Spam-E-Mails stoppen: Erst die Quelle, dann das Postfach

Öffne dein Postfach und suche nach dem Wort unsubscribe. Bei den meisten Menschen sind es ein paar Dutzend Absender, die den Großteil der Treffer ausmachen, und viele davon sind Firmen, denen du deine Adresse einmal für einen einzigen Gutschein oder Download gegeben hast. Dieses Suchergebnis ist der beste Startpunkt, wenn du Spam-E-Mails stoppen willst, denn es trennt Mails, die du in einer Minute abschalten kannst, von Mails, die einen Filter brauchen.

Die kurze Antwort: Melde echten Spam, statt ihn nur zu löschen, melde dich nur bei Absendern ab, die du kennst, richte ein paar enge Filter für den Rest ein und gib deine Haupt-Adresse nicht mehr an Seiten, auf die du nie zurückkehrst. Nichts entfernt jeden Spam, und wer das Gegenteil verspricht, will dir etwas verkaufen. Diese Schritte drücken die Flut aber auf ein Maß, das du ignorieren kannst. Die folgenden Abschnitte erklären sie in der Reihenfolge, in der sie sich am schnellsten auszahlen.

Drei Arten unerwünschter Mails, drei verschiedene Reaktionen

Viele nennen alles „Spam“, was sie nicht lesen wollten, dabei stecken drei verschiedene Probleme dahinter. Wer sie verwechselt, macht aus gutem Rat schnell das Gegenteil, etwa wenn er bei einer Phishing-Mail auf „Abmelden“ klickt.

Art	Typisches Beispiel	Was du tun solltest	Was du vermeiden solltest
Graymail	Die wöchentlichen Angebote eines Shops, nachdem du vor zwei Jahren ein Häkchen gesetzt hast	Abmelden	Sie als Spam melden, obwohl du von dieser Marke noch andere Mails willst
Echter Spam	Gefälschte Apotheke, „Du hast gewonnen“, ein SEO-Angebot von einem Fremden	Als Spam melden	Auf irgendeinen Link klicken, auch auf den Abmeldelink
Schädliche Mail	Eine „Zustellung fehlgeschlagen“-Nachricht mit gefälschter Login-Seite oder eine Rechnung mit seltsamem Anhang	Als Phishing melden und separat prüfen	Antworten, Anhänge öffnen, Nummern aus der Nachricht anrufen

Graymail ist meist legal und hört meist auf, wenn man darum bittet. In den USA schreibt der CAN-SPAM Act vor, dass kommerzielle E-Mails eine funktionierende Abmeldemöglichkeit enthalten, und verpflichtet Absender, sie innerhalb von 10 Werktagen umzusetzen. In der EU braucht Werbung per E-Mail an Privatpersonen in der Regel vorherige Einwilligung, mit einer begrenzten Ausnahme für bestehende Kunden eines Unternehmens. Diese Regeln binden Firmen, die seriös bleiben wollen. Ein Betrüger, der gefälschte Medikamente verkauft, ignoriert sie, und deshalb löst derselbe Knopf nicht beide Probleme.

Wie ist deine Adresse nach draußen gelangt?

Zehn Minuten Detektivarbeit ersparen dir später viel Mühe. Eine Adresse gelangt meist auf einem dieser Wege nach draußen, und jeder verlangt eine andere Lösung.

Du hast sie hergegeben und es vergessen

Gewinnspiele, Kundenkarten im Laden, WLAN-Anmeldeseiten, kostenlose PDF-Downloads und Quizze mit „Gib deine E-Mail ein, um dein Ergebnis zu sehen“ bauen alle Verteilerlisten auf. Manche Datenschutzerklärungen nennen die Weitergabe mit Formulierungen wie „vertrauenswürdige Partner“ oder „Dritte zu Marketingzwecken“. Wenn der Spam kurz nach einer bestimmten Anmeldung begann, ist das die wahrscheinliche Ursache.

