Inhalt in Kürze
- 939 Hamburger Unternehmen wurden auf ihre öffentlich sichtbare IT-Hygiene geprüft — nur passive Abfragen, keine Scans.
- Nur 37,5 % weisen gefälschte Mails in ihrem Namen tatsächlich ab.
- 70,4 % haben DMARC eingerichtet — aber 47 % davon stehen auf „none” und lassen die Fälschung trotzdem zu.
- Die Verschlüsselung ist kein Problem mehr: 92,4 % sprechen TLS 1.3, veraltete Versionen kamen praktisch nicht vor.
- DNSSEC ist eines: 4,9 %.
Wir wollten eine Zahl wissen, die es für Hamburg nicht gab: Wie gut schützt die hiesige Wirtschaft eigentlich ihre eigene Mail-Absenderadresse?
Also haben wir gemessen. 939 Betriebe, ein Tag, ausschließlich Auskünfte, die jeder Mailserver und jeder Browser ohnehin abfragt.
Das Ergebnis ist eindeutiger als erwartet — und die interessante Lücke liegt nicht dort, wo man sie vermutet.
Die eine Zahl: 37,5 Prozent
Von den 864 Domains mit Mailempfang weisen 324 gefälschte Absender tatsächlich ab. Das sind 37,5 Prozent. Bei allen anderen kann ein Fremder eine Mail verschicken, die aussieht, als käme sie von der Geschäftsführung — und der Empfänger hat keine technische Möglichkeit, das zu erkennen.
Die eigentliche Lücke: „eingerichtet” ist nicht „wirksam”
Hier wird es interessant. 70,4 Prozent haben einen DMARC-Eintrag. Auf dem Papier sieht das ordentlich aus.
Nur: Ein DMARC-Eintrag kann auf drei Stufen stehen.
- none. Es passiert nichts. Der Empfänger schickt Berichte über Fälschungen, stellt sie aber zu. Gedacht als Zwischenschritt, um zu sehen, welche eigenen Systeme versenden.
- quarantine. Fälschungen landen im Spam-Ordner.
- reject. Fälschungen werden abgewiesen und kommen gar nicht erst an.
Von den 608 Hamburger Betrieben mit DMARC stehen 284 auf „none” — das sind 47 Prozent. Sie haben die Arbeit gemacht, den Eintrag gesetzt, vielleicht sogar Berichte eingerichtet. Und dann ist es liegen geblieben.
Warum das so oft hängen bleibt
Das ist kein Nachlässigkeitsproblem, sondern ein Ablaufproblem. Wer DMARC direkt auf „reject” stellt, ohne vorher zu wissen, welche Systeme im eigenen Namen versenden, blockiert seine eigene Rechnungsstellung.
Die Liste ist meist länger als gedacht: Warenwirtschaft, Newsletter-Werkzeug, Bewerberportal, Ticketsystem, das Buchhaltungsprogramm des Steuerberaters, die Terminbestätigung aus dem CRM. Jedes davon muss im SPF-Eintrag stehen, sonst fällt es beim Scharfschalten aus.
Also setzt man „none”, sammelt vier Wochen Berichte — und dann kommt etwas dazwischen. Genau an dieser Stelle bleiben 284 Hamburger Betriebe stehen.
Wir haben das mehrfach bei Übernahmen gesehen: DMARC steht seit zwei Jahren auf „none", die Berichte laufen in ein Postfach, das niemand öffnet. Die Scharfschaltung selbst dauert danach eine halbe Stunde — es fehlte nur der Termin, an dem jemand die Berichte einmal durchgeht.
Was überraschend gut aussieht
Nicht alles ist Alarm. Bei der Verschlüsselung der Website haben Hoster und Zertifikatsanbieter den Betrieben die Arbeit weitgehend abgenommen:
- 92,4 % sprechen TLS 1.3, die aktuelle Fassung.
- Veraltete Versionen (TLS 1.0/1.1) kamen praktisch nicht mehr vor. Das war vor fünf Jahren noch anders.
- 92,9 % haben einen SPF-Eintrag. Die Grundlage ist da — sie ist nur bei knapp der Hälfte weich gestellt.
