DMARC-Studie Tirol 2026: Tourismusverbände und Gemeinden

Wer eine Mail vom Tourismusverband oder vom Gemeindeamt bekommt, sieht nur die Absenderadresse. Ob diese Adresse echt ist, kann der Mailserver des Empfängers nur prüfen, wenn die Domain es ihm sagt. Das macht ein DMARC-Eintrag im DNS. Ich habe am 7. Oktober 2026 für alle 34 Tiroler Tourismusverbände und alle 277 Tiroler Gemeinden nachgesehen, ob es diesen Eintrag gibt und was er verlangt. Das ist die Studie „E-Mail-Sicherheit der Tiroler Tourismusverbände und Gemeinden“, mit Methode, Zahlen und den Daten zum Herunterladen.

Die Ergebnisse auf einen Blick#

• Tourismusverbände: 31 von 34 (91 %) ohne wirksame Richtlinie. 9 haben keinen DMARC-Eintrag, 22 stehen auf p=none und beobachten nur. 2 haben p=quarantine, 1 hat p=reject. Das Ergebnis ist seit meiner ersten Messung am 29.09.2026 unverändert.
• Gemeinden: 207 von 277 (75 %) mit wirksamer Richtlinie. 146 stehen auf p=reject, 61 auf p=quarantine. 70 Gemeinden (25 %) haben keinen wirksamen Schutz: 46 ohne Eintrag, 24 mit p=none.
• Die Domain-Endung macht den Unterschied. Von den 209 Gemeinden mit einer Adresse unter .gv.at haben 192 eine wirksame Richtlinie (92 %), von den 68 mit einer anderen Endung nur 15 (22 %).
• Berichte holt sich fast niemand. Nur 7 der 25 Verbände mit DMARC-Eintrag und 11 der 231 Gemeinden mit Eintrag haben eine Berichtsadresse (rua). Die anderen erfahren nicht, ob jemand ihre Adresse missbraucht.
• SPF ist kein Problem. Alle 34 Verbände und 276 der 277 Gemeinden haben einen SPF-Eintrag. Es fehlt fast immer der letzte Schritt, nicht der erste.

Warum das für Gäste und Bürger zählt#

Tourismusverbände schreiben Gästen: Buchungsbestätigungen, Gästekarten, Newsletter, Antworten auf Anfragen. Gemeinden schreiben Bürgerinnen und Bürgern: Termine, Auskünfte, Zahlungserinnerungen. Genau solche Mails eignen sich für Betrug, etwa eine gefälschte Zahlungsaufforderung mit neuer Kontonummer. Wie so etwas technisch funktioniert, steht in E-Mail-Spoofing.

Eine wirksame DMARC-Richtlinie sagt dem empfangenden Mailserver: Kommt eine Mail mit unserer Adresse, die weder SPF noch DKIM passend besteht, dann sortiere sie aus (quarantine) oder weise sie ab (reject). Bei p=none oder ohne Eintrag bekommt der Empfänger diese Anweisung nicht. Das heißt nicht, dass jede Fälschung ankommt. Große Postfachanbieter filtern auch nach eigenen Regeln. Aber die Domain selbst bittet nicht darum, Fälschungen abzufangen, und sie erfährt ohne rua auch nichts davon.

Was DMARC nicht leistet: Es schützt nicht vor einem gehackten Postfach, denn dann kommt die Betrugsmail wirklich vom echten Server. Und es schützt nicht vor ähnlich geschriebenen Domains, etwa mit vertauschten Buchstaben. Dazu mehr in CEO-Fraud.

So habe ich gemessen#

Stichtag: 07.10.2026, Abfrage um 00:57 UTC (02:57 Uhr Ortszeit).

Welche Domains:

• Tourismusverbände: die Hauptdomain jedes der 34 Tiroler Tourismusverbände, dieselbe Liste wie bei meinen Messungen am 29.09., 02.10. und 03.10.2026.
• Gemeinden: die Domain der Mail-Adresse, die das Land Tirol in seiner Gemeindeliste für jede der 277 Gemeinden angibt, abgerufen am 07.10.2026. Daraus ergeben sich 276 Domains, weil sich zwei Gemeinden eine Domain teilen. Gezählt wird je Gemeinde. Eine Gemeinde nutzt eine Adresse bei einem regionalen Anbieter; gemessen ist dann dessen Domain.

Was abgefragt wurde: Je Domain drei öffentliche DNS-Einträge: der TXT-Eintrag unter _dmarc.<domain>, die TXT-Einträge der Domain selbst (für SPF) und die MX-Einträge. Die Abfrage lief über DNS-over-HTTPS bei Cloudflare (1.1.1.1). Jede DMARC-Antwort habe ich bei Google (8.8.8.8) gegengeprüft, es gab keine Abweichung. Alle 310 Domains haben MX-Einträge, empfangen also Mail.

Rein passiv: kein Zugriff auf Systeme, keine Testmails, keine Verbindung zu einem Mailserver. Jeder kann dieselben Einträge mit dig oder einem Online-Werkzeug abfragen.

Bewertung:

Mehrere DMARC-Einträge auf einer Domain hätten als „kein gültiger Eintrag“ gezählt. Das kam nicht vor. Hätte eine Subdomain keinen eigenen Eintrag gehabt, hätte die Richtlinie der Hauptdomain gegolten (sp=). Auch das kam nicht vor.

