Schutz vor Spam-Mails

Die E-Mail gilt bis heute als meistgenutzter Dienst im gesamten Internet. Gerade deswegen ist der Schutz vor Spam-Mails sowohl für Privatpersonen als auch für Unternehmen wichtig.
Doch wie schützen Sie sich optimal vor den Gefahren, die der E-Mail-Verkehr birgt?

Viele Spam-Mails beinhalten Schadsoftware, die auf Ihre Systeme zugreift und sensible Daten wie Bankverbindungen ausliest. (Bild: pixabay.de/mohamed_hassan)

E-Mails und die E-Mail-Sicherheit

Nach wie vor erfreut sich die E-Mail (Electronic Mail = elektronische Post) großer Beliebtheit und wird sogar als wichtigster und meistgenutzter Internetdienst angesehen. Mit E-Mails können anderen Benutzern sowohl Textnachrichten als auch digitale Dokumente (Attachments) zur Verfügung gestellt werden. E-Mails werden auf Mailservern gespeichert, die von Mailprovidern (Anbietern) unterhalten werden.
Durch einen Zugang, also einem elektronischen Postfach, wird Benutzern Zugriff auf die für sie bestimmten E-Mails gewährt. Sowohl für Privatpersonen als auch für Unternehmen ist die E-Mail trotz Instant Messenger (IM) heute noch eines der wichtigsten Kommunikationsmittel. Das heißt aber auch: Die Gefahren, die mit dem E-Mail-Verkehr verbunden sind, nehmen immer weiter zu. Drei grundlegende Regeln für eine optimale E-Mail-Sicherheit sind der Spamschutz, die Passwortsicherheit und die E-Mail-Verschlüsselung.

Der Spamschutz

E-Mails, die den Empfängern erheblichen Schaden zufügen können, werden immer häufiger, ausgeklügelter und gefährlicher. Es ist darum gerade für Unternehmen wichtig, sich mit einer angemessenen E-Mail-Sicherheit zu schützen. Sie ist für den reibungslosen Geschäftsalltag obligatorisch, denn noch nie gab es beim E-Mail-Verkehr ein so großes Gefahrenpotential wie heute. Vor allem für Unternehmen stellen Spam-Mails (oft auch nur „Spam“) eine nicht unerhebliche Bedrohung dar.

Was ist Spam? – Die Antwort bekommen Sie in unserem IT-Lexikon.

Arten von Spam-Mails

Zwei Arten von Spam-Mails können voneinander unterschieden werden. Neben lediglich nerviger, aber doch weitgehend ungefährlicher Werbung für tatsächliche Dienstleistungen (Unsolicited Commercial E-Mails) zählen unangeforderte Massen-E-Mails (Unsolicited Bulk E-Mails) zu den häufigsten E-Mail-Bedrohungen. Die bekanntesten beiden Vertreter von Massen-E-Mails sind Scam-Mails und Phishing-Mails:

• Bei Scam (engl. für „Betrug“) handelt es sich um Massen-E-Mails, in denen Leistungen angeboten werden, die im Voraus zu bezahlen sind, jedoch nicht erbracht werden.
• Bei Phishing (engl. „fishing“ für Angeln und „P“ als Initiale von „Passwort“) handelt es sich um Massen-E-Mails, die Benutzern sensible Daten entlocken sollen. Viele Urheber von Phishing-Mails geben sich als reale Dienstleister oder Webshops wie Amazon, PayPal, Apple oder der Sparkasse aus, damit Benutzer freiwillig ihre Daten wie Passwörter oder Kontodaten weitergeben.

Häufig enthalten Spam-Mails aber auch Schadsoftware, die durch wenige Mausklicks auf das System des Empfängers gelangt und sich ggf. sogar über dieses verbreitet.

Spam-Mails erkennen

Unternehmen können sich vor schädlichen E-Mails nicht alleine durch die zentrale Einrichtung von Schutzmaßnahmen wie Spamfiltern schützen. Es ist nämlich nicht zu gewährleisten, dass diese wirklich alle Spam-Mails „aussieben“. Ein kompletter und umfassender Schutz ist nur dann möglich, wenn sämtliche Mitarbeiter, die geschäftlich E-Mails nutzen, sensibilisiert werden, E-Mail-Bedrohungen selbstständig und frühzeitig zu erkennen und lernen, wie sie hierauf optimal reagieren.
Ein weitverbreiteter Irrtum ist, dass Spam-Mails immer problemlos erkannt oder sogar gänzlich von Spamfiltern ermittelt werden können. E-Mail-Bedrohungen werden nicht nur immer komplizierter und ausgefallener, sondern auch ihre Authentizität und Originalität nimmt stetig zu.

