Wie viele populäre Domains nutzen 2026 SPF, DMARC und MTA-STS?

Was hat die Studie ergeben?

Das Veröffentlichen von SPF und DMARC ist bei populären Domains inzwischen die Regel, das Durchsetzen dagegen nicht. Neun von zehn Mail-Domains unter den Top 1,000 veröffentlichen einen DMARC-Eintrag, aber nur die Hälfte weist Empfänger an, nicht bestandene E-Mails abzuweisen. Einer von sieben bleibt bei p=none, was Berichte sammelt und nichts blockiert, und ein Viertel setzt auf Quarantäne. Fast jeder DMARC-Eintrag verlangt Summenberichte: 93.3% enthalten eine rua-Adresse.

SPF zeigt dasselbe Bild. 93.9% veröffentlichen einen Eintrag, aber ein harter Fehler (-all) schließt nur 49.8% davon ab; 37.9% enden mit einem weichen Fehler (~all). Drei Domains veröffentlichen zwei SPF-Einträge, was RFC 7208 als dauerhaften Fehler wertet, und unser Leitfaden zum SPF-Eintrag zeigt, warum ein einziger Eintrag alle Absender enthalten muss.

Die Transportsicherheit hinkt weit hinterher. MTA-STS, das sendende Server zu TLS zwingt, veröffentlichen 36 von 688 Mail-Domains (5.2%), SMTP-TLS-Berichterstattung 43. Nur 30 der 691 kombinieren SPF, eine durchgesetzte DMARC-Richtlinie und MTA-STS.

Schützen sich Domains, die keine E-Mails versenden?

Meistens nicht. 306 der 1,000 Domains haben keinen MX-Eintrag oder einen Null-MX (RFC 7505) und versenden daher nie legitime E-Mails. Ein Krimineller kann trotzdem jede von ihnen in eine From-Zeile setzen. Die Behebung kostet zwei DNS-Einträge: SPF „v=spf1 -all“ und DMARC „p=reject“. 95 der 306 veröffentlichen den harten SPF-Fehler und 92 die DMARC-Richtlinie reject, also lassen rund zwei von drei die Tür offen.

Dasselbe gilt für eine persönliche Domain, die Sie für später aufbewahren, oder für eine zweite Endung, die nur zum Schutz Ihrer Adresse gekauft wurde. Der Leitfaden zum DMARC-Setup enthält das Set für Domains ohne E-Mail, und der DNS-Editor von Postelva hat dafür eine Ein-Klick-Vorlage.

Wie wurde die Studie durchgeführt?

Wir haben die Tranco-Liste PY2NJ genommen, die aus den Daten von fünf Anbietern zwischen dem 13. Oktober und dem 11. November 2026 erstellt wurde, und ihre ersten 1,000 Domains behalten. Jede Domain erhielt am 12. November 2026 sechs DNS-Abfragen über den öffentlichen DNS-over-HTTPS-Resolver von Cloudflare: MX an der Root-Domain, TXT an der Root-Domain (SPF) sowie TXT bei _dmarc, _mta-sts, _smtp._tls und default._bimi.

Eine Domain gilt als E-Mail-empfangend, wenn sie mindestens einen MX-Eintrag hat, der kein Null-MX ist. SPF gilt, wenn genau ein TXT-Eintrag mit v=spf1 beginnt, und seine Richtlinie wird aus dem all-Mechanismus gelesen. DMARC gilt, wenn ein TXT-Eintrag bei _dmarc mit v=DMARC1 beginnt, und seine Richtlinie ist das p-Tag. Eine Abfrage, die nach drei Versuchen fehlgeschlagen ist, bleibt aus dieser Zeile heraus. Tranco bewertet registrierbare Domains, daher sind manche Einträge Infrastrukturnamen, die nie E-Mails versenden; deshalb nutzen die E-Mail-Zahlen nur die 691 Domains mit MX-Einträgen.

Die Rohantworten und das Skript werden zusammen mit der Studie aufbewahrt. Wir veröffentlichen nur Summen, ohne Domains zu nennen.

Was die Zahlen für Ihre eigene Domain bedeuten

Eine persönliche oder Familien-Domain kann in einem Nachmittag das Niveau der Besten unter den Top 1,000 erreichen. Laut der Umfrage von Postelva vom 12. November 2026 lehnen 347 der 691 populärsten Mail-Domains fehlgeschlagene E-Mails mit DMARC p=reject ab, und 36 veröffentlichen MTA-STS; eine Domain, die über unsere Vorlagen mit Proton Mail, Fastmail oder Zoho Mail verbunden wird, startet mit bereits geschriebenen SPF-, DKIM- und DMARC-Einträgen.

Der übliche Ablauf ist zuerst SPF und DKIM, DMARC auf p=none für eine Woche mit Berichten, dann Quarantäne und reject; der Vergleich von SPF, DKIM und DMARC erklärt, was jeder Eintrag prüft. MTA-STS braucht eine kleine Richtliniendatei auf einem Webhost, wie unser MTA-STS-Leitfaden zeigt. Eine .com bei Postelva kostet 12,49 $/Jahr, jedes Jahr derselbe Preis.