KI-Barometer · Swiss Web Report
Schweizer E-Mail-Sicherheitsreport 2026
Eine DNS-basierte Bestandsaufnahme von 2'459'127 .ch-Domains.
Publiziert am 19. August 2026 · Peter Hadorn
Kurz gesagt: Die meisten Schweizer Firmen-Domains, die E-Mails empfangen, haben keine wirksame Sperre gegen gefälschte Absender eingerichtet. Das heisst: Kriminelle könnten E-Mails verschicken, die aussehen, als kämen sie von der Firma selbst, etwa für Phishing, gefälschte Rechnungen oder CEO-Betrug (der Chef schreibt angeblich persönlich und bittet um eine dringende Überweisung).
70,1% der 1'708'618 .ch-Domains, die E-Mails empfangen (MX-Eintrag vorhanden), haben keine wirksame DMARC-Durchsetzung.
DMARC ist die Regel, die festlegt, was mit einer gefälschten E-Mail passieren soll: nichts (nur beobachten), in den Spam-Ordner verschieben, oder komplett blockieren. „Keine wirksame Durchsetzung" heisst: Entweder fehlt diese Regel ganz, oder sie ist nur auf „beobachten" gestellt (p=none) und blockiert nichts. Das bedeutet nicht, dass ein Unternehmen gehackt wurde oder eine Mailbox kompromittiert ist. Es ist eine fehlende technische Absicherung, kein Sicherheitsvorfall. Nur 13,3% setzen auf die stärkste Regel: aktiv blockieren (p=reject).
Was wurde gemessen und warum ist das relevant?
Jede .ch-Domain kann theoretisch für E-Mail-Betrug im eigenen Namen missbraucht werden, unabhängig davon, ob sie überhaupt selbst E-Mails verschickt. Ob und wie gut sich eine Domain technisch dagegen wehrt, steht öffentlich im DNS, in den Einträgen MX, SPF, DKIM, DMARC, DNSSEC, TLSA/DANE, BIMI, MTA-STS, TLS-RPT und CAA. Genau diese Einträge hat dieser Report ausgewertet. Sie legen fest, wer im Namen einer Domain E-Mails versenden darf und was ein empfangender Mailserver tun soll, wenn eine Nachricht diese Prüfung nicht besteht.
Die wichtigsten Begriffe in einfachen Worten:
- DNS ist das Adressbuch des Internets: Es übersetzt eine Webadresse wie
firma.chin technische Angaben, unter anderem auch Sicherheitseinstellungen für E-Mails. - MX-Eintrag: zeigt an, dass eine Domain überhaupt E-Mails empfangen kann.
- SPF: eine Liste, welche Server im Namen einer Domain E-Mails versenden dürfen.
- DKIM: eine digitale Unterschrift auf jeder E-Mail, mit der sich prüfen lässt, ob sie unterwegs verändert wurde.
- DMARC: die Regel, was passieren soll, wenn eine E-Mail die SPF- oder DKIM-Prüfung nicht besteht: beobachten, in den Spam verschieben, oder blockieren.
Gefälschte Absenderadressen zählen zu den häufigsten Werkzeugen für Phishing und CEO-Betrug (Business E-Mail Compromise). Dagegen helfen SPF, DKIM und DMARC: die etablierten offenen Standards, mit denen eine Domain kontrolliert, wer in ihrem Namen E-Mails versenden darf und wie ein Empfänger mit nicht autorisierten Nachrichten umgeht.
Eine vorhandene SPF- oder DKIM-Konfiguration ist kein vollständiger Schutz und eine veröffentlichte DMARC-Regel ist nicht dasselbe wie eine durchgesetzte Regel. Beide Unterscheidungen sind Grundlage dieses Reports.
