Erhebung 2026 · 939 Hamburger Betriebe
Nur 37,5 % der Hamburger Unternehmen weisen gefälschte Mails in ihrem Namen tatsächlich ab
70,4 % haben den dafür nötigen DMARC-Eintrag eingerichtet. Aber 47 % davon stehen auf „none" — sie sammeln Berichte und lassen die Fälschung trotzdem zu. Der Unterschied zwischen „eingerichtet" und „wirksam" ist die eigentliche Lücke.
Die Lücke in einem Bild
n = 864
37,5 %
weisen gefälschte Absender wirklich ab
Beide Werte beziehen sich auf dieselben 864 Betriebe mit Mailempfang. Der Abstand dazwischen sind 284 Betriebe: Eintrag vorhanden, Richtlinie „none", Wirkung null.
- Nur öffentliche DNS-Einträge, kein Scan
- Kein Unternehmen wird genannt
- Methodik und Rohdaten offen
- Selbsttest ohne Anmeldung
Die Messwerte
Erhoben am 04. September 2026. Nur passive Abfragen.
37,5 %
weisen gefälschte Absender ab (DMARC quarantine oder reject)
53,8 %
haben einen strengen SPF-Eintrag
4,9 %
haben eine fälschungssichere Namensauflösung (DNSSEC)
9,8 %
setzen alle vier Sicherheits-Kopfzeilen
Alle sieben Merkmale im Vergleich
Alle Zahlen zum Nachrechnen
Dieselben Werte als Tabelle, sortierbar. Wer die Erhebung zitieren will, findet unten die vollständige Datei zum Herunterladen.
| Merkmal | von | ||
|---|---|---|---|
| SPF vorhanden | 92,9 | 803 | 864 |
| SPF streng (weist ab) | 53,8 | 465 | 864 |
| DMARC vorhanden | 70,4 | 608 | 864 |
| DMARC wirksam | 37,5 | 324 | 864 |
| MTA-STS | 2,8 | 24 | 864 |
| DNSSEC | 4,9 | 46 | 939 |
| HSTS | 45,2 | 381 | 843 |
| TLS 1.3 | 92,4 | 779 | 843 |
| Veraltetes TLS (1.0/1.1) | 0 | 0 | 843 |
| Zertifikatskette unvollständig | 7,2 | 61 | 843 |
| Content-Security-Policy | 21,5 | 181 | 843 |
| X-Frame-Options | 33,3 | 281 | 843 |
| X-Content-Type-Options | 44,2 | 373 | 843 |
| Referrer-Policy | 24,1 | 203 | 843 |
| alle vier Kopfzeilen | 9,8 | 83 | 843 |
Was auffällt: DMARC steht oft auf Leerlauf
608 Betriebe haben einen DMARC-Eintrag, aber 284 davon auf „none". Das ist der Zustand, in dem der Eintrag Berichte erzeugt und sonst nichts tut. In vielen Fällen war das als Zwischenschritt gedacht — und ist dann liegen geblieben.
Was gut aussieht: die Verschlüsselung
92,4 % der erreichbaren Websites sprechen TLS 1.3, veraltete Versionen kamen praktisch nicht mehr vor. Das ist der Bereich, in dem Hoster und Zertifikatsanbieter den Betrieben die Arbeit abgenommen haben.
Große Betriebe sind besser — aber nicht gut
Für 39 Betriebe mit 1.000 und mehr Beschäftigten liegen genug Angaben für einen eigenen Wert vor: 47,2 % weisen Fälschungen ab (gesamt: 37,5 %), 10,3 % nutzen DNSSEC (gesamt: 4,9 %). Besser also — aber auch dort ist bei über der Hälfte die Absenderadresse ungeschützt.
Eine feinere Aufschlüsselung nach Größenklassen und Branchen ist mit dieser Datengrundlage nicht seriös möglich: Für die meisten Betriebe ist in der Quelle keine Beschäftigtenzahl hinterlegt. Wir weisen deshalb nur aus, was belegt ist — und nennen die Lücke, statt sie zu füllen.
Was diese Zahlen bedeuten
„Jemand kann in Ihrem Namen mailen"
SPF und DMARC entscheiden gemeinsam darüber, ob ein Fremder eine Rechnung mit Ihrer Absenderadresse verschicken kann. SPF sagt, wer senden darf. DMARC sagt, was mit allen anderen passiert. Fehlt DMARC oder steht es auf „none", ist SPF allein weitgehend wirkungslos — der Empfänger weiß dann zwar, dass etwas nicht stimmt, hat aber keine Anweisung, was er tun soll.
