Fire ud af fem danske domæner kan misbruges til falske mails

Kort fortalt

• Vi har tjekket 632.349 danske domæner, der modtager mail, for SPF, DKIM og DMARC. 81 % er slet ikke beskyttet mod, at andre sender mails i deres navn. Kun 15 % er fuldt beskyttet.
• To ud af tre domæner har slet ingen DMARC.
• Sektorer med krav og tilsyn står stærkt. Stat, kommuner og finans er langt fremme.
• I resten af erhvervslivet ligner brancherne hinanden: omkring fire ud af fem er ikke beskyttet. Dårligst står it-drift og hosting.
• Mailudbyderen betyder meget. Andelen af fuldt beskyttede domæner går fra 2 % til 57 % afhængigt af udbyderen.

Sådan står det til samlet

Oktober er Cybersikkerhedsmåneden. Derfor har vi samlet det, vores måling viser om mailsikkerheden i Danmark. Målingen består af sektorlister fra offentlige kilder, fx kommuner, finans, fjernvarme og advokater, og en bred scanning af cirka 1,2 millioner .dk-domæner. Alle domæner, der modtager mail, tæller med.

Vi har tjekket hvert domæne for SPF, DKIM og DMARC. Det viser, om en svindler kan sende en mail, der ser ud til at komme fra virksomheden, og om modtagerens mailsystem vil afvise den.

Tallene må bruges og citeres med kildeangivelsen “Kilde: Auroa (auroa.dk)”. Licens: CC BY 4.0. Materiale til presse.

Den første række tæller hvert domæne én gang. Den præges af de mange små virksomheder, foreninger og private domæner. Den anden række giver hver sektor samme vægt. Uanset hvordan man regner, er langt de fleste ikke fuldt beskyttet.

To ud af tre domæner (68 %) har slet ingen DMARC-post. Lidt over halvdelen signerer deres mails med DKIM. Det er et minimum, fordi DKIM kun kan findes, når man kender navnet på nøglen.

1. Hvor der er krav, er der beskyttelse

Den største forskel i målingen går mellem sektorer med tilsyn og resten. Stat, kommuner og finans har haft krav og tilsyn i årevis. Her er tre ud af fire eller flere fuldt beskyttet. Energi og vand er nået omkring halvvejen.

Private virksomheder har ingen, der stiller kravet. Det gør en kunde eller en svindler typisk først, når skaden er sket.

2. I resten af erhvervslivet er fire ud af fem åbne

Uden for de regulerede sektorer ligner brancherne hinanden. I handel, byggeri, sundhed, rådgivning, service, produktion og uddannelse er mellem 77 og 79 % ikke beskyttet.

Byggeri (32.855 domæner, 78 % ikke beskyttet). Branchen sender mange fakturaer, tilbud, aconto-opgørelser og ændringer til kontonumre over mail. Det er netop de mails, svindlere efterligner.

Produktion og handel. Ordrer, ordrebekræftelser og betalinger går over mail i lange leverandørkæder. I produktion er 77 % af 17.436 domæner ikke beskyttet, i handel og engros 79 % af 50.242.

Cirka halvdelen af domænerne kan vi ikke placere sikkert i en branche. Det er især små virksomheder, foreninger og private domæner. De står under Øvrige (ukategoriseret), og her er 84 % ikke beskyttet.

3. De, der driver andres it, står dårligst

Blandt 6.587 domæner hos virksomheder inden for it-drift og hosting er 85 % ikke beskyttet. Det er den højeste andel blandt alle brancher i målingen. Kun 39 % signerer deres mails med DKIM.

Det er virksomheder, som andre betror deres servere, mail og domæner. Når deres egne domæner står åbne, kan en svindler udgive sig for at være leverandøren og bede kunderne om at logge ind, betale eller installere noget.

4. Advokater og fjernvarme er ikke undtagelsen, men normen

Da vi i september målte advokater og fjernvarme, lå de blandt de dårligste sektorer. Med det brede grundlag ligger de på niveau med eller bedre end resten af erhvervslivet: 69 % af 1.133 advokatfirmaer og 76 % af 312 fjernvarmeværker er ikke beskyttet. Det gør dem ikke mere sikre. Det viser, at manglende beskyttelse er det normale.

For begge gælder, at mange mails handler om penge. Advokater håndterer klientmidler, deponeringer ved bolighandel og fortrolig korrespondance. Fjernvarmeværkerne sender regninger til tusindvis af forbrugere, og det gør en falsk mail i værkets navn troværdig for mange på en gang.

I forsvars-, rum- og sikkerhedsbranchen er 52 % af 292 domæner ikke beskyttet. Mange i branchen er leverandører til kunder, der selv stiller krav om sikkerhed.

5. Webshops er gået halvvejen

Blandt de 1.430 e-mærkede webshops er kun 18 % ikke beskyttet. Men kun 29 % er fuldt beskyttet. De fleste (53 %) er stoppet ved karantæne.

Karantæne betyder, at falske mails typisk havner i spam i stedet for at blive afvist. Men de når stadig frem, og nogen kan finde og åbne dem. For en webshop, hvis kunder venter ordrebekræftelser og leveringsbeskeder, er det en reel risiko.

