Verenigd Koninkrijk DMARC & MTA-STS-implementatierapport 2026

Wij bij PowerDMARC hebben de e-mailverificatie van 875 domeinen in het Verenigd Koninkrijk. De bevindingen wijzen op een land dat zich in een staat van "gedeeltelijke paraatheid" bevindt, een precaire situatie gezien het feit dat het Britse National Cyber Security Centre (NCSC) zijn Mail Check- en Web Check-diensten officieel stopzet per 31 maart 2026.

Dit betekent een enorme verschuiving in het cyberlandschap van het Verenigd Koninkrijk. Jarenlang hebben organisaties vertrouwd op deze gecentraliseerde tools voor monitoring. Nu verschuift het NCSC de volledige verantwoordelijkheid voor de implementatie en handhaving van DMARC rechtstreeks naar individuele organisaties. Nu het vangnet van Mail Check verdwijnt, wordt de kloof tussen het hebben van een record en het daadwerkelijk handhaving is niet langer alleen een technisch overzicht, maar een noodsituatie op het gebied van naleving en veiligheid.

Voor meer informatie over hoe uw organisatie deze overgang kan doorvoeren en zichtbaar kan blijven, leest u onze gids: NCSC Mail Check-wijzigingen voor de Britse publieke sector.

Uit de volgende analyse blijkt dat organisaties weliswaar het vakje 'authenticatie' (SPF) hebben aangevinkt, maar de lagen 'encryptie' (MTA-STS) en 'integriteit' (DNSSEC) grotendeels hebben genegeerd.

Rapportaanvraag - DMARC-implementatie in het Verenigd Koninkrijk

"*" geeft verplichte velden aan

Dit veld is voor validatiedoeleinden en moet ongewijzigd blijven.
Naam*

Het nationale overzicht van het Verenigd Koninkrijk: een verhaal over twee verdedigingen

Voordat we ingaan op de specifieke sectoren, volgt hier eerst een overzicht van de algemene beveiligingssituatie voor het Verenigd Koninkrijk voor alle 875 geanalyseerde domeinen.

VK SPF

SPF-correctheid – 93,7%

VK DMARC

DMARC-acceptatie – 86,4%

DMARC p=afwijzen – 44,1%

VK MTA-STS

MTA-STS-acceptatie – 20,6%

Geen MTA-STS – 79,4%

MTA-STS-testen – 4,5%

MTA-STS Handhaven – 16,1%

BIMI-logo

DNSSEC-acceptatie – 3,8%

Begin een 15 dagen proefabonnement

1. Bankwezen en financiën: de beveiligde perimeter met open tunnels

Britse banken lopen voorop in het land wat betreft handhaving, maar door een kritieke lacune in het transport zijn miljarden aan overschrijvingen kwetsbaar voor onderschepping.

Metrisch Adoptiegraad
SPF juistheid 93.5%
DMARC p=afwijzen 61.3%
Geen DMARC record 0.0%
MTA-STS adoptie 4.8%
DNSSEC-adoptie 11.3%
Bankwezen SPF-toepassing Verenigd Koninkrijk

Het kritieke risico: onderschepping van transacties met een hoge waarde.

Hoewel Britse banken het hoogste handhavingspercentage hebben (61,3%), is er een verschil van 95,2% in MTA-STS is catastrofaal, met slechts 1,6% in testmodus en 3,2% in handhavingsmodus. Zonder transportbeveiliging worden gevoelige SWIFT-bevestigingsmails via onversleutelde paden verzonden. Uit recente gegevens blijkt dat betalingsfraude en oplichting meer dan £ 629,3 miljoen gestolen, vaak geïnitieerd door gemanipuleerde e-mailcommunicatie.

De PowerDMARC-oplossing:

Met Hosted MTA-STSdwingen we alle financiële e-mailverkeer via versleutelde TLS 1.2+-kanalen te verlopen, waardoor het risico op 'downgrade-aanvallen' aanzienlijk wordt verminderd. Bij dergelijke aanvallen verwijderen criminelen de versleuteling om gevoelige communicatie tussen banken en klanten tijdens het transport te kunnen lezen.

