Spoofhound-Forschung · 2026-11-08
Stand von DMARC 2026 — Indien
Drei von vier indischen Domains lassen sich per E-Mail fälschen.
Spoofhound hat das indische Web geprüft: 12.398 Domains, die E-Mails empfangen, aus den populären Websites des Landes und kartierten lokalen Unternehmen, geprüft mit derselben Engine wie unser kostenloser Domain-Check.
Domain prüfen — kostenlosDie Kernzahl
Drei von vier indischen Domains, die E-Mails empfangen, lassen sich fälschen. Von 12.398 geprüften Domains haben 9.316 (75,1 %) keine durchgesetzte DMARC-Richtlinie: gar kein Eintrag, nur Beobachtung oder ein defekter Eintrag. Empfangende Mailsysteme werden nie angewiesen, Fälschungen in ihrem Namen zu blockieren.
Drei Zahlen tragen die Geschichte:
- •24,9 % setzen DMARC durch. Das liegt gleichauf mit dem Vereinigten Königreich (24,5 %) und vor Frankreich (15,7 %), aber hinter Südafrika (34,1 %) und Saudi-Arabien (45,7 %). Nur Unternehmen gezählt, liegt Indien bei 23,7 %, gegenüber 37,8 % in Saudi-Arabien und 33,6 % in Südafrika.
- •Der Staat geht nicht mit gutem Beispiel voran: 32,3 %. Indische Behörden- und Hochschul-Domains (.gov.in, .nic.in, .ac.in, .edu.in, .res.in) setzen DMARC zu 32,3 % durch. Der britische öffentliche Sektor schafft 74,7 %, saudische Behörden und Universitäten 82,4 %.
- •Die Lücke bei Kleinunternehmen: 27,7 % gegenüber 48,2 %. Indische Unternehmen mit ein bis drei Standorten setzen DMARC zu 27,7 % durch. Die .in-Websites unter den Top 100.000 schaffen 48,2 %.
Die durchschnittliche indische Domain erreicht 32,8 von 100 Punkten im vollständigen E-Mail-Sicherheitscheck, und 80,4 % haben mindestens ein Problem, das sich zu beheben lohnt.
DMARC im indischen Web
75 % der indischen Domains, die E-Mails empfangen, lassen sich fälschen
9.316 von 12.398 geprüften Domains haben keine durchgesetzte DMARC-Richtlinie.
Kein DMARC-Eintrag
Nur Beobachtung (p=none)
Defekter oder doppelter Eintrag
p=quarantine
p=reject
Rot: Empfänger werden nie angewiesen, Fälschungen zu blockieren · Grün: Nachahmer-Mail wird in Quarantäne geschickt oder abgewiesen.
Indien verteilt sich ganz ähnlich wie das Vereinigte Königreich: Vier von zehn Domains haben keinen DMARC-Eintrag (39,2 %), ein Drittel veröffentlicht einen, belässt ihn aber bei p=none (33,9 %), und nur ein Viertel setzt durch. Die Gruppe mit reiner Beobachtung ist geschäftlich am wichtigsten. Diese Organisationen haben schon angefangen und erhalten womöglich Berichte, haben aber vor der Einstellung aufgehört, die Nachahmer-Mail tatsächlich blockiert. Genau diese Arbeit zu Ende zu bringen, ist das, was Spoofhound tut.
Der Rest der Kette
| Prüfung | Befund | Domains |
|---|---|---|
| SPF | Gar kein Eintrag: jeder beliebige Server darf als die Domain senden | 1.443 (11,6 %) |
| SPF | Eintrag endet auf +all oder ?all: veröffentlicht, erlaubt aber trotzdem jedem alles | 111 (0,9 %) |
| Microsoft 365 DKIM | Beide Signatur-Selektoren defekt: ausgehende Mail kann schon heute an der Authentifizierung scheitern | 34 |
| MTA-STS | Schützt eingehende Mail vor dem Abfangen: eingeführt (davon 15 nur im Testmodus) | 36 (0,3 %) |
| TLS-RPT | Meldet fehlgeschlagene sichere Zustellung: eingeführt | 64 (0,5 %) |
| BIMI | Verifiziertes Logo im Posteingang: aktiv | 205 (1,7 %) |
Indiens Schwachstelle ist SPF. Jede neunte Domain veröffentlicht gar keinen SPF-Eintrag, doppelt so viele wie in Südafrika (5,8 %). Die neueren Standards sind kaum angekommen: Weniger als 1 von 100 Domains nutzt MTA-STS oder TLS-RPT. BIMI schneidet mit 1,7 % besser ab als beide, genauso wie in Südafrika.
