2026年のドイツにおけるDMARCの導入状況

• 2026年8月18日

エコシステムニュースセキュリティ・インサイト

昨年の秋、ドイツの「メールセキュリティ年」を機に、当国におけるドメインのセキュリティおよび規制の実施状況を把握するためのサンプルとして、売上高に基づいてドイツのトップ250の親ドメインを分析しました。

前回、数値の分析を行ってからほぼ1年が経ちましたが、変化がないか確認するため、改めてその数値を見直しました。

ネタバレ注意：あまり変わっていない。

以下は、ドイツのトップ250親ドメインにおける2026年8月の全結果です：

12%にはDMARCレコードがありません。
18％が p=none モニタリング段階で記録がある。
15％はベストプラクティスに従っていないか、エラーがあり、その結果、ドメインが危険にさらされたり、可視性が失われたりしています。
15％が「p=quarantine 」というDMARCポリシーを採用しており、これは p=rejectへ移行する直前の段階である。
40％は p=rejectにあり、DMARCが提供する保護機能を最大限に活用しています。

2025年10月のDMARC導入状況を比較すると、一部のカテゴリーではセキュリティがわずかに向上している一方で、他のカテゴリーでは依然として課題が残っていることがわかります。

DMARCレコードがない親ドメインの割合と、 p=quarantine 「enforcement」状態にあるドメインの割合は変わらないものの、ポリシー状態が p=reject。エラーがある、またはベストプラクティスに従っていないドメインは1％増加し、 p=none ポリシーが12％減少しており、これらが「完全施行」状態にあるドメインのわずかな増加を部分的に説明している可能性があります。

ドイツにおけるDMARC導入時のよくある誤り

今年の分析の結果、このドメインセットの34％にエラーがあることが判明しました。これらの問題のあるレコードは、DMARCとSPFという2つの大分類に分類されます。エラーの45％はDMARCレコードに関連しており、55％はSPFレコードに関連しています。

これらの結果を昨年の調査と比較したところ、目立った違いは見られませんでした。分析対象となった 250 のドメインのうち、32% に問題が見られました。そのうち 44% は DMARC レコードに関連するもので、56% は SPF に関連するエラーでした。

DMARCレコードの課題

DMARCレコードのエラーのうち、その大半は、集計レポートの送信先となるメールアドレスを含むRUAタグの欠落に起因していました。 RUAのないDMARCレコードは有効ですが、メールアドレスが記載されていないと、ドメイン所有者は、自分のドメインから誰が、あるいは何がメールを送信しているのか、それが正当なメールなのかフィッシング攻撃なのかといった情報をDMARCレポートで受け取ることができません。RUAタグの欠落は死角を生み出し、ドメイン所有者はメッセージングアーキテクチャを管理するために必要な可視性を得ることができません。

SPFレコードの課題

このカテゴリで確認されたエラーの中で、SPFレコードの欠如が最も多く見られました。SPFは電子メール認証の基盤となるもので、受信メールサーバーに対し、そのドメインを名乗ってメールを送信することが許可されているIPアドレスを通知するものです。これがなければ、誰でもそのドメインから送信されたように見えるメールを送信できてしまいます。

構文エラーやサポートされていないメカニズム、構造上の問題があるSPFレコードもよく見受けられました。こうした場合、受信側のメールサーバーはそのレコードを無視するため、保護は機能しません。

これらのドイツのドメインで検出されたエラーには、複数のSPFレコードや過剰なDNSルックアップなどが含まれていますが、こうした課題は決してこのドメイン群に限ったものではありません。当社のDMARC導入に関するすべての調査において、同様の問題が同程度の頻度で確認されており、当社は、ドメインを悪用から保護するために必要な有益なコンテンツの提供や、専門家によるサポートの提供に努めています。

dmarcianが提供できる支援

dmarcianは、正当な送信元の特定や正確なレコード構築における手探りの作業を排除し、ガイドに沿ったSPF設定をサポートします。

2026年4月、Signalを標的としたフィッシング攻撃がドイツの議員らを標的にした。犯罪者たちはSignalのサポート担当者を装い、PINの窃取を試み、高位の政治家や外交官の間で悪意のあるQRコードを拡散させた。

7月、人気スーパーマーケットチェーンのLidlが、ドイツ、ベルギー、オランダでデータ漏洩被害に遭いました。第三者のITベンダーを経由して、顧客の氏名、電話番号、メールアドレス、生年月日、顧客番号が盗み出されました。この漏洩による危険性は、フィッシング、ボイスフィッシング、ソーシャルエンジニアリングの手口を用いて顧客を標的とする、第2波の攻撃が発生する可能性がある点にあります。
また2026年には、オーストリアのホテル向けITソフトウェア企業が、フィッシング攻撃を受けて自社のネットワークが侵害されたことをドイツの顧客に通知した。この侵害の結果、宿泊客の予約情報が流出するとともに、その後、それらの宿泊客を標的としたフィッシングや偽の支払い要求が発生した。

DMARCの役割

企業は、DMARCおよびその基盤技術であるSPFやDKIMを活用して、以下の課題に対処しています：

メール詐欺 – DMARCは、ドメインがどのように使用されているかを可視化し、不正な送信者が組織を装ってメールを送信することを防止します。
サードパーティのセキュリティ：DMARCを利用すれば、ベンダーのセキュリティ態勢を迅速に評価・監視することができます。
コンプライアンス– 産業界、政府、および規制当局は、DMARCの導入をますます求めている。

dmarcianの取り組み

電子メールセキュリティの専門家チームを擁し、「電子メールとインターネットをより信頼できるものにする」という使命のもと、dmarcianはお客様のドメインカタログの評価、DMARCの導入、そして長期的なドメインセキュリティの管理を支援いたします。「DMARC for All」という理念と専門知識を活かし、私たちはお客様をサポートいたします。