Ein Dienst, den du genutzt hast, wurde gehackt

Wenn ein Dienst seine Nutzerdatenbank verliert, landen die E-Mail-Adressen oft in Sammlungen, die jahrelang kursieren. Du kannst eine Adresse bei Have I Been Pwned prüfen, einem seit Langem bestehenden Dienst für Datenleck-Abfragen. Ein Treffer zeigt dir, dass die Adresse offenliegt, und auch, bei welchem Konto du womöglich das Passwort ändern musst. Unser Ratgeber dazu, was du nach einem Datenleck tun solltest, behandelt die Passwortseite ausführlich. Sei vorsichtig mit unbekannten „Wurde meine E-Mail gehackt?“-Seiten, denn deine Adresse dort einzutippen kann genau der Weg sein, wie so eine Liste entsteht.

Sie steht irgendwo öffentlich

Bots durchsuchen öffentliche Seiten nach allem, was wie eine Adresse aussieht: Kontaktseiten, Forensignaturen, öffentliche Lebensläufe, PDFs und den Commit-Verlauf von Code-Repositories. Suche deine vollständige Adresse in Anführungszeichen und sieh nach, was auftaucht. Auf GitHub und ähnlichen Plattformen kannst du eine private No-Reply-Adresse für Commits einrichten, damit neue Commits nicht mehr deine echte Adresse veröffentlichen, auch wenn alte Commits behalten, was sie aufgezeichnet haben.

Sie ist leicht zu erraten

Spammer müssen info@, sales@ oder sarah@ auf keiner Liste finden. Sie erzeugen wahrscheinliche Namen bei bekannten Domains und schicken an alle. Kurze, gängige Adressen bekommen davon mehr ab, und keine Sorgfalt kann das verhindern. Bei einer Funktionsadresse auf deiner eigenen Domain ist Filtern die praktische Antwort. Bei einer persönlichen Adresse bedeutet es vielleicht, ein bisschen Rauschen hinzunehmen.

Das Gerät eines Kontakts wurde infiziert

Schadsoftware, die Adressbücher ausliest, kann dich auf eine Liste setzen, ohne dass du etwas tust. Ein Hinweis ist Spam, der den Namen eines Freundes nennt oder als Antwort auf einen alten Mailverlauf daherkommt.

Eine einfache Möglichkeit, künftige Lecks zurückzuverfolgen

Gmail und Outlook.com unterstützen beide Plus-Adressierung: Mail an yourname+shopname@gmail.com kommt bei yourname@gmail.com an. Gib jedem Shop und jedem Dienst sein eigenes Kürzel. Wenn später Werbung an +shopname eintrifft, weißt du, woher sie kam, und kannst genau dieses Kürzel per Filter in den Papierkorb schicken. Das ist ein Diagnosewerkzeug und kein Datenschutzschild, denn jeder kann das Kürzel löschen und sieht dann deine Basisadresse, und manche Formulare lehnen das Pluszeichen ab.

Fang mit den zwei Knöpfen an, die du schon hast

Große Anbieter sehen dieselbe Kampagne gleichzeitig in Millionen Postfächern ankommen, und keine Regel, die du schreibst, kann mit diesem Überblick mithalten. Deine Aufgabe ist es, ihrem Filter gute Signale zu geben und ihm nicht im Weg zu stehen.

Nutze den Melden-Knopf statt Löschen. In Gmail heißt er Spam melden; in Outlook findest du ihn unter Melden als Junk melden oder Phishing melden, je nach Version. Löschen sagt dem Anbieter nichts. Eine Meldung trainiert deinen eigenen Filter und füllt das Beschwerdekonto des Absenders. Dieses Konto zählt für Absender: Nach Googles Regeln für alle, die mehr als 5.000 Nachrichten pro Tag an Gmail-Adressen senden, kann eine Beschwerderate von 0,3 % ihre Zustellung beeinträchtigen, und Google rät, unter 0,1 % zu bleiben.

Der entgegengesetzte Knopf ist genauso wichtig. Wenn eine echte Nachricht im Spam landet, öffne sie und wähle Kein Spam oder Kein Junk. Wirf im ersten Monat nach jeder Änderung einmal pro Woche einen Blick in den Spam-Ordner. Gmail entfernt Spam nach etwa 30 Tagen, andere Anbieter haben eigene Fristen, und ein wöchentlicher Blick fängt Fehler ab, solange du die Mails noch retten kannst.

