Sådan står det til samlet
| Fuldt beskyttet | Delvist | Ikke beskyttet | |
|---|---|---|---|
| Alle 2.795 testede domæner | 32 % | 33 % | 35 % |
| Gennemsnit af 10 sektorer | 53 % | 19 % | 28 % |
Den første række tæller hvert testet domæne én gang. Da vi har testet mange webshops, fylder de meget i den række. Den anden række giver hver sektor samme vægt og viser derfor bedre, hvordan det ser ud på tværs af Danmark.
Sektor for sektor
Kommuner, stat, energiselskaber og finans er reguleret og har haft krav og tilsyn i årevis. Det ses: langt de fleste er fuldt beskyttet. Private virksomheder har ingen, der stiller kravet, før en kunde eller en svindler gør det.
| Sektor | Domæner | Fuldt beskyttet | Delvist | Ikke beskyttet |
|---|---|---|---|---|
| Regioner og stat | 24 | 92 % | 8 % | 0 % |
| Energi og elnet | 32 | 81 % | 16 % | 3 % |
| Kommuner | 98 | 80 % | 14 % | 6 % |
| Finans | 93 | 76 % | 17 % | 7 % |
| Vand og spildevand | 68 | 51 % | 16 % | 33 % |
| Cybersikkerhed | 66 | 48 % | 20 % | 32 % |
| Bureauer | 61 | 36 % | 31 % | 33 % |
| E-mærkede webshops | 1.429 | 29 % | 53 % | 18 % |
| Advokater | 726 | 21 % | 11 % | 68 % |
| Fjernvarme | 179 | 16 % | 4 % | 80 % |
To brancher uden krav
I bunden ligger to sektorer, som ingen har stillet krav til. To ud af tre advokatfirmaer har slet ingen beskyttelse, selvom advokater håndterer klientmidler, deponeringer ved bolighandel og fortrolig korrespondance. Blandt fjernvarmeværkerne gælder det fire ud af fem.
E-mærkede webshops ligger midt imellem. Næsten alle har slået DMARC til, men de fleste er stoppet ved karantæne. Falske mails havner i spam i stedet for at blive afvist.
Mailudbyder for mailudbyder
Udbyderen sætter ikke DMARC for jer. Den giver jer værktøjerne, og så er det jeres opsætning, der afgør resultatet. Derfor er der forskel, også blandt domæner på samme udbyder.
| Mailudbyder | Domæner | Håndhævet DMARC |
|---|---|---|
| Microsoft 365 | 1.296 | 61 % |
| Egen mailserver eller gateway | 802 | 64 % |
| Google Workspace | 214 | 79 % |
| Simply | 181 | 85 % |
| one.com | 131 | 57 % |
| DanDomain | 121 | 71 % |
| Proofpoint | 16 | 94 % |
| Wannafind | 13 | 77 % |
| Proton | 8 | 100 % |
| Mimecast | 5 | 100 % |
Hvad betyder det for jer?
Er jeres domæne ikke beskyttet, kan enhver sende en mail med jeres navn som synlig afsender: en faktura, en besked om et nyt kontonummer, en henvendelse til jeres kunder. Modtagerens filtre fanger noget af det, men uden jeres anvisning tager de beslutningen alene. Er det delvist beskyttet, lander de falske mails i spam, hvor nogen stadig kan finde og åbne dem. Google kræver siden 2024 og Microsoft siden 2025 SPF, DKIM og DMARC af alle, der sender mange mails; mangler det, ender jeres nyhedsbrev i spam, uden at nogen ser hvorfor.
Kør tjekket på jeres eget domæne. Det giver en prioriteret liste under “Næste skridt”, som I kan sende til jeres it-leverandør.
Sådan læser I tallene
Fuldt beskyttet: Domænet har p=reject, og politikken gælder al post og alle subdomæner. Modtagerens mailsystem afviser mails, der ikke kan bevise, at de kommer fra jer.
Delvist beskyttet: Domænet har p=quarantine, eller p=reject med undtagelser for subdomæner eller en del af mailstrømmen. Falske mails bliver typisk sorteret fra som spam, men de når frem.
Ikke beskyttet: Domænet har ingen DMARC, en ugyldig post eller p=none. p=none er et måleværktøj og beskytter ingenting.
Subdomæner tæller med
Et domæne kan være lukket, mens dets subdomæner står åbne. Har I sat sp=none, kan en svindler sende fra fx faktura.jeresdomæne.dk, selvom jeresdomæne.dk er beskyttet. Vi tæller kun et domæne som fuldt beskyttet, når subdomænerne er dækket af samme politik. Subdomæner med deres egen DMARC-post kan ikke findes via DNS; dem kan I tjekke enkeltvis i vores værktøj.
Om grundlaget (opdateret 21. september 2026)
Tallene bygger på DNS-opslag pr. domæne: SPF-record, DKIM på kendte selectors, DMARC-politik med subdomæner og dækning, og MX. Ét opslag viser, hvad domænets ejer har bedt modtagerne om; det viser ikke, om domænets egne mails består kontrollen i praksis. Det kræver, at nogen ser på afsendelsen.
Domænerne er ikke et tilfældigt udsnit af dansk erhvervsliv. Hver sektor bygger på en offentlig liste eller en liste over kendte virksomheder i branchen:
- Kommuner, regioner og stat: Hele listen. Kommunedomæner er ikke det samme som antal kommuner; nogle bruger et andet domæne til mail end til hjemmesiden, og listen følger maildomænet.
- Advokater: Alle advokatfirmaer i Advokatsamfundets Advokatnøgle med eget maildomæne. Virksomheder med ansatte advokater, fx banker og organisationer, er sorteret fra.
- Fjernvarme: Forsyningstilsynets prisstatistik fra januar 2026 med alle 374 fjernvarmeværker. Værker, vi kunne finde et eget maildomæne for, indgår. Mindre værker uden eget domæne gør ikke.
- Vand og spildevand: De kommunale forsyningsselskaber.
- Energi og elnet: Elnetselskaber og de største energiselskaber.
- Finans: De danske pengeinstitutter samt de største forsikrings- og pensionsselskaber.
- E-mærkede webshops: Alle aktive webshops i e-mærkets register. De er certificerede og derfor ikke et gennemsnit af dansk detailhandel.
- Bureauer og cybersikkerhed: Lister over kendte virksomheder i branchen.
Domæner, besøgende selv har tjekket, tæller med i totalen, men ikke i sektortabellen. Et domæne tæller kun, hvis det modtager mail (har MX). DKIM kan kun findes, når man kender navnet på nøglen, så DKIM-tallet er et minimum.
Hvert domæne tjekkes igen inden for 30 dage, så tallene er aktuelle, ikke et øjebliksbillede. Sidst opdateret 21. september 2026.
Hvem står bag
Opgørelsen er lavet af Auroa. Vi leverer selv DMARC-overvågning og har dermed en interesse i emnet. Derfor er metoden og kilderne beskrevet her, og alle tal kan eftertjekkes med et hvilket som helst DMARC-værktøj. Journalister og forskere kan få domænelisterne udleveret.
Sådan citerer I os: Auroa, “Mailsikkerhed i Danmark”, opdateret 21. september 2026. auroa.dk/indsigter/maalinger/mailsikkerhed-i-danmark/