Die Absenderadresse und Betreffzeile

Ignorieren Sie die Absenderadresse und Betreffzeile bei keiner eingegangenen E-Mail – unabhängig davon, ob sie als Spam markiert ist. Ist Ihnen etwas suspekt, ist erst einmal Vorsicht geboten.
Auch wenn als Absender ein vertrauter Name angezeigt wird, sollte geprüft werden, welche E-Mail-Adresse wirklich dahinter steckt. Hinter dem angezeigten Namen kann nämlich eine wenig authentische Absenderadresse versteckt sein. Betrüger ändern oftmals auch bekannte Adressen (zum Beispiel von Banken) minimal ab.

Die Received-Zeilen

Es besteht die Möglichkeit, dass E-Mails manipuliert sind, wodurch fremde E-Mail-Adressen als Absender angegeben werden können. Um dies herauszufinden, kann man in die regulär nicht angezeigten Received-Zeilen des E-Mail-Headers schauen.
Der Weg, den die vorliegende E-Mail vom Sender zum Empfänger gemacht hat, wird in den Received-Zeilen aufgezeichnet. Von jedem Server, den die E-Mail passiert hat, ist eine individuelle Kennung angefügt. Auf der Hilfe-Seite von Google ist nachzulesen, wie bei den verschiedenen Providern auf die Received-Zeilen zugegriffen werden kann. Aber Vorsicht: Die Betrüger können sogar die Received-Zeilen manipulieren.
Es besteht auch die Möglichkeit, dass die Systeme eines echten Senders mit Schadsoftware infiziert sind und deswegen automatisierte Spam-Nachrichten an die Kontakte versenden. In diesem Fall wird man im E-Mail-Header keine Unstimmigkeit feststellen.

HTML-Scripts

Für eine effektive E-Mail-Sicherheit müssen Sie die Anzeige von E-Mails im HTML-Format im E-Mail-Programm deaktivieren. Wenn HTML-Scripts (meistens regulär voreingestellt) aktiv sind, kann zum Beispiel durch JavaScript-Codes bereits beim Ansehen einer Spam-Mail Schadsoftware auf den Computer gelangen.
Auch können in HTML-E-Mails sogenannte Web-Wanzen versteckt sein, die das Aufrufen der Spam-Mail aufzeichnen und weitergeben. Erfahren Spammer hierdurch, dass entsprechende E-Mails aufgerufen werden (der E-Mail-Account also aktiv ist), schicken sie an die entsprechenden E-Mail-Adressen weitere Spam-Mails. Ähnliches passiert, wenn auf Spam geantwortet oder er als unzustellbar markiert wird.
Wenn Sie die HTML-Ansicht regulär deaktivieren, unterbinden Sie eine ganze Reihe an Gefahren, die von E-Mails ausgehen. Man kann für vertrauenswürdige Kontakte schlussendlich auch eine Whitelist erstellen. Öffnen Sie eine E-Mail, die als Spam markiert ist, niemals, wenn Sie die HTML-Ansicht nicht deaktiviert haben.

Der E-Mail-Body

Anzeichen dafür, dass es sich bei einer E-Mail um Spam handeln könnte, finden sich vielfach im Fließtext. Wenn der E-Mail-Text ungewöhnlich viele Rechtschreib- und Grammatikfehler enthält, die Anrede fehlt oder die E-Mail auf Englisch verfasst ist, obwohl sie eigentlich auf deutsch sein sollte, ist naheliegend, dass etwas nicht stimmt.
Seriöse Händler, Banken oder andere Unternehmen fordern Ihre Kunden und Partner normalerweise nicht dazu auf, sensible Daten wie Bankverbindungen via E-Mail zu kommunizieren. Betrüger agieren jedoch immer professioneller und die Inhalte von Phishing-E-Mails werden stets authentischer.
Um eine E-Mail als Spam zu enttarnen, kann es durchaus hilfreich sein, in einer beliebigen Suchmaschine entweder nach dem Betreff oder aber auch nach Ausschnitten des E-Mail-Texts zu suchen.