2. Overheid: leiden op basis van mandaat, falen door gebrek aan identiteitsbewustzijn

De Britse publieke sector heeft de hoogste encryptiepercentages van het land, maar toch heeft 1 op de 8 departementen nog steeds geen basis DMARC-record.

Metrisch Adoptiegraad
SPF juistheid 94.8%
DMARC p=afwijzen 57.1%
Geen DMARC record 12.2%
MTA-STS adoptie 39.9%
DNSSEC-adoptie 2.6%
Overheid DMARC-implementatie Verenigd Koninkrijk

Het kritieke risico: identiteitsfraude en lekken van persoonlijk identificeerbare informatie.

Overheidsdomeinen zijn duidelijk koplopers in de acceptatie van MTA-STS (39,9%), aangestuurd door NCSC-mandaten; 7,6% bevindt zich in de testmodus en 32,4% in de handhavingsmodus. Echter, met 12,2% geen DMARC-record heeften nog eens 42,9% niet voldoet aan p=reject, blijft de identiteitslaag poreus. Het datalek bij het Ministerie van Defensie in 2024, waarbij de salarisgegevens van 272.000 personeelsleden, laat zien hoe kwetsbaar de infrastructuur van de publieke sector kan zijn voor identiteitsgerelateerde misbruik.

De PowerDMARC-oplossing:

Ons platform automatiseert het traject naar p=reject voor subdomeinen van de overheid, zodat ze voldoen aan de hoogste veiligheidsnormen zonder het risico te lopen dat cruciale communicatiestromen met burgers worden onderbroken.

3. Gezondheidszorg: HIPAA-risico's op Brits grondgebied

Het vertrouwen van patiënten staat op het spel, aangezien slechts 1 op de 3 zorgverleners actief kan voorkomen dat een vervalste e-mail een patiënt bereikt.

Metrisch Adoptiegraad
SPF juistheid 92.5%
DMARC p=afwijzen 34.0%
Geen DMARC record 13.2%
MTA-STS adoptie 9.4%
DNSSEC-adoptie 1.9%
Gezondheidszorg MTA-STS-implementatie Verenigd Koninkrijk

Het kritieke risico: lekken van beschermde gezondheidsinformatie (PHI).

De gezondheidszorg blijft een belangrijk doelwit voor ransomwaregroepen zoals Qilin, die onlangs de NHS aanviel en 400 GB aan privégegevens lekte. Met een lage DMARC-handhaving (34,0%) en een bijna nul DNSSEC (1,9%) kunnen aanvallers gemakkelijk ziekenhuisgegevens vervalsen om malware te verspreiden of personeel te misleiden om gevoelige medische dossiers vrij te geven.

De PowerDMARC-oplossing:

Wij bieden een beheerd traject naar volledige DMARC en MTA-STS-handhaving, zodat elk uitgaand medisch dossier wordt versleuteld en elke officiële gezondheidsmelding wordt geverifieerd.

Een demo boeken

4. Transport en logistiek: de onbeschermde toegangspoort van de toeleveringsketen

De Britse transportnetwerken zijn een open uitnodiging voor fraude en hebben het hoogste percentage 'No-DMARC' in het land.

Metrisch Adoptiegraad
SPF juistheid 91.3%
DMARC p=afwijzen 32.8%
Geen DMARC record 26.7%
MTA-STS adoptie 6.2%
DNSSEC-adoptie 2.6%

Het kritieke risico: factuurkaping en dienstonderbreking.

De transportsector is ernstig kwetsbaar, met meer dan 26% van de domeinen helemaal geen DMARC heeft. De cyberaanval van 2024 op Transport for London (TfL), waarbij de financiële gegevens van 5.000 klanten werden gecompromitteerd, bewijst dat vervoerssystemen zeer waardevolle doelwitten zijn. Aanvallers gebruiken vervalste "Critical Equipment Alerts" of valse manifesten om de kloof tussen de bedrijfsinbox en de fysieke logistiek te overbruggen.