Das ist ein bemerkenswertes Muster: Wo eine Einstellung beim Anbieter liegt, ist sie meistens richtig. Wo sie im eigenen DNS liegt, bleibt sie oft halbfertig.
Was schlecht aussieht
DNSSEC: 4,9 Prozent. Ohne DNSSEC lässt sich die Namensauflösung einer Domain im Netz eines Angreifers auf einen fremden Server umbiegen. Bei den meisten Registraren ist es ein Schalter — genutzt wird er kaum. Die DENIC erklärt das Verfahren für .de-Domains und führt auch, wer es unterstützt.
MTA-STS: 2,8 Prozent. Damit lässt sich erzwingen, dass Mail an eine Domain nur verschlüsselt zugestellt wird. Ohne MTA-STS kann ein Angreifer die Verschlüsselung im Vorbeigehen abschalten, ohne dass es jemandem auffällt. Das BSI führt das Verfahren in seiner Richtlinie TR-03108 „Sicherer E-Mail-Transport”.
Alle vier Sicherheits-Kopfzeilen: 9,8 Prozent. Content-Security-Policy, X-Frame-Options, X-Content-Type-Options und Referrer-Policy kosten nichts und verhindern eine ganze Klasse von Angriffen über den Browser. Neun von zehn Hamburger Websites setzen nicht alle vier.
Aus der Praxis
Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Der praktische Schaden aus einer ungeschützten Absenderadresse ist selten Erpressung. Es ist eine Rechnung: Ein Angreifer schickt Ihrem Kunden eine Mail, die aussieht, als käme sie von Ihnen — mit geänderter Bankverbindung. Der Kunde zahlt. Das Geld ist weg, der Ärger bleibt bei Ihnen.
Wie wir gemessen haben — und was das nicht ist
Ehrlichkeit gehört zur Zahl dazu, sonst ist sie nicht zitierfähig.
Die Stichprobe stammt aus Wikidata (CC0): alle Objekte mit Sitz in Hamburg und offizieller Website, bereinigt um Behörden, Vereine, Medien, Hochschulen und Kultureinrichtungen sowie um Mehrfachnennungen. Übrig blieben 939 Domains.
Was das nicht ist: keine Zufallsstichprobe aus dem Handelsregister. Wikidata verzeichnet vor allem Betriebe, die groß oder bekannt genug für einen Eintrag sind. Die tatsächlichen Werte über alle Hamburger Betriebe dürften eher schlechter ausfallen als die hier gemessenen — nicht besser.
Gemessen wurde ausschließlich passiv: öffentliche DNS-Einträge und je Domain eine reguläre HTTPS-Verbindung zur Startseite. Keine Portscans, keine Schwachstellenprüfung, keine Anmeldeversuche. Kein einziges Unternehmen wird genannt, weder hier noch in den Rohdaten noch auf Nachfrage.
Die vollständige Methodik, alle Zahlen und die Daten als CSV zum Nachrechnen stehen auf der Seite zum Hamburger IT-Sicherheits-Index.
Prüfen Sie Ihre eigene Domain
Auf derselben Seite steht ein Selbsttest: Domain eingeben, Ergebnis sofort. Dieselben Prüfungen, ohne Anmeldung, ohne E-Mail-Adresse, ohne Speicherung.
Wenn dabei „DMARC auf none” herauskommt, ist das kein Grund zur Panik — aber ein Termin wert. Was zu tun ist, steht in unserem Beitrag DMARC erklärt.
Ihr nächster Schritt
Diese Erhebung wiederholen wir jedes Jahr mit derselben Abfrage. Eine Zeitreihe ist mehr wert als eine Momentaufnahme — erst sie zeigt, ob sich etwas bewegt.
Bis dahin: Der Selbsttest dauert zehn Sekunden. Wenn Ihre Domain zu den 62,5 Prozent gehört, die Fälschungen nicht abweisen, ist das in einer halben Stunde geändert — vorausgesetzt, jemand geht vorher die Liste der versendenden Systeme durch. Genau das machen wir für Hamburger Betriebe im Rahmen von Cybersecurity und Managed IT.