Datenstand: 19. August 2026. → Methodik & Grenzen
3. Abdeckung und Methodik im Überblick
Quelle: SWITCH .ch-Zonendatei. Scan im August 2026, passive DNS-Abfragen, zwei vollständige Durchläufe. Die 5,5% mit dauerhaftem DNS-Fehler gelten als nicht gemessen, nicht als ungeschützt, und sind aus allen nachfolgenden Prozentwerten ausgeschlossen. Sofern nicht anders angegeben, beziehen sich alle SPF-, DKIM- und DMARC-Prozentwerte in diesem Report auf die 1'708'618 Domains mit MX-Eintrag (73,5% der 2'324'088 DNS-seitig ausgewerteten Domains), nicht auf alle .ch-Domains.
Presse
- 2'459'127 .ch-Domains geprüft, 1'708'618 mit MX-Eintrag ausgewertet
- 70,1% ohne wirksame DMARC-Durchsetzung (kein Eintrag oder nur
p=none) - Nur 13,3% setzen auf die strengste Regel
p=reject - 20,1% mit erkennbarem DKIM-Selector; 31,72% davon mit schwachem Schlüssel (≤ 1024 Bit)
4. DMARC: Veröffentlichung versus wirksame Durchsetzung
DMARC (Domain-based Message Authentication, Reporting and Conformance) baut auf SPF und DKIM auf und regelt die Konsequenz: Was soll passieren, wenn eine E-Mail eine dieser Prüfungen nicht besteht? Drei Antworten sind möglich: nichts tun und nur melden (p=none), in den Spam-Ordner verschieben (p=quarantine), oder zurückweisen (p=reject). Nur die beiden letzten Regeln schützen aktiv vor Domain-Spoofing. Ein veröffentlichter Eintrag allein reicht nicht, er muss auch durchgesetzt werden.
Basis: 1'708'618 .ch-Domains mit MX-Eintrag. Von den 57,2% ohne Eintrag haben 99,97% nie einen DMARC-Eintrag konfiguriert; nur 308 Domains haben einen fehlerhaft formatierten Eintrag ohne gültige Policy. Das ist eine seltene Fehlkonfiguration, nicht der Regelfall.
Zusammengenommen macht das 70,1%: 1'197'112 von 1'708'618 Domains mit MX-Eintrag haben entweder gar keinen DMARC-Eintrag (57,2%) oder nur die überwachende Regel p=none (12,9%), die keine E-Mail blockiert oder umleitet. Das ist keine Aussage über einen Sicherheitsvorfall, sondern über eine fehlende oder unvollständige DNS-Konfiguration.
Teilweise Durchsetzung und strenge Ausrichtung
Von den 731'804 Domains mit DMARC-Eintrag (42,8% der Domains mit MX-Eintrag) wenden 0,49% die Regel nur auf einen Teil der E-Mails an (pct-Tag kleiner als 100). 12,05% nutzen eine strenge Ausrichtung (adkim=s oder aspf=s), die engere Übereinstimmung zwischen der sichtbaren Absenderdomain und dem SPF-/DKIM-geprüften Domainnamen verlangt.
28,4% der 615'470 Domains ohne MX-Eintrag veröffentlichen trotzdem einen DMARC-Eintrag. Naheliegender Grund: Eine Domain, die selbst keine E-Mails verschickt, schützt sich damit vor Spoofing-Missbrauch des eigenen Namens.
5. SPF und DKIM
SPF (Sender Policy Framework) veröffentlicht, welche Mailserver im Namen einer Domain senden dürfen. DKIM (DomainKeys Identified Mail) signiert E-Mails kryptografisch, damit ein Empfänger prüfen kann, ob eine Nachricht unterwegs verändert wurde. Beide sind Voraussetzung für DMARC, ersetzen es aber nicht: Ein vorhandener SPF- oder DKIM-Eintrag bedeutet für sich allein keinen vollständigen Schutz.
SPF
Basis: 1'708'618 .ch-Domains mit MX-Eintrag. 5,1% verwenden den neutralen Mechanismus ?all, der Spoofing explizit weder erlaubt noch verhindert. 19,3% haben zwar einen SPF-Eintrag, aber keinen erkennbaren all-Abschlussmechanismus.