De PowerDMARC-oplossing:

We optimaliseren complexe SPF-records om binnen de DNS-lookup-limieten en handhaven strikte DMARC-beleidsregels om logistieke kanalen te beveiligen tegen factuurfraude.

5. Onderwijs: het gebied van intellectuele eigendom

Academische campussen zijn zeer aantrekkelijke doelwitten voor diefstal van intellectueel eigendom, maar toch hebben ze de laagste handhavingspercentages in het Verenigd Koninkrijk.

Metrisch Adoptiegraad
SPF juistheid 94.6%
DMARC p=afwijzen 23.9%
Geen DMARC record 4.3%
MTA-STS adoptie 17.4%
DNSSEC-adoptie 4.3%
Onderwijs SPF Adoptie Verenigd Koninkrijk

Het kritieke risico: onderzoek en het verzamelen van inloggegevens.

Maar liefst 91% van de Britse instellingen voor hoger onderwijs een cyberinbreuk in 2025. Door de lage DMARC-handhaving (23,9%) kunnen aanvallers inloggegevens van universiteiten vervalsen en zo toegang krijgen tot onderzoeksdatabases en financiële gegevens van studenten ter waarde van miljoenen ponden.

De PowerDMARC-oplossing:

Wij helpen universiteiten bij het beheren van duizenden subdomeinen van afdelingen vanuit één dashboard, waardoor het aantal succesvolle phishing-pogingen op de hele campus drastisch wordt teruggedrongen.

6. Media: de versterker van desinformatie

Nieuwsredacties bestrijden nepnieuws, maar hun eigen e-maildomeinen blijven kwetsbaar voor vervalste auteursvermeldingen en de verspreiding van deepfakes.

Metrisch Adoptiegraad
SPF juistheid 98.4%
DMARC p=afwijzen 41.3%
Geen DMARC record 3.2%
MTA-STS adoptie 1.6%
DNSSEC-adoptie 1.6%
BIMI-logo

Het kritieke risico: identiteitsdiefstal en deepfake-fraude.

Hoewel Media een hoge SPF-correctheid heeft (98,4%), is de acceptatie van MTA-STS en DNSSEC vrijwel nihil. Dit betekent dat de communicatie van journalisten zichtbaar is voor degenen die het netwerk monitoren, en dat hun namen kunnen worden vervalst om deepfake-verhalen te verspreiden of werknemers te misleiden tot frauduleuze overschrijvingen.

De PowerDMARC-oplossing:

We verplaatsen mediadomeinen naar p=reject, zodat alleen geverifieerde medewerkers e-mails kunnen versturen en het vertrouwen in het merk behouden blijft in een tijdperk van door AI aangestuurde informatieoorlogen.

Begin een 15 dagen proefabonnement

7. Telecommunicatie: Magneet voor oplichting van abonnees

Providers beveiligen hun netwerken, maar laten hun inboxen open, wat factuurfraude en sim-swap-epidemieën in de hand werkt.

Metrisch Adoptiegraad
SPF juistheid 91.0%
DMARC p=afwijzen 32.8%
Geen DMARC record 11.9%
MTA-STS adoptie 9.0%
DNSSEC-adoptie 9.0%
BIMI-logo

Het kritieke risico: factuurfraude en account-overnames.

Door hoge 'No-DMARC'-percentages (11,9%) kunnen oplichters valse factuurwaarschuwingen versturen die er legitiem uitzien, waardoor gebruikers worden misleid om de 2FA-codes vrij te geven die nodig zijn voor sim-swapping of identiteitsdiefstal.

De PowerDMARC-oplossing:

Ons platform dwingt af p=reject op alle domeinen van providers en host MTA-STS om geautomatiseerde factureringsstromen te beveiligen, waardoor het voor oplichters onmogelijk wordt om de naam van de provider tegen zijn abonnees te gebruiken.

