Spoofhound-Forschung · 2026-11-09
Stand von DMARC 2026 — Singapur
Singapurs öffentlicher Sektor hat seine Domains abgesichert. Seine Kleinunternehmen nicht.
Spoofhound hat das singapurische Web geprüft: 1.504 Domains, die E-Mails empfangen, aus Singapurs populären Websites und kartierten lokalen Unternehmen und öffentlichen Stellen, geprüft mit derselben Engine wie unser kostenloser Domain-Check.
Domain prüfen — kostenlosDie Kernzahl
Sechs von zehn singapurischen Domains, die E-Mails empfangen, lassen sich fälschen. Von 1.504 geprüften Domains haben 936 (62,2 %) keine durchgesetzte DMARC-Richtlinie: gar kein Eintrag, nur Beobachtung oder ein defekter Eintrag. Empfangende Mailsysteme werden nie angewiesen, Fälschungen in ihrem Namen zu blockieren.
Drei Zahlen tragen die Geschichte:
- •37,8 % setzen DMARC durch, einer der höchsten Werte, die wir gemessen haben. Damit liegt Singapur hinter Saudi-Arabien (45,7 %) und vor Südafrika (34,1 %) und den Niederlanden (30,6 %). Zählt man nur Unternehmen, liegt Singapur bei 31,9 %. Hier sehen Sie, wie alle von uns gemessenen Länder abschneiden.
- •Der öffentliche Sektor: 91,2 % durchgesetzt, 81,1 % mit p=reject. 135 der 148 Domains des öffentlichen Sektors, die wir erkennen können, setzen DMARC durch, und 120 blockieren Fälschungen rundweg. Das ist einer der höchsten Anteile unter den öffentlichen Sektoren, die wir gemessen haben, vor den 80,7 % der niederländischen Behörden.
- •Kleinunternehmen: 24,8 %. Singapurische Unternehmen mit ein bis drei Standorten setzen DMARC zu 24,8 % durch, und drei von vier (74,7 %) haben keinen Eintrag oder bleiben bei p=none stehen.
Die durchschnittliche singapurische Domain erreicht 37,0 von 100 Punkten im vollständigen E-Mail-Sicherheitscheck, und 71,1 % haben mindestens ein Problem, das sich zu beheben lohnt.
DMARC im singapurischen Web
62 % der singapurischen Domains, die E-Mails empfangen, lassen sich fälschen
936 von 1.504 geprüften Domains haben keine durchgesetzte DMARC-Richtlinie.
Kein DMARC-Eintrag
Nur Beobachtung (p=none)
Defekter oder doppelter Eintrag
p=quarantine
p=reject
Rot: Empfänger werden nie angewiesen, Fälschungen zu blockieren · Grün: Nachahmer-Mail wird in Quarantäne geschickt oder abgewiesen.
Wie in Saudi-Arabien und Südafrika ist p=reject in Singapur häufiger als p=quarantine: 21,2 % aller Domains blockieren Fälschungen rundweg. Trotzdem haben 62,0 % weiterhin keinen Eintrag oder bleiben bei p=none stehen, und 259 der 480 Domains mit p=none fordern keine DMARC-Berichte an. Ihr Eintrag blockiert also weder Fälschungen, noch informiert er irgendjemanden darüber. Erst die Berichte zeigen jeden Dienst, der im Namen einer Domain Mail versendet. Sie auszuwerten und die Arbeit zu Ende zu bringen, ist genau das, was Spoofhound tut.
Der Rest der Kette
| Prüfung | Befund | Domains |
|---|---|---|
| SPF | Gar kein Eintrag: jeder beliebige Server darf als die Domain senden | 152 (10,1 %) |
| SPF | Eintrag endet auf +all oder ?all: veröffentlicht, erlaubt aber trotzdem jedem alles | 24 (1,6 %) |
| Microsoft 365 DKIM | Beide Signatur-Selektoren defekt: ausgehende Mail kann schon heute an der Authentifizierung scheitern | 8 |
| MTA-STS | Schützt eingehende Mail vor dem Abfangen: eingeführt (davon 7 nur im Testmodus) | 14 (0,9 %) |
| TLS-RPT | Meldet fehlgeschlagene sichere Zustellung: eingeführt | 17 (1,1 %) |
| BIMI | Verifiziertes Logo im Posteingang: aktiv | 23 (1,5 %) |
Jede zehnte singapurische Domain (10,1 %) hat gar keinen SPF-Eintrag. Die neueren Standards sind kaum angekommen: Etwa 1 von 100 Domains nutzt MTA-STS, TLS-RPT oder BIMI.
