Jede zweite Firmen-E-Mail in NRW lässt sich fälschen
Wir haben die öffentlichen E-Mail-Einstellungen von 15.452 Unternehmen und Einrichtungen in Nordrhein-Westfalen geprüft. Bei 54,3 % kann ein Fremder eine E-Mail im Firmennamen verschicken, ohne dass der empfangende Mailserver sie zuverlässig abweist.
Von den 15.452 geprüften Domains zeigten 14.132 einen erkennbaren Mailbetrieb. Nur sie gingen in die Auswertung ein – alle Prozentwerte auf dieser Seite beziehen sich auf diese Gruppe.
Alle Branchen
Wo die Lücken am größten sind
Die Reihenfolge ist die eigentliche Aussage: Zwei Branchen zeigen, dass es geht.
| Branche | geprüft | kritische Lücke |
|---|---|---|
| Banken und Sparkassen | 209 | 16,3 % |
| IT-Dienstleister | 611 | 31,9 % |
| Werbe- und Webagenturen | 232 | 44,0 % |
| Apotheken | 1.515 | 45,1 % |
| Versicherungsbüros | 258 | 48,1 % |
| Immobilienmakler | 359 | 52,4 % |
| Handwerksbetriebe | 4.410 | 55,7 % |
| Rechtsanwälte | 625 | 56,0 % |
| Kfz-Werkstätten | 955 | 57,4 % |
| Architekturbüros | 173 | 58,4 % |
| Steuerberater | 360 | 58,9 % |
| Arztpraxen | 2.125 | 60,2 % |
| Schulen | 2.269 | 60,6 % |
| Handwerksorganisationen | 23 | 60,9 % |
Die naheliegende Vermutung, Handwerksbetriebe hingen bei der Digitalisierung hinterher, bestätigt sich nicht: Von 14 Branchen liegt das Handwerk auf Platz sieben. Berufsgruppen, deren Geschäft aus Schriftverkehr besteht, stehen schlechter da – bei Steuerberatern und Rechtsanwälten ist der Anteil höher als im Handwerk.
Der wichtigste Einzelbefund
Eingerichtet und nie eingeschaltet
Am schlechtesten stehen die Betriebe da, die angefangen und nicht beendet haben.
Es ist nicht festgelegt, was mit gefälschten Nachrichten im Namen des Betriebs geschehen soll.
Die Regel steht auf „nur beobachten“. Gefälschte Nachrichten werden erkannt – und trotzdem zugestellt.
Es ist nicht hinterlegt, welche Server im Namen des Betriebs Mails verschicken dürfen.
Dort sind die nötigen Einstellungen enthalten und müssen nur aktiviert werden.
Alle Werte beziehen sich auf die 4.410 Handwerksbetriebe mit erkennbarem Mailbetrieb. Betriebe mit einer Regel auf „nur beobachten“ sind schlechter gestellt als jene ohne jeden Schutz, weil sie sich für geschützt halten. Am häufigsten tritt das Muster bei Werbe- und Webagenturen auf: Dort haben 37,5 % den Schutz eingerichtet und nicht scharf gestellt.
Regionale Verteilung
Das Münsterland schneidet am schlechtesten ab
| Regierungsbezirk | Betriebe | kritische Lücke |
|---|---|---|
| Düsseldorf | 797 | 52,7 % |
| Köln | 1.380 | 53,4 % |
| Detmold | 716 | 56,8 % |
| Arnsberg | 912 | 57,3 % |
| Münster | 605 | 61,3 % |
Nach Gewerken stehen Maler und Zimmerer am schlechtesten da: bei beiden haben rund 62 Prozent eine kritische Lücke. Auch die Organisationen des Handwerks sind betroffen – von 23 Kammern, Kreishandwerkerschaften und Innungen in NRW haben 14 eine kritische Lücke. Vollständig abgesichert sind zwei: Handwerkskammer Münster und Kreishandwerkerschaft Coesfeld. Diese Teilgruppe ist klein; die Größenordnung ist dennoch bemerkenswert, weil diese Einrichtungen ihre Mitglieder zur Digitalisierung beraten.
Was das praktisch bedeutet
Der Schaden entsteht beim Kunden
Üblich ist die gefälschte Rechnung: Sie trägt den Namen des Betriebs, bezieht sich auf einen echten Auftrag und nennt eine fremde Bankverbindung. Weder der Kunde noch sein E-Mail-Programm können den Unterschied erkennen, solange das Unternehmen die nötigen Einträge nicht veröffentlicht hat.
