Finanzinstitute sind bei der Umsetzung von E-Mail-Sicherheitsrichtlinien führend: 90,0 % verfügen über eine gültige SPF-Einstellung, und 50,0 % arbeiten mit der Einstellung „p=quarantine“. Allerdings haben nur 10,0 % die vollständige Durchsetzung von „p=reject“ umgesetzt, während 30,0 % gänzlich auf DMARC verzichten und 10,0 % weiterhin bei „p=none“ verbleiben. Darüber hinaus führt die vollständige Nichtanwendung von MTA-STS (0,0 %) und DNSSEC (0,0 %) dazu, dass Benachrichtigungen zu Interbank-Transaktionen und die Kommunikation mit Kunden anfällig für Abhörversuche sind.
Ruandische Regierungsbehörden weisen eine vorbildliche DMARC-Implementierung auf: Nur 2,9 % lassen Einträge aus, und 94,3 % validieren SPF korrekt. Allerdings konzentriert sich die Richtlinienumsetzung stark auf „p=quarantine“ (61,4 %) und die passive Beobachtung „p=none“ (34,3 %), während nur 1,4 % die strenge Einstellung „p=reject“ erreichen. Das völlige Fehlen von DNSSEC (0,0 %) und MTA-STS (0,0 %) macht die Kommunikation der Behörden anfällig für das Abfangen von Daten während der Übertragung.
Bei der Verwaltung sensibler klinischer Unterlagen und Labordaten weist das Gesundheitswesen eine hohe Quarantäne-Akzeptanzrate (60,0 %) und eine SPF-Gültigkeit von 91,1 % auf. Allerdings gibt es keinerlei aktive Ablehnungen (0,0 % p=reject), wobei bei 26,7 % DMARC fehlt, 11,1 % den Status „p=none“ aufweisen und bei 2,2 % Konfigurationsfehler vorliegen. In Verbindung mit einer Einführungsrate von 0,0 % bei MTA-STS und DNSSEC ist die Vertraulichkeit der Patientendaten gemäß Gesetz Nr. 058/2021 gefährdet.
Hochschulen und Forschungseinrichtungen sind landesweit führend bei der strikten DMARC-Ablehnung (32,7 % p=reject), gefolgt von 30,9 % bei p=quarantine. Allerdings weist der Sektor eine erhebliche Grundanfälligkeit auf: 45,5 % der Bildungsdomains verzichten gänzlich auf SPF, und 18,2 % verzichten auf DMARC. In Verbindung mit 0,0 % MTA-STS und minimalem DNSSEC-Einsatz (3,6 %) sind akademische Zugangsdaten und Forschungsdaten einem anhaltenden Spoofing-Risiko ausgesetzt.
Betreiber kritischer Versorgungsunternehmen weisen mit 97,0 % die landesweit höchste Grundgültigkeit des SPF auf. Trotz dieser soliden Grundlage kommt der Übergang zur aktiven Verteidigung nur schleppend voran: 45,5 % verharren weiterhin bei der passiven „p=none“-Beobachtung, 36,4 % verzichten gänzlich auf DMARC, und nur 3,0 % setzen „p=reject“ durch. Da MTA-STS zu 0,0 % eingesetzt wird, sind Benachrichtigungen in der Lieferkette der Versorgungsunternehmen weiterhin anfällig für Identitätsbetrug durch Führungskräfte.
Rundfunk- und Fernsehsender, Verlagsunternehmen und digitale Nachrichtenagenturen weisen weitreichende Schwachstellen auf. Die Hälfte (50,0 %) verfügt überhaupt nicht über einen DMARC-Eintrag, eine aktive Ablehnung findet nicht statt (0,0 % p=reject), und bei 11,1 % treten SPF-Syntaxfehler auf. Da weder MTA-STS (0,0 %) noch DNSSEC (0,0 %) eingesetzt werden, sind offizielle redaktionelle Kanäle dem Risiko von gefälschten Pressemitteilungen und dem Diebstahl von Zugangsdaten ausgesetzt.
Telekommunikationsanbieter und Internetdienstanbieter weisen eine einwandfreie grundlegende SPF-Sicherheit auf (100,0 % korrekt) und sind landesweit führend bei der DNSSEC-Signierung (16,7 %). Ihre DMARC-Praxis ist jedoch uneinheitlich: 16,6 % setzen „p=reject“ durch, während 41,7 % im passiven Beobachtungsmodus „p=none“ verharren und 41,7 % keinen DMARC-Eintrag veröffentlichen. Das Fehlen von MTA-STS (0,0 %) macht die automatisierten Benachrichtigungen der Netzbetreiber anfällig für Abhörversuche während der Übertragung.
Zur Unterstützung des regionalen grenzüberschreitenden Handels erreichen Logistikunternehmen eine SPF-Konformität von 90,6 %. Die aktive Durchsetzung der Richtlinien ist jedoch begrenzt: Nur 6,3 % wenden „p=reject“ an, 15,6 % „p=quarantine“, während 40,6 % bei „p=none“ bleiben und 37,5 % Datensätze auslassen. Das völlige Fehlen von MTA-STS (0,0 %) macht Versanddokumente, Zollabfertigungsformulare und Rechnungen anfällig für Manipulationen.