Viele Urheber von Spam-Mails geben vor, Banken oder Onlineshops zu sein, um so Benutzern sensible Daten wie Kennwörter oder Bankdaten zu entlocken. (Bild: pixabay.de/tumisu)

Anhänge und Links

Nicht selten wird in Spam-Mails Schadsoftware als E-Mail-Anhang oder über einen externen Link weitergegeben. Seien Sie mit dem Öffnen von Anhängen und Links daher besonders vorsichtig.
Prinzipiell gilt, dass man für eine effektive E-Mail-Sicherheit Anhänge nur öffnen sollte, wenn man mit diesen gerechnet hat. Links sind grundsätzlich nur anzuklicken, wenn es sich um bekannte Absender handelt oder man über diese informiert ist. Auch auf Abmelde- oder Deabonierungs-Links sollte bei Spam-Mails nicht geklickt werden, da sich auch hinter den Links oftmals Viren oder Tracker verbergen.
Spam-Mails sehen den Original-Mails oft täuschend ähnlich. Auch die verlinkten Webseiten sind häufig als gefälschte Kopien der echten kaum von diesen zu unterscheiden. Gehen Sie sicher, dass Sie nicht auf einen Trickbetrug reinfallen, indem Sie, anstatt dem Link zu folgen, direkt die bekannte und verifizierte Website besuchen.

Maßnahmen zum Schutz vor Spam-Mails

Sowohl Privatpersonen als auch Unternehmen sollten nicht blind darauf vertrauen, dass sie Spam-Mails immer eindeutig erkennen und daher nicht Opfer eines Trickbetrug werden. Die Gefahren, denen Sie sich durch Spam-Mails aussetzen, sind nicht zu unterschätzen und fordern konkrete, präventive Maßnahmen.
Eine nicht unerhebliche Schwierigkeit, die die Behandlung von Spam-Mails mit sich bringt, ist die Gefahr, die von diesen ausgeht. Jede Spam-Mail ist mit äußerster Vorsicht zu behandeln. Ein falscher Klick kann erhebliche Konsequenzen haben.

Spamfilter

Als zentrales Element für den effektiven Schutz gegen Spam-Mails gilt der Spamfilter. Bei den meisten bekannten E-Mail-Anbietern ist ein standardisierter Spamfilter bereits vorhanden. Diesen sollten Sie nach Möglichkeit – vor allem, wenn Sie keinen anderen haben – aktivieren. Alternativ können Sie aber auch Spamfilter nutzen, die Bestandteil von weitergreifendem Virenschutz sind. Filter sind überdies als eigenständige Software, gelegentlich sogar als Freeware, zu beschaffen. Lassen Sie sich von einem regionalen und fachkompetenten IT-Dienstleister des IT-SERVICE.NETWORK zu einem, für Ihr Unternehmen optimalen Spamfilter beraten.
Wichtig ist in jedem Fall, dass Sie Ihren Spamfilter kontinuierlich aktualisieren und genau an Ihr Postfach anpassen. Sollte kein Aussortieren von Spam-Mails durch einen Spamfilter erfolgen, sollten Sie die entsprechenden E-Mails manuell als Spam markieren. So verschwinden sie nicht nur aus Ihrem Postfach, sondern der Spamfilter entwickelt sich durch Ihre Hilfe kontinuierlich weiter.

Das Melden von Spam-Mails

Erhalten Sie klar als Spam einzuordnende E-Mails, können Sie sie zentral melden. In Deutschland gibt es hierfür unter anderem die Internet-Beschwerdestelle. Anbieter wie eBay oder PayPal fordern zudem dazu auf, Kopien ihrer Seiten direkt bei ihnen zu melden. Sie gehen dann gegen die Betrüger vor. Es schadet auch nicht, Ihren Administrator oder E-Mail-Provider über besonders hartnäckige Spam-Mails in Kenntnis zu setzen.

Blacklisting

Beim Blacklisting werden die E-Mail-Adressen von bekannten Spammern – oft mithilfe von Honeypots – gesammelt und dem Filter von verweigerten E-Mails hinzugefügt. Eine IP-Adresse wird blockiert, wenn sie als Spam-Mail-Adresse identifiziert wurde. Nicht selten erfolgt auch eine Blockierung aller E-Mails, die von einem IP-Bereich aus geschickt werden, aus dem häufiger Spam-Mails stammen.
Eine Schwierigkeit des Blacklistings ist, dass die Möglichkeit besteht, auf einer Blacklist zu landen, ohne tatsächlich Spam-Mails verschickt zu haben. Zumeist gibt es in diesem Fall aber in der Regel auch wieder die Möglichkeit, sich aus der entsprechenden Blacklist entfernen zu lassen.

