De meeste financiële instellingen maken gebruik van DMARC. Bijna geen enkele is daardoor beschermd.

Het belangrijkste cijfer: het adoptieprobleem is (bijna) opgelost

Laten we beginnen met het goede nieuws, want dat is het vermelden waard: de financiële dienstensector heeft sneller werk gemaakt van de invoering van DMARC dan bijna elke andere sector. In alle landen die PowerDMARC heeft onderzocht, behoren het bankwezen en de financiële dienstverlening op nationaal niveau consequent tot de top één of twee sectoren wat betreft het simpelweg hebben van een DMARC-record, ruim voor de detailhandel, de gezondheidszorg of de overheid in de meeste markten.

• België: financiële instellingen zijn „de duidelijke koplopers op het gebied van de invoering van e-mailbeveiliging “, waarbij slechts 1 op de 12 helemaal geen DMARC-record heeft, zo blijkt uit het DMARC-rapport 2025 van PowerDMARC over België.
• Duitsland: volgens het DMARC-rapport 2025 van PowerDMARC voor Duitsland „geeft de banksector de toon aan” op het gebied van e-mailbeveiliging op nationaal niveau.
• Noorwegen: volgens het rapport van PowerDMARC over de acceptatie van DMARC en MTA-STS in Noorwegen is de acceptatie van DMARC in de financiële dienstensector „vrijwel algemeen“, waarbij slechts 6,8% van de domeinen helemaal geen DMARC-record heeft.
• Verenigde Staten: Uit het rapport van PowerDMARC over de invoering van DMARC en MTA-STS in de Verenigde Staten voor 2026 blijkt dat de totale nationale DMARC-invoering bij meer dan 900 domeinen 95,8% bedraagt, wat in feite neerkomt op een vrijwel universele invoering, waarbij de bank- en financiële sector tot de sectoren behoren die dit cijfer aansturen.
• Canada: de banksector kent een van de laagste percentages zonder DMARC-record in het land; volgens het rapport „Canada DMARC & MTA-STS Adoption Report 2026” van PowerDMARC heeft slechts 8,0% van de domeinen helemaal geen DMARC-record.
• Polen: volgens het „Polen DMARC & MTA-STS Adoption Report 2026” van PowerDMARC beschikt 83,7% van de domeinen in de bank- en financiële sector over een DMARC-record, hoewel een aanzienlijk percentage van 16,3% er nog helemaal geen heeft.
• Frankrijk: de banksector loopt voorop ten opzichte van alle andere sectoren wat betreft de acceptatie van DMARC-records; slechts 7,6% van de domeinen beschikt niet over een DMARC-record, zo blijkt uit het rapport „France DMARC & MTA-STS Adoption Report 2026” van PowerDMARC.

Bekijk de rapporten over de invoering van DMARC per land

Redenen voor de hoge acceptatiegraad in 2026

De hoge acceptatiegraad van DMARC bij financiële instellingen is geen toeval. De druk vanuit de regelgeving op deze sector neemt al jaren toe en komt nu vanuit verschillende kanten tegelijk.

• Met ingang van 31 maart 2025 zijn anti-phishingmaatregelen volgens PCI DSS v4.0.1 een verplichte maatregel geworden in plaats van een aanbevolen werkwijze voor elke organisatie die betaalkaartgegevens verwerkt. In het kader hiervan worden DMARC, SPF en DKIM aanbevolen als opties om aan deze vereisten te voldoen.
• In de VS is de „Safeguards Rule“ van de FTC stilletjes uitgebreid tot een veel breder scala aan financiële bedrijven dan de meeste mensen beseffen.
• Nationale financiële toezichthouders, van Riyad tot Ottawa, hebben via hun eigen voorschriften inzake domeinbeveiliging steeds dezelfde boodschap uitgedragen.
• Grote e-mailproviders hebben hier nog extra druk bovenop gelegd. Sinds februari 2024 eisen Google en Yahoo dat elk domein dat meer dan ongeveer 5.000 e-mails per dag verstuurt, ten minste een DMARC-record met p=none publiceert, in combinatie met afgestemde SPF- en DKIM-instellingen. Anders loopt men het risico dat e-mails worden geweigerd of direct naar de spamfolder worden gestuurd. Microsoft heeft dezelfde maatregel ingevoerd voor verzenders met grote volumes naar Outlook- en Hotmail-adressen. Voor een bank die routinematig afschriften en meldingen verstuurt naar miljoenen Gmail- en Yahoo-klanten, is dat ook geen optie meer.

Het echte cijfer: de handhaving schiet nog ver tekort

Hier neemt het verhaal een wending. Kijk je verder dan de algemene cijfers van een bepaald land, dan zie je overal waar PowerDMARC de sector heeft onderzocht hetzelfde patroon: de banksector loopt doorgaans voorop in de nationale economie wat betreft handhaving, en zelfs met dat voortouw blijft een groot deel van de sector kwetsbaar.

