Spam-Mails stoppen: was hilft und was es schlimmer macht

Woher der Spam tatsächlich kommt

Es gibt vier Wege, wie eine Adresse auf einer Liste landet, und sie hinterlassen unterschiedliche Fingerabdrücke. Welcher es war, ist wichtiger, als es klingt, denn das Gegenmittel ist in jedem Fall ein anderes — und drei der vier lassen sich im Nachhinein nicht rückgängig machen, was das gesamte Argument der zweiten Hälfte dieser Anleitung ist.

Wie sie herauskam	Wie es im Postfach aussieht	Wie Sie es bestätigen	Was tatsächlich hilft
Ein Dienst, bei dem Sie sich angemeldet haben, wurde gehackt	Ein Schwall fachfremden Spams, der innerhalb weniger Wochen nach der Meldung beginnt, adressiert an genau die Schreibweise, die Sie bei diesem einen Dienst verwendet haben	Suchen Sie die Adresse in einem Leck-Index wie Have I Been Pwned, der die öffentlichen Dumps katalogisiert	Im Nachhinein nichts. Ein Dump wird an dem Tag kopiert, an dem er erscheint. Nur eine andere Adresse pro Dienst begrenzt, wie weit das nächste Leck reicht
Der Dienst hat sie verkauft, oder „mit Partnern geteilt“	Angebote aus einer Branche neben der, bei der Sie sich angemeldet haben, die bei einer Ihrer Adressen ankommen und bei keiner der anderen	Nur, wenn dieser Dienst eine Adresse bekommen hat, die sonst niemand hat — ein Plus-Tag, falls es überlebt hat, sonst eine eigene Adresse	Genau diese eine Adresse zu kappen. Alles andere ist eine Beschwerde, für die Sie keinen Beweis haben
Sie wurde irgendwo öffentlich veröffentlicht	Mail an eine Adresse, mit der Sie sich nie angemeldet haben: die auf Ihrer Website, im Registrierungseintrag Ihrer Domain, oder in einem Commit, den Sie gepusht haben	Suchen Sie nach der Adresse selbst. Wenn ein Browser sie findet, findet sie auch ein Crawler, der den ganzen Tag nichts anderes tut	Sie zu entfernen hilft nur langsam; die schon angefertigten Kopien verfallen nie. Ersetzen Sie sie durch eine Adresse, die Sie bereit sind aufzugeben
Niemand hat sie geleakt — sie wurde erraten	Mail an Namen, die Sie bei einer eigenen Domain nie verwendet haben: `info@`, `sales@`, `john@`	Lesen Sie den Teil vor dem `@`. Ein Directory-Angriff probiert ein Wörterbuch gängiger Namen an einer Domain durch und behält, was nicht abprallt	Keine erratbare Adresse als Ihre öffentliche zu verwenden, und ein Catch-all-Postfach nie wie ein privates zu behandeln

Drei dieser vier Zeilen enden im selben Eingeständnis: Ist eine Adresse einmal auf einer Liste, bleibt sie darauf. Es gibt keine Stelle, an die man sich wenden kann, kein zentrales Opt-out, das ein Spammer respektiert, und keine Schaltfläche irgendwo, die sie zurückruft. Was Sie noch ändern können, ist, was Sie als Nächstes weitergeben — deshalb endet diese Anleitung dort, wo sie endet, statt mit einer längeren Liste von Filtern.

