Gib deine E-Mail-Adresse in Anführungszeichen in eine Suchmaschine ein. Wenn sie in einem alten Forenbeitrag, einem früheren Lebenslauf, der Mitgliederliste eines Vereins oder auf der Kontaktseite eines Nebenprojekts auftaucht, haben sie mit ziemlicher Sicherheit auch automatische Scraper eingesammelt. Diese Programme durchsuchen das Netz nach allem, was wie name@domain aussieht, und die Listen, die dabei entstehen, werden jahrelang verkauft, getauscht und angeschrieben.
Die kurze Antwort, wie du deine E-Mail vor Spam-Bots versteckst: Veröffentliche deine Haupt-Adresse so selten wie möglich, setze auf deiner eigenen Website ein Kontaktformular vor jede Adresse, gib öffentlichen Stellen eine Adresse, die du filtern oder ersetzen kannst, und nutze für einmalige Anmeldungen ein Kurzzeit-Postfach. Nichts davon macht eine Adresse unsichtbar. Sobald ein Mensch sie lesen kann, kann es ein entschlossenes Programm meist auch. Diese Schritte sorgen aber dafür, dass deine Adresse auf deutlich weniger Listen landet und der Schaden auf eine Adresse begrenzt bleibt, auf die du verzichten kannst.
Wie Scraper und Spam-Bots E-Mail-Adressen finden
Das meiste Adressensammeln ist billig und automatisch. Ein Bot lädt Seiten herunter, sucht nach dem Muster @ plus Domain und speichert jeden Treffer. Andere Adressen stammen aus Quellen, für die gar kein Crawlen nötig ist. Wer weiß, über welche Quelle die eigene Adresse nach draußen kam, weiß auch, welche Lösung hilft.
| Quelle | Wie die Adresse dorthin gelangt | Was du tun kannst |
|---|---|---|
| Deine eigene Website | Ein mailto:-Link oder eine Adresse im Footer oder auf der Kontaktseite | Ein Kontaktformular nutzen oder eine Funktionsadresse, die du filtern kannst |
| Foren, Kommentare und Bewertungen | Signaturen, „Schreib mir an“-Antworten, öffentliche Profilfelder | Alte Beiträge bearbeiten, das Profilfeld ausblenden, eine separate Adresse nutzen |
| Domain-Registrierungsdaten | Kontaktdaten in WHOIS- oder RDAP-Einträgen einer Domain, die dir gehört | Die Datenschutz-Einstellung deines Registrars prüfen |
| Öffentliche Profile und Code | Social-Media-Bios, Autorenseiten, Git-Commit-Metadaten | Die Adresse entfernen, eine No-Reply-Adresse für Commits nutzen |
| Dokumente | Online gestellte PDFs, Lebensläufe, Folien und Tabellen | Dateien, die du kontrollierst, entfernen oder ersetzen |
| Datenlecks | Ein Dienst, den du genutzt hast, hat seine Nutzerdatenbank verloren | Verhindern kannst du das nicht, also begrenze, welche Adresse welcher Dienst bekommt |
| Raten | Gängige Namen wie info@ oder anna@ werden bei bekannten Domains ausprobiert | Filtern und auf deiner eigenen Domain unbekannte Empfänger ablehnen |
Domain-Einträge verdienen einen Hinweis, weil viele annehmen, sie seien noch vollständig öffentlich. Seit die DSGVO 2018 in Kraft trat, blenden die meisten großen Registrare persönliche Kontaktdaten in öffentlichen WHOIS-Abfragen aus, und viele bieten einen kostenlosen Datenschutzdienst an. Die Regeln unterscheiden sich aber je nach Registrar und Länder-Domain, und Organisationen werden oft vollständig angezeigt. Frag deine eigene Domain einmal ab, um zu sehen, was tatsächlich sichtbar ist.
Datenlecks sind die Quelle, die am häufigsten unterschätzt wird. Du kannst überall vorsichtig sein und trotzdem auf Spam-Listen landen, weil ein Shop, ein Forum oder eine App, die du vor Jahren genutzt hast, gehackt wurde. Deshalb geht es weiter unten nicht nur darum, wo du deine Adresse veröffentlichst, sondern auch darum, welche Adresse du überhaupt herausgibst.
Eine Adresse auf deiner eigenen Website schützen
Wenn du eine Website, einen Blog oder einen Onlineshop betreibst, ist die Kontaktseite der wahrscheinlichste Ort, an dem Bots dich finden. Hier hast du mehr Kontrolle als irgendwo sonst, und es lohnt sich, es richtig zu machen.