• Verenigde Staten: Uit het rapport van PowerDMARC over de implementatie van DMARC en MTA-STS in de Verenigde Staten voor 2026, waarin meer dan 900 domeinen zijn geanalyseerd, blijkt dat de totale nationale handhaving van de p=reject-instelling 49,0% bedraagt, het hoogste percentage van alle landen in de benchmark van PowerDMARC. Het rapport schrijft dit resultaat deels toe aan „vroegtijdige wettelijke verplichtingen en de risicovolle omgeving” in sectoren zoals het bankwezen en de gezondheidszorg. Met name binnen de bank- en financiële sector bedraagt de SPF-correctheid 90,9%, terwijl de acceptatiegraad van MTA-STS, dat berichten tijdens het transport beschermt, slechts 3,0% bedraagt.
• Canada: de banksector loopt in het land voorop wat betreft handhaving, met 42,0% afwijzingen, volgens het „Canada DMARC & MTA-STS Adoption Report 2026” van PowerDMARC, waarin 555 domeinen werden geanalyseerd. Hetzelfde rapport vermeldt dat 8,0% van de bankdomeinen helemaal geen DMARC-record heeft, en benoemt de kloof als volgt: „de overige 58,0%, inclusief die met de status ‘None’ of ‘Quarantine’, blijven kwetsbaar voor geavanceerde spoofing-aanvallen die kunnen leiden tot grootschalige financiële fraude en verlies van het vertrouwen van klanten.”
• Noorwegen: de financiële dienstverlening komt uit op 44,7% (p=reject) en is daarmee de op één na sterkste sector, na de gezondheidszorg met 55,6%, volgens het rapport van PowerDMARC over de acceptatie van DMARC en MTA-STS in Noorwegen.
• Saoedi-Arabië: de door de SAMA gereguleerde banksector, het strengst gecontroleerde onderdeel van de Saoedische economie, heeft een nalevingspercentage van bijna 50% bereikt, terwijl het totale nalevingspercentage in alle sectoren van het land volgens het rapport van PowerDMARC over de invoering van DMARC en MTA-STS in Saoedi-Arabië slechts 18,4% bedraagt.
• Polen: de banksector kent met 40,8% (p=reject) de hoogste nalevingsgraad van alle Poolse sectoren, volgens het rapport „Poland DMARC & MTA-STS Adoption Report 2026” van PowerDMARC, maar 16,3% van de domeinen in de banksector heeft nog steeds helemaal geen DMARC-record, en de acceptatiegraad van MTA-STS in de sector bedraagt 0%.
• Frankrijk: de banksector is hier duidelijk koploper, met een percentage van 63,3% p=reject, volgens het rapport „France DMARC & MTA-STS Adoption Report 2026” van PowerDMARC. Toch heeft 7,6% van de Franse bankdomeinen helemaal geen DMARC-record, en net als in Polen bedraagt de acceptatiegraad van MTA-STS in de hele sector 0%.

Als je die cijfers naast elkaar legt, komt er een patroon naar voren dat geldt voor zes landen en een breed scala aan regelgevingskaders: het bankwezen is op nationaal niveau steevast de sector waar de regelgeving het best of bijna het best wordt gehandhaafd, met een score voor ‘p=reject’ die doorgaans ergens tussen de 40% en de lage 60% ligt. Maar dat betekent dat ergens tussen ongeveer een derde en 60% van de financiële instellingen een vervalste e-mail nog steeds niet direct blokkeert.

Er is één echt bemoedigend gegeven dat het verdient om eerlijk te worden belicht. Uit het onderzoek van dmarcian naar de 100 grootste banken ter wereld op basis van omzet bleek dat er tussen 2021 en 2025 daadwerkelijke, meetbare vooruitgang is geboekt:

• Een daling van 74% in het aantal domeinen zonder enig DMARC-record.
• Een daling van 52% in het aantal domeinen dat nog steeds op p=none staat.
• Een stijging van 50% in het aantal gevallen waarin p=reject wordt toegepast.

Het deel dat niemand meet: verder dan de megabanken

Bijna elk DMARC-onderzoek naar financiële dienstverlening, inclusief de bovenstaande cijfers, richt zich op hetzelfde beperkte deel van de sector: de grootste Amerikaanse banken, de 100 grootste banken ter wereld op basis van omzet, en het handjevol instellingen dat groot genoeg is om in een nationale domeinscan op te duiken. Dat is slechts een klein deel van wat toezichthouders eigenlijk bedoelen als ze het hebben over „financiële instellingen”.

