duitsland. Als SPF en DMARC de paspoortcontrole voor een e-mail zijn, dan is MTA-STS het gepantserde voertuig dat deze tijdens het transport beschermt. Zonder MTA-STS worden e-mails in platte tekst verzonden, waardoor aanvallers de communicatie tussen mailservers kunnen onderscheppen, lezen en wijzigen (een ‘man-in-the-middle’-aanval).

4. DNSSEC: De vergeten stichting

Geringe toepassing van DNSSEC (13%) is een zwak punt in de basis. DNS is het telefoonboek van het internet. Zonder DNSSECkunnen aanvallers DNS-kaping en "cache poisoning" aanvallen uitvoeren, waarbij ze dit telefoonboek beschadigen om gebruikers om te leiden van een legitiem, veilig domein naar een kwaadaardig, identiek uitziend domein om referenties of gegevens te stelen.

Conclusie: Van bewustzijn naar actie

Duitsland staat op een kritiek keerpunt. De wijdverspreide bekendheid van DMARC en de sterke adoptie van SPF bieden een uitstekende springplank. Echter, bewustzijn is geen bescherming.

De reis moet nu beslissend verschuiven van toezicht naar handhaving en van authenticatie naar encryptie. De risico's van niets doen zijn duidelijk: financiële verliezen door compromittering van zakelijke e-mail, erosie van het vertrouwen van klanten door phishing, operationele verstoring door ransomware en niet-naleving van de regelgeving voor gegevensbescherming. De volgende cruciale stappen voor het beveiligen van de Duitse e-mail vertrouwensstructuur zijn de wijdverspreide inzet van MTA-STS en een hernieuwde focus op DNSSEC.

PowerDMARC is de beste DMARC-oplossing in Duitsland

PowerDMARC biedt een volledig geïntegreerd platform dat Duitse organisaties in staat stelt om de kloof tussen bewustzijn en echte e-mailweerbaarheid te overbruggen. Wij bieden de snelste, meest betrouwbare weg naar DMARC-handhaving, MTA-STS-adoptie en DNSSEC-validatie. Onze beheerde oplossingen elimineren complexiteit, bieden informatie over bedreigingen in realtime en beveiligen uw e-mailkanalen end-to-end.

Wacht niet tot een aanval bewijst dat handhaving nodig is. Neem contact op met [email protected] of boek vandaag nog een een-op-een-sessie met onze experts om een veerkrachtige toekomst voor e-mailbeveiliging voor uw organisatie op te bouwen.

Vijftien dagen op proefBoek een demo