Obwohl Finanzinstitute in Finnland mit einer führenden DMARC-Durchsetzungsrate von 31,7 % eine Vorreiterrolle bei den strengen Maßnahmen zur E-Mail-Authentifizierung des Landes einnehmen, bestehen weiterhin gravierende Lücken bei Transport und Routing. Bei erschreckenden 97,6 % der geprüften Banken und Finanzinstitute fehlen operative MTA-STS-Einträge gänzlich, sodass nur winzige 2,4 % über sichere E-Mail-Transitkanäle verfügen. Alarmierenderweise haben 17,1 % dieser besonders häufig angegriffenen Ziele überhaupt keinen DMARC-Eintrag veröffentlicht, während 19,5 % auf der reinen Überwachungsebene „p=none“ verharren und 31,7 % die nur schwache Schutzstufe „p=quarantine“ nutzen. Zudem haben nur 24,4 % DNSSEC aktiviert, wodurch 75,6 % gegenüber Angriffen auf der DNS-Ebene hochgradig anfällig sind.
Der öffentliche Sektor und die staatlichen Domains Finnlands weisen zuverlässige Grundkonfigurationen auf und erreichen eine Korrekturquote bei der SPF-Konfiguration von 95,1 % sowie einen DNSSEC-Einführungsgrad von 11,5 %. Trotz dieser vielversprechenden Ansätze verläuft die tatsächliche Durchsetzung der Richtlinien weiterhin schleppend: Nur 23,0 % der Regierungsdomains setzen aktiv eine strenge „p=reject“-Richtlinie durch. Umgekehrt verharren beachtliche 45,1 % in der passiven Überwachungsphase „p=none“, 13,9 % wenden die „weiche“ Richtlinie „p=quarantine“ an, und 17,2 % veröffentlichen überhaupt keinen DMARC-Eintrag (wobei weitere 0,8 % falsch konfiguriert sind). Darüber hinaus wird die Verschlüsselung auf der Transportschicht in kritischem Maße vernachlässigt: Nur 0,8 % haben MTA-STS erfolgreich eingeführt.
Finnlands Gesundheitsdienstleister sind aufgrund eines weit verbreiteten Mangels an aktiven Abwehrmaßnahmen nach wie vor in hohem Maße anfällig für E-Mail-Spoofing. Alarmierende 45,9 % der medizinischen Domains verharren in der passiven Überwachungsstufe „p=none“, während 19,0 % auf den teilweisen Schutz einer „p=quarantine“-Richtlinie setzen. Gleichzeitig verfügen 17,8 % der Organisationen im Gesundheitswesen über keinerlei DMARC-Eintrag, sodass nur 16,9 % Bedrohungen aktiv auf der strengen Durchsetzungsstufe „p=reject“ blockieren. Darüber hinaus fehlt die Verschlüsselung auf der Transportschicht fast vollständig: Nur 0,8 % verfügen über eine gültige MTA-STS-Implementierung, und nur 7,4 % haben DNSSEC aktiviert, wodurch 92,6 % Angriffen auf der Routing-Ebene ausgesetzt sind.
Finnlands akademische und Bildungsnetzwerke weisen landesweit die höchste Abhängigkeit von reinen Überwachungskonfigurationen auf: 56,5 % der Einrichtungen verharren in der passiven Phase „p=none“. Diese passive Haltung, kombiniert mit einer für den Sektor niedrigen Durchsetzungsrate von „p=reject“ von lediglich 3,2 % und dem völligen Fehlen von DMARC-Einträgen bei 17,7 % der Bildungsdomains, macht wichtige wissenschaftliche Datenbanken, wertvolles geistiges Eigentum und die Identitäten von Studierenden in hohem Maße anfällig für Missbrauch. Zudem sind die Infrastruktur-Schutzmaßnahmen außerordentlich schwach: Nur 9,7 % haben DNSSEC aktiviert und 0,0 % nutzen MTA-STS für einen sicheren Datenverkehr.