Noch eine Kontrolle: Suche nach alten Regeln, die gegen dich arbeiten. In Gmail gehst du auf Einstellungen, Alle Einstellungen aufrufen und dann Filter und blockierte Adressen. Ein Filter mit „Nie als Spam markieren“ für eine breite Domain lässt Werbung direkt durch. In Outlook prüfst du Einstellungen, E-Mail, Regeln und deine Liste sicherer Absender in den Junk-E-Mail-Einstellungen. Wenn du Mails in einem Desktop-Programm liest, lass den serverseitigen Filter des Anbieters eingeschaltet. Der lokale Junk-Filter des Programms ist eine zusätzliche Schicht und ersetzt ihn nicht.

Ein Aufräumen, das du in 30 Minuten schaffst

Wenn dein Postfach schon außer Kontrolle ist, geh diese Liste einmal durch. Du kannst an jeder Stelle aufhören und stehst trotzdem besser da als vorher.

1. Die schlimmsten Absender auflisten (5 Minuten). Suche nach unsubscribe. In Gmail hilft category:promotions zum Eingrenzen, wenn du die Tabs nutzt. Notiere die 20 Absender, die du am häufigsten siehst.
2. Sortieren (2 Minuten). Markiere jeden als „kenne ich, will ich nicht“, „kenne ich, will ich weiterhin“ oder „nie gehört“.
3. Bei der ersten Gruppe abmelden (10 Minuten). Nutze die Abmelde-Schaltfläche, die dein Mail-Programm neben dem Absendernamen anzeigt, sofern es eine gibt. Der nächste Abschnitt erklärt, warum das sicherer ist als ein Link.
4. Die dritte Gruppe melden (3 Minuten). Wähle sie aus und melde sie als Spam, ohne etwas zu öffnen, das du nicht öffnen musst.
5. Den Rückstau abräumen (5 Minuten). Suche nach from:sender.example und lösche oder archiviere gesammelt. In Gmail grenzt older_than:1y zusammen mit einem Absender das Ergebnis weiter ein.
6. Zwei oder drei Filter schreiben (5 Minuten). Nur für das, was übrig bleibt und weiter kommt, nach den Regeln weiter unten.

Lege danach die Absender, die du weiterhin willst, in ein eigenes Label oder einen eigenen Ordner, damit sie nicht mehr mit den Mails von Menschen konkurrieren.

Ist es sicher, auf „Abmelden“ zu klicken?

Das hängt davon ab, wer die Nachricht geschickt hat. Die alte Regel „Klick nie auf Abmelden“ passt auf echten Spam und ist bei seriösen Absendern falsch, denn dort ist das Abmelden der schnellste Weg.

Am sichersten ist die Schaltfläche, die dein Mail-Programm neben dem Absendernamen zeigt. Sie nutzt einen Header namens List-Unsubscribe statt eines Links im Nachrichtentext, du verlässt also dein Postfach gar nicht. Seit 2024 verlangen Google und Yahoo von Massenversendern, mit diesem Mechanismus die Abmeldung mit einem Klick zu unterstützen, definiert in RFC 8058, und Google erwartet, dass die Anfrage innerhalb von zwei Tagen umgesetzt wird. Wenn also bei einem großen Absender keine solche Schaltfläche erscheint, ist das ein Warnzeichen.

Ohne Schaltfläche hilft dir dieser Entscheidungsweg:

1. Kennst du den Absender und erinnerst du dich an die Beziehung? Dann nutze den Link in der Fußzeile, nachdem du mit der Maus darüberfährst (am Handy lange drückst), um zu prüfen, dass er auf die Domain des Absenders oder einen bekannten E-Mail-Marketing-Dienst zeigt.
2. Ist es eine echte Marke, bei der du dich nie angemeldet hast? Sieh dir die Authentifizierungsergebnisse an, die weiter unten erklärt werden. Schlagen die Prüfungen fehl, ist es Betrug unter fremdem Namen, also melde es. Bestehen sie, ist Abmelden vernünftig.
3. Ist der Absender unbekannt oder der Inhalt offensichtlich Müll? Klicke nicht. Ein Klick kann bestätigen, dass deine Adresse bei einem Menschen landet, der seine Mails liest. Melde die Mail stattdessen.
4. Verlangt die Seite einen Login oder mehr als deine Adresse? Schließe sie. Zum Abmelden brauchst du nie dein Passwort. Unser Ratgeber zum Erkennen von Phishing-Mails zeigt, wie solche gefälschten Seiten meist aussehen.

