Asiens größte Startup-Konvention, 27. bis 29. April in der Tokyo Big Sight mit 770 Ausstellungen und 60.000 erwarteten Besuchern, hat keine SPF-, DKIM- oder DMARC-Einträge. Die Domain liegt damit offen für Spoofing-Attacken genau in dem Moment, in dem globale Email-Authentifizierungspflichten verschärft werden. Laut eines Infrastruktur-Audits von mkultraman (Substack) ist das kein neuer Fehler: Dass ein einzelner Contractor 2025 DMARC übersieht, könnte man Unaufmerksamkeit nennen. Dass dieselbe Lücke 2026 bestehen bleibt, nach Japans Ministerium für interne Angelegenheiten und Kommunikation eine formale Anfrage im September stellte, nach dem Active Cyber Defense Law im Mai 2025 ratifiziert wurde, und nachdem Yahoo Japan Sender-Authentifizierungsanforderungen ankündigte, "ist etwas anderes."
Eine auffällige Sicherheitslücke bei einer hochkarätigen Veranstaltung
Tokyo-Gouverneurin Yuriko Koike eröffnete SusHi Tech Tokyo 2026 heute offiziell in der Tokyo Big Sight und unterstreicht Tokyos Ambitionen, eine der weltweit gründerfreundlichsten Städte zu werden. Die Veranstaltung ist ein Zentrum der langfristigen Innovationsstrategie der Tokioter Stadtregierung. Wenn 60.000 Besucher vom 27. bis 29. April zur Tokyo Big Sight kommen, sprechen die Zahlen für sich: 750 Startup-Aussteller, 151 Sessions, Stadtvertreter aus 49 Ländern.
Was von außen schwerer zu sehen ist, dass die Veranstaltungs-Domain nicht einmal die elementarste Ebene des E-Mail-Identitätsschutzes hat. Der Grund, warum diese Arbeit nicht geleistet wurde, ist nicht, dass es technisch schwierig ist. Nach dem Audit passiert es, weil niemand danach verlangt. Es gibt keine Ausschreibungsklausel, die DMARC für .lg.jp-Event-Subdomains fordert.
Die Folgen gehen weit über die Konferenzorganisatoren hinaus. Business Email Compromise (BEC) Betrügereien sind zunehmend raffiniert: VIPRE's E-Mail-Threat-Analyse zeigt, dass 51% aller Spam-E-Mails BEC-Attacken sind, 82% beinhalten Identitätsdiebstahl und 40% geben sich speziell als CEOs aus. Eine bekannte Event-Domain ohne Authentifizierung ist ein ideales Ziel für Angreifer, die Investoren, Partner und Startup-Netzwerke der Konferenz erreichen wollen.
Behörden durchsetzen, was die Konferenz ignoriert
Der Kontrast zu anderen japanischen Behörden ist deutlich. Ein Audit des NISC, Japans nationale Cybersecurity-Agentur, zeigt: NISC definiert Sicherheitsstandards für die ganze Regierung und läuft mit v=DMARC1; p=quarantine; adkim=s; aspf=s mit konfiguriertem Aggregate Reporting. Japans National Police Agency hat DMARC als sinnvolle Kontrolle gegen betrügerische E-Mails erkannt und arbeitet aktiv mit Partner-Behörden zusammen, um die Annahme auf dem stärksten Durchsetzungsniveau zu fördern. Das ist eine p=reject-Richtlinie, die Mail-Servern befiehlt, nicht authentifizierte E-Mails abzuweisen.
Japans Ministerium für Wirtschaft, Handel und Industrie (METI) hat Kreditkartenfirmen verpflichtet, DMARC im Rahmen von Japans umfassenderem 3D Secure Programm umzusetzen. Ähnliche Anforderungen wurden auf Halbleiterhersteller ausgedehnt und DMARC in Transaktionsbedingungen integriert, um E-Mail-Spoofing zu bekämpfen und die Lieferketten-Integrität zu schützen.