Ein Kontaktformular statt eines mailto-Links
Ein Formular verschickt die Nachricht von deinem Server aus, die Empfängeradresse steht also nie in der Seite. Prüfe Eingaben auf dem Server, nicht nur im Browser, und lass die Nachricht an eine Adresse gehen, die nirgends abgedruckt ist. Formulare ziehen ihren eigenen Spam an, darum kümmern sich die nächsten Abschnitte, aber ein Formular-Spammer kann deine Adresse nicht auf eine Liste setzen, die weiterverkauft wird.
Verschleierung: Was jeder Trick wirklich aufhält
Wenn du eine Adresse unbedingt anzeigen musst, gibt es Wege, sie schwerer abgreifbar zu machen. Sie helfen sehr unterschiedlich viel, und jeder hat einen Preis für echte Besucher.
| Methode | Hält auf | Hält nicht auf | Preis |
|---|---|---|---|
| „name at domain dot com“ schreiben | Die einfachsten Bots mit Mustersuche | Scraper, die nach gängigen Schreibweisen von „at“ und „dot“ suchen | Besucher müssen die Adresse abtippen |
| HTML-Zeichenentitäten | Bots, die den Quelltext lesen, ohne ihn zu dekodieren | Jeden Parser, der HTML dekodiert, und das tun die meisten | Fast keiner |
| Die Adresse per JavaScript zusammensetzen | Crawler, die keine Skripte ausführen | Headless-Browser, die die Seite wie ein Mensch darstellen | Funktioniert nicht bei Besuchern mit blockierten Skripten |
| Die Adresse als Bild zeigen | Textbasierte Scraper | Texterkennung, die billig und genau ist | Screenreader können sie nicht lesen, und niemand kann sie kopieren |
| Die Verschleierungsfunktion eines CDN | Viele gängige Scraper, ohne Arbeit für dich | Bots, die das Dekodierskript ausführen | Hängt vom Skript des Anbieters ab |
Ehrlich zusammengefasst: Verschleierung filtert die faulsten Bots heraus, und vieles am Adressensammeln ist faul, also sinkt die Menge. Gegen jemanden, der gezielt deine Seite ins Visier nimmt, schützt sie eine Adresse nicht. Behandle jede Adresse, die du anzeigst, als eine, die irgendwann eingesammelt wird, und wähle sie entsprechend aus.
CAPTCHA, Honeypots und Ratenbegrenzung
Diese Mittel schützen das Formular, nicht die Adresse. Ein CAPTCHA oder ein Prüfdienst blockiert viele automatische Einsendungen, auch wenn manche durchkommen und jede Prüfung echte Menschen ein wenig nervt. Ein Honeypot ist ein verstecktes Feld, das Menschen nie sehen und Bots ausfüllen, sodass du solche Einsendungen still verwerfen kannst. Eine Ratenbegrenzung pro IP-Adresse verhindert, dass eine einzelne Quelle Hunderte Nachrichten pro Minute schickt. Zusammen halten sie dein Postfach benutzbar, ohne Besuchern viel abzuverlangen. Wenn dein Formular Menschen in einen Verteiler einträgt, nutze Double-Opt-in, damit niemand die Adresse eines Fremden anmelden kann.
Halte deine Haupt-Adresse von öffentlichen Seiten fern
Deine Haupt-Adresse ist die, die mit Bank, Behörden, Arbeit und den Menschen verbunden ist, die du kennst. Der beste Schutz für sie ist einfach: Sie sollte nirgends stehen, wo ein Crawler hinkommt. Geh die üblichen Stellen einmal durch:
- Soziale und berufliche Profile. Entferne die Adresse aus Bios und stelle das Kontaktfeld, wo die Plattform es erlaubt, auf „nur für Kontakte sichtbar“.
- Foren und alte Konten. Bearbeite Signaturen und alte Beiträge, in denen sie steht. Schließe Konten, die du nicht mehr nutzt.
- Code-Repositories. GitHub und ähnliche Plattformen erlauben eine private No-Reply-Adresse für Commits. Neue Commits zeigen dann nicht mehr deine echte Adresse, alte Commits behalten aber, was sie aufgezeichnet haben.
- Dokumente. Ein als PDF veröffentlichter Lebenslauf oder Flyer ist für einen Crawler reiner Text. Ersetze Dateien, die du kontrollierst, durch Versionen mit Kontaktformular oder separater Adresse.
- Verzeichnisse und Mitgliederlisten. Bitte Vereine, Schulen und Verbände, die Adresse zu entfernen oder die Liste auf Mitglieder zu beschränken.
Eine Adresse zu entfernen holt sie nicht von Listen zurück, die es schon gibt, und Suchmaschinen-Caches und Web-Archive können noch eine Weile Kopien vorhalten. Es verhindert aber, dass neue Scraper sie aufsammeln, und das zählt auf Dauer.