Grenzen: Gemessen ist eine Domain je Verband oder Gemeinde. Weitere Versanddomains, etwa für Newsletter oder ein Buchungsportal, sind nicht erfasst. DKIM habe ich hier nicht gemessen, weil sich DKIM-Schlüssel nur unter bekannten Namen finden lassen. Und die Messung ist eine Momentaufnahme: Ein Eintrag lässt sich in fünf Minuten ändern.

Die Zahlen im Detail#

Bei den Tourismusverbänden stimmt die DMARC-Verteilung mit meinen Messungen vom 29.09., 02.10. und 03.10.2026 Zahl für Zahl überein. Auch Domain für Domain hat sich seit dem 29.09.2026 bei keinem der 34 Verbände der DMARC-Eintrag geändert. Die Gegenmessung am 12.10.2026 ergab für alle 34 Verbände und alle 277 Gemeinden dieselbe Einstufung wie am 07.10.2026.

Gemeinden nach Bezirk#

Innsbruck-Stadt habe ich mit dem Bezirk Innsbruck-Land zusammengefasst. Ein Bezirk mit nur einer Gemeinde wäre sonst ein Einzelergebnis mit Namen. Die Unterschiede zwischen den Bezirken folgen weitgehend der Domain-Endung: Im Bezirk Lienz nutzen 25 der 33 Gemeinden eine Adresse außerhalb von .gv.at, in Reutte sind es 3 von 37 und in Landeck 2 von 30.

Was die Gemeinden anders machen#

Von den 192 Gemeinden mit .gv.at-Adresse und wirksamer Richtlinie tragen 144 wortgleich denselben Eintrag: v=DMARC1; p=reject; adkim=s; aspf=s, also reject mit strenger Ausrichtung, die übrigen 48 stehen auf quarantine. Das spricht dafür, dass dort jemand für viele Gemeinden zugleich eingerichtet hat, etwa ein gemeinsamer IT-Dienstleister. Wer welche Domain betreut, habe ich nicht erhoben. Für die Tourismusverbände zeigt es aber: Ein gut eingerichteter Standard wirkt in der Breite. Bei den Gemeinden mit einer Adresse außerhalb von .gv.at fehlt dieser Standard offenbar, und dort sieht es ähnlich aus wie bei den Verbänden.

Warum hier keine Namen stehen#

Die Studie nennt keine einzelnen Verbände oder Gemeinden, auch keine positiven Beispiele. Würde ich nur die drei Verbände mit wirksamer Richtlinie loben, ließen sich die 31 anderen per Ausschluss ermitteln. Bei den Gemeinden ist es genauso. Es geht nicht um ein Ranking, sondern um den Stand im ganzen Land. Das positive Beispiel steht trotzdem in den Zahlen: Im Bezirk Reutte haben 35 von 37 Gemeinden eine wirksame Richtlinie.

Jeder Verband und jedes Gemeindeamt kann die eigene Domain in einer Minute selbst prüfen, mit dem kostenlosen E-Mail-Check.

Drei Schritte für Verbände und Gemeindeämter#

1. Bestand prüfen und Versandwege sammeln. Den E-Mail-Check mit der eigenen Domain laufen lassen. Dann aufschreiben, wer alles im Namen der Domain Mails verschickt: Postfächer, Newsletter-Dienst, Buchungs- oder Meldesystem, Kontaktformular der Website, Buchhaltung. Jeder dieser Dienste muss im SPF-Eintrag stehen oder mit DKIM signieren. Wie das geht, steht in DMARC einrichten.
2. Mit p=none und Berichtsadresse beginnen. Ein Eintrag wie v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.at ändert an der Zustellung nichts, liefert aber täglich Berichte der großen Postfachanbieter. Nach zwei bis vier Wochen zeigen sie, welche Versandwege noch scheitern. Den Eintrag kannst du mit dem DMARC-Generator zusammenstellen.
3. Auf quarantine umstellen, später auf reject. Sobald alle eigenen Versandwege in den Berichten bestehen, ist p=quarantine der Schritt, der Gäste und Bürger tatsächlich schützt. Wann reject passt und wann nicht, erklärt DMARC-Policy: none, quarantine oder reject. Domains, die gar keine Mails verschicken, bekommen gleich p=reject und v=spf1 -all.

Die 22 Verbände mit p=none haben Schritt 2 begonnen, aber 18 der 25 Verbände mit Eintrag haben keine Berichtsadresse. Ohne Berichte bleibt p=none ein Dauerzustand, weil niemand sieht, wann das Umstellen sicher ist.

Daten zum Herunterladen#

Die aggregierten Ergebnisse stehen als CSV-Datei bereit: dmarc-studie-tirol-2026.csv (UTF-8, Komma als Trennzeichen). Die Datei enthält alle Summen dieser Seite, für die Gemeinden auch nach Bezirk und Domain-Endung, jeweils mit Basis und Stichtag. Einzelergebnisse je Domain veröffentliche ich nicht.

Du darfst die Zahlen mit Quellenangabe frei verwenden (Lizenz CC BY 4.0). Als Quelle reicht „Stefan Haun, cyberscale.dev, DNS-Messung vom 07.10.2026“ mit einem Link auf diese Seite.

Häufige Fragen#

Stand 12.10.2026. Messung am 07.10.2026, Gegenmessung aller Domains am 12.10.2026 ohne Änderung; Quellen am 07.10.2026 abgerufen.