Warum das gerade den Mittelstand trifft
Der klassische Betrugsfall ist keine Erpressung, sondern eine Rechnung: Ein Angreifer schickt Ihrem Kunden eine Mail, die aussieht, als käme sie von Ihnen, mit geänderter Bankverbindung. Das funktioniert nur, solange niemand die Absenderadresse schützt. Der Schaden trifft den Kunden, der Ärger Sie.
Was daran wenig Arbeit ist
Ein DMARC-Eintrag ist eine Zeile im DNS. Der Aufwand liegt nicht im Setzen, sondern im Vorher: Man muss wissen, welche Systeme im eigenen Namen versenden — Warenwirtschaft, Newsletter, Bewerberportal, Ticketsystem. Wer das übergeht und direkt auf „reject" stellt, blockiert die eigene Rechnungsstellung. Genau deshalb bleiben so viele bei „none" stehen.
Ihre eigene Domain prüfen
Dieselben Prüfungen, sofort, für eine einzelne Domain. Ohne Anmeldung, ohne E-Mail-Adresse, ohne Speicherung.
Methodik und Grenzen
Dieser Abschnitt gehört zur Veröffentlichung, nicht in den Anhang. Er ist der Grund, warum jemand die Zahlen zitieren kann.
Die Stichprobe
Grundlage sind Objekte mit Sitz in Hamburg und offizieller Website aus Wikidata (Eigenschaften P159 und P856). Wikidata steht unter CC0 — die Abfrage lässt sich von jedem wiederholen. Aus den Treffern wurden Behörden, Vereine, Medien, Hochschulen und Kultureinrichtungen entfernt, ebenso Mehrfachnennungen und Landesvarianten derselben Domain. Übrig blieben 939 Domains.
Was das nicht ist: keine Zufallsstichprobe aus dem Handelsregister. Wikidata verzeichnet vor allem Betriebe, die groß oder bekannt genug für einen Eintrag sind. Die tatsächlichen Werte über alle Hamburger Betriebe dürften eher schlechter ausfallen als die hier gemessenen, nicht besser.
Was gemessen wurde
Öffentliche DNS-Einträge (MX, SPF, DMARC, MTA-STS, TLS-RPT, DS für DNSSEC) und je Domain eine reguläre HTTPS-Verbindung zur Startseite für TLS-Version, Zertifikat und Kopfzeilen. Also genau das, was jeder Mailserver und jeder Browser ohnehin tut. Der Abruf trug einen Kennzeichner mit Kontaktadresse.
Ausdrücklich nicht: keine Portscans, keine Schwachstellenprüfung, keine Anmeldeversuche, kein Erraten von Verzeichnissen, keine Lastspitzen.
Wie gerechnet wurde
- SPF, DMARC, MTA-STS und TLS-RPT nur über die 864 Domains mit Mailempfang. Eine Domain ohne Mailserver braucht keinen SPF-Eintrag.
- TLS, HSTS und Kopfzeilen nur über die 843 Domains, deren Website erreichbar war.
- Weiterleitungen werden verfolgt — bis zu drei Mal und nur innerhalb derselben Domain. Gemessen wird die Seite, auf der ein Besucher tatsächlich landet. Ohne diese Regel wären 46 % der Messungen an einer Weiterleitung hängen geblieben, deren Kopfzeilen naturgemäß fast nie eine Content-Security-Policy tragen.
- DNSSEC über alle 939 Domains, weil es unabhängig von Mail und Web gilt.
- Als „SPF streng" zählt ausschließlich
-all. Als „DMARC wirksam" nurquarantineundreject. - Zertifikatskette: geprüft mit dem Zertifikatsspeicher einer Standardbibliothek, die fehlende Zwischenzertifikate nicht selbst nachlädt. Browser tun das oft. Ein Treffer heißt deshalb „Kette unvollständig ausgeliefert", nicht „im Browser kaputt" — es ist trotzdem ein Konfigurationsfehler, der ältere Clients und Mailserver trifft.
Was fehlt
DKIM ist nicht enthalten: Ohne Kenntnis des Selektors lässt es sich nicht verlässlich prüfen. Ein schwacher Wert wäre schlechter als eine benannte Lücke.