Kleinunternehmen gegen das populäre Web
| Population | Geprüfte Domains | Kein DMARC-Eintrag | Nur Beobachtung | Durchgesetzt |
|---|---|---|---|---|
| Indische Unternehmen mit 1–3 Standorten (Läden, Büros, Handwerk) | 3.144 | 40,9 % | 30,0 % | 27,7 % |
| .in-Websites unter den Top 100.000 | 782 | 25,1 % | 24,3 % | 48,2 % |
Die Lücke hat dieselbe Form wie in jedem bisher geprüften Markt. Große, sichtbare Organisationen haben mehr von der Arbeit erledigt, während 77,2 % der Kleinunternehmen noch mindestens ein E-Mail-Sicherheitsproblem haben. Vier von zehn veröffentlichen gar keinen DMARC-Eintrag und würden daher nie erfahren, dass ihre Domain für Betrug missbraucht wird.
Wer am stärksten exponiert ist
Nur Finanzbüros und Behörden schützen die Mehrheit ihrer indischen Domains
Anteil der E-Mail-empfangenden Domains jedes Sektors mit p=quarantine oder p=reject (geprüfte Domains in Klammern).
Computerläden (35)
Schönheitssalons (50)
Werbeagenturen (55)
Reisebüros (71)
Bildungsbehörden (314)
Gemeinnützige Organisationen (57)
Supermärkte (88)
Juweliere (56)
Einkaufszentren (71)
Autohäuser (43)
Bekleidungsgeschäfte (179)
IT-Unternehmen (212)
Firmenbüros (580)
Behörden (116)
Finanzbüros (31)
Blau: Unternehmen, die Kundenzahlungen per Überweisung annehmen · gestrichelte Linie: indischer Durchschnitt (24,9 %).
Reisebüros liegen mit 14,1 % weit unten, dabei nehmen sie große Zahlungen per Überweisung an, genau das, was Rechnungsbetrug ausnutzt. Bildungsbehörden sind nach den Firmenbüros die größte Gruppe der Stichprobe, und nur jede sechste setzt DMARC durch. IT-Unternehmen, die anderen Technologie verkaufen, kommen auf 34,0 %: besser als der Durchschnitt, aber zwei von drei lassen ihren eigenen Namen weiterhin ungeschützt.
Methodik
Population. 12.398 indische Domains, die E-Mails empfangen (funktionierende MX-Einträge), aus zwei Quellen:
- jede .in-Domain im Popularitätsranking Tranco Top 1 Million: 9.398 Domains, die E-Mails empfangen
- indische Unternehmen, auf OpenStreetMap kartiert, mit eigener Website, beliebige Endung: 3.253 Domains
253 Domains kommen in beiden vor. Social-Media-Profile, Verzeichnisse und gehostete Seiten, die das Unternehmen nicht kontrolliert, sind ausgeschlossen.
Prüfungen. Jede Domain wurde mit Spoofhounds eigener Engine geprüft, derselben wie beim kostenlosen Domain-Check. Sie umfasst SPF, DKIM (bekannte Selektoren großer E-Mail-Anbieter wie Microsoft, Google, SendGrid, Mailchimp und weiterer), DMARC, MTA-STS, TLS-RPT und BIMI. Jede Zahl beruht auf einer Prüfung in den 30 Tagen bis 2026-11-08.
Ehrliche Grenzen.
- Die Kernzahl prägt das populäre Web, nicht das Kleinunternehmen. Anders als im Vereinigten Königreich und in Südafrika stammen drei von vier indischen Domains der Stichprobe aus dem Tranco-Ranking, nicht von kartierten Unternehmen. Wenige indische Unternehmen geben auf OpenStreetMap eine Website an (etwa 6.700 gegenüber 40.599 im Vereinigten Königreich).
- Kleine Sektorstichproben. Die Sektorzahlen beruhen auf je 30 bis 580 Domains und sollten als Richtwerte zitiert werden.
- Stichprobenverzerrung. Die Unternehmensstichprobe umfasst kartierte Unternehmen mit Website und neigt daher zu sichtbaren, städtischen, verbrauchernahen Branchen.
- DKIM. DKIM lässt sich nur als vorhanden bestätigen, nie als fehlend.
- Was „durchgesetzt“ bedeutet. p=quarantine oder p=reject auf der Domain selbst. Defekte Einträge zählen als nicht durchgesetzt, weil empfangende Mailserver sie so behandeln.
Daten © OpenStreetMap-Mitwirkende (ODbL) · Tranco-Liste des Tranco-Forschungsprojekts.
Wo steht Ihre Domain in diesen Zahlen? Finden Sie es in 30 Sekunden heraus.
Domain prüfen — kostenlos