Gib öffentlichen Stellen eine separate Adresse
Manche Adressen müssen öffentlich sein: die Kontaktadresse einer Freiberuflerin, die Support-Adresse eines Händlers, eine Adresse auf einem Flyer. Die Lösung ist, diese Adresse von deiner privaten zu trennen. Eine Funktionsadresse wie contact@yourdomain.example oder ein zweites Postfach bei einem kostenlosen Anbieter kannst du hart filtern und ersetzen, wenn es überhandnimmt, ohne Bank oder Freunde zu berühren.
Für Anmeldungen geht ein E-Mail-Alias noch weiter. Alias-Dienste geben dir für jede Seite eine eigene Weiterleitungsadresse, sodass die Seite deine echte Adresse nie sieht und du jeden Alias abschalten kannst, der Werbung bekommt. Beispiele sind Apples „E-Mail-Adresse verbergen“ für iCloud+-Abonnenten, Firefox Relay, SimpleLogin und DuckDuckGo Email Protection. Plus-Adressierung wie yourname+shop@gmail.com hilft beim Zurückverfolgen von Spam, versteckt aber nichts, denn jeder kann das Kürzel löschen. Wir vergleichen diese Möglichkeiten in unserem Ratgeber zu Temp-Mail und E-Mail-Aliasen, und unser Artikel über eine persönliche E-Mail-Strategie zeigt, wie du Adressen nach Vertrauensstufe aufteilst.
| Möglichkeit | Versteckt deine echte Adresse | Wie lange sie hält | Am besten für |
|---|---|---|---|
| Haupt-Adresse | Nein | Jahre | Bank, Arbeit, Behörden, Menschen, die du kennst |
| Plus-Adresse | Nein | So lange wie dein Postfach | Herausfinden, welche Seite sie verloren oder verkauft hat |
| Zweites Postfach oder Funktionsadresse | Ja, wenn nichts sie mit dir verbindet | Jahre | Öffentliche Kontaktdaten, Shops, bei denen du wieder kaufst |
| E-Mail-Alias | Ja | Bis du ihn abschaltest | Konten, die du behältst, denen du aber nicht ganz traust |
| Temporäres Postfach | Ja | Etwa 24 Stunden | Einmalige Anmeldungen und Downloads |
Ein temporäres Postfach für einmalige Anmeldungen
Ein großer Teil des Spams beginnt mit einer einzigen Anmeldung, die du nie wieder brauchtest: ein kostenloser Ratgeber, ein Forenthread, den du einmal lesen wolltest, ein WLAN-Portal, ein Testkonto. Für solche Fälle hält eine Temp-Mail-Adresse deine echte Adresse komplett aus der Datenbank der Seite heraus. Wird die Seite später gehackt oder verkauft sie ihre Liste, geht der Spam an eine Adresse, die es nicht mehr gibt.
VookMail funktioniert ohne Konto. Öffne die Seite, und schon ist eine Adresse da. Übernimm sie mit dem Button Kopieren, oder drück auf Neu, um einen eigenen Benutzernamen und eine von mehr als 30 Domains zu wählen. Das Postfach prüft alle paar Sekunden auf neue Mails, ein Bestätigungslink erscheint also ohne Neuladen. Wenn du fertig bist, entfernt Löschen die Adresse. Ansonsten werden Nachrichten innerhalb von etwa 24 Stunden gelöscht. Wenn du genauer wissen willst, wie so eine Wegwerf-E-Mail-Adresse funktioniert, findest du es auf dieser Seite.
Die Grenzen gehören zur richtigen Nutzung dazu. Ein temporäres Postfach öffnet sich nur in dem Browser, der es erstellt hat, und seine Nachrichten sind nicht Ende-zu-Ende-verschlüsselt, es ist also kein Ort für Persönliches. Nutze es nie für ein Konto, das du behalten musst, denn Passwort-Rücksetzungen hätten kein Ziel mehr. Manche Seiten akzeptieren keine Wegwerf-Adressen, das ist ihre Entscheidung, und dann ist ein Alias oder eine zweite Adresse die richtige Wahl. Eine temporäre Adresse darf nicht benutzt werden, um wiederholt kostenlose Testzugänge oder Angebote abzugreifen, die für eine Person gedacht sind, und unsere Allgemeinen Geschäftsbedingungen verbieten das. Unser Ratgeber zur Anmeldung ohne echte E-Mail-Adresse zeigt, welche Situationen passen.
Prüfe, ob deine Adresse schon offenliegt
Have I Been Pwned ist ein seit Langem bestehender kostenloser Dienst, der dir sagt, ob eine Adresse in bekannten Datenleck-Daten vorkommt. Ein Treffer zeigt, welche Dienste sie verloren haben und was ungefähr noch abgeflossen ist, etwa Passwörter oder Telefonnummern. Wenn ein Passwort dabei war, ändere es überall, wo du es benutzt hast, und aktiviere die Zwei-Faktor-Authentifizierung. Unser Ratgeber dazu, was du nach einem Datenleck tun solltest, erklärt das Schritt für Schritt.
