Wie verbreitet ist DMARC? Messung bei den 10 000 meistbesuchten Domains
Wie viele der beliebtesten Domains im Netz haben SPF, DMARC, MTA-STS und BIMI eingerichtet, und wie streng ist ihr DMARC? Wir haben es am 1. November 2026 bei den 10 000 meistbesuchten Domains gemessen. Hier sind die Zahlen, die Methode und wo die Messung an Grenzen stößt.
Die Ergebnisse
Von den 10 000 gemessenen Domains nehmen 7 189 (71,9 %) Mail an, das heißt, sie haben einen MX-Eintrag. Alle Prozentzahlen unten beziehen sich auf diese 7 189 Domains.
| Merkmal | Anteil |
|---|---|
| SPF-Eintrag | 92,7 % |
| DMARC-Eintrag | 82,4 % |
DMARC mit Durchsetzung (quarantine oder reject) | 60,7 % |
DMARC mit reject | 34,9 % |
| BIMI-Eintrag | 13,2 % |
| TLS-RPT-Eintrag | 4,5 % |
| MTA-STS-Eintrag | 4,0 % |
Auffällig: SPF und DMARC sind bei beliebten Domains fast Standard. MTA-STS und TLS-RPT, die verschlüsselten Empfang absichern, hat nur etwa jede 25. Domain.
DMARC genauer
Von den 7 189 Domains mit Mail haben 5 926 einen DMARC-Eintrag. Ihre Richtlinie (p=):
| Richtlinie | Domains | Anteil an allen Domains mit Mail |
|---|---|---|
reject | 2 509 | 34,9 % |
quarantine | 1 855 | 25,8 % |
none | 1 560 | 21,7 % |
| kein DMARC | 1 263 | 17,6 % |
Von den Domains mit DMARC haben 87,2 % eine Berichtsadresse (rua=) eingetragen. Bei den SPF-Einträgen enden 47,8 % auf ~all, 46,4 % auf -all, 2,1 % auf ?all. Ein einziger Eintrag erlaubt mit +all jedem das Senden.
Mehr als jede fünfte Domain steht also bei p=none, dem Startwert, der Fälschungen nur beobachtet und nicht abweist. Zwei Einträge hatten eine ungültige Richtlinie.
Nach Beliebtheit
Je beliebter die Domain, desto häufiger ist DMARC streng eingestellt:
| Rang | Domains mit Mail | DMARC | mit Durchsetzung | reject |
|---|---|---|---|---|
| 1 bis 1 000 | 684 | 89,3 % | 74,9 % | 50,6 % |
| 1 001 bis 3 000 | 1 391 | 83,5 % | 64,1 % | 36,8 % |
| ab 3 001 | 5 114 | 81,2 % | 57,9 % | 32,3 % |
Methode
- Domainliste: Die ersten 10 000 Einträge des Tranco-Rankings (Datei
top-1m.csv.zip, zuletzt geändert am 31. Oktober 2026). - Gemessen am: 1. November 2026, von einem Server in Deutschland.
- Was gemessen wurde: nur öffentliche DNS-Einträge (MX, TXT bei der Domain,
_dmarc,_mta-sts,_smtp._tlsunddefault._bimi). Es wurde kein Mailserver kontaktiert. - Mail-Domain: Eine Domain zählt als „nimmt Mail an“, wenn sie einen MX-Eintrag hat, der nicht auf einen „Null-MX“ zeigt.
- Auswertung: Wir nennen keine einzelnen Domains, nur Summen. Die Zahlen stehen auch als JSON-Datei. Bei keiner Abfrage trat ein Fehler auf.
Grenzen der Messung
- Nicht repräsentativ für kleine Domains. Die Liste enthält die beliebtesten Seiten. Bei Domains kleiner Firmen, Vereine und Selbstständiger dürfte DMARC deutlich seltener sein. Das haben wir hier nicht gemessen.
- Ein MX-Eintrag heißt nicht, dass die Domain Mail verschickt. Manche nehmen nur Mail an oder tun es zum Schein.
- Eintrag ist nicht gleich Wirkung. Wir sehen, was veröffentlicht ist, nicht, ob alle Absender wirklich bestehen oder ob Empfänger die Richtlinie durchsetzen.
- Subdomains und andere Selektoren haben wir nicht untersucht. DKIM haben wir nicht gemessen, weil der Selektor von außen nicht bekannt ist.
- Die Liste ist ein Ranking der Beliebtheit auf Basis mehrerer Quellen und ändert sich täglich.
Was das für deine Domain heißt
Wenn schon die meisten großen Domains DMARC haben, ist es für deine Domain auch eher Pflicht als Kür, gerade wenn du viele Mails verschickst (Anforderungen von Gmail, Yahoo und Outlook). Der Weg ist immer derselbe: mit p=none starten, Berichte sammeln, dann auf quarantine und später reject gehen.
- Prüfe deine Domain im Domain-Check oder im Bulk-Sender-Check.
- Erstelle einen Eintrag mit dem DMARC-Generator.
- Mit einem kostenlosen Konto wertet Postwacht deine DMARC-Berichte aus und sagt dir Schritt für Schritt, wann der nächste Schritt sicher ist (DMARC-Berichte auswerten).
Du darfst die Zahlen mit Quellenangabe (Postwacht, Messung vom 1. November 2026) verwenden. Fehler melde bitte über den Support.