Gib einer Anfrage Zeit zu wirken. Ein Absender, der dich zwei Wochen nach einer sauberen Abmeldung immer noch anschreibt, hat eine Spam-Meldung verdient. Wenn du viele Verteiler gleichzeitig abonniert hast, behandelt unser Artikel dazu, wie du die Newsletter-Flut in den Griff bekommst, genau dieses Problem.

Die Header lesen, wenn du unsicher bist

Ein Anzeigename beweist nichts, denn jeder kann „Deine Bank“ hineinschreiben. Die Nachrichten-Header verraten mehr. In Gmail öffnest du das Drei-Punkte-Menü und wählst Original anzeigen. In Outlook im Web suchst du Ansicht und dann Nachrichtenquelle anzeigen. Du siehst Klartext, in Gmail mit einer Zusammenfassung oben, und diese Zeilen solltest du suchen:

• Authentication-Results meldet drei Prüfungen. SPF fragt, ob der sendende Server für diese Domain senden darf. DKIM fragt, ob die kryptografische Signatur der Nachricht gültig ist. DMARC fragt, ob die Domain in der sichtbaren Absenderzeile zu einer Domain passt, die eine der beiden anderen Prüfungen bestanden hat.
• Return-Path zeigt, wohin Rückläufer gehen. Dass er von der Absenderadresse abweicht, ist bei seriöser Werbepost üblich und beweist allein wenig.
• Received-Zeilen führen die Server auf dem Weg auf. Lies sie von unten nach oben, um die Route zu verfolgen. Die oberen wurden von Servern hinzugefügt, denen du trauen kannst, die unteren können gefälscht sein.
• List-Unsubscribe zeigt, ob der Absender ein ordentliches Abmelden unterstützt.

So sieht das in der Praxis aus. Eine Nachricht, die angeblich von deiner Bank kommt und dmarc=fail zeigt, ist sehr wahrscheinlich gefälscht: Melde sie und öffne die Seite der Bank selbst. Ein Newsletter mit spf=pass, dkim=pass und dmarc=pass und einer List-Unsubscribe-Zeile ist vermutlich Graymail, bei der du dich gefahrlos abmelden kannst. Bestandene Prüfungen machen eine Nachricht aber nicht vertrauenswürdig. Sie zeigen nur, dass die Mail wirklich von dieser Domain kam, und Kriminelle können Domains ebenfalls registrieren und authentifizieren.

Filter schreiben, die nicht nach hinten losgehen

Ein Filter lohnt sich, wenn er so eng ist, dass er nichts erwischen kann, was du willst. Der Schaden eines zu breiten Filters bleibt unsichtbar, weil du die verlorenen Mails nie siehst.

Filteridee	Urteil	Warum
Mail an yourname+oldshop@gmail.com geht in den Papierkorb	Gut	Das Kürzel hat nur dieser Shop je benutzt
Eine Formulierung, die nur in einer Kampagne vorkommt, die du immer wieder bekommst	Gut	Sehr geringes Risiko, echte Mails zu erwischen
Eine bestimmte Domain, mit der du nichts zu tun hast	In Ordnung	Hilft bei hartnäckigen Absendern, weniger bei wechselnden
Newsletter eines Absenders überspringen das Postfach und landen in einem Label	Gut	Nichts geht verloren, und du kannst sie später lesen
Jede Nachricht mit „gratis“ oder „Angebot“	Schlecht	Echte Mails benutzen diese Wörter täglich
Alles mit Anhang von unbekannten Absendern	Schlecht	Erwischt Rechnungen, Tickets und Lebensläufe
Die Domain-Endung eines ganzen Landes	Schlecht	Sperrt seriöse Menschen und Dienste dort aus

In Gmail erstellst du einen Filter aus der Suchleiste: Gib deine Kriterien ein, öffne die Optionen und wähle Filter erstellen. Die Operatoren to: und from: von Gmail eignen sich dafür gut. In Outlook gehst du auf Einstellungen, E-Mail, Regeln. Schicke Treffer in den ersten Wochen in einen Ordner, statt sie zu löschen, damit du die Arbeit der Regel prüfen kannst, bevor du ihr vertraust. Nach ein paar Monaten löschst du jede Regel, die nichts mehr trifft.