Der Abbestell-Link: wann er funktioniert, und wann er nur bestätigt, dass es Sie gibt

Bei einer Firma abzubestellen, bei der Sie sich wirklich angemeldet haben, funktioniert, und funktioniert schnell — denn seit 2024 machen die großen Postfach-Anbieter das zur Zustellbedingung statt zur Höflichkeit. Ein Absender, der Massenmail an Gmail, Yahoo Mail oder Outlook.com schickt, muss ein Ein-Klick-Abbestellen anbieten, es innerhalb von zwei Tagen umsetzen, seine Mail authentifizieren und die Beschwerdequote unter etwa einem Drittel Prozent halten. Ein Absender, der das ignoriert, kommt gar nicht mehr an. Von Ihrer Seite der Leitung aus sieht Regelkonformität so aus:

der Header einer Nachricht, die Sie gefahrlos abbestellen können

From: "Example Shop" <news@example.com>
List-Unsubscribe: <https://example.com/u/8f21c4>,
        <mailto:unsubscribe@example.com?subject=unsub-8f21c4>
List-Unsubscribe-Post: List-Unsubscribe=One-Click
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mail.example.com;
        dkim=pass header.d=example.com;
        dmarc=pass header.from=example.com

Zwei dieser Zeilen sind der Mechanismus. List-Unsubscribe erklärt, wo man sich abmeldet, in einem Header statt im Fließtext; List-Unsubscribe-Post besagt, dass der Absender ein einzelnes POST als die ganze Konversation akzeptiert, ohne dass eine Seite lädt oder ein Formular ausgefüllt werden muss. Dieses Paar liest Ihre Mail-App, um einen Abbestellen-Link neben dem Namen des Absenders anzuzeigen — und das ist eine andere Anfrage als die im Nachrichtentext.

Dieselbe Absicht, gesendet von zwei verschiedenen Parteien. Den im Nachrichtentext abgedruckten Link rufen Sie selbst auf, von einer URL, die die Nachrichten-ID trägt — sodass schon der Abruf meldet, dass diese Adresse von einem Menschen gelesen wird. Die Schaltfläche neben dem Namen des Absenders ruft Ihr Anbieter auf, und sie verrät nichts außer, dass eine Adresse sich abgemeldet hat.

Das macht aus einer Entscheidung, die sich riskant anfühlt, eine mit drei möglichen Ausgängen:

Es gibt eine Abbestellen-Schaltfläche neben dem Namen des Absenders: Nutzen Sie sie. Ihr Anbieter stellt die Anfrage, der Absender erfährt nur, dass eine Adresse sich abgemeldet hat, und sowohl Gmail als auch Outlook.com werten den Klick als Signal über diesen Absender.
Es gibt keine Schaltfläche, aber Sie sind sicher, dass Sie dort ein Konto haben: Öffnen Sie die Nachricht mit deaktivierten externen Bildern, prüfen Sie im Header, dass dmarc=pass die eigene Domain der Marke nennt, und nutzen Sie dann den Link. Die Gewissheit leistet hier die Arbeit, nicht der Link.
Sie haben sich nie angemeldet, oder der Header stimmt nicht: Klicken Sie auf gar nichts darin. Melden Sie sie als Spam und schließen Sie sie. Der Link ist eine Tracking-URL, einmalig für Sie, und ihm zu folgen ist genau die Art, wie eine Liste, die Ihre Adresse erraten hat, die Vermutung bestätigt bekommt.

Die mailto:-Form im selben Header dient demselben Zweck und ist in denselben Fällen sicher — sie verschickt eine nackte Nachricht und braucht dafür keinen Browser. Es ist zugleich die Form, die seit zwanzig Jahren niemand gut umgesetzt hat, behandeln Sie sie also als Rückfalloption, nicht als Plan.

Als Spam melden, blockieren oder löschen: was Ihr Anbieter aus jedem lernt

Vier Bedienelemente sitzen in jeder Mail-App im Abstand von einem Zentimeter voneinander, und sie tun vier Dinge, die nichts miteinander zu tun haben. Nur eines davon macht den nächsten Monat ruhiger.