Kleinunternehmen gegen größere Unternehmen
| Population | Geprüfte Domains | Kein DMARC-Eintrag | Nur Beobachtung | Durchgesetzt |
|---|---|---|---|---|
| Singapurische Unternehmen mit 1–3 Standorten (Läden, Büros, Handwerk) | 723 | 36,7 % | 38,0 % | 24,8 % |
| Singapurische Unternehmen mit 4 oder mehr Standorten | 27 | 22,2 % | 25,9 % | 51,9 % |
| Singapurs .sg-Websites unter den Top 100.000 | 77 | 11,7 % | 15,6 % | 72,7 % |
Singapurs populärste .sg-Websites setzen DMARC zu 72,7 % durch, fast dreimal so häufig wie seine Kleinunternehmen. Die Kleinunternehmen verteilen sich gleichmäßig auf keinen Eintrag (36,7 %) und p=none (38,0 %), und 82,8 % haben mindestens ein E-Mail-Sicherheitsproblem.
Behörden gegen Kleinunternehmen
Öffentliche Stellen sind ein naheliegendes Ziel für Nachahmer-Mail. Wir haben die Domains des öffentlichen Sektors, die wir erkennen können (.gov.sg- und .edu.sg-Domains sowie als Behörde kartierte Büros), mit Singapurs Kleinunternehmen verglichen:
| Population | Domains | Kein DMARC-Eintrag | Nur Beobachtung | p=quarantine | p=reject | Durchgesetzt |
|---|---|---|---|---|---|---|
| Singapurische Behörden- und Bildungsdomains | 148 | 1,4 % | 7,4 % | 10,1 % | 81,1 % | 91,2 % |
| Singapurische Unternehmen mit 1–3 Standorten | 723 | 36,7 % | 38,0 % | 15,1 % | 9,7 % | 24,8 % |
Das ist eine der größten Lücken zwischen Behörden und Kleinunternehmen, die wir gemessen haben. Neun von zehn Domains des öffentlichen Sektors setzen DMARC durch, und acht von zehn nutzen p=reject, gegenüber 43,0 % bei den niederländischen Behörden. Nur 13 von 148 haben keinen Eintrag oder bleiben bei p=none stehen. Ein singapurisches Kleinunternehmen setzt DMARC kaum ein Viertel so häufig durch, und es ist fast viermal so wahrscheinlich, dass es gar keinen Eintrag hat, wie dass es Fälschungen rundweg blockiert.
Methodik
Population. 1.504 singapurische Domains, die E-Mails empfangen (funktionierende MX-Einträge), aus zwei Quellen:
- singapurische Unternehmen und öffentliche Stellen, auf OpenStreetMap kartiert, mit eigener Website, beliebige Endung: 807 Domains
- jede .sg-Domain im Popularitätsranking Tranco Top 1 Million: 792 Domains, die E-Mails empfangen
95 Domains kommen in beiden vor. Social-Media-Profile, Verzeichnisse und gehostete Seiten, die das Unternehmen nicht kontrolliert, sind ausgeschlossen. Unternehmen, die in Singapur kartiert sind, aber eine malaysische oder indonesische Domain (.my, .id) nutzen, werden dem jeweiligen Land zugerechnet.
Prüfungen. Jede Domain wurde mit Spoofhounds eigener Engine geprüft, derselben wie beim kostenlosen Domain-Check. Sie umfasst SPF, DKIM (bekannte Selektoren großer E-Mail-Anbieter wie Microsoft, Google, SendGrid, Mailchimp und weiterer), DMARC, MTA-STS, TLS-RPT und BIMI. Jede Zahl beruht auf einer Prüfung in den 30 Tagen bis 2026-11-09.
Ehrliche Grenzen.
- Öffentlicher Sektor. Behörden- und Bildungsdomains, die wir erkennen können (.gov.sg, .edu.sg und als Behörde kartierte Büros), umfassen 148 Domains, 9,8 % der Stichprobe, und setzen DMARC zu 91,2 % durch. Ohne sie liegt der Wert bei 31,9 %.
- Stichprobengröße. Singapur ist klein, und seine Stichprobe auch: 1.504 Domains, darunter 750 kartierte Unternehmen. Das ist zu wenig für eine Aufschlüsselung nach Sektoren, und die Gruppen mit vier oder mehr Standorten sowie die bestplatzierten Websites beruhen jeweils auf weniger als 80 Domains.
- DKIM. DKIM lässt sich nur als vorhanden bestätigen, nie als fehlend.
- Was „durchgesetzt“ bedeutet. p=quarantine oder p=reject auf der Domain selbst. Defekte Einträge zählen als nicht durchgesetzt, weil empfangende Mailserver sie so behandeln.
Daten © OpenStreetMap-Mitwirkende (ODbL) · Tranco-Liste des Tranco-Forschungsprojekts.
Wo steht Ihre Domain in diesen Zahlen? Finden Sie es in 30 Sekunden heraus.
Domain prüfen — kostenlos