Einzelne Adressen zu blockieren ist gegen echten Spam ein schwaches Mittel, weil der Absender ständig wechselt. Für eines funktioniert es gut: für eine einzelne Firma, die eine Adresse benutzt und deine Abmeldung ignoriert.

Verhindern, dass neuer Spam entsteht

Alles bisher behandelt vorhandenen Spam. Vorbeugung läuft auf eine Gewohnheit hinaus: Gib verschiedenen Vertrauensstufen verschiedene Adressen.

Denk an drei Stufen. Deine Haupt-Adresse gehört an Bank, Behörden, Arbeitgeber, Ärztin oder Arzt, Domain-Registrar und die Menschen, die du kennst, und an nichts sonst. Eine zweite Adresse oder ein Alias gehört an Shops, in denen du kaufst, an Abos und an Konten, die du behalten willst, denn Quittungen und Passwort-Rücksetzungen müssen dich über Jahre erreichen. Wenn du die Möglichkeiten vergleichen willst: Die Unterschiede zwischen Aliasen, Plus-Adressen und Temp-Mail erklären wir in einem eigenen Ratgeber. Eine Kurzzeit-Adresse deckt den Rest ab: Mails, die du einmal brauchst und nie wieder.

Situation	Haupt-Adresse	Alias oder zweite Adresse	Temporäres Postfach
Bank, Behörden, Gesundheit	Ja	Nein	Nie
Arbeit und Bewerbungen	Ja	Nein	Nie
Dein wichtigstes Social-Media-Konto	Ja	Möglich	Nie
Ein Shop, bei dem du vielleicht wieder kaufst	Nein	Ja	Nein, Quittungen gingen verloren
Ein Newsletter, den du regelmäßig liest	Nein	Ja	Nein
Ein kostenloser Report, den du einmal lesen willst	Nein	Möglich	Passt, wenn die Seite es erlaubt
Die Anmelde-Mail deiner eigenen Seite testen	Nein	Möglich	Passt
Sieht die Seite deine echte Adresse?	Ja	Mit Alias nein. Mit Plus-Kürzel ja	Nein
Kannst du die Mails nächstes Jahr noch lesen?	Ja	Ja	Nein, etwa 24 Stunden

Wo ein temporäres Postfach passt

Ein temporäres Postfach ist eine funktionierende Adresse, die kein Konto braucht und von selbst abläuft. VookMail ist ein solcher Dienst, und so würden wir diese dritte Stufe handhaben: Öffne die Seite, und schon ist eine Adresse da, ohne Registrierung und ohne Passwort. Du kannst sie mit dem Button Kopieren übernehmen, mit Neu einen eigenen Benutzernamen eintippen und eine von mehr als 30 Domains wählen oder mit dem gelben Zufall-Button eine zufällige Adresse erzeugen. Das Postfach prüft alle paar Sekunden auf neue Mails, ein Bestätigungslink erscheint also ohne Neuladen, und der Button Löschen entfernt die Adresse, wenn du fertig bist. Ansonsten werden Nachrichten und Anhänge innerhalb von etwa 24 Stunden gelöscht.

Wenn diese Adresse später auf einer Werbeliste landet, geht die Post nirgendwo in die Nähe deines eigenen Postfachs, und genau das ist der Nutzen. Es gibt drei Einschränkungen. Ein temporäres Postfach hat kein Passwort, jeder, der die Adresse kennt oder errät, kann es lesen, und eine zufällige Adresse ist deshalb die vernünftige Wahl. Du verlierst den Zugang zu jedem Konto, das daran hängt, es darf also nie etwas enthalten, das du vielleicht wiederherstellen musst. Und manche Seiten akzeptieren Wegwerf-Adressen überhaupt nicht. Das ist ihre Entscheidung, und die richtige Antwort ist, dort deine zweite Adresse zu nutzen. Dasselbe gilt für wiederholte kostenlose Testzugänge oder Aktionen, die nur einmal pro Kunde gedacht sind: Eine temporäre Adresse darf dafür nicht benutzt werden, und unsere Allgemeinen Geschäftsbedingungen verbieten es.