Als Spam markieren / Spam melden: Das einzige, das überhaupt etwas trainiert. Ihr eigener Filter lernt sofort daraus, und die Meldung wird mit denen aller anderen gebündelt: Ein Absender, dessen Beschwerdequote etwa ein Drittel Prozent überschreitet, landet auch bei Leuten im Spam-Ordner, die sich nie beschwert haben. Es ist die wirksamste Schaltfläche auf dieser Seite.
Absender blockieren: Eine Regel nur innerhalb Ihres Kontos, abgeglichen mit einer Adresse oder Domain, die der Absender gewählt hat und in einer Sekunde ändern kann. Nützlich gegen eine hartnäckige Einzelperson, nutzlos gegen eine Kampagne — deshalb kommt dasselbe Angebot in der folgenden Woche von news-2@ zurück.
Löschen: Bringt gar nichts bei. Die Nachricht ist weg, und der Filter liegt genau so falsch wie einen Moment zuvor, sodass auch die nächste im Posteingang landet. Das ist der häufigste Fehler in diesem Artikel.
In einen Ordner verschieben, oder wegfiltern: Verbirgt das Problem in einer Bewegung sowohl vor Ihnen als auch vor dem Filter. Sinnvoll bei Mail, die Sie angefordert haben und nicht sehen wollen; aktiv kontraproduktiv als Umgang mit Mail, die Sie nie angefordert haben.
Phishing melden: Sowohl bei Google als auch bei Microsoft eine andere Leitung als Spam, an deren Ende Menschen und Takedown-Anfragen stehen. Nutzen Sie es, wenn eine Nachricht sich als jemand ausgibt — eine Bank, ein Kollege, ein Zustelldienst — statt bloß etwas zu verkaufen.

Es gibt ein fünftes Bedienelement, und es zählt genauso viel wie das erste: Eine Nachricht aus dem Spam-Ordner zu holen, ist ebenfalls Training. Ein Newsletter, den Sie retten, bringt dem Filter bei, dass dieser Absender erwünscht ist, in Ihrem Konto und in der Gesamtheit. Deshalb ist ein Filter, den Sie ein Jahr lang ehrlich genutzt haben, besser als einer, den Sie nie angerührt haben.

Zehn Sekunden im Header, bevor Sie irgendetwas entscheiden

Alles oben hängt an einer einzigen Frage — ist dieser Absender, wer er zu sein behauptet — und die Antwort sind drei Textzeilen, die Ihnen jede Mail-App zeigen kann. Hier ist derselbe Shop wie vorhin, nur dass er es nicht ist:

eine Nachricht, die sich als der obige Absender ausgibt

From: "Example Shop" <news@examp1e-shop.net>
Return-Path: <b7f2@mailer-4471.example.net>
Authentication-Results: mx.example.org;
        spf=pass smtp.mailfrom=mailer-4471.example.net;
        dkim=none;
        dmarc=none

Nichts davon ist im technischen Sinne eine Fälschung. spf=pass stimmt vollkommen: Der Absender kontrolliert mailer-4471.example.net tatsächlich und hat sich selbst tatsächlich autorisiert, von dort zu senden. Was fehlt, ist jede Aussage über example.com, dessen Name in der Anzeigezeile steht und dessen Marke die Nachricht trägt. Vier Dinge, in dieser Reihenfolge:

Die Adresse, nicht der Name. Example Shop ist Freitext, den ein Absender eintippt. Der Teil in spitzen Klammern ist die Behauptung — und hier steht examp1e-shop.net, mit einer Ziffer anstelle eines Buchstabens.
dmarc=, und welche Domain es nennt. dmarc=pass header.from=example.com bedeutet, dass die eigene Domain der Marke für diese Nachricht gebürgt hat. dmarc=none bedeutet, dass niemand es getan hat. Ein Bestehen auf einer anderen Domain als der in From: beweist nur, dass ein Fremder eine Domain besitzt.
Return-Path: gegen From:. Echte Massenversender leiten Bounces über ihre eigene Versandinfrastruktur, sodass die beiden selten exakt übereinstimmen. Übereinstimmen sollte die Organisation: mail.example.com unter example.com ist normal, mailer-4471.example.net darunter ist es nicht.
Ob es überhaupt ein List-Unsubscribe gibt. Sein Fehlen bei etwas, das vorgibt, eine Marketing-Nachricht zu sein, ist selbst schon die Antwort — ein echter Massenversender kann es sich nicht mehr leisten, darauf zu verzichten.

