Halvdelen af danske domæner kan misbruges til falske mails

Kort fortalt

• Vi har tjekket 9.115 danske domæner for SPF, DKIM og DMARC. 51 % er slet ikke beskyttet mod, at andre sender mails i deres navn. Kun 28 % er fuldt beskyttet.
• Sektorer med krav og tilsyn står stærkt. Kommuner, stat og finans er langt fremme.
• Byggeri, advokater og fjernvarme står mest åbent. Her er syv eller flere ud af ti ikke beskyttet.
• Mailudbyderen afgør det ikke. Det gør opsætningen, og den kan rettes uden nye systemer.

Sådan står det til samlet

Oktober er Cybersikkerhedsmåneden. Derfor har vi samlet det, vores måling viser om mailsikkerheden i dansk erhvervsliv og den offentlige sektor. Målingen dækker kommuner, stat, finans, forsyning, advokater, webshops, byggeri, produktion og mange flere brancher.

Vi har tjekket hvert domæne for SPF, DKIM og DMARC. Det viser, om en svindler kan sende en mail, der ser ud til at komme fra virksomheden, og om modtagerens mailsystem vil afvise den.

Den første række tæller hvert domæne en gang. Den anden giver hver sektor samme vægt, så store grupper som webshops og byggeri ikke trækker tallet. Uanset hvordan man regner, er under fire ud af ti fuldt beskyttet.

71 % af domænerne signerer deres mails med DKIM. Det er et minimum, fordi DKIM kun kan findes, når man kender navnet på nøglen.

1. Hvor der er krav, er der beskyttelse

Den største forskel i målingen går mellem sektorer med tilsyn og sektorer uden. Regioner og stat, kommuner og finans har haft krav og tilsyn i årevis. Her er tre ud af fire eller flere fuldt beskyttet.

Private virksomheder har ingen, der stiller kravet. Det gør en kunde eller en svindler typisk først, når skaden er sket.

2. Byggeriet, advokaterne og fjernvarmen står mest åbent

Syv ud af ti byggevirksomheder og advokatfirmaer er ikke beskyttet. Blandt fjernvarmeværkerne gælder det tre ud af fire.

Byggeri (1.791 domæner, 69 % ikke beskyttet). Byggeriet er den største sektor i målingen. Branchen sender mange fakturaer, tilbud, aconto-opgørelser og ændringer til kontonumre over mail. Det er netop de mails, svindlere efterligner.

Advokater (1.133 domæner, 69 % ikke beskyttet). Advokater håndterer klientmidler, deponeringer ved bolighandel og fortrolig korrespondance. En falsk mail om et nyt kontonummer til en boligkøber kan koste hele udbetalingen.

Fjernvarme (304 domæner, 76 % ikke beskyttet). Værkerne sender regninger til tusindvis af forbrugere. Det gør en falsk mail i værkets navn troværdig for mange modtagere på en gang.

Fælles for de tre er, at mange mails handler om penge, og at ingen har stillet krav om beskyttelse.

3. Det er ikke kun de små

Over halvdelen af produktionsvirksomhederne (53 % af 1.680) er ikke beskyttet. Det er virksomheder med leverandørkæder, hvor ordrer, ordrebekræftelser og betalinger går over mail.

Billedet går igen i andre store brancher: handel og engros (48 % af 399), service (57 % af 181) og rådgivning (58 % af 185). Også software- og SaaS-virksomheder ligger højt med 59 % af 270 domæner uden beskyttelse.

I forsvars-, rum- og sikkerhedsbranchen er 52 % af 292 domæner ikke beskyttet. Mange i branchen er leverandører til kunder, der selv stiller krav om sikkerhed.

4. Webshops er gået halvvejen

Blandt de 1.430 e-mærkede webshops har 82 % en DMARC-politik, der sorterer eller afviser falske mails. Men kun 29 % er fuldt beskyttet. De fleste (53 %) er stoppet ved karantæne.

Karantæne betyder, at falske mails typisk havner i spam i stedet for at blive afvist. Men de når stadig frem, og nogen kan finde og åbne dem. For en webshop, hvis kunder venter ordrebekræftelser og leveringsbeskeder, er det en reel risiko.

Webshopperne er certificerede og derfor ikke et gennemsnit af dansk detailhandel. De viser, at det første skridt er taget mange steder. Det sidste mangler.