Zusätzlich nutzen noch 0,43% aller analysierbaren .ch-Domains (nicht nur MX-Domains) den veralteten SPF-DNS-Ressourcentyp 99 (RR-Typ 99), der von RFC 7208 als überholt markiert ist und von modernen Mailservern nicht mehr ausgewertet wird. 29,3% der 615'470 Domains ohne MX-Eintrag veröffentlichen trotzdem einen SPF-Eintrag, meist um zu signalisieren, dass die Domain gar keine E-Mails versendet.
Kein vollständiger Schutz: Diese Auswertung führt keine vollständige rekursive RFC-7208-Lookup-Auswertung durch (verschachtelte include:- und redirect=-Ketten werden nicht vollständig aufgelöst). Ein vorhandener SPF-Eintrag mit -all ist ein starkes Signal, aber SPF allein authentifiziert keine Nachricht kryptografisch und schützt nicht vor allen Spoofing-Varianten.
DKIM
„Selector gefunden": 20,1% der 1'708'618 Domains mit MX-Eintrag. Die beiden anderen Werte beziehen sich auf die 342'876 Domains, bei denen ein Selector gefunden wurde.
Untergrenze, keine vollständige Erfassung: Die DKIM-Erkennung prüft eine Liste bekannter, anbietertypischer Selector-Namen (u. a. die Standardselektoren von Microsoft 365 und Google Workspace). Individuelle, selbst gewählte Selector-Namen werden nicht gefunden. 20,1% ist deshalb eine untere Grenze, kein vollständiger Nachweis der tatsächlichen DKIM-Nutzung. Die Einschätzung „schwacher Schlüssel" beruht auf der Länge des base64-codierten öffentlichen Schlüssels im DNS-Eintrag, nicht auf einer kryptografischen Prüfung.
6. Schweizer Mail-Infrastruktur
73,5% der 2'324'088 DNS-seitig ausgewerteten .ch-Domains haben einen MX-Eintrag und sind damit für den E-Mail-Empfang eingerichtet. Wer hostet diese Infrastruktur? Die Tabelle unten ordnet die MX-Einträge nach Anbieter-Kategorie ein, als reine Marktanteils-Übersicht, nicht als Bewertung der Sicherheit oder Qualität einzelner Anbieter.
| Kategorie | Domains | Anteil |
|---|---|---|
| Selbst gehostet | 433'207 | 25,4% |
| Andere / nicht erkannt | 410'893 | 24,0% |
| Hostpoint | 348'745 | 20,4% |
| Infomaniak | 179'364 | 10,5% |
| Microsoft 365 | 160'321 | 9,4% |
| Google Workspace | 59'756 | 3,5% |
| Übrige Anbieter (je einzeln < 3%, hier nicht aufgeschlüsselt) | — | 6,8% |
Basis: 1'708'618 .ch-Domains mit MX-Eintrag. „Selbst gehostet" bezeichnet MX-Einträge, die auf eine nicht als Drittanbieter erkannte Infrastruktur zeigen (z. B. eigener Mailserver), nicht zwingend ein selbst betriebener Server im eigenen Rechenzentrum.
Neben der Mail-Anbieter-Verteilung zeigt sich: 53,9% der 2'324'088 DNS-seitig ausgewerteten .ch-Domains sind DNSSEC-signiert, und 96,4% haben einen regulären NS-Eintrag (statt eines fehlerhaften oder parkierten Nameserver-Setups).
Diese Übersicht ordnet MX-Einträge in Anbieter-Kategorien ein. Sie bewertet nicht, ob ein einzelner Anbieter sicherer oder unsicherer ist als ein anderer. Die Sicherheitseigenschaften SPF, DKIM und DMARC in diesem Report werden pro Domain gemessen, unabhängig vom Hosting-Anbieter.