Was das Öffnen verrät, bevor Sie irgendetwas anfassen

Eine Nachricht, um die Sie nie gebeten haben, ist eine Frage über Sie, und sie zu beantworten kostet den Absender nichts und Sie etwas. Vier Dinge gehen in dem Moment heraus, in dem Sie eine mit aktivierten Bildern öffnen:

Dass die Adresse aktiv ist und von einer Person gelesen wird. Die mit Abstand wertvollste Tatsache über jede Adresse auf einer Liste, und die, die entscheidet, ob sie weiterverkauft wird.
Wann Sie sie lesen, und wie oft. Das Pixel wird bei jeder Anzeige der Nachricht neu angefordert, nicht nur einmal.
Ungefähr, wo Sie sich befinden, und womit Sie lesen. Die Anfrage trägt eine IP-Adresse und einen User-Agent wie jede andere auch.
Welche ihrer Nachrichten Sie geöffnet haben. Die URL ist pro Empfänger einmalig, die Antwort gilt also pro Adresse und nicht in der Summe.

Jeder verbreitete Anbieter leitet externe Bilder inzwischen über einen Proxy, was die Standort-Hälfte davon abstumpft, aber nicht die Bestätigungs-Hälfte: Die Anfrage findet trotzdem statt, und sie sagt immer noch, dass eine Adresse die Nachricht geöffnet hat. Bilder zu blockieren, bis Sie sie anfordern, ist eine Einstellung in jeder Mail-App und die beste Voreinstellung auf dieser Seite. Tracking-Pixel in E-Mails behandelt den Mechanismus, und was ihr Blockieren bringt und was nicht. Hier werden sie durch die Richtlinie blockiert, unter der die Nachricht ausgeliefert wird, statt durch eine Bearbeitung, es gibt also nichts einzuschalten.

Die einzige Lösung, die skaliert: eine andere Adresse pro Dienst

Jedes Bedienelement oben ist eine Art, auf Mail zu reagieren, die schon an einer Adresse angekommen ist, die der Absender bereits hat. Der einzige Ansatz, der die Menge reduziert statt sie zu sortieren, ist, die Adresse selbst entbehrlich zu machen — sodass ein Leck den Dienst verrät, der es verursacht hat, und sich kappen lässt, ohne sonst etwas anzufassen. Es gibt vier Wege dazu, und sie unterscheiden sich auf eine Weise, die es wert ist, sie zu kennen, bevor Sie sich entscheiden:

Was Sie weitergeben	Verbirgt Ihre echte Adresse?	Übersteht einen Weiterverkauf?	Lässt sich nur diese eine kappen?	Was es Sie kostet
Ein Plus-Tag auf Ihrer eigenen Adresse	Nein — Ihre Adresse steckt offen sichtbar darin	Nein. Alles zwischen dem `+` und dem `@` zu löschen ist eine Zeile Code, und wer sie am ehesten ausführt, ist genau derjenige, der die Liste verkauft	Nur durch Filtern, wobei die Zustellung bestehen bleibt	Nichts, und etwa zehn Sekunden
Ein Relay-Alias, der zu Ihnen weiterleitet	Ja, solange er besteht	Ja — der Käufer bekommt den Alias und nicht Sie	Ja, und sofort	Ein Abonnement, und ein Dritter im Weg Ihrer Mail
Eine Adresse auf einer eigenen Domain	Ja, und sie wirkt für ein Anmeldeformular nicht wie eine Wegwerfadresse	Ja	Ja, eine Adresse nach der anderen	Eine Domain, ein MX-Eintrag, und das DNS, das Spoofing verhindert
Eine Wegwerfadresse, die Sie nie wieder lesen	Ja, vollständig	Ja — dahinter steckt nichts, was sich verkaufen ließe	Sie kappt sich selbst: Die Mail wird nach 5 Tagen gelöscht	Sie können das Konto später nicht wiederherstellen, und manche Formulare lehnen die Domain ab