Maßnahmen zum Schutz der eigenen E-Mail-Adresse

Wenn Ihre E-Mail-Adresse öffentlich im Internet zu finden ist, ist die Wahrscheinlichkeit groß, dass sie von Spambots entdeckt wird. Sollte dies der Fall sein, können Sie damit rechnen, im großen Stil Spam-Mails zu erhalten. Gleichzeitig ist von allen Seiteninhabern jedoch ein Impressum mit Erwähnung der eigenen E-Mail-Adresse gefordert.
Aber auch, wenn Sie Ihre E-Mail-Adresse nur für Registrierungen oder Kontakte offenlegen, besteht die Möglichkeit, dass Sie vermehrt Spam-Mails erhalten, wenn die Systeme eines Empfängers mit Spyware infiziert sind.
Um vor schädlichen Spam-Mails effektiv geschützt zu sein, ist daher nicht nur gegen erhaltene Spam-Mails vorzugehen. Es sollten auch Maßnahmen ergriffen werden, die den Schutz der eigenen E-Mail-Adresse gewährleisten.

Zeichenersetzungen

Die herkömmliche Methode, die eigene E-Mail-Adresse für Spambots unkenntlich zu machen, ist die kontextualisierbar verständliche Ersetzung von einzelnen Zeichen durch andere. So kann das „@“ beispielsweise durch ein „[AT]“ ersetzt werden. Moderne Computerprogramme können solche Zeichenersetzungen jedoch ebenfalls nachvollziehen.
Werden die Ersetzungen komplexer, zum Beispiel durch die zusätzliche Ersetzung von dem für E-Mail-Adressen charakteristischen Punkt durch das Ausschreiben von „[PUNKT]“, so werden sie auch für Bots schwieriger verständlich. Ein erheblicher Nachteil hierbei ist jedoch, dass die Kundenfreundlichkeit erheblich leidet.

CAPTCHAs

CAPTCHAs (Completely Automated Public Turing test to tell Computers and Humans Apart) sind Tests, mit denen Computer von Menschen unterschieden werden können. Bei ihnen handelt es sich zumeist um Bilder mit verzerrter Schrift oder um Sprachaufnahmen.
Es besteht die Möglichkeit, die eigene E-Mail-Adresse als CAPTCHA zu gestalten. (Spam-)Bots können sie so nicht mehr kontaktieren. CAPTCHAs sind jedoch nicht barrierefrei. Taubblinde oder Farbenblinde können sie so zum Beispiel nicht problemlos entziffern. Es wird jedoch vermehrt argumentiert, dass das Internet durch Abbildungen und Aufnahmen per se schon nicht barrierefrei sei.

Nahezu jedes Unternehmen verschickt und erhält täglich eine Vielzahl an internen und externen E-Mails. Bei vielen eingehenden Nachrichten handelt es sich um Spam-Mails. (Bild: pixabay.de/ribkhan)

Kontaktformulare

Immer mehr Unternehmen gehen dazu über, anstatt ihre E-Mail-Adresse bekannt zu geben, Kontaktformulare (per CGI oder PHP) für Anliegen zur Verfügung zu stellen. Das Veröffentlichen der E-Mail-Adresse wird hierdurch umgangen, was zur Folge hat, dass sie nicht bzw. schwieriger von Spam-Bots ausgelesen werden kann. Kontaktformulare sind nicht selten zusätzlich mit CAPTCHAs gesichert. Das Anfügen von Anhängen ist zumeist nicht möglich.
Kontaktformulare ersetzen jedoch nicht immer die E-Mail. So ist zum Beispiel in einem Impressum nach Telemediengesetz (§ 5 Abs. 1 Nr. 2 TMG) eine „Adresse der elektronischen Post“ gefordert. Als eine solche ist, so ein Urteil von 2013, lediglich die E-Mail zu verstehen. Zumindest hier muss also eine E-Mail-Adresse angegeben werden.
Ob nach dem Telemediengesetz die Darstellung der entsprechenden E-Mail-Adresse als Bild-/Audiodatei oder sogar als CAPTCHA zulässig ist, ist bisher (Stand Herbst 2018) noch ungeklärt.

Alias-Adressen

Als Alias-E-Mail-Adressen versteht man E-Mail-Adressen, die neben der Haupt-E-Mail-Adresse erstellt werden. Vor allem bei der Teilnahme an Umfragen oder Preisausschreiben sowie bei der Registrierung von Programmen, Foren oder Social-Media-Plattformen bieten sich Alias-Adressen an. Alias-Adressen können dabei helfen, die eigene E-Mail-Adresse vor Spam zu schützen. Durch Weiterleitungen ist es möglich, die E-Mails seiner Alias-Adresse auch an seine Haupt-Adresse zu schicken und dort in einem separaten Ordner abzuspeichern.

