Finanzinstitute in Singapur weisen aufgrund der behördlichen Aufsicht durch die MAS eine hohe Einführungsrate von DMARC-Einträgen auf. Die Nutzung der Verschlüsselung auf der Transportschicht mittels MTA-STS ist jedoch nach wie vor gering. Ein kleiner Prozentsatz der Finanzinstitute verfügt noch immer überhaupt nicht über DMARC-Einträge oder beschränkt sich weiterhin auf „p=none“-Richtlinien, die lediglich eine Überwachung vorsehen, wodurch Raum für gezielte Identitätsbetrugsangriffe bleibt.
Offizielle Domains des öffentlichen Sektors weisen eine hohe Grundkonformität mit den SPF-Richtlinien und eine weitgehende Einführung von DNSSEC auf. Die Umsetzung der Richtlinien hin zu einer vollständigen Durchsetzung von „p=reject“ erfolgt jedoch schrittweise, wobei ein beträchtlicher Teil der Subdomains von Bundes- und Kommunalbehörden weiterhin unter passiven „p=none“- oder Quarantäne-Konfigurationen läuft.
Einrichtungen des Gesundheitswesens verarbeiten große Mengen vertraulicher medizinischer und personenbezogener Daten, was sie zu bevorzugten Zielen für Phishing-Angriffe macht. Zwar ist die Einführung grundlegender SPF-Maßnahmen weit verbreitet, doch arbeitet eine beträchtliche Anzahl von Gesundheitsdienstleistern mit passiven „p=none“-Richtlinien oder verfügt überhaupt nicht über DMARC-Schutz, wobei die MTA-STS-Integration nur minimal vorhanden ist.
Hochschulen und Forschungsnetzwerke stützen sich in hohem Maße auf passive Überwachungsmaßnahmen. In Verbindung mit einer geringen Durchsetzungsquote bei „p=reject“-Regeln und gelegentlichen Problemen bei der DNS-Konfiguration sind akademische Datenbanken, Repositorien für geistiges Eigentum und die Identitäten von Studierenden weiterhin anfällig für E-Mail-Spoofing.
Betreiber kritischer Versorgungsunternehmen gewährleisten zwar eine solide SPF-Grundabdeckung, doch ist die Umstellung auf die strikte Durchsetzung der „p=reject“-Richtlinie noch nicht abgeschlossen. Da ein Teil der Domänen von Versorgungsunternehmen weiterhin nur passiv überwacht wird und keine MTA-STS-Verschlüsselung verwendet, bestehen weiterhin Risiken durch das Abfangen von Daten in den Lieferketten der Energieversorgungsnetze.
Nachrichtenagenturen, Mediennetzwerke und Verlagsgruppen weisen eine geringe Quote bei der aktiven Durchsetzung von Richtlinien auf. Die starke Abhängigkeit von passiven Richtlinien (p=none) und nicht überwachten Absenderquellen ermöglicht es böswilligen Akteuren, offizielle Pressemitteilungen und Nachrichtenveröffentlichungen zu fälschen.
Telekommunikationsanbieter und Netzwerkanbieter weisen unterschiedliche Grundkonfigurationen auf, wobei in SPF-Einträgen gelegentlich Syntaxfehler auftreten. Da man sich ausschließlich auf Überwachungsmaßnahmen verlässt und Schutzmaßnahmen auf der Transitebene nur in geringem Umfang eingesetzt werden, sind die Kommunikationskanäle der Kunden dem Risiko von Abonnementbetrug und Identitätsdiebstahl ausgesetzt.
Unternehmen aus den Bereichen Logistik, Seeverkehr und Lieferketten verzeichnen allmähliche Fortschritte bei der Einführung aktiver Authentifizierungsmaßnahmen. Ein erheblicher Teil bleibt jedoch auf der reinen Überwachungsebene stehen, und eine Verschlüsselung auf der Transportebene wird nur selten eingesetzt, wodurch Handelsdokumente dem Risiko einer Abfangung während des Transports ausgesetzt sind.