Die Wahl fällt nicht ein für alle Mal zwischen ihnen; sie wird pro Anmeldung getroffen, und die Frage, die sie entscheidet, ist die aus Burner, Alias oder Temp-Mail: Würde es Sie stören, dieses Konto zu verlieren? Für einen Shop, bei dem Sie einmal kaufen, ist eine Wegwerfadresse zugleich die richtige und die billigste Antwort. Für Ihre Bank ist sie eine Katastrophe. Für die zweihundert Anmeldungen dazwischen ist eine Adresse auf einer eigenen Domain diejenige, die dauerhaft funktioniert.

Ein Plus-Tag steht auf dieser Liste, weil die meisten zuerst danach greifen, nicht weil es über den anderen steht. Es sortiert Mail hervorragend und verbirgt überhaupt nichts.

Die Adresse, die schon im Umlauf ist

Eine Adresse, die auf den Listen steht, bleibt für immer darauf, und ganz von vorn mit einer leeren zu beginnen, bringt weniger, als es sich anfühlt: Eine neue Adresse sammelt dieselben Listen in etwa derselben Zeit ein, sofern sich nicht auch ändert, was Sie weitergeben. Der sinnvolle Schritt ist also kein Neuanfang, sondern eine Triage, in dieser Reihenfolge:

Hören Sie auf, es schlimmer zu machen. Veröffentlichen Sie sie nicht im Klartext auf einer Seite, verwenden Sie sie nicht als öffentlichen Kontakt für eine Domain, und geben Sie dem nächsten Formular etwas anderes.
Verlagern Sie, was Sie sich nicht leisten können zu verlieren. Bankkonten, Behörden, Ihr Domain-Registrar, und vor allem die Wiederherstellungsadresse Ihrer anderen Konten. Das ist eine kurze Liste, und sie ist der ganze Grund, überhaupt etwas davon zu tun.
Ändern Sie zuerst die Wiederherstellungsadresse, dann die Login-Adresse. Immer in dieser Reihenfolge. Andersherum sperren sich Leute aus genau dem Konto aus, das sie schützen wollten.
Lassen Sie den Rest in Ruhe. Zweihundert Shopping-Konten müssen nicht umziehen. Lassen Sie sie bei der alten Adresse, und lassen Sie die alte Adresse zu der werden, die Sie nur überfliegen, statt in ihr zu leben.
Dann lassen Sie den Filter arbeiten. Melden statt löschen, retten Sie, was fälschlich gefangen wurde, und geben Sie ihm einen Monat. Ein ehrlich trainierter Filter schlägt jede Regel, die Sie von Hand schreiben können.

Der Sinn einer Triage ist, dass sie endet. Es gibt keine Version davon, in der die alte Adresse wieder sauber wird; es gibt eine Version, in der sie aufhört, eine Rolle zu spielen, und die dauert einen Nachmittag.

Die Kurzversion

Bevorzugen Sie die Schaltfläche Abbestellen, die Ihre Mail-App neben dem Namen des Absenders anzeigt, gegenüber dem Link in der Nachricht.
Bestellen Sie nur bei Absendern ab, die Sie nachweisen können: dmarc=pass auf der Domain, die in From: steht.
Klicken Sie in einer Nachricht, für die Sie sich nie angemeldet haben, auf gar nichts. Der Link ist die Messung.
Melden Sie als Spam, statt zu löschen. Löschen bringt Ihrem Filter nichts bei.
Retten Sie auch fälschlich gefilterte Mail — das ist ebenfalls Training, nur in die andere Richtung.
Schalten Sie externe Bilder standardmäßig aus, in jeder Mail-App, die Sie verwenden.
Geben Sie der nächsten Anmeldung eine Adresse, die nur für sie existiert: ein Tag, wenn das alles ist, was Sie haben, eine Adresse auf Ihrer eigenen Domain, wenn Sie können, eine Wegwerfadresse, wenn Sie nie wieder von ihnen hören wollen.