Onder de motorkap: vier structurele zwakke punten

De p=none-implementatiekloof

18,9% van de Britse domeinen heeft DMARC, maar er wordt geen handhaving toegepast.

Inzicht van experts:

"Een DMARC-beleid dat is ingesteld op p=none biedt alleen rapportage en inzicht in pogingen tot spoofing, zonder deze te blokkeren. Hoewel het hoge acceptatiepercentage in het Verenigd Koninkrijk bemoedigend is, is een overstap naar een DMARC-beleid van p=reject noodzakelijk om ongeoorloofd e-mailgebruik actief te voorkomen."

Maitham Al Lawati, CEO, PowerDMARC

Inzicht van experts:

"De limiet van 10 lookups is een harde grens in DNS. Zonder SPF-optimalisatietechnieken zoals flattening of macro's om deze records te comprimeren, zal de groei van uw digitale stack onvermijdelijk uw e-mailbezorgbaarheid verstoren."

Yunes Tarada, Service Delivery Manager, PowerDMARC

SPF-complexiteit op schaal

6,3% van de Britse domeinen kampt met kritieke configuratiefouten, vaak als gevolg van de "limiet van 10 lookups".

MTA-STS: Het encryptietekort

79,4% van de Britse domeinen heeft een totale controlekloof met betrekking tot transportbeveiliging.

Inzicht van experts:

"Standaard e-mailversleuteling (STARTTLS) is opportunistisch. MTA-STS is een manier om de transportvergrendeling af te dwingen. Nu bijna al het verkeer in het Verenigd Koninkrijk blootligt, is het voor een aanvaller een fluitje van een cent om de versleuteling te verwijderen en gevoelige bedrijfscommunicatie tijdens het transport te lezen."

Ayan Bhuiya, Operations & Delivery Shift Lead, PowerDMARC

Inzicht van experts:

"DNSSEC fungeert als bewaker van uw digitale identiteit. Het is niet langer alleen een IT-protocol, maar een fundamentele laag van merkreputatiemanagement. Eén enkel incident van DNS-kaping kan het vertrouwen in een merk binnen enkele seconden vernietigen."

Ahona Rudra, marketingmanager, PowerDMARC

DNSSEC: De zwakke basis

Ingeschakeld op slechts 3,8% van de Britse domeinen.

Neem Contact Met Ons Op

Wereldwijde benchmarking: het Verenigd Koninkrijk in context

Deze tabel vergelijkt kritieke beveiligingsprotocollen: SPF Correctheid (geldige records), DMARC-handhaving (p=afwijzen), MTA-STS-toepassing (transportversleuteling) en DNSSEC ingeschakeld.

LandSPF corrigerenDMARC (p=afwijzen)MTA-STSDNSSEC
Verenigde Staten 🇺🇸95.7%49.0%1.7%18.0%
Australië 🇦🇺92.3%46.7%5.8%6.8%
Verenigd Koninkrijk 🇬🇧93.7%44.1%20.6%3.8%
Noorwegen 🇳🇴85.2%29.0%2.8%45.6%
Italië 🇮🇹91.0%16.7%1.0%3.5%
Saoedi-Arabië 🇸🇦80.6%18.4%0.2%11.9%
Japan 🇯🇵95.0%9.2%0.5%16.4%
Nigeria 🇳🇬70.3%14.2%0.0%8.2%

Belangrijkste inzichten uit de officiële rapporten

De handhavingskloof

Hoewel het gebruik van SPF algemeen hoog is (gemiddeld meer dan 90% in ontwikkelde landen), is de verschuiving van 'monitoring' (p=none) naar 'handhaving' (p=afwijzing) blijft de grootste hindernis. Japan heeft bijvoorbeeld een hoge SPF (95%), maar kampt met een enorme handhavingskloof, met slechts 9,2% van de domeinen actief vervalste e-mails blokkeert.