7. Neuere Standards: DNSSEC, DANE, MTA-STS, TLS-RPT, BIMI, CAA
Neben SPF, DKIM und DMARC existieren weitere, neuere DNS-basierte Sicherheitsstandards für E-Mail und Transportverschlüsselung. Ihre Verbreitung in der Schweiz ist unterschiedlich stark: von breiter Konzentration bei wenigen grossen Hosting-Anbietern bis zu praktisch nicht vorhandener Nutzung.
| DNSSEC signiert | 53,9% | aller 2'324'088 ausgewerteten .ch-Domains |
| TLSA/DANE für SMTP | 38,33% | der Domains mit MX-Eintrag |
| Dangling MX (nicht auflösbarer MX-Host) | 2,24% | der Domains mit MX-Eintrag |
| CAA-Eintrag | 1,5% | der Domains mit MX-Eintrag |
| TLS-RPT | 0,2% | der Domains mit MX-Eintrag |
| BIMI | 0,1% | der Domains mit MX-Eintrag |
| MTA-STS (TXT-Eintrag vorhanden) | 0,1% | der Domains mit MX-Eintrag |
TLSA/DANE-Wert nicht als breite Verbreitung lesen: 38,33% wirkt hoch, ist aber stark auf wenige grosse Schweizer Shared-Hosting-Anbieter konzentriert, die DANE offenbar plattformweit für ihre Kundschaft aktiviert haben. Das ist kein Signal für breite, bewusste Einzelkonfiguration durch Domain-Inhaber.
Ein kleineres, aber konkretes Risiko: 2,24% der Domains mit MX-Eintrag, 38'351 Domains, haben mindestens einen MX-Host, der nicht mehr auflösbar ist (weder A- noch AAAA-Eintrag, bestätigt über NXDOMAIN oder eine saubere Abwesenheit beider Eintragstypen). So ein verwaister Eintrag kann von Angreifern für Domain-Übernahme-Szenarien missbraucht werden.
Die restlichen vier Standards, MTA-STS, TLS-RPT, BIMI und CAA, liegen alle unter 2%. Bei MTA-STS wurde nur das Vorhandensein des DNS-TXT-Eintrags geprüft, nicht die eigentliche Policy-Datei: Die wird per HTTPS von einem eigenen Subdomain-Endpunkt abgerufen und war nicht Teil dieses passiven DNS-Scans. Ein vorhandener TXT-Eintrag ist deshalb kein Nachweis eines aktiv durchgesetzten MTA-STS-Modus.
8. Was dieser Report nicht misst
Dieser Report ist eine DNS-Momentaufnahme. Er ist ausdrücklich kein:
- Test der tatsächlichen E-Mail-Zustellbarkeit einer Domain
- Phishing- oder Spam-Test
- Breach- oder Datenleck-Test
- Test auf kompromittierte Postfächer oder Konten
- Bewertung der Qualität, Vertrauenswürdigkeit oder Sicherheit eines einzelnen Unternehmens, Hosts oder Anbieters
- Zustellbarkeits-, Spam-Score- oder Reputationsprüfung einzelner Absender
Es wurden zu keinem Zeitpunkt E-Mails versendet, Postfächer geöffnet, Logins versucht oder HTTP-/SMTP-/Port-Verbindungen zu den gescannten Domains selbst aufgebaut. Die Auswertung beschränkt sich auf DNS-Einträge, die der jeweilige Domain-Betreiber ohnehin öffentlich veröffentlicht.
Ein fehlender oder schwacher DNS-Eintrag bedeutet nicht automatisch ein tatsächliches Sicherheitsproblem in der Praxis, und ein vorhandener, korrekt konfigurierter Eintrag garantiert keine vollständige Sicherheit. Dieser Report macht zu keinem einzelnen Unternehmen eine Aussage: Alle Zahlen sind Aggregate.