Hör auf, deine Adresse zu veröffentlichen

Auf deiner eigenen Website verrät ein Kontaktformular mit serverseitiger Prüfung weniger als ein mailto:-Link. Wenn du eine Adresse zeigen musst, nimm eine Funktionsadresse wie contact@, die du hart filtern oder später ersetzen kannst. „name at domain dot com“ zu schreiben hält die faulsten Scraper auf und hilft daher ein wenig, sollte aber nicht dein wichtigster Schutz sein. Entferne deine Adresse aus alten Dokumenten, die du selbst kontrollierst, und denk daran, dass Suchmaschinen-Caches und Web-Archive Kopien noch eine Weile vorhalten können.

Lies das Formular, bevor du es abschickst

Viele Formulare bringen ein schon angekreuztes Marketing-Kästchen mit. In der EU gilt ein vorangekreuztes Kästchen nach der DSGVO nicht als gültige Einwilligung, aber viele Formulare außerhalb der EU nutzen es weiterhin, und manche innerhalb auch. Das Häkchen zu entfernen dauert eine Sekunde. Wenn ein Formular Marketing-Einwilligung verlangt, um eine Grundfunktion zu nutzen, überlege, ob du diese Funktion überhaupt brauchst.

Verhindere, dass Bilder etwas zurückmelden

Nachgeladene Bilder können einem Absender zeigen, dass deine Adresse aktiv ist. In der Gmail-Weboberfläche gehst du auf Einstellungen, Alle Einstellungen aufrufen, Allgemein und wählst Vor dem Anzeigen externer Bilder fragen. Auf dem iPhone bietet Apple Mail in den Datenschutzeinstellungen Mail-Aktivität schützen, was Inhalte aus dem Netz privat lädt. Deine Mails sehen dann schlichter aus, bis du für einen Absender Bilder erlaubst, und dieser kleine Preis erschwert auch das Tracking.

Wenn du eine eigene Domain hast

Eine eigene Domain bringt Werkzeuge und Pflichten mit. Drei DNS-Einträge helfen, wenn auch nicht so, wie viele erwarten: Sie verringern den Spam, den du bekommst, kaum. Sie erschweren es anderen aber, deine Domain zu fälschen, schützen so die Menschen, denen du schreibst, und verringern die Rückläufer für Mails, die du nie verschickt hast.

• SPF ist ein TXT-Eintrag, der auflistet, wer für deine Domain senden darf, etwa v=spf1 include:_spf.yourprovider.example -all. Das Ende -all weist Empfänger an, andere Absender abzulehnen, während ~all die mildere Variante ist. Veröffentliche pro Domain nur einen SPF-Eintrag, denn zwei machen ihn unbrauchbar.
• DKIM veröffentlicht einen öffentlichen Schlüssel, mit dem Empfänger die Signatur prüfen können, die dein Mailserver hinzufügt. Dein Mail-Anbieter erzeugt den Schlüssel und sagt dir, welchen Eintrag du ergänzen musst.
• DMARC sagt Empfängern, was zu tun ist, wenn die Übereinstimmung fehlschlägt. Beginne mit v=DMARC1; p=none; rua=mailto:reports@yourdomain.example, lies die Berichte einige Wochen lang, um legitime Mails zu finden, die du vergessen hattest, und wechsle dann zu p=quarantine und schließlich zu p=reject.

Zwei weitere Einstellungen lohnen sich. Vermeide Catch-all-Postfächer, die Mail für jede beliebige Adresse deiner Domain annehmen und so jeden Rateversuch in zugestellten Spam verwandeln. Lege benannte Adressen und Aliase an und lass deinen Server unbekannte Empfänger schon während der SMTP-Unterhaltung ablehnen. Schütze dann deine Formulare: Begrenze die Rate pro IP-Adresse, füge ein verstecktes Honeypot-Feld hinzu, das Menschen nie ausfüllen, und nutze Double-Opt-in für Verteiler, damit niemand die Adresse eines Fremden anmelden kann. Double-Opt-in schützt auch dich, denn du schreibst so nie Menschen an, die es nicht wollten.