Die nötigen Einträge heißen SPF, DKIM und DMARC. Sie werden einmal beim Domain-Anbieter hinterlegt und kosten im laufenden Betrieb nichts. Drei Schritte:
- Prüfen lassen, ob alle drei Einträge vorhanden sind – der IT-Dienstleister kann das in wenigen Minuten beantworten.
- Fehlende Einträge ergänzen. Bei Microsoft 365 und Google Workspace ist die Funktion enthalten und muss nur aktiviert werden.
- DMARC scharf stellen. Bleibt die Regel auf „nur beobachten“, werden gefälschte Mails weiterhin zugestellt. Üblich ist ein Übergang von vier Wochen Beobachtung auf Abweisen.
Ob Ihre eigene Domain betroffen ist, sehen Sie in wenigen Sekunden im kostenlosen E-Mail-Sicherheits-Check. Geprüft werden dieselben öffentlichen Einträge wie in dieser Untersuchung – ohne Zugriff auf Ihr Postfach.
Methodik
Wie wir gemessen haben
Grundgesamtheit. Ausgewertet wurden alle Unternehmen und Einrichtungen in Nordrhein-Westfalen, die in OpenStreetMap in einer der 14 geprüften Kategorien erfasst sind und dort eine Website hinterlegt haben – 15.452 eindeutige Domains. Erhebung am 14. und 15. Oktober 2026. Datenquelle: OpenStreetMap-Mitwirkende, Open Database License (ODbL).
Erhebung. Gelesen wurden ausschließlich öffentliche Einträge im Domain Name System – dieselben Angaben, die jeder Mailserver weltweit abfragt, bevor er eine Nachricht annimmt. Es wurde kein System angegriffen, keine Mail verschickt und kein Zugang verwendet. Einzelne Unternehmen werden nicht namentlich genannt.
Was „kritische Lücke“ bedeutet. Ein Unternehmen gilt als kritisch, wenn SPF oder DMARC fehlen, widersprüchlich sind oder eine begonnene Einrichtung nachweislich unvollständig blieb. Beide Angaben stehen im DNS an festen, eindeutigen Stellen und sind von außen zweifelsfrei feststellbar.
Einschränkungen, die wir ausdrücklich benennen
- Digitale Signaturen sind von außen nicht sicher nachweisbar. DKIM-Schlüssel liegen unter frei wählbaren Kennungen; geprüft wurden elf verbreitete. Wer eine eigene nutzt, zählt als „nicht gefunden“, obwohl er signiert. Der DKIM-Wert ist deshalb eine Obergrenze und der Anteil vollständig abgesicherter Betriebe eine Untergrenze. Die Einstufung „kritische Lücke“ ist davon nicht betroffen, weil sie auf SPF und DMARC beruht.
- Die Auswahl ist nicht repräsentativ. Erfasst sind nur Unternehmen, die in OpenStreetMap stehen und eine Website betreiben. Sie sind tendenziell digital weiter aufgestellt als der Durchschnitt – das tatsächliche Bild dürfte eher schlechter ausfallen. Die Zahlen gelten für die untersuchte Gruppe, nicht für „die Unternehmen in NRW“ insgesamt.
- Kleine Teilgruppen zeigen nur Größenordnungen. Handwerksorganisationen (23), Architekturbüros (173) und Banken (209) erlauben keine belastbaren Quoten.
- Ausschlüsse. 1.320 der 15.452 Domains zeigten keinen erkennbaren Mailbetrieb und wurden nicht ausgewertet.
Nachvollziehbarkeit. Die Prüfung lässt sich jederzeit wiederholen; die Methode ist im kostenlosen Selbsttest öffentlich nachvollziehbar. Die Ergebnisse je Unternehmen liegen vor und können Redaktionen in anonymisierter Form zur Prüfung zur Verfügung gestellt werden.
Diese Untersuchung zitieren
Justin Boch - Solutions: „E-Mail-Sicherheit in Nordrhein-Westfalen 2026“. Münster, Oktober 2026. Online verfügbar unter https://boch-solutions.de/studie/email-sicherheit-nrw-2026
Die Zahlen dürfen mit Quellenangabe frei verwendet werden.
Pressekontakt
Justin Boch, Justin Boch - Solutions, Münster
+49 251 28069471
kontakt@boch-solutions.de
Rohdaten und Einzelergebnisse stellen wir Redaktionen auf Anfrage in anonymisierter Form zur Verfügung.
Ist Ihre Domain betroffen?
Der kostenlose E-Mail-Sicherheits-Check prüft dieselben Einträge wie diese Untersuchung – in wenigen Sekunden und ohne Zugriff auf Ihr Postfach.