Op wie de ‘Safeguards Rule’ van de FTC daadwerkelijk van toepassing is

Sinds 2024 is de FTC Safeguards Rule van toepassing op een veel bredere groep, die wordt gedefinieerd op basis van activiteit in plaats van het type instelling:

• Autodealers die financiering regelen of faciliteren
• Hypotheekmakelaars
• Financieel adviseurs en geregistreerde beleggingsadviseurs
• Belastingadviseurs
• Incassobureaus en aanbieders van flitskredieten

In wezen kan elke onderneming die financiële diensten verleent en persoonlijke gegevens van klanten verzamelt, onder deze regel vallen. Dat kan bijvoorbeeld een regionale autodealer zijn die kredietaanvragen via een gedeelde inbox afhandelt, en niet alleen een grote nationale bank.

Er is geen specifiek onderzoek gedaan naar de toepassing van DMARC bij deze bedrijven, maar het algemene beeld is zorgwekkend. Uit het „2025 Global DMARC Adoption Report” van EasyDMARC bleek dat slechts 7,7% van de 1,8 miljoen grootste e-maildomeinen ter wereld volledig beveiligd was met een „p=reject”-beleid. Dat betekent dat ongeveer 92% nog steeds onbeveiligd was.

De conclusie:

Veel financiële instellingen beschikken weliswaar over DMARC-records, maar veel minder daarvan zijn overgegaan tot handhaving en blijven hoogstwaarschijnlijk kwetsbaar voor spoofing.

.BANK-domeinnamen zijn verplicht. Voor de meeste .com-domeinnamen van banken geldt dat niet.

Er is hier een structureel detail waardoor de handhavingskloof minder op een technische beperking lijkt en meer op een bewuste keuze. Voor elk domein dat onder de topleveldomeinen .BANK of .INSURANCE is geregistreerd, is het altijd al verplicht geweest om DMARC te publiceren als voorwaarde voor registratie. Sinds november 2023 is die vereiste nog verder aangescherpt: fTLD, de registry-beheerder van deze TLD’s, heeft Public Suffix Domain DMARC volgens RFC 9091 toegevoegd, waardoor authenticatie op registry-niveau zelf wordt afgedwongen. In de praktijk is een p=reject-beleid in feite verplicht voor elk domein onder .BANK of .INSURANCE.

Ondertussen geldt voor het gewone, klantgerichte .com-domein van dezelfde instelling – het domein dat daadwerkelijk in de meeste e-mails aan klanten voorkomt – geen dergelijke vereiste en wordt dit, volgens bovenstaande gegevens, op zijn best in ongeveer de helft van de gevallen nageleefd.

Dat contrast is het duidelijkste bewijs dat handhaving een opgelost technisch en operationeel probleem is zodra het verplicht wordt gesteld. Het gaat hier dus niet om een tekort aan capaciteit, maar om een tekort op het gebied van beleid en prioritering.

Waarom de kloof blijft bestaan (het ligt niet aan onwetendheid)

De redenen die banken aanvoeren om bij p=none te blijven, hebben niets te maken met onwetendheid. Volgens de analyse van Red Sift zijn de redenen operationele complexiteit en risicoaversie:

• Een grote bank leidt e-mail door via honderden legitieme derde partijen: marketingplatforms, systemen voor hypotheekbeheer, programma’s voor het genereren van afschriften en leveranciers van leningdocumenten.
• Als je direct naar de status ‘p=reject’ gaat, loop je het risico dat het leningsdocument of de loonstrook van een klant wordt geblokkeerd als ook maar één van die afzenders niet correct is geauthenticeerd.
• Voor een bank is een geblokkeerde legitieme e-mail een incident op zich, een incident dat onmiddellijk aan het licht komt, terwijl een vervalste e-mail die in de map ‘p=none’ blijft staan een risico vormt dat onzichtbaar blijft totdat het niet langer onzichtbaar is.

Dat is een reële zorg, maar het is ook precies wat de standaard, gefaseerde invoering van DMARC moet oplossen. Het traject van p=none via monitoring en p=quarantine naar p=reject is juist bedoeld om een organisatie in staat te stellen elke legitieme afzender te identificeren voordat er iets wordt geblokkeerd.

Wat ‘beschermd’ in 2026 voor een financiële instelling zou moeten betekenen

Een redelijke ondergrens voor elke financiële instelling ziet er tegenwoordig als volgt uit:

• DMARC wordt afgedwongen met p=reject voor elk domein dat financiële berichten kan verzenden of waarvan het adres kan worden vervalst om dergelijke berichten te verzenden, en niet alleen voor het primaire bedrijfsdomein.
• De dekking is uitgebreid naar geparkeerde domeinen en defensieve registraties, en niet alleen naar domeinen die actief worden gebruikt voor e-mailverkeer van klanten.
• Een inventaris van verzendbronnen die daadwerkelijk up-to-date wordt gehouden, zodat externe leveranciers na de eerste implementatie niet stilletjes uit de pas raken.