9. Methodik und Grenzen
| Datenquelle | SWITCH .ch-Zonendatei |
| Domains im Quellenkorpus | 2'459'127 |
| DNS-seitig ausgewertet | 2'324'088 (94,5%) |
| Dauerhafter DNS-Fehler nach 2 vollständigen Durchläufen | 135'039 (5,5%), gilt als nicht gemessen, nicht als ungeschützt |
| Nenner für SPF/DKIM/DMARC-Prozentwerte | 1'708'618 Domains mit MX-Eintrag, nicht alle .ch-Domains |
| Scan-Methode | Passive DNS-Abfragen (MX, DS/DNSSEC, NS, TXT/SPF, legacy SPF RR-Typ 99, DMARC, DKIM, BIMI, MTA-STS, TLS-RPT, CAA, TLSA/DANE) |
| Verwendete Resolver | 5 öffentliche Resolver (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4) |
| Scan-Zeitraum | August 2026 |
Datenquelle: Alle .ch-Domains aus der SWITCH .ch-Zonendatei. SWITCH verwaltet die .ch-Domainzone der Schweiz.
Scan-Methode: Ausschliesslich passive DNS-Abfragen: MX, DS (DNSSEC), NS, TXT/SPF, der veraltete SPF-DNS-Ressourcentyp 99, DMARC, DKIM (anbieterbewusste Selector-Suche), BIMI, MTA-STS (nur TXT-Vorhandensein), TLS-RPT, CAA und TLSA/DANE pro MX-Host. Keine HTTP-, SMTP- oder Port-Verbindung zu einer gescannten Domain, kein Login, kein E-Mail-Versand, keine Postfach-Prüfung. Angefragt wurden ausschliesslich 5 öffentliche Resolver (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4), nie die Nameserver der jeweiligen Domain direkt.
Fehlerbehandlung: Domains mit einem DNS-Fehler wurden im nächsten vollständigen Durchlauf erneut geprüft. Erst nach 2 vollständigen, erfolglosen Durchläufen gilt eine Domain als dauerhaft fehlerhaft (mehrheitlich SERVFAIL durch nicht erreichbare oder fehlkonfigurierte Nameserver auf Seite des Domain-Betreibers) und wird aus den DNS-Ergebniszahlen ausgeschlossen.
Grenzen der Analyse
- DKIM-Erkennung ist eine anbieterbewusste Selector-Suche (bekannte Standardselektoren u. a. für Microsoft 365 und Google Workspace plus eine Liste häufig beobachteter Selector-Namen), keine erschöpfende Prüfung. Individuelle, selbst gewählte Selector-Namen werden nicht gefunden. Die DKIM-Zahlen sind eine untere Grenze.
- Die Einschätzung „schwacher DKIM-Schlüssel" basiert auf der Länge des base64-codierten Schlüssels im DNS-Eintrag (≤ 1024 Bit). Das ist eine Näherung, keine kryptografische Prüfung des tatsächlichen Schlüssels.
- Die SPF-Auswertung führt keine vollständige rekursive RFC-7208-Lookup-Baum-Auswertung durch; verschachtelte
include:- undredirect=-Ketten werden nicht vollständig aufgelöst. - MTA-STS wurde ausschliesslich als DNS-TXT-Eintrag-Vorhandensein geprüft. Die HTTPS-abgerufene Policy-Datei, die den tatsächlichen Durchsetzungsmodus enthält, war nicht Teil dieses Scans.
- Der Report misst das Vorhandensein und die Konfiguration von DNS-Einträgen. Er misst nicht die tatsächliche E-Mail-Zustellbarkeit, keinen Phishing- oder Breach-Vorfall und keine kompromittierten Postfächer.
- Es werden keine domain-spezifischen Einzelergebnisse veröffentlicht. Alle Zahlen in diesem Report sind Aggregate.
Open Source: Der komplette Scanner-Code ist öffentlich verfügbar auf GitHub. Der Code ermöglicht eine methodische Prüfung und Wiederholung des Scans.