Die ersten sechs machen diesen Monat ruhiger. Der siebte ist der einzige, der das nächste Jahr ruhiger macht.

Fragen

Macht Abbestellen bei Spam es schlimmer?

Bei echtem Spam ja: Der Link identifiziert Sie, und eine Adresse, die sich abmeldet, ist eine Adresse, die als aktiv bestätigt wurde. Bei einer Firma, bei der Sie sich tatsächlich angemeldet haben, nein — die großen Anbieter verlangen inzwischen ein Ein-Klick-Abbestellen, das innerhalb von zwei Tagen umgesetzt wird, und ein Absender, der das ignoriert, wird nicht mehr zugestellt. Die ganze Kunst besteht darin, die beiden zu unterscheiden, was dmarc=pass auf der eigenen Domain der Marke in etwa zehn Sekunden erledigt.

Ist Als-Spam-melden besser als den Absender zu blockieren?

Fast immer Als Spam melden. Blockieren schreibt eine Regel in Ihrem Konto gegen eine Adresse, die der Absender kostenlos ändert; Melden trainiert einen Filter, den Sie mit Millionen Menschen teilen, und treibt die Beschwerdequote dieses Absenders auf die Schwelle zu, ab der seine Mail bei niemandem mehr ankommt. Blockieren eignet sich für eine hartnäckige Einzelperson, nicht für eine Kampagne.

Wie haben sie meine E-Mail-Adresse bekommen, wenn ich sie nie weitergegeben habe?

Meist wurde sie erraten statt geleakt. Ein Directory-Angriff schickt Mail an ein Wörterbuch gängiger Namen bei einer Domain und behält, was nicht abprallt, weshalb info@ und john@ Mail bekommen, für die sich nie jemand angemeldet hat. Die anderen beiden Wege sind die gehackte Kontaktliste von jemand anderem, und eine Domain, die jeden Namen annimmt, auch solche, die Sie nie vergeben haben.

Trainiert Löschen von Spam meinen Spamfilter?

Nein. Löschen entfernt die Nachricht und bringt dem Filter nichts bei, weshalb auch die nächste im Posteingang landet. Melden ist es, was ihn trainiert — und eine fälschlich gefangene Nachricht aus dem Spam-Ordner zurückzuholen, trainiert ihn ebenfalls, nur in die andere Richtung, was genauso nützlich ist.

Kann ich herausfinden, wer meine E-Mail-Adresse verkauft hat?

Nur, wenn Sie vorgesorgt haben. Hat jeder Dienst eine Adresse bekommen, die nur er hat, steht die Antwort direkt in der To:-Zeile des Spams. Haben alle dieselbe Adresse bekommen, gibt es nichts zu vergleichen und nichts zuzuordnen — das ist größtenteils das Argument für eine Catch-all-Domain.

Stoppen Wegwerfadressen Spam?

Sie stoppen, dass er Sie erreicht, was nicht dasselbe ist wie ihn zu stoppen. Mail an eine Wegwerfadresse kommt an, wird nach 5 Tagen gelöscht und berührt nie das Postfach, das Sie lesen. Das macht sie zum richtigen Werkzeug für eine Anmeldung, die Sie nicht behalten müssen, und zum falschen für alles, was Sie eventuell wiederherstellen müssen.

Meine Adresse ist in einem Datenleck aufgetaucht — soll ich sie ändern?

Ändern Sie, was von ihr abhängt, statt die Adresse selbst. Verlagern Sie die Wiederherstellungsadresse Ihrer wichtigen Konten, ändern Sie jedes Passwort, das Sie anderswo wiederverwendet haben, und schalten Sie Zwei-Faktor-Authentifizierung ein, wo sie angeboten wird. Die Adresse ist ab diesem Tag öffentlich und lässt sich nicht wieder privat machen, die sinnvolle Arbeit besteht also darin, zu begrenzen, was sie noch freischaltet.