Die Erhebung sagt nichts über die Innenseite eines Betriebs — nicht über Backups, nicht über Endgeräte, nicht über Mehr-Faktor-Anmeldung. Sie misst ausschließlich, was von außen ohnehin jeder sehen kann.
Keine Einzelnennung
Es wird kein Unternehmen genannt, bewertet oder identifizierbar dargestellt — nicht hier, nicht in der Datei, nicht auf Nachfrage. Untergruppen werden erst ab 25 Betrieben ausgewiesen, damit sich einzelne Werte nicht zurückrechnen lassen. Die Rohdaten mit den Domains verlassen unseren Rechner nicht.
Wer aus der Stichprobe des nächsten Jahrgangs herausgenommen werden möchte, schreibt an kontakt@hagel-it.de.
Daten zum Nachrechnen
Alle Gesamtzahlen als CSV, mit Anzahl und Grundgesamtheit je Merkmal. Verwendung frei unter Namensnennung (CC BY 4.0).
CSV herunterladenHäufige Fragen
Was ist der Hamburger IT-Sicherheits-Index?
Eine jährliche Erhebung der öffentlich sichtbaren IT-Hygiene Hamburger Unternehmen. Gemessen werden ausschließlich Angaben, die jeder Mailserver und jeder Browser ohnehin abfragt: DNS-Einträge und der reguläre Aufruf der Startseite. 2026 umfasst die Stichprobe 939 Domains.
Werden einzelne Unternehmen genannt?
Nein. Weder in der Veröffentlichung noch in den Rohdaten noch auf Nachfrage. Veröffentlicht werden ausschließlich Gesamtzahlen; Untergruppen werden erst ab 25 Betrieben ausgewiesen, damit sich niemand zurückrechnen lässt.
Wurde dabei irgendetwas gescannt?
Nein. Es wurden öffentliche DNS-Einträge abgefragt und je Domain eine reguläre HTTPS-Verbindung zur Startseite aufgebaut. Keine Portscans, keine Schwachstellenprüfung, keine Anmeldeversuche, kein Erraten von Verzeichnissen. Eine Anfrage je Domain und Messung.
Was bedeutet „DMARC wirksam"?
Ein DMARC-Eintrag kann auf drei Richtlinien stehen. Bei „none" werden gefälschte Mails trotzdem zugestellt, es entstehen nur Berichte. Erst „quarantine" und „reject" führen dazu, dass Fälschungen aussortiert oder abgewiesen werden. Als wirksam zählen wir nur diese beiden.
Warum fehlt DKIM in der Messung?
Weil es sich ohne Kenntnis des Selektors nicht verlässlich prüfen lässt. Wir veröffentlichen lieber eine Lücke als einen schwachen Wert.
Kann ich meine eigene Domain prüfen?
Ja, auf dieser Seite. Der Selbsttest führt dieselben Prüfungen aus, sofort und ohne Anmeldung. Er speichert weder Ihre Domain noch das Ergebnis.
Wie kann ich der Messung widersprechen?
Schreiben Sie an kontakt@hagel-it.de. Wir nehmen die Domain aus der Stichprobe des nächsten Jahrgangs. Da die Erhebung nur Gesamtzahlen veröffentlicht, ist Ihre Domain in der laufenden Auswertung ohnehin nicht identifizierbar.
Weitere kostenlose Werkzeuge
Alle ohne Anmeldung, ohne Formular, ohne Gegenleistung.
- IT-Störungsmonitor Läuft Microsoft 365 gerade? Vierzehn Geschäftsdienste, alle drei Minuten geprüft.
- Microsoft-365-Härtungs-Check Zwölf Einstellungen, die über die Sicherheit Ihres Mandanten entscheiden — als Skript zum Selbstprüfen.
- IT-Kosten-Kalkulator Was kostet ein eigener Administrator im Vergleich zur Betreuung von außen?
- NIS2-Betroffenheits-Check In zehn Fragen klären, ob die Richtlinie für Ihren Betrieb gilt.
Diese Erhebung stammt von hagel IT-Services, einem IT-Dienstleister aus Hamburg. Wir machen sie, weil wir die Zahlen selbst wissen wollten. Wer die Punkte im eigenen Haus schließen möchte, findet den fachlichen Hintergrund unter Cybersecurity und in unserem Beitrag E-Mail-Sicherheit im Unternehmen. Für den Standort Hamburg im Ganzen: IT-Dienstleister in Hamburg.