Inhalt in Kürze
- 812 Hamburger Unternehmen wurden auf ihre öffentlich sichtbare IT-Hygiene geprüft — nur passive Abfragen, keine Scans.
- Nur 40,5 % weisen gefälschte Mails in ihrem Namen tatsächlich ab.
- 71,4 % haben DMARC eingerichtet — aber 43 % davon stehen auf „none” und lassen die Fälschung trotzdem zu.
- Die Verschlüsselung ist kein Problem mehr: 91,9 % sprechen TLS 1.3, veraltete Versionen kamen praktisch nicht vor.
- DNSSEC ist eines: 4,9 %.
- Im Bundesvergleich unauffällig: Bei allen Kennzahlen mit gleicher Definition liegt Hamburg höchstens zwei Prozentpunkte neben einer bundesweiten Messung von 9.935 Unternehmensdomains.
Wir wollten eine Zahl wissen, die es für Hamburg nicht gab: Wie gut schützt die hiesige Wirtschaft eigentlich ihre eigene Mail-Absenderadresse?
Also haben wir gemessen. 812 Betriebe, ein Tag, ausschließlich Auskünfte, die jeder Mailserver und jeder Browser ohnehin abfragt.
Das Ergebnis ist eindeutiger als erwartet — und die interessante Lücke liegt nicht dort, wo man sie vermutet.
Die eine Zahl: 40,5 Prozent
Von den 749 Domains mit Mailempfang weisen 303 gefälschte Absender tatsächlich ab. Das sind 40,5 Prozent. Bei allen anderen kann ein Fremder eine Mail verschicken, die aussieht, als käme sie von der Geschäftsführung — und der Empfänger hat keine technische Möglichkeit, das zu erkennen.
Die eigentliche Lücke: „eingerichtet” ist nicht „wirksam”
Hier wird es interessant. 71,4 Prozent haben einen DMARC-Eintrag. Auf dem Papier sieht das ordentlich aus.
Nur: Ein DMARC-Eintrag kann auf drei Stufen stehen.
- none. Es passiert nichts. Der Empfänger schickt Berichte über Fälschungen, stellt sie aber zu. Gedacht als Zwischenschritt, um zu sehen, welche eigenen Systeme versenden.
- quarantine. Fälschungen landen im Spam-Ordner.
- reject. Fälschungen werden abgewiesen und kommen gar nicht erst an.
Von den 535 Hamburger Betrieben mit DMARC stehen 232 auf „none” — das sind 43 Prozent. Sie haben die Arbeit gemacht, den Eintrag gesetzt, vielleicht sogar Berichte eingerichtet. Und dann ist es liegen geblieben.
Warum das so oft hängen bleibt
Das ist kein Nachlässigkeitsproblem, sondern ein Ablaufproblem. Wer DMARC direkt auf „reject” stellt, ohne vorher zu wissen, welche Systeme im eigenen Namen versenden, blockiert seine eigene Rechnungsstellung.
Die Liste ist meist länger als gedacht: Warenwirtschaft, Newsletter-Werkzeug, Bewerberportal, Ticketsystem, das Buchhaltungsprogramm des Steuerberaters, die Terminbestätigung aus dem CRM. Jedes davon muss im SPF-Eintrag stehen, sonst fällt es beim Scharfschalten aus.
Also setzt man „none”, sammelt vier Wochen Berichte — und dann kommt etwas dazwischen. Genau an dieser Stelle bleiben 232 Hamburger Betriebe stehen.
Wir haben das mehrfach bei Übernahmen gesehen: DMARC steht seit zwei Jahren auf „none", die Berichte laufen in ein Postfach, das niemand öffnet. Die Scharfschaltung selbst dauert danach eine halbe Stunde — es fehlte nur der Termin, an dem jemand die Berichte einmal durchgeht.
Was überraschend gut aussieht
Nicht alles ist Alarm. Bei der Verschlüsselung der Website haben Hoster und Zertifikatsanbieter den Betrieben die Arbeit weitgehend abgenommen:
- 91,9 % sprechen TLS 1.3, die aktuelle Fassung.
- Veraltete Versionen (TLS 1.0/1.1) kamen praktisch nicht mehr vor. Das war vor fünf Jahren noch anders.