Eine Stadt-Regierung im gleichen Land läuft p=reject in der Produktion. Die technische Hürde liegt am Boden. Wie das mkultraman-Audit es ausdrückt: "Wenn die Stadt, die eine Konferenz über nachhaltige Technologie ausrichtet, nicht einmal die Email-Authentifizierung für die Konferenz selbst aufrechterhalten kann, tut die Marke mehr Arbeit als die Betriebstechnik."
Was fehlende DMARC für Aussteller bedeutet
Für die über 700 Startups, Marketer und Growth Teams bei SusHi Tech Tokyo schafft die Authentifizierungslücke direktes Business-Risiko. Ohne DMARC könnte ein Krimineller eine Fake-Rechnung von einer E-Mail-Adresse mit der Konferenz-Domain versenden, und die E-Mail könnte in Kundenposteingängen landen. Mit korrekten Protokollen wird die gefälschte E-Mail blockiert, bevor sie jemand sieht.
Domain- und IP-Reputationsverschlechterung durch Authentifizierungsfehler wirkt sich nicht nur auf Marketing-E-Mails aus, sondern auch auf Transaktions- und operative Post. Für Startups, die auf der Veranstaltung Meetings sicherten oder Post-Event-Deals abschlossen, könnten Identitätsdiebstahl-Attacken über die Konferenz-Domain Folgekommunikation im ungünstigsten Moment abfangen.
Eine Domain ohne SPF, DKIM und DMARC ist nicht länger nur ein Zustellbarkeitsproblem: Es ist ein Audit-Befund.
Der globale Kontext der Mandate
2026 ist DMARC eine Standardanforderung für Organisationen, die Massen-E-Mails versenden. Große Mail-Provider verlangen SPF und DKIM für Massen-Versender. DMARC-Anforderungen gelten jetzt für Massen-Versender, die täglich 5.000 oder mehr E-Mails von Google und Yahoo versenden, mit strenger Durchsetzung ab 2026.
Laut Cloudflare's 2026 Threat Report schlagen 46% aller E-Mails bei der DMARC-Validierung fehl. Das zeigt, wie viel nicht authentifizierter Traffic noch durch globale Systeme fließt. Die SusHi Tech Domain trägt zu dieser Statistik bei, obwohl sie in einem regulatorischen Umfeld operiert, in dem Aufsichtsbehörden explizit Maßnahmen fordern.
Fairness halber: Das mkultraman-Audit vergleicht die Veranstaltung mit internationalen Pendants mit gemischtem Ergebnis: VivaTech in Paris läuft mit p=quarantine und DKIM über Google und Brevo; Slush in Helsinki nutzt p=none mit Cloudflare Reporting und vier DKIM-Selektoren. Web Summit ist auch ungeschützt. CES ist im Monitoring-Only-Modus. Das Problem ist nicht einzigartig für Tokio, aber Tokio positioniert sich als Modell für technologie-freundliche Stadtregierung.
Die Lösung ist minimal
Der Weg zur Basis-Compliance ist nicht komplex. Beginnen Sie mit p=none und erfassen Sie 30 bis 60 Tage Report-Daten, beheben Sie legitime Sender-Lücken, dann gehen Sie zu p=quarantine. Nach weiteren 30 Tagen zu p=reject. Fügen Sie DKIM-Signierung hinzu. Gesamtdauer: drei Monate. Betriebskosten: trivial. Aufwand: ein Backlog-Ticket.
Für Business Owner und E-Mail-Marketer, die die Veranstaltung besuchen oder verfolgen, ist das Audit auch eine Erinnerung, die gleiche Prüfung an Ihrer eigenen Domain durchzuführen, bevor jemand anders es tut. Die sofortigen Schritte für jede Organisation sind, die Domain-Richtlinie auf p=reject oder mindestens p=quarantine für alle Domains zu setzen, die E-Mails versenden. Eine Stadtregierung, die die größte Tech-Konferenz Asiens ausrichtet, hat weniger Entschuldigung als die meisten.
