Rettet 22. september 2026. Den første udgave byggede på 179 domæner og angav, at 80 % af værkerne ikke var beskyttet, og at alle værker med eget maildomæne indgik. Det var ikke korrekt. En gennemgang viste, at målingen manglede værker, og at der for nogle var målt hjemmesidens domæne i stedet for det domæne, værket bruger til mail. Målingen er udvidet til 304 domæner og kørt igen, og tallene i denne nyhed er rettet.
Cybersikkerhedsvirksomheden Auroa har tjekket mailopsætningen på 304 maildomæner hos danske fjernvarmeværker. Listen bygger på Forsyningstilsynets prisstatistik fra januar 2026, krydstjekket med en offentligt tilgængelig medlemsliste, hvor værkerne selv har opgivet deres mailadresse. Der er målt på det domæne, værket bruger til mail.
76 % af domænerne er ikke beskyttet. De har ingen DMARC, en ugyldig opsætning eller en politik, der kun overvåger. Kun 17 % er fuldt beskyttet, så modtagerens mailsystem afviser mails, der udgiver sig for at komme fra værket.
Til sammenligning er 80 % af kommunerne og 81 % af energi- og elnetselskaberne fuldt beskyttet. Fjernvarme ligger lavest af de ti sektorer, Auroa måler.
Hvorfor det betyder noget
Mange varmeværker sender driftsbeskeder, nyhedsbreve og opkrævninger på mail til tusindvis af andelshavere. Er domænet ikke beskyttet, kan en svindler sende en mail fra værkets rigtige adresse, fx om et nyt kontonummer, uden at noget beder modtagerens mailsystem om at stoppe den.
Fjernvarme er en del af energisektoren i NIS2-direktivet.
Kommunerne viser, at det kan lade sig gøre. Forskellen er, at de har haft et krav i årevis. Hos varmeværkerne har ingen spurgt. Det handler ikke om budget. Det er tre indstillinger i DNS og et par ugers opfølgning, så værkets egne mails ikke bliver afvist undervejs.
Daniel Maahr, direktør i Auroa
Tallene
| Sektor | Domæner | Fuldt beskyttet | Delvist | Ikke beskyttet |
|---|---|---|---|---|
| Fjernvarme | 304 | 17 % | 7 % | 76 % |
| Kommuner | 98 | 80 % | 14 % | 6 % |
| Energi og elnet | 32 | 81 % | 16 % | 3 % |
| Vand og spildevand | 68 | 51 % | 16 % | 33 % |
Fuldt beskyttet betyder p=reject, der gælder al post og alle subdomæner. Delvist betyder p=quarantine eller reject med undtagelser. Ikke beskyttet betyder ingen DMARC, en ugyldig post eller p=none. Fjernvarme er opgjort 22. september 2026, de øvrige sektorer 21. september 2026.
Metode
DNS-opslag pr. domæne: SPF, DKIM på kendte selectors, DMARC-politik inklusive subdomæner og dækning, samt MX. Kun domæner, der modtager mail, tæller. Hvert domæne tjekkes igen inden for 30 dage. Auroa leverer selv DMARC-overvågning og har derfor lagt metode og kilder åbent frem. Alle tal kan efterprøves med et hvilket som helst DMARC-værktøj. Journalister kan få domænelisten udleveret.
Den fulde opgørelse for alle sektorer ligger på Mailsikkerhed i Danmark. Tjek jeres eget domæne i DMARC-tjekket. Det er gratis og kræver intet login.
Kontakt
Daniel Maahr, direktør, Auroa ApS
info@auroa.dk · +45 70 60 56 78
Opdateret 22. september 2026: Tallene for hver region findes nu på sektorsiden om mailsikkerhed i fjernvarmesektoren.