- 93,3 % haben einen SPF-Eintrag. Die Grundlage ist da — sie ist nur bei knapp der Hälfte weich gestellt.
Das ist ein bemerkenswertes Muster: Wo eine Einstellung beim Anbieter liegt, ist sie meistens richtig. Wo sie im eigenen DNS liegt, bleibt sie oft halbfertig.
Was schlecht aussieht
DNSSEC: 4,9 Prozent. Ohne DNSSEC lässt sich die Namensauflösung einer Domain im Netz eines Angreifers auf einen fremden Server umbiegen. Bei den meisten Registraren ist es ein Schalter — genutzt wird er kaum. Die DENIC erklärt das Verfahren für .de-Domains und führt auch, wer es unterstützt.
MTA-STS: 3,5 Prozent. Damit lässt sich erzwingen, dass Mail an eine Domain nur verschlüsselt zugestellt wird. Ohne MTA-STS kann ein Angreifer die Verschlüsselung im Vorbeigehen abschalten, ohne dass es jemandem auffällt. Das BSI führt das Verfahren in seiner Richtlinie TR-03108 „Sicherer E-Mail-Transport”.
Alle vier Sicherheits-Kopfzeilen: 10,0 Prozent. Content-Security-Policy, X-Frame-Options, X-Content-Type-Options und Referrer-Policy kosten nichts und verhindern eine ganze Klasse von Angriffen über den Browser. Neun von zehn Hamburger Websites setzen nicht alle vier.
Hamburg im Bundesvergleich
Eine Woche nach unserer Messung hat kjello, die Portal-Produktlinie von hagel IT, dieselbe Frage für ganz Deutschland gestellt: 9.935 Unternehmensdomains, gemessen am 8. Oktober 2026. Methodik, Tabellen und Daten stehen in der bundesweiten Studie zur E-Mail-Sicherheit 2026.
Vergleichbar sind nur Kennzahlen, die beide Erhebungen gleich definieren. Das sind diese sechs, jeweils gerechnet über die Domains mit Mailempfang – in Hamburg 749, gemessen am 1. Oktober, bundesweit 9.935, gemessen am 8. Oktober 2026:
| Kennzahl | Hamburg | Bundesweit |
|---|---|---|
| DMARC-Eintrag vorhanden | 71,4 % | 73,0 % |
| davon auf „none” (nur beobachten) | 43 % | 42 % |
| DMARC auf „quarantine” oder „reject” | 40,5 % | rund 42 %¹ |
| SPF-Eintrag vorhanden | 93,3 % | 94,5 % |
| MTA-STS eingerichtet | 3,5 % | 3,0 % |
| TLS-RPT eingerichtet | 4,4 % | 3,5 % |
¹ 21,2 % „quarantine” plus 20,9 % „reject”, unabhängig vom pct-Wert – dieselbe Regel wie im Hamburger Index.
Hamburg liegt damit im Bundesschnitt. Keine Kennzahl weicht um mehr als zwei Prozentpunkte ab. Bei 749 Hamburger Domains liegt ein Abstand dieser Größe innerhalb der Messunschärfe — messbar besser oder schlechter ist Hamburg also nicht.
Die Schlagzeilenzahl der Bundesstudie, 37,8 Prozent „wirksam geschützt", ist strenger definiert als unsere 40,5 Prozent. Sie zählt eine Domain nur, wenn DMARC für alle Mails gilt (pct=100) und zusätzlich der SPF-Eintrag fehlerfrei ist. Unser Index prüft allein die DMARC-Stufe. Auch DNSSEC lässt sich nicht gegenüberstellen: Wir haben den DS-Eintrag über alle 812 Domains geprüft, die Bundesstudie die validierte Antwort über die Domains mit Mailempfang.
Zwei weitere Unterschiede gehören zur Einordnung. Der Hamburger Index enthält auch Konzerne; die Bundesstudie lässt Unternehmen mit mehr als 5.000 Beschäftigten und deren Töchter weg, ebenso Banken, Versicherungen und Stadtwerke. Beide Stichproben stammen aus Wikidata.
