Woher Spammer eure Mailadresse bekommen

Wie komme ich gerade auf dieses Thema? Nun, ich stoße beim Browsen immer wieder auf E-Mail-Adressen, denen ich direkt keine E-Mail schreiben kann. Das hängt meistens damit zusammen, dass der Webseitenbetreiber die E-Mail-Adressen „verschlüsselt“ hat. So sollen Spider von Spammern die E-Mail-Adressen nicht auslesen können aber ab und zu trifft es eben auch mich als normalen Besucher. Da es auch immer wieder Benutzer von Webseiten trifft, stellt sich also die Frage, ob das „Verstecken von E-Mail-Adressen auf Webseiten überhaupt sinnvoll ist. Und die Antwort darauf ist ein klares nein.

Wolfgang sieht das ähnlich und argumentiert in seinem Artikel Das ewige Märchen: Spamschutz durch das Verbergen von Mailadressen im Web (gefunden beim Schockwellenreiter), dass der (Traffic-)Aufwand E-Mail-Adressen schlicht zu erraten geringer ist als der eines Spiders. Ich stimme seiner Argumentation bedingt zu, glaube aber dennoch, dass es solche Spider gibt. Aus meiner Sicht gibt es aber einen viel banaleren Grund: Es ist vollkommen unmöglich seine Mailadresse vor Spammern dauerhaft zu verstecken. Ein paar Gedanken (längst nicht vollständig):

1. Bleiben wir zunächst beim Spider: Wenn sich schon jemand den Aufwand macht das Web nach E-Mail-Adressen zu durchsuchen, dann ist es auch kein Aufwand mehr „verschlüsselte“ E-Mail-Adressen zu entschlüsseln. Alles was der Browser entschlüsseln kann, kann auch ein automatischer Spider. Und das wird auch immer so bleiben. Darum steht meine Adresse jan@theofel.de seit 1998 steht unverschlüsselt im Netz.
2. Wenn ihr eure E-Mail-Adresse im Whois eingetragen habt (was bei mir auch der Fall ist) ist sie dort ohnehin unverschlüsselt auszulesen.
3. Bei wie vielen Online-Diensten, Online-Shops, etc. habt ihr euch mit eurer E-Mail-Adresse angemeldet? Zu glauben, dass diese alle gegen Hacker-Angriffe sicher sind, wäre unsinnig. Und was glaubt ihr wie viel Geld Spammer für eine komplette Datenbank eines Dienstes wie Xing bezahlen würden?
4. Ach, dort hinterlegt ihr immer eine spezielle E-Mail-Adresse? Wie clever. Aber gilt das auch für die Datenbank eures E-Mail-Anbieters? Spätestens da ist immer eure echte E-Mail-Adresse hinterlegt.
5. Oder was passiert wenn nur ein Mitarbeiter eines solches Dienstes schwach wird und alle E-Mail-Adressen verkauft? So geschehen damals bei AOL.
6. In wie vielen digitalen Adressebüchern seit ihr bei Freunden, Kollegen, etc. eingetragen? Der Aufwand auf einem mit einem Trojaner infizierten Windows-Rechner dieses Adressbuch von Outlook und Co auszulesen ist nahezu Null.
7. Wie viele E-Mails habt ihr mit der E-Mail-Adresse bereits versendet? Selbst wenn euch der Empfänger nicht in sein Adressbuch aufgenommen hat, so bleiben eure Mails meistens irgendwo in einem Archiv abgelegt. Der Aufwand alle diese E-Mail-Adressen zu ermitteln ist auch kaum erwähnenswert.
8. Und wie Wolfgang auch schon argumentiert: Das Erraten durch Ausprobieren von E-Mail-Adressen ist in den meisten Fällen auch nicht weiter schwierig.

Und das sind nur die wichtigsten Beispiele, wie ein Spammer an eure E-Mail-Adresse kommen kann. Der Versuch seine E-Mail-Adresse vor Spammern zu verstecken, kann also nicht klappen. Wer das versucht muss (mittelfristig) scheitern. Statt dessen sollte man sich lieber vernünftige SPAM-Schutz-Mechanismen installieren. Und dabei rede ich nicht von irgendwelchen SPAM-Filtern die lokal auf dem empfangenden Client laufen, sondern von solchen, die auf eurem Mailserver (bzw. bei dem eures Anbieters) laufen. Denn dort habt ihr die besten Chancen den Mist in die Tonne zu kloppen (sprich erst gar nicht anzunehmen).

Bei mir sieht das wie folgt aus: Meine Mail-Adresse jan@theofel.de steht seit 1998 im Web, laut Google inzwischen auf über 1700 verschiedenen Seiten. Seiten auf denen sie andere pseudoverschlüsselt aufführen mal nicht mitgezählt. Ich habe die Mailadresse seit dem in Verwendung und zwar auch auf vielen Mailinglisten. Daher liegt sie in unzähligen Mailarchiven rund um die Welt, öffentlichen wie privaten. Im Whois steht sie zudem auch noch drin und leicht zu erraten/auszuprobieren ist sie auch noch. Es dürfte also kaum eine Spammer-Datenbank geben, in der ich nicht drin stehe. 🙂 Dennoch erhalte ich vielleicht nur 5 SPAM Mails pro Tag. Die restlichen, es dürften inzwischen an die 1000 Stück am Tag sein, sehe ich nicht mal mehr.

Wie geht das? Durch eine Hand voll geeigneter Filterregeln in meinem Mailserver Postfix. Der reine Verstoß gegen verschiedenste Dinge auf Protokollebene (z.B. fehlende/generische Reverse-Lookups, Einlieferung von Dialup-Hosts, etc.) reicht dazu fast völlig aus. Dazu filtere ich noch auf ein paar bekannte URLs und Inhalte von Spammern und das war es dann auch schon.

Und um wieder auf die Ausgangsfrage zurückzukommen: Lasst das dämliche Verstecken von E-Mail-Adressen auf Webseiten. Es hilft sowieso nicht und behindert nur normale Besucher eurer Webseite. Danke.