PCI DSS v4.0.1 heeft vanaf maart 2025 anti-phishingmaatregelen verplicht gesteld voor bedrijven die met kaartgegevens werken. De Safeguards Rule van de FTC is al van toepassing op een veel breder scala aan financiële bedrijven dan de meeste niet-bancaire ondernemingen beseffen. Geen van beide beschouwt een ‘p=none’-record als naleving, en dat zou ook geen enkele instelling moeten doen die zichzelf als beschermd wil bestempelen.

Zo sluit de cirkel van de kop. Een instelling kan in alle eerlijkheid zeggen dat ze „DMARC heeft“, terwijl de instelling op p=none staat, en is dan net zo kwetsbaar voor spoofing als een instelling die helemaal geen record heeft.

Hoe PowerDMARC helpt de kloof te dichten

De overgang van p=none naar p=reject is een proces, geen simpele omschakeling, en dat is precies waar de meeste financiële instellingen vastlopen. Het platform van PowerDMARC is speciaal ontworpen voor die specifieke overgang:

• Inzicht vóór handhaving: realtime informatie over bedreigingen brengt elk domein en elke derde partij die namens een instelling e-mail verstuurt in kaart, zodat beveiligingsteams kunnen zien wie er toestemming moet krijgen voordat er ook maar één bericht wordt geblokkeerd.
• Beheerde authenticatie: dankzij gehoste SPF, DKIM, DMARC, MTA-STS en BIMI kan een team de fasen van ‘monitoren’ en ‘handhaven’ doorlopen met behulp van een realtime nalevingsdashboard, in plaats van handmatig spreadsheets met DNS-records bij te houden.
• Afstemming op bestaande vereisten: Aangezien DMARC een specifiek genoemde controlemaatregel is onder PCI DSS v4.0.1, voldoet dezelfde implementatie waarmee een bank de instelling „p=reject“ instelt, ook aan een controlemaatregel waarop inspecteurs al controleren.
• AI-ondersteunde dreigingsdetectie: bedoeld om phishing- en BEC-patronen in de financiële sector, zoals vervalste overschrijvingsopdrachten of valse facturen van leveranciers, op te sporen nog voordat ze de inbox bereiken.

Hiermee wordt het excuus weggenomen dat handhaving te ingewikkeld of te riskant is om hiermee door te gaan.

Slotgedachten

De financiële dienstensector heeft de invoering sneller gerealiseerd dan vrijwel elke andere sector. De handhaving is echter nog geen opgelost probleem, en de instellingen die het minst geneigd zijn om handhaving uit te oefenen, zijn ook de instellingen die het minst waarschijnlijk ooit in een onderzoek naar voren zullen komen. Uit de eigen cijfers van de FBI blijkt ondertussen wat er op het spel staat: in het IC3-jaarverslag 2025 van de FBI werden voor het eerst in de geschiedenis meer dan 1 miljoen klachten over cybercriminaliteit geregistreerd, met een totaal aan verliezen van 20,877 miljard dollar, een stijging van 26% ten opzichte van 2024. Phishing was de meest gemelde vorm van criminaliteit, en alleen al ‘business email compromise’ was goed voor 3,05 miljard dollar van het totaal.

Wat bij de meeste instellingen ontbreekt, is niet zozeer een oplossing, maar de organisatorische beslissing om die ook daadwerkelijk toe te passen. Als je wilt weten hoe de domeinen van je eigen instelling er op dit moment voor staan, laat de gratis Domain Analyzer van PowerDMARC je dat binnen een minuut zien!

• Over
• Laatste berichten

Ahona Rudra

Expert op het gebied van domein- en e-mailbeveiliging bij PowerDMARC

Ahona is marketingmanager bij PowerDMARC en heeft meer dan vijf jaar ervaring met het schrijven over cybersecurity, gespecialiseerd in domein- en e-mailbeveiliging. Ahona heeft een masterdiploma in journalistiek en communicatie, en heeft sinds 2019 haar carrière in de beveiligingssector verder uitgebouwd.

Laatste berichten van Ahona Rudra (Bekijk alle berichten)

• De meeste financiële instellingen beschikken over DMARC. Bijna geen enkele is daardoor beschermd. - 22 juli 2026
• Wat is MFA-moeheid (push-bombing)? - 21 juli 2026
• DMARC MSP-casestudy: Hoe Adoptive Technologies met PowerDMARC gecentraliseerde e-mailbeveiliging aan klanten levert - 17 juli 2026