Zitierweise:
https://ki-barometer.ch/schweizer-e-mail-sicherheitsreport/
Daten & Reproduzierbarkeit
| Zonendatei | SWITCH .ch-Zonendatei |
| Scanner-Code | github.com/peterhadorn/swiss-web-report (Open Source) |
| Scan-Zeitraum | August 2026 |
| Domains im Quellenkorpus | 2'459'127 |
| DNS-seitig ausgewertet | 2'324'088 |
| Öffentliche Daten | Aggregierte Ergebnisse auf dieser Seite |
| Nicht öffentlich | Domain-Level-Rohdaten (Datenschutz) |
| Methodische Fragen | |
| Hosting | Datenbank und Anwendungen bei UP Network (Schweiz). Statische Website via Cloudflare. |
Korrekturen & Kontakt
Hinweise auf methodische Fehler, fehlende Kontextinformationen oder Korrekturvorschläge: E-Mail. Eingereichte Korrekturen werden geprüft und, falls relevant, im Report nachgeführt.
10. Häufige Fragen
Wie viele Schweizer .ch-Domains haben keine wirksame DMARC-Durchsetzung?
70,1% der 1'708'618 .ch-Domains mit MX-Eintrag (1'197'112 Domains) haben keine wirksame DMARC-Durchsetzung: entweder fehlt der Eintrag ganz, oder es gilt nur die überwachende Regel p=none.
Bedeutet das, dass diese Unternehmen gehackt wurden?
Nein. Die Messung zeigt nur, welche DNS-Regel veröffentlicht ist. Sie ist kein Test auf einen Sicherheitsvorfall, eine kompromittierte Mailbox oder Phishing.
Was ist der Unterschied zwischen p=none, p=quarantine und p=reject?
p=none überwacht nur und blockiert nichts. p=quarantine verschiebt nicht konforme E-Mails typischerweise in den Spam-Ordner. p=reject weist sie beim Empfängerserver zurück. Nur 13,3% der Domains mit MX-Eintrag setzen auf p=reject.
Reicht ein SPF-Eintrag als Schutz vor E-Mail-Spoofing?
Nein. SPF prüft nur, ob der sendende Server autorisiert ist, deckt aber nicht alle Missbrauchsszenarien ab. Diese Auswertung führt zudem keine vollständige rekursive RFC-7208-Lookup-Auswertung durch.
Wie wurden die Domains gescannt?
Ausschliesslich über passive DNS-Abfragen an fünf öffentliche Resolver (1.1.1.1, 8.8.8.8, 9.9.9.9, 1.0.0.1, 8.8.4.4). Keine HTTP-, SMTP- oder Port-Verbindung zu den Domains selbst, kein Login, kein Versand von E-Mails, keine Postfach-Prüfung.
Was bedeutet der Fehler-Anteil von 5,5%?
135'039 von 2'459'127 .ch-Domains lieferten nach zwei vollständigen Scan-Durchläufen weiterhin einen DNS-Fehler. Diese Domains gelten als nicht gemessen, nicht als ungeschützt.
Ist die DKIM-Erkennung vollständig?
Nein. Die Erkennung sucht nach bekannten, anbietertypischen Selektoren. Individuelle, selbst gewählte Selektoren werden nicht gefunden. Die Zahl ist eine untere Grenze.
Was bedeutet ein schwacher DKIM-Schlüssel in diesem Report?
Die Einschätzung beruht auf der Länge des base64-codierten Schlüssels im DNS-Eintrag (kleiner oder gleich 1024 Bit), nicht auf einer kryptografischen Prüfung.
Wurde die Zustellbarkeit von E-Mails getestet?
Nein. Es wurden keine E-Mails versendet und keine Postfächer geprüft. Der Report misst ausschliesslich öffentlich abrufbare DNS-Einträge.
Wie zitiere ich diesen Report?
Hadorn, P. (2026). Schweizer E-Mail-Sicherheitsreport 2026: Eine DNS-basierte Bestandsaufnahme von 2'459'127 .ch-Domains. KI-Barometer.ch.