Finnlands Energienetze weisen eine solide Ausgangsbasis auf und erreichen eine korrekte SPF-Abgleichsrate von 96,8 % bei einer aktiven p=reject-Durchsetzungsrate von 25,8 %. Ein erheblicher Teil dieser kritischen Infrastruktur bleibt jedoch äußerst anfällig: 32,3 % der Domains verharren bei einer reinen Überwachungsrichtlinie (p=none), und 15,0 % veröffentlichen überhaupt keinen DMARC-Eintrag. Da zudem 95,7 % des Sektors gänzlich ohne MTA-STS-Transportverschlüsselung sind (wodurch nur 4,3 % gültig sind), bleiben sensible Netzkommunikation und logistische Abläufe weiterhin dem Risiko einer Abhörung auf der Transitebene ausgesetzt. Der Schutz auf der DNS-Ebene ist ähnlich schwach, da die DNSSEC-Einführungsrate bei nur 6,5 % liegt.
Obwohl Finnlands Nachrichtenorganisationen und Medienunternehmen in der Öffentlichkeit großes Vertrauen genießen, gehören ihre E-Mail-Authentifizierungsmaßnahmen zu den anfälligsten des Landes. Da ganze 51,4 % der Mediennetzwerke auf passiven „p=none“-Konfigurationen basieren, 14,4 % „p=quarantine“ verwenden und bei 30,8 % DMARC-Einträge gänzlich fehlen, können böswillige Akteure sich leicht als vertrauenswürdige journalistische Marken ausgeben. Aktiver Schutz ist praktisch nicht vorhanden: Nur 2,7 % – ein kritischer Branchentiefstwert – setzen „p=reject“ durch. Darüber hinaus werden Routing- und Transportsicherheit stark vernachlässigt: Nur 3,4 % haben DNSSEC aktiviert, und erschreckende 0,0 % haben MTA-STS implementiert.
Finnlands Telekommunikationsanbieter verwalten hochkomplexe Netzwerkinfrastrukturen, haben jedoch mit anhaltenden Fehlern bei der Protokollkonfiguration und einem deutlichen Mangel an strikter Durchsetzung von Richtlinien zu kämpfen. Da bei mehr als einem Viertel der Telekommunikationsdomains (27,2 %) ein DMARC-Eintrag gänzlich fehlt und stark auf passive Überwachung gesetzt wird (31,9 % bei p=none und 23,3 % bei p=quarantine), sind die Identitäten großer Netzbetreiber nach wie vor in hohem Maße anfällig für Abrechnungs- und Abonnementbetrug. Nur eine kleine Minderheit von 17,2 % setzt aktiv eine strenge „p=reject“-Richtlinie durch. Darüber hinaus werden die Transport- und Routing-Sicherheit nach wie vor stark vernachlässigt: Nur 2,6 % haben MTA-STS eingeführt, und lediglich 9,9 % haben DNSSEC aktiviert.
Finnische Transport- und Logistikdienstleister sind in hohem Maße auf einen schnellen, automatisierten Datenaustausch angewiesen, was zwar zu einer moderaten Rate an aktiver Abwehr von Bedrohungen führt, die Lieferkanäle jedoch stark gefährdet. Mehr als die Hälfte der Branche (58,3 %) verharrt nach wie vor im passiven Überwachungsmodus (p=none). In Kombination mit 12,5 % der Domains, bei denen DMARC gänzlich fehlt, 16,7 %, die auf eine p=quarantine-Richtlinie setzen, und nur 12,5 %, die DNSSEC nutzen, bleiben diese Versandnetzwerke äußerst unsicher. Die Anfälligkeit wird durch ein branchenweites Fehlen der MTA-STS-Validierung auf Transportebene (insgesamt 100,0 %) noch verstärkt, wobei nur eine kleine Minderheit von 12,5 % aktiv eine strenge „p=reject“-Richtlinie durchsetzt, um gefälschte Nachrichten zu blockieren.