Wegwerf-Adressen

E-Mails mit einer meist zeitlich begrenzten Gültigkeit und einem integrierten Zähler werden als Wegwerf-E-Mail-Adressen bezeichnet. Sie kommen vor allem dann zum Einsatz, wenn zur Anmeldung von Diensten eine E-Mail-Adresse angegeben werden muss. Das primäre Ziel von Wegwerf-Adressen ist, den Erhalt von Spam oder Newslettern zu vermeiden. Einer der bekanntesten Vertreiber von Wegwerf-Adressen ist Spamgourmet.

Mischformen von Alias- und Wegwerf-Adressen

Es gibt auch Mischformen von Alias- und Wegwerf-Adressen. Bei Sneakemail handelt es sich um die älteste und wohl bekannteste. Für jeden Zugang ist eine eigene E-Mail-Adresse notwendig. Alle eingehenden E-Mails werden hier an die „echte“ E-Mail-Adresse weitergeleitet. Wenn man Spam-Mails erhält, kann man nachverfolgen, von welchem Zugang sie kommen. Die entsprechende Sneakemail-Adresse kann man dann löschen.

Alternative Adresse im From-Header

Es besteht – vor allem bei Mailinglisten – die Möglichkeit, im From-Header eine Alias- oder Wegwerf-Adresse anzugeben und nur im Reply-To-Header die Haupt-E-Mail-Adresse. Da Spammer für gewöhnlich lediglich From-Header auslesen, bleibt die richtige Adresse ungefährdet.

Checkliste zum Spamschutz

• Beschaffen Sie sich ggf. eine alternative E-Mail-Adresse (Alias-Adresse) für öffentliche Präsenz (zum Beispiel für Gewinnspiele etc.). Schützen Sie sich alternativ durch Wegwerf-Adressen.
• Schützen Sie Ihre E-Mail-Adresse vor Spambots (durch CAPTCHAs oder Zeichenersetzung etc.).
• Richten Sie ggf. eine Blacklist ein.
• Überlegen Sie sich Präventionen beim Öffnen von E-Mails. Erstellen Sie eine E-Mail-Richtlinie:
  • Deaktivieren Sie HTML-Scripts (bei vertrauenswürdigen Kontakten können Sie HTML-Scripts auch wieder aktivieren).
  • Öffnen Sie keine eindeutig als Spam gekennzeichneten E-Mails.
  • Öffnen Sie in keinem Fall unbekannte Anhänge.
  • Folgen Sie keinen unbekannten Links.
  • Antworten Sie nicht auf eindeutige Spam-Mails.
  • Geben Sie sensible Daten nicht preis, wenn Ihnen der Kontakt nicht als vertrauenswürdig bekannt ist.
  • Gehen Sie sicher, dass erhaltene E-Mails stets authentisch sind:
    • Kontrollieren Sie den Header und vor allem die Received-Zeile. Bedenken Sie, dass Absendeadressen leicht zu fälschen sind.
    • Prüfen Sie, ob die Gestaltung des Bodys authentisch ist und ob der Fließtext zum Absender passt.
    • Suchen Sie nach Textausschnitten in Suchmaschinen.
    • Stammt eine klar erkennbare Spam-Mail von einem Kontakt, dann sprechen Sie ihn darauf an; es könnte schließlich sein, dass seine Systeme mit Schadsoftware infiziert sind.
• Richten Sie einen Spam-Filter ein:
  • Melden Sie suspekte E-Mails direkt als Spam. Melden Sie Spam-Mails bei der Internet-Beschwerdestelle und/oder bei Ihrem Administrator und E-Mail-Provider.
  • Kontrollieren Sie Ihren Spam-Ordner regelmäßig und aktualisieren Sie ihn stetig.
• Ziehen Sie einen IT-Dienstleister hinzu, der Sie mit einem optimalen Spamschutz unterstützt.

Geschrieben von

Robin Laufenburg

Robin Laufenburg unterstützt bereits seit 2018 den Blog des IT-SERVICE.NETWORK. Während er anfangs noch als Werkstudent Artikel schrieb, blieb er dem Blog auch nach seinem Masterabschluss in Germanistik erhalten. Mit privatem Interesse an der IT versteht er es, sich in komplexe Themen einzuarbeiten und sie in verständlicher Sprache darzustellen. Weiterlesen

Fragen zum Artikel? Frag den Autor