Über Spam wird viel geschrieben, meist allgemein. Wir haben stattdessen nachgesehen, was tatsächlich in unseren Postfächern landet – und das Ergebnis ist eindeutiger, als wir erwartet hätten.
Die Zahlen
Ausgewertet haben wir alle Nachrichten, die in unserem System gespeichert waren:
- 181 Nachrichten insgesamt
- 180 davon von einer einzigen Absenderdomain
- 180 davon mit derselben Betreffzeile
- Alle 180 an einem Tag, verteilt auf fünf Stunden
- Genau eine Nachricht pro Adresse – 181 Adressen, 181 Nachrichten
Die einzige Ausnahme war eine echte Rechnungsmail eines Dienstleisters, die versehentlich an eine unserer Adressen ging.
Was das bedeutet
Das Muster ist ein Lehrbuchbeispiel. Kein Mensch schreibt 180 Nachrichten in fünf Stunden an 180 verschiedene Empfänger mit identischem Betreff. Das war ein Skript, das eine Liste abgearbeitet hat.
Interessant ist das Verhältnis von exakt 1,00 Nachrichten pro Adresse. Wer wahllos Adressen rät, trifft dieselbe mehrfach oder gar nicht. Wer eine Liste abarbeitet, trifft jede genau einmal. Der Absender hatte also keine Vermutungen, sondern Namen.
Der eigentlich beunruhigende Teil
Wir haben nachgesehen, wann die getroffenen Adressen bei uns angelegt wurden:
Rund 85 Prozent der Adressen stammen aus den Jahren 2014 bis 2016. Die Liste, die dort abgearbeitet wurde, ist also über zehn Jahre alt.
Das ist die eigentliche Lehre: Eine E-Mail-Adresse, die einmal irgendwo öffentlich war, bleibt auf Listen. Sie verfällt nicht, sie wird weitergereicht, verkauft und Jahre später wieder benutzt. Die Adressen aus 2014 haben ihre Nutzer längst vergessen. Die Listen nicht.
Wie kommt eine Liste zustande?
Wir können nicht beweisen, woher genau diese Liste stammt. Wahrscheinlich ist die banalste Erklärung: Unsere Adressen waren jahrelang über öffentlich erreichbare Seiten auffindbar – über eine Übersichtsseite und über Verweise in der Postfachansicht, die Suchmaschinen und andere Programme mitlesen konnten. Genau das haben wir inzwischen abgestellt: Postfachadressen erscheinen nirgends mehr öffentlich und sind für Suchmaschinen gesperrt.
Die allgemeinen Wege, auf denen Adressen auf Listen geraten, sind bekannt:
- öffentlich auf Websites, in Foren oder Impressen stehen
- aus einem Datenleck bei einem Anbieter stammen, bei dem man registriert war
- durch Adresshandel weitergegeben worden sein
- schlicht geraten worden sein – kurze Namen wie
infoodertestexistieren fast überall
Was der Inhalt war
Die 180 gleichlautenden Nachrichten waren ein Phishing-Versuch mit der Betreffzeile, eine Domain laufe demnächst ab und müsse verlängert werden. Das ist eine der ältesten Maschen überhaupt: Sie erzeugt Zeitdruck, richtet sich an Menschen, die tatsächlich Domains besitzen, und wirkt auf den ersten Blick nach Verwaltungsroutine.
Woran man solche Nachrichten erkennt, haben wir in einem eigenen Beitrag zusammengetragen.
Was du daraus mitnehmen kannst
- Eine einmal veröffentlichte Adresse ist dauerhaft verbrannt. Nicht für ein Jahr, sondern auf unbestimmte Zeit.
- Nutze für jede Anmeldung eine eigene Adresse. Dann siehst du, welcher Anbieter deine Daten weitergegeben hat, und kannst genau diesen Kanal abschalten.
- Kurze, naheliegende Namen sind die schlechteste Wahl. Sie stehen auf jeder Rateliste.
- Zeitdruck in einer E-Mail ist ein Warnsignal, kein Grund zur Eile.
Nachtrag zur Methodik
Die Auswertung stammt aus unserer eigenen Datenbank, ausgewertet wurden ausschließlich Metadaten: Zeitpunkt, Absenderdomain, Betreff und das Anlagedatum der Zieladresse. Inhalte einzelner Nachrichten haben wir dafür nicht gelesen, und wir nennen keine Adressen. Alle Nachrichten sind inzwischen gelöscht – bei uns wird eingehende Post nach spätestens sieben Tagen automatisch entfernt.