Webshopperne er certificerede og derfor ikke et gennemsnit af dansk detailhandel. I handel og engros som helhed er 79 % ikke beskyttet. Det viser, at det første skridt er taget, hvor nogen har stillet krav. Det sidste mangler.

6. Mailudbyderen betyder meget

Forskellen mellem udbyderne er stor. Hos Simply er 57 % af domænerne fuldt beskyttet. Hos one.com, DanDomain og Wannafind er det højst 2 %. Så stor en forskel kan næppe forklares med kunderne alene. Det tyder på, at udbydernes standardopsætning betyder meget, og at mange domæner aldrig er sat op ud over standarden.

Tallene i udbydertabellen er opgjort 8. oktober 2026. Også på de store platforme afgør opsætningen resultatet: hos Microsoft 365 er 73 % ikke beskyttet, hos Google Workspace 86 %. Den fulde liste står på siden om mailudbydere.

7. Det kan lade sig gøre

Kommunerne viser, hvor langt man kan komme: 80 % er fuldt beskyttet, og kun 6 % er slet ikke. I vand og spildevand er 51 % fuldt beskyttet, i energi og elnet 52 %.

Det kræver ikke nye systemer. Det kræver, at nogen har ansvaret og gør opsætningen færdig.

Hvad betyder det, og hvad kan I gøre?

Er jeres domæne ikke beskyttet, kan enhver sende en mail med jeres navn som synlig afsender. Det kan være en faktura, en besked om et nyt kontonummer eller en henvendelse til jeres kunder. Modtagerens filtre fanger noget, men uden jeres anvisning tager de beslutningen alene.

Det handler også om jeres egne mails. Google kræver siden 2024 og Microsoft siden 2025 SPF, DKIM og DMARC af afsendere med mange mails. Mangler det, kan jeres nyhedsbreve og fakturaer ende i spam.

1. Find ansvaret. Hvem har ansvaret for jeres domæne og DNS? Ofte er det jeres it-leverandør.
2. Tjek politikken. Har domænet DMARC, og hvad står politikken til? p=none beskytter ikke; det er kun et måleværktøj.
3. Godkend afsenderne. Alle, der sender mail på jeres vegne, skal stå i SPF og signere med DKIM. Det gælder også nyhedsbrevs-, faktura- og CRM-systemer.
4. Stram gradvist. Gå fra none over quarantine til reject, og husk subdomænerne.

I kan se jeres domænes status med vores gratis DMARC-tjek. Det giver en prioriteret liste, I kan sende videre til jeres it-leverandør.

Om målingen

Tallene bygger på DNS-opslag af 632.349 domæner, der modtager mail. Sidst opdateret 21. oktober 2026. Domænerne i sektorlisterne tjekkes igen inden for 30 dage; den brede scanning gentages samlet.

Analysen er opdateret. Den første version (1. oktober 2026) byggede på 9.115 domæner i udvalgte sektorer, og her var 51 % ikke beskyttet. Den 8. oktober udvidede vi målingen med en bred scanning af cirka 1,2 millioner .dk-domæner. Det er ikke alle .dk-domæner, men dem, vi har kunnet samle. Domænerne er placeret i brancher ud fra CVR-registrets branchekode, når domænet kan kobles til et CVR-nummer, og ellers ud fra domænenavn og hjemmeside. Sektorer, der bygger på en officiel liste, får ingen domæner fra scanningen.

Den højere andel uden beskyttelse skyldes, at langt flere små virksomheder, foreninger og private domæner nu er med. Den betyder ikke, at mailsikkerheden er blevet dårligere, og tallene kan ikke sammenlignes direkte med den første version.

Den 30. september tilføjede vi desuden cirka 4.800 medlemsvirksomheder i DI’s brancheforeninger, kontrolleret mod virksomhedens navn, hjemmeside og CVR. Udvidelserne er vores egne, og DI står ikke bag målingen.

• Fuldt beskyttet: p=reject på al post og alle subdomæner.
• Delvist beskyttet: p=quarantine, eller p=reject med undtagelser.
• Ikke beskyttet: p=none, ugyldig DMARC eller ingen DMARC.

Forbehold: Domænerne er ikke et tilfældigt udsnit af dansk erhvervsliv. Mange webhoteller sætter mailmodtagelse (MX) op for alle domæner som standard, så nogle af de domæner, der tæller med, bruges måske ikke aktivt til mail. Cirka halvdelen kan ikke placeres sikkert i en branche og står som Øvrige (ukategoriseret). Sektorer med under 50 domæner er små, og tallene for dem bør læses med forsigtighed. “Ikke beskyttet” betyder, at domænet ikke beder modtageren afvise falske mails. Det betyder ikke, at virksomheden er blevet angrebet.

Vi nævner ingen enkelte virksomheder. Den fulde metode og alle sektortal står på målingssiden.

Analysen er lavet af Auroa ApS. Vi leverer selv DMARC-overvågning og har dermed en interesse i emnet. Derfor er metoden åben, og alle tal kan eftertjekkes med et hvilket som helst DMARC-værktøj. Tallene må bruges under CC BY 4.0 med kilden “Auroa (auroa.dk)”.