Sei vorsichtig mit unbekannten Seiten nach dem Motto „Prüfe, ob deine E-Mail geleakt wurde“. Deine Adresse in ein fremdes Formular zu tippen ist ein weiterer Weg, sie einer Liste zu schenken. Bleib bei Diensten mit langer öffentlicher Geschichte oder bei den Datenleck-Warnungen deines Passwortmanagers oder Browsers.
Was du tun kannst, wenn deine Adresse schon eingesammelt wurde
Eine Adresse lässt sich nicht von Listen zurückholen, auf denen sie schon steht. Du kannst diese Listen aber weniger nützlich machen und verhindern, dass neue entstehen.
- Nicht antworten, nicht klicken. Eine Antwort, auch nur „Stopp“, bestätigt, dass ein echter Mensch die Adresse liest. Klicke keine Links in Mails von Absendern, die du nicht kennst.
- Spam melden statt löschen. Meldungen trainieren den Filter deines Anbieters, der dieselbe Kampagne in Millionen Postfächern sieht.
- Die Adresse an den gefundenen Stellen entfernen. Nutze die Suche vom Anfang dieses Artikels und korrigiere, was du kontrollierst.
- Eine öffentliche Adresse auf deiner Seite ersetzen, durch ein Formular oder eine neue Funktionsadresse, und die alte noch eine Weile filtern.
- Das automatische Laden von Bildern abschalten für unbekannte Absender, damit Tracking-Pixel nicht bestätigen können, dass die Adresse aktiv ist. Unser Artikel über Tracking-Pixel in E-Mails erklärt, wie sie funktionieren.
- Künftige Anmeldungen auf Aliase oder temporäre Adressen verlegen, damit sich die Haupt-Adresse nicht weiter verbreitet.
- Die Haupt-Adresse nur als letztes Mittel wechseln. Falls doch, behalte die alte einige Monate mit Weiterleitung und zieh wichtige Konten zuerst um.
Für die Postfach-Seite des Problems, also Filter und sicheres Abmelden, lies unseren Ratgeber dazu, wie du Spam-E-Mails stoppst.
Mythen, von denen du dich verabschieden kannst
- „Spam-Bots können keine Bilder lesen.“ Texterkennung ist billig. Ein Bild bremst einfache Scraper und erschwert Screenreader-Nutzern das Leben.
- „JavaScript versteckt meine Adresse vollständig.“ Viele Scraper betreiben heute komplette Browser. Skripte filtern ältere Bots heraus, nicht alle.
- „Wenn ich meine Adresse nie veröffentliche, bekomme ich nie Spam.“ Datenlecks und Raten erreichen auch Adressen, die nie veröffentlicht wurden.
- „Wer sich von Spam abmeldet, fliegt von der Liste.“ Bei seriösen Absendern klappt das meist. Bei echten Spammern kann ein Klick bestätigen, dass deine Adresse aktiv ist.
Häufige Fragen
Können Spam-Bots eine E-Mail-Adresse lesen, die als Bild angezeigt wird?
Manche schon. Texterkennungs-Tools lesen klare Bilder problemlos und sind billig im Betrieb. Ein Bild hält einfache Text-Scraper auf, ist aber für Screenreader unzugänglich und lässt sich nicht kopieren, deshalb ist ein Kontaktformular meist die bessere Wahl.
Lohnt sich „name at domain dot com“ noch?
Es hilft ein wenig gegen die einfachsten Bots und kostet Besucher etwas Mühe. Für eine Adresse, die dir wichtig ist, sollte es nicht dein einziger Schutz sein.
Stoppt WHOIS-Datenschutz allen Spam an meine Domain?
Nein. Er hält deine persönlichen Daten aus öffentlichen Domain-Abfragen heraus und schließt damit eine Quelle. Funktionsadressen wie info@ bekommen weiterhin erratenen Spam, und alles auf deiner Website kann weiterhin eingesammelt werden.
Schützt eine temporäre E-Mail meine Haupt-Adresse?
Bei einmaligen Anmeldungen ja, denn die Seite bekommt deine Haupt-Adresse nie. Bei Adressen, die schon offenliegen, hilft sie nicht, und für Konten, die du behalten musst, ist sie ungeeignet.
Kann ich meine Adresse von Spam-Listen entfernen lassen?
Nicht von Listen, die Spammer betreiben. Seriöse Absender nehmen dich heraus, wenn du dich abmeldest, und manche Datenhändler bieten Widerspruchsformulare an. Für den Rest sind Melden und Filtern die realistischen Werkzeuge. Weitere Ratgeber findest du im VookMail-Blog.