De opvallende MTA-STS van het Verenigd Koninkrijk

The United Kingdom shows an unusually high MTA-STS adoption rate (20.6%) compared to the global average (typically <2%). This is largely attributed to strict NCSC (National Cyber Security Centre) guidelines that have pushed for transport layer security across government and critical infrastructure sectors.

DNSSEC-adoptie

Noorwegen en de Verenigde Staten lopen voorop bij de invoering van DNSSEC, met name binnen de overheidssector en de financiële sector, wat aangeeft dat het voorkomen van DNS-kaping en cache poisoning-aanvallen in die regio's een hogere prioriteit heeft.

De 'complianceval'

PowerDMARC benadrukt dat veel organisaties nog steeds op p=none . In het rapport Saudi-Arabië 2025staan bijvoorbeeld tal van organisaties met DMARC nog steeds in de "passieve" modus, waardoor ze kwetsbaar blijven voor identiteitsfraude, ondanks het feit dat ze een record hebben.

Conclusie: van statistieken naar actie

De gegevens zijn duidelijk: het Verenigd Koninkrijk heeft een sterke technische basis gelegd, maar moet nog een brug slaan tussen passieve monitoring en actieve handhaving van verkeersregels. Hoewel SPF bijna overal aanwezig is (93,7%) en DMARC op grote schaal wordt toegepast (86,4%), slaagt meer dan de helft van het land er niet in om volledige handhaving te bereiken (p=reject) en het wijdverbreide gebrek aan DNSSEC-integriteit (96,2% verschil) blijft een kwetsbaarheid van miljarden ponden.

Britse organisaties kunnen het zich niet veroorloven om te wachten op de volgende NCSC waarschuwing of een catastrofaal Business Email Compromise (BEC)-incident te wachten om van monitoring naar bescherming over te stappen. PowerDMARC overbrugt deze "implementatiekloof" door het volgende te bieden:

Geautomatiseerde handhavingspaden: Veilige migratie van zowel FTSE 100-bedrijven als kleine en middelgrote ondernemingen van p=none naar p=reject zonder kritieke zakelijke communicatie of de e-mailstroom binnen afdelingen te blokkeren.

Vereenvoudiging van de infrastructuur: het overwinnen van de 'limiet van 10 lookups' met SPF-optimalisatie, het hosten van MTA-STS om de 79 ,4% encryptiekloof te dichten , en DNSSEC-records valideren in één enkel, cloud-native dashboard.

Regelgevingsgereedheid: Ondersteuning van naleving van GDPR, UK Cyber Essentialsen PCI-DSS 4.0 door anti-phishingbeveiliging te vereenvoudigen en gevoelige e-mailcommunicatie te beveiligen.

Een demo boeken Neem contact met ons op

PowerDMARC-perspectief

"Het Verenigd Koninkrijk is momenteel een belangrijk doelwit voor AI-gedreven phishing en factuurfraude. Hoewel Britse IT-teams uitstekend zijn in het publiceren van fundamentele records, worden ze vaak verlamd door de angst om legitieme e-mails te blokkeren. In 2026 is een 'alleen-monitoring'-houding in feite een overgave aan geavanceerde spoofing. De overstap naar actieve verdediging is niet alleen een beveiligingsupgrade, maar ook essentieel voor bescherming tegen inbreuken die gericht zijn op het hart van de digitale economie van het Verenigd Koninkrijk."

PowerDMARC-team

Maak vandaag nog van zichtbaarheid een verdedigingsmiddel

De acceptatiegraad in het Verenigd Koninkrijk laat zien dat de basis klaar is; nu is het tijd om de knop om te zetten. In een omgeving waarin AI de toon van een leidinggevende perfect kan nabootsen, is het niet voldoende om alleen op 'zichtbaarheid' te vertrouwen.

Laat uw domein geen 'onbeschermde grens' blijven. Schakel over van passieve monitoring naar actieve bescherming voordat de volgende golf van gecoördineerde aanvallen uw branche treft.

Neem contact op met PowerDMARC om uw reis naar handhaving te beginnen.

Vijftien dagen op proefBoek een demo