Fälle, in denen die üblichen Tipps nicht reichen

Spam, der von deiner eigenen Adresse zu kommen scheint

Einfache E-Mail erlaubt es einem Absender, in die Absenderzeile zu schreiben, was er will, daher ist das fast immer eine Fälschung. Oft kommt eine Drohung dazu: „Ich habe dein Konto gehackt, zahl mir Geld“. Sieh dir die Authentifizierungsergebnisse an, die meist fehlschlagen, und melde die Mail. Beunruhigt sein musst du nur, wenn du weitere Hinweise findest, etwa Nachrichten in „Gesendet“, die du nicht geschrieben hast, oder Logins, die du nicht kennst. Ändere dann das Passwort, aktiviere die Zwei-Faktor-Authentifizierung und prüfe die Weiterleitungsregeln, denn Angreifer, die sich Zugang verschaffen, legen oft eine versteckte Regel an, die deine Post woandershin kopiert.

Eine plötzliche Flut von Anmeldebestätigungen

Hunderte „Willkommen“- und „Bestätige dein Abo“-Nachrichten in einer Stunde können ein gezielter Angriff sein, bekannt als E-Mail-Bombing oder Subscription-Bombing. Manchmal soll damit eine wichtige Nachricht begraben werden, etwa eine Kaufbestätigung oder eine Warnung über eine Passwortänderung. Bevor du etwas aufräumst, durchsuche die Flut nach Sicherheitshinweisen und prüfe Bank, Shops und dein E-Mail-Konto direkt. Richte dann einen vorübergehenden Filter auf Formulierungen wie „Bestätige dein Abo“ ein, bis es vorbei ist, und entferne ihn danach wieder, da er sonst auch spätere Anmeldungen von dir erwischen würde.

Kalender- und Dateifreigabe-Spam

Spammer missbrauchen Kalendereinladungen und Benachrichtigungen über geteilte Dokumente, weil diese von echten Diensten kommen und die Authentifizierung bestehen. Im Google Kalender kannst du Einladungen zu meinem Kalender hinzufügen so ändern, dass nur bekannte Absender automatisch erscheinen. Öffne keine Dokumente, die Menschen mit dir teilen, die du nicht kennst, und melde sie innerhalb des Dienstes, der die Benachrichtigung geschickt hat.

Ein Postfach, das sich eine Familie oder ein Team teilt

Wenn eine Person Newsletter als Spam meldet, während eine andere sie haben will, bekommt der Filter widersprüchliche Signale. Einigt euch auf eine Regel: Meldet euch von allem ab, was niemand will, und sortiert, was nur eine Person will, in ein Label.

Spam, weil jemand deine Adresse versehentlich eingetippt hat

Mit einer kurzen Adresse bekommst du vielleicht die Quittungen, Schulmitteilungen oder Kontomails eines Fremden. Das ist kein Spam im üblichen Sinn, und eine Meldung kann dem Absender gegenüber unfair sein. Nutze den Link „Das ist nicht mein Konto“ des Dienstes, wenn es einen gibt, und filtere die Mails sonst weg. Klicke auf keinen Link zum Zurücksetzen des Passworts, den du nicht angefordert hast.