Was die bundesweite Messung zusätzlich zeigt und für Hamburger Betriebe genauso gilt:
- Kleine Betriebe sind am schlechtesten geschützt. Bei Firmen mit weniger als 50 Beschäftigten sind nach der strengen Definition 21,3 Prozent wirksam geschützt, bei 250 bis 999 Beschäftigten 48,7 Prozent.
- Die Voreinstellung des Mail-Anbieters setzt sich durch. Bei Domains mit Postfach bei IONOS tragen 86 Prozent DMARC im reinen Beobachtungsmodus, fast immer als wortgleichen Standardeintrag. Wirksam geschützt sind dort 6,2 Prozent.
- Microsoft 365 schützt nicht von selbst. Von den Domains, deren Mails Microsoft direkt annimmt, sind 42,8 Prozent wirksam geschützt.
Die Lücke „eingerichtet, aber nicht scharf geschaltet” ist also kein Hamburger Sonderfall. Sie ist der Normalzustand in Deutschland.
Aus der Praxis
Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGründer, hagel IT-Services GmbH
Der praktische Schaden aus einer ungeschützten Absenderadresse ist selten Erpressung. Es ist eine Rechnung: Ein Angreifer schickt Ihrem Kunden eine Mail, die aussieht, als käme sie von Ihnen — mit geänderter Bankverbindung. Der Kunde zahlt. Das Geld ist weg, der Ärger bleibt bei Ihnen.
Wie wir gemessen haben — und was das nicht ist
Ehrlichkeit gehört zur Zahl dazu, sonst ist sie nicht zitierfähig.
Die Stichprobe stammt aus Wikidata (CC0): alle Objekte mit Sitz in Hamburg und offizieller Website, bereinigt um Behörden, Vereine, Medien, Hochschulen und Kultureinrichtungen sowie um Parteien, Verbände, Kammern, Krankenkassen und Sportvereine und um Mehrfachnennungen. Übrig blieben 812 Unternehmensdomains. Gemessen wurde am 1. Oktober 2026. Gegenüber einer ersten Messung vom 4. September ist der Filter strenger: Rund 140 Einträge sind herausgefallen, vor allem Vereine, Verbände, Krankenkassen und Ämter. Das Ergebnis lag damals bei 37,5 Prozent.
Was das nicht ist: keine Zufallsstichprobe aus dem Handelsregister. Wikidata verzeichnet vor allem Betriebe, die groß oder bekannt genug für einen Eintrag sind. Die tatsächlichen Werte über alle Hamburger Betriebe dürften eher schlechter ausfallen als die hier gemessenen — nicht besser.
Gemessen wurde ausschließlich passiv: öffentliche DNS-Einträge und je Domain eine reguläre HTTPS-Verbindung zur Startseite. Keine Portscans, keine Schwachstellenprüfung, keine Anmeldeversuche. Kein einziges Unternehmen wird genannt, weder hier noch in den Rohdaten noch auf Nachfrage.
Die vollständige Methodik, alle Zahlen und die Daten als CSV zum Nachrechnen stehen auf der Seite zum Hamburger IT-Sicherheits-Index.
Prüfen Sie Ihre eigene Domain
Auf derselben Seite steht ein Selbsttest: Domain eingeben, Ergebnis sofort. Dieselben Prüfungen, ohne Anmeldung, ohne E-Mail-Adresse, ohne Speicherung.
Wenn dabei „DMARC auf none” herauskommt, ist das kein Grund zur Panik — aber ein Termin wert. Was zu tun ist, steht in unserem Beitrag DMARC erklärt.
Ihr nächster Schritt
Diese Erhebung wiederholen wir jedes Jahr mit derselben Abfrage. Eine Zeitreihe ist mehr wert als eine Momentaufnahme — erst sie zeigt, ob sich etwas bewegt.
Bis dahin: Der Selbsttest dauert zehn Sekunden. Wenn Ihre Domain zu den 59,5 Prozent gehört, die Fälschungen nicht abweisen, ist das in einer halben Stunde geändert — vorausgesetzt, jemand geht vorher die Liste der versendenden Systeme durch. Genau das machen wir für Hamburger Betriebe im Rahmen von Cybersecurity und Managed IT.