5. Mailudbyderen afgør det ikke

Samme mailudbyder giver vidt forskellige resultater. Udbyderen sætter ikke DMARC for jer. Den giver værktøjerne, og så er det jeres opsætning, der afgør det.

Halvdelen af de domæner, der bruger Microsoft 365, har ikke håndhævet DMARC. Det er samme platform, men forskellig opsætning. Den fulde liste står på siden om mailudbydere.

6. Det kan lade sig gøre

Private brancher kan også nå langt, og nogle er godt på vej. Blandt de større private sektorer klarer life science (200 domæner) og transport (116 domæner) sig bedst. Her er 38 % og 36 % fuldt beskyttet.

I vand og spildevand er 51 % af 71 forsyninger fuldt beskyttet, og i energi og elnet 52 % af 75 selskaber. Kommunerne viser, hvor langt man kan komme: 80 % er fuldt beskyttet, og kun 6 % er slet ikke.

Det kræver ikke nye systemer. Det kræver, at nogen har ansvaret og gør opsætningen færdig.

Hvad betyder det, og hvad kan I gøre?

Er jeres domæne ikke beskyttet, kan enhver sende en mail med jeres navn som synlig afsender. Det kan være en faktura, en besked om et nyt kontonummer eller en henvendelse til jeres kunder. Modtagerens filtre fanger noget, men uden jeres anvisning tager de beslutningen alene.

Det handler også om jeres egne mails. Google kræver siden 2024 og Microsoft siden 2025 SPF, DKIM og DMARC af afsendere med mange mails. Mangler det, kan jeres nyhedsbreve og fakturaer ende i spam.

1. Find ansvaret. Hvem har ansvaret for jeres domæne og DNS? Ofte er det jeres it-leverandør.
2. Tjek politikken. Har domænet DMARC, og hvad står politikken til? p=none beskytter ikke; det er kun et måleværktøj.
3. Godkend afsenderne. Alle, der sender mail på jeres vegne, skal stå i SPF og signere med DKIM. Det gælder også nyhedsbrevs-, faktura- og CRM-systemer.
4. Stram gradvist. Gå fra none over quarantine til reject, og husk subdomænerne.

I kan se jeres domænes status med vores gratis DMARC-tjek. Det giver en prioriteret liste, I kan sende videre til jeres it-leverandør.

Om målingen

Tallene bygger på DNS-opslag af 9.115 domæner, målt 30. september 2026. Et domæne tæller kun med, hvis det modtager mail. Hvert domæne genscannes inden for 30 dage, så tallene flytter sig løbende.

Målingen er udvidet. Den 30. september tilføjede vi cirka 4.800 medlemsvirksomheder i DI’s brancheforeninger, fordelt på blandt andet byggeri, produktion, handel og rådgivning. Hvert domæne er kontrolleret mod virksomhedens navn og hjemmeside og verificeret i CVR. Virksomheder under konkurs eller opløsning er sorteret fra. Udvidelsen er vores egen, og DI står ikke bag målingen.

Fordi grundlaget er udvidet, kan tallene ikke sammenlignes direkte med tidligere versioner. Ændringer i totalen siger derfor ikke noget om, hvorvidt mailsikkerheden i Danmark er blevet bedre eller værre.

• Fuldt beskyttet: p=reject på al post og alle subdomæner.
• Delvist beskyttet: p=quarantine, eller p=reject med undtagelser.
• Ikke beskyttet: p=none, ugyldig DMARC eller ingen DMARC.

Forbehold: Domænerne er ikke et tilfældigt udsnit af dansk erhvervsliv. Hver sektor bygger på en offentlig liste eller en liste over kendte virksomheder i branchen. Sektorer med under 50 domæner er små, og tallene for dem bør læses med forsigtighed. “Ikke beskyttet” betyder, at domænet ikke beder modtageren afvise falske mails. Det betyder ikke, at virksomheden er blevet angrebet.

Vi nævner ingen enkelte virksomheder. Den fulde metode og alle sektortal står på målingssiden.

Analysen er lavet af Auroa ApS. Vi leverer selv DMARC-overvågning og har dermed en interesse i emnet. Derfor er metoden åben, og alle tal kan eftertjekkes med et hvilket som helst DMARC-værktøj. Tallene må bruges under CC BY 4.0 med kilden “Auroa (auroa.dk)”.