Wie gut schützen Ostschweizer Gemeinden ihre E-Mails?
Eine neue Studie untersucht die E-Mail-Sicherheit von mehr als 15'000 Gemeinden in Deutschland, Österreich und der Schweiz. In der Ostschweiz zeigt sich ein uneinheitliches Bild: Grundlegende Schutzmechanismen sind weit verbreitet, konsequent eingesetzt werden sie aber längst nicht überall.
E-Mails gehören zur kritischen Infrastruktur einer Gemeinde. Über sie laufen Anfragen aus der Bevölkerung, Rechnungen, Bewilligungen oder der Austausch mit anderen Behörden. Gleichzeitig können ungenügend geschützte Maildomains für Phishing und sogenannte Spoofing-Angriffe missbraucht werden, bei denen Angreifer Nachrichten mit gefälschten Absendern verschicken.
Wie gut Gemeinden dagegen geschützt sind, haben Forscher der Universität Freiburg, der Hochschule Luzern sowie zweier deutscher Hochschulen untersucht. Ihre Studie umfasst 15'331 Gemeinden in Deutschland, Österreich und der Schweiz, darunter sämtliche 2110 Schweizer Gemeinden. Die Messungen wurden im April 2026 durchgeführt.
Im Zentrum stehen drei Sicherheitsmechanismen: SPF legt fest, welche Server E-Mails für eine Domain versenden dürfen. DMARC bestimmt unter anderem, wie mit Nachrichten umgegangen wird, deren Absender nicht korrekt authentifiziert werden kann. DANE erhöht die Sicherheit der verschlüsselten Übertragung zwischen Mailservern.
Vorhanden heisst nicht konsequent geschützt
Die Forscher unterscheiden bewusst zwischen dem blossen Vorhandensein von SPF und DMARC und einem konsequenten Schutz. Bei SPF gilt eine Konfiguration nur dann als gut, wenn nicht autorisierte Mailserver ausdrücklich vom Versand ausgeschlossen werden. Bei DMARC muss festgelegt sein, dass E-Mails zurückgewiesen werden, wenn ihre Absender nicht korrekt authentifiziert werden können. Weniger strenge Einstellungen können dazu führen, dass gefälschte Nachrichten trotzdem angenommen werden.
Gerade diese Unterscheidung zeigt in der Ostschweiz grosse Unterschiede. Im Kanton St.Gallen verfügen sämtliche 75 untersuchten Gemeinden über SPF und 94,7 Prozent über DMARC. Konsequent konfiguriert ist SPF jedoch nur bei 40 Prozent der Gemeinden. Bei DMARC erfüllen 21,3 Prozent die strengen Kriterien der Studie.
Damit liegt St.Gallen bei konsequent konfiguriertem DMARC immerhin über dem Schweizer Durchschnitt von 13,4 Prozent. Beim SPF bleibt der Kanton dagegen deutlich unter dem landesweiten Wert von 79,9 Prozent. Schweizweit verfügen 99,2 Prozent der untersuchten Gemeinden über SPF und 55,5 Prozent über DMARC. DANE kommt lediglich bei 7,3 Prozent zum Einsatz.
Thurgau stark bei SPF
Anders präsentiert sich die Situation im Thurgau. Von den 80 untersuchten Gemeinden verfügen 97,5 Prozent über SPF, bei 82,5 Prozent ist der Schutz konsequent konfiguriert. DMARC ist dagegen nur bei 60 Prozent vorhanden. Lediglich 10 Prozent der Thurgauer Gemeinden setzen es so ein, dass nicht korrekt authentifizierte E-Mails zurückgewiesen werden. DANE findet sich bei keiner der untersuchten Gemeinden.
Besonders auffällig ist Appenzell Ausserrhoden. Von den 20 Gemeinden verfügen 95 Prozent sowohl über SPF als auch über DMARC. SPF ist in sämtlichen dieser Fälle konsequent konfiguriert. Zudem setzen 85 Prozent der Gemeinden DANE ein. Damit hebt sich Ausserrhoden deutlich vom Schweizer Durchschnitt ab. Die Studienautoren erwähnen den Kanton deshalb ausdrücklich als Beispiel für eine hohe DANE-Verbreitung. Beim konsequenten Einsatz von DMARC fällt das Bild allerdings ab: Nur 5 Prozent der Gemeinden erfüllen hier die strengen Kriterien der Studie.
Appenzell Innerrhoden bildet einen weiteren Kontrast. Alle fünf untersuchten Gemeinden verfügen über ein konsequent konfiguriertes SPF. DMARC und DANE fehlen dagegen vollständig.
Provider beeinflussen die Sicherheit
Eine Erklärung für die Unterschiede sehen die Forscher bei den eingesetzten Mailanbietern. Die Studie zeigt allerdings kein einfaches Muster, wonach ein bestimmter Typ von Anbieter generell sicherer wäre. US-Cloudanbieter schneiden bei konsequent konfiguriertem SPF besser ab. Inländische Anbieter erreichen dagegen über alle drei untersuchten Länder hinweg höhere Werte beim konsequenten Einsatz von DMARC. DANE findet sich fast ausschliesslich bei inländischen Anbietern.
Das zeigt sich auch innerhalb der Ostschweiz. In St.Gallen nutzen 80 Prozent der Gemeinden Microsoft, während in Appenzell Ausserrhoden und Innerrhoden sämtliche untersuchten Gemeinden einem inländischen Anbieter zugeordnet wurden. Im Thurgau beträgt der Anteil inländischer Anbieter 71,2 Prozent. Die Providerwahl allein sagt jedoch noch nichts darüber aus, wie umfassend eine Gemeinde ihre E-Mail-Kommunikation schützt.
Die Studie kommt vielmehr zum Schluss, dass bei der E-Mail-Sicherheit weiterhin erhebliche Lücken bestehen. Über alle drei untersuchten Länder hinweg nutzen zwar rund 91 Prozent der Gemeinden SPF, doch nur knapp 46 Prozent setzen es konsequent um. Bei DMARC ist der Unterschied noch deutlicher: Knapp die Hälfte verfügt über den Schutzmechanismus, aber nur rund 15 Prozent konfigurieren ihn so, dass nicht authentifizierte E-Mails zurückgewiesen werden.
Text: pd/pas