Fehler, die alles schlimmer machen

• Antworten, auch nur um „Stopp“ zu sagen. Das bestätigt, dass ein echter Mensch die Adresse liest.
• Die Nummer aus einer Betrugsnachricht anrufen. Nutze bei allem, wobei es um Geld geht, eine Nummer, die du schon hast.
• Spam weiterleiten, um Freunde zu warnen. Das verbreitet die Links. Beschreibe ihn lieber mit eigenen Worten.
• Den Spam-Filter ausschalten, weil er eine Nachricht falsch einsortiert hat. Markiere diese Nachricht als „Kein Spam“ und lass den Filter an.
• „Spam-Blocker“-Apps mit vollem Postfachzugriff installieren, ohne zu prüfen, wer sie herstellt und was sie mit deinen Mails machen.
• Jedes nachgeladene Bild laden. Viele Werbemails enthalten ein Tracking-Pixel, das meldet, wann du sie geöffnet hast. Stelle dein Programm so ein, dass es vor dem Laden von Bildern unbekannter Absender fragt.
• Ein Konto, das du brauchst, auf eine Kurzzeit-Adresse legen. Sobald das Postfach abläuft, erreichen dich Passwort-Rücksetzungen nicht mehr.
• Zu früh die Adresse wechseln. Eine neue Adresse hilft nur, wenn sich auch deine Gewohnheiten ändern. Sieh sie als letztes Mittel an und zieh wichtige Konten nach und nach um.

Was du weiter tun solltest

Ein sauberes Postfach bleibt mit sehr wenig Pflege sauber:

• Bei jeder Anmeldung: Frag dich, ob du das in einem Monat noch brauchst, wähle die Adressstufe und entferne die Marketing-Häkchen.
• Jede Woche im ersten Monat: Prüfe den Spam-Ordner auf Fehler und melde, was durchgerutscht ist.
• Danach jeden Monat: Melde dich von allem ab, was du nicht mehr liest, und wirf einen Blick auf deine Filter.
• Ein paar Mal im Jahr: Prüfe deine Haupt-Adresse bei einem seriösen Datenleck-Dienst.

Wenn du aus diesem Ratgeber nur zwei Dinge umsetzt, dann schütze deine Haupt-Adresse und melde, was durchkommt. Diese beiden Gewohnheiten arbeiten mit dem Filter deines Anbieters, statt gegen ihn. Weitere passende Ratgeber findest du im VookMail-Blog.

Fragen, die Leute zu Spam stellen

Warum bekomme ich plötzlich so viel Spam?

Die üblichen Ursachen sind ein aktuelles Datenleck bei einem Dienst, den du nutzt, eine Anmeldung, die deine Adresse an Partner weitergegeben hat, oder deine Adresse auf einer öffentlichen Seite. Eine Flut von Bestätigungsmails ist etwas anderes und kann ein gezielter Angriff sein, prüfe deshalb zuerst deine wichtigen Konten.

Hilft es wirklich, E-Mails als Spam zu markieren?

Ja. Anbieter nutzen Meldungen, um Filter zu trainieren und Absender zu bewerten, es hilft dir also direkt und füllt das Beschwerdekonto des Absenders. Das Problem verschwindet damit nicht über Nacht, vor allem nicht bei Spammern, die ständig die Adresse wechseln.

Kann ich Spam auch jemand anderem als meinem Anbieter melden?

Der Melden-Knopf deines Anbieters ist der nützlichste erste Schritt. Viele Länder haben außerdem eine Verbraucherschutz- oder Cybercrime-Stelle, die Betrugsmeldungen annimmt, und das zählt am meisten, wenn du Geld oder persönliche Daten verloren hast.

Ist Spam gefährlich oder nur lästig?

Vieles ist nur lästig, aber manches enthält Phishing-Links, schädliche Anhänge oder Zahlungsbetrug. Behandle jede Nachricht, die Druck aufbaut, dich zum Einloggen auffordert oder Geld verlangt, als verdächtig und prüfe sie, indem du den Dienst direkt aufrufst. Unser Ratgeber zur Anhang-Sicherheit erklärt, welche Dateitypen die meiste Vorsicht verdienen.

Warum kommt trotz gutem Filter Spam in mein Postfach?

Filter wägen zwei Fehler gegeneinander ab: Müll durchlassen und echte Mails fernhalten. Anbieter neigen dazu, deine echte Post nicht zu verlieren. Neue Kampagnen haben außerdem einen Vorsprung, bis genug Leute sie melden, ein weiterer Grund, warum deine Meldungen zählen.

Sollte ich mir eine neue E-Mail-Adresse zulegen?

Nur wenn die alte hoffnungslos bekannt ist. Falls ja, behalte die alte Adresse einige Monate mit eingeschalteter Weiterleitung, zieh wichtige Konten zuerst um und nutze von Anfang an den Drei-Stufen-Ansatz, damit die neue sauber bleibt.