Spam-E-Mails erkennen, vermeiden und melden: Hinweise des BSI

Unerwünschte Werbe-E-Mails verstopfen den Posteingang. Manche sind nur lästig, andere haben kriminelle Absichten. Dieser Artikel gibt wieder, was das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf drei Verbraucherseiten zu Spam schreibt: wie man ihn erkennt, wie man sich schützt und wen das BSI zum Melden nennt. Es geht um Spam allgemein. Phishing im Einzelnen behandelt ein eigener Artikel.

Was Spam ist

Spam ist laut BSI ein Sammelbegriff für alle Formen von massenhaft versandten, unerwünschten E-Mails, elektronischen Kettenbriefen oder Werbeposts in sozialen Netzwerken. Manchmal wird dafür auch das englische Wort „Junk“ verwendet.

Meist sieht eine Spam-E-Mail harmlos aus, und nicht immer stecken böse Absichten dahinter. Solche E-Mails zielen darauf, Sie mit Angeboten zuzuschütten. Kritischer wird es, wenn mit E-Mails Identitätsdiebstahl, finanzieller Betrug oder Datenklau verfolgt werden. Fühlt es sich an, als werde hemmungslos geworben, und wird daraus eine E-Mail-Flut, sollten Sie die Nachrichten als Spam markieren.

Das BSI nennt drei häufige Formen:

• Scam (Vorschussbetrug): Die Mails versprechen den schnellen Weg zum großen Geld. Vorher sollen Sie aber einen vergleichsweise kleinen Betrag zahlen, etwa für angebliche Anwaltsgebühren.
• Hoax: Eine Falschmeldung oder ein schlechter Scherz, meist verbunden mit der Aufforderung, die Mail weiterzuleiten.
• Phishing: Internetkriminelle versuchen, Ihnen persönliche Informationen zu entlocken, etwa die Zugangsdaten zu Ihrem Bankkonto.

Woran Sie Spam erkennen

Bei jeder E-Mail eines unbekannten Absenders sollten Sie hellhörig werden. Vorsicht ist besonders bei einer anonymen Anrede wie „Sehr geehrte Damen und Herren“ geboten. Das kann ein Hinweis sein, dass der Versender zwar Ihre E-Mail-Adresse kennt, nicht aber Ihren Namen. Auch bei einem scheinbar bekannten Absender gibt es laut BSI keine vollständige Entwarnung, denn auch dessen Adresse könnte gefälscht sein.

Als weitere Indizien nennt das BSI:

• eine unbekannte Absender-Adresse
• einen ungewöhnlichen, oft kryptisch wirkenden Absendernamen
• eine anonyme Ansprache
• kein Impressum
• keinen Abmelde-Link, wie ihn ein seriöser Newsletter hat
• Weblinks oder anklickbare Bilder im E-Mail-Text
• einen merkwürdigen Betreff oder Inhalt
• viele Grammatik- und Rechtschreibfehler
• ZIP-, Word- oder Excel-Dateien im Anhang

Ein fast untrügliches Indiz ist die Aufforderung zur Eingabe persönlicher Daten, zum Beispiel wegen einer angeblich nötigen Kontoüberprüfung bei einem Onlinezahlungsdienstleister. Eine verbreitete Masche arbeitet außerdem mit gefälschten Rechnungen im Anhang, oft als ZIP-Datei. Mit hoher Wahrscheinlichkeit verbirgt sich dahinter laut BSI ein Schadprogramm.

Warum Spam gefährlich sein kann

Viele Spam-E-Mails haben Schadsoftware im Anhang. Öffnen Sie bei unbekannten Absendern deshalb niemals den Anhang. Der Text enthält oft einen Link auf eine kompromittierte Website. Ein unachtsamer Klick öffnet dann eine gefälschte Webseite, die mit Schadsoftware infiziert sein kann. Spam im HTML-Format kann außerdem Skripte enthalten, die Schadsoftware installieren. Spam ist laut BSI auch ein wichtiger Verbreitungsweg für Ransomware.

So schützen Sie sich

Die wichtigste Schutzmaßnahme ist laut BSI ein gesundes Misstrauen, besonders bei einer Zahlungsaufforderung per E-Mail. Prüfen Sie zuerst, ob überhaupt eine Rechnung eines Onlinehändlers oder Streaming-Anbieters unbezahlt sein kann. Wenn nicht, löschen Sie die E-Mail umgehend.

Weitere Empfehlungen des BSI:

• Anhänge nicht öffnen: Schadsoftware kann sich nicht nur in ZIP-Archiven und EXE-Dateien verbergen, sondern auch in Word-Dokumenten, Excel-Listen und sogar in digitalen Bildern.
• Vorsicht bei Bildern in HTML-Mails: Ein Klick darauf stellt immer eine Verbindung zum Server her. Dadurch kann der Absender erkennen, dass Ihre Adresse aktiv ist. Die Folge ist noch mehr Spam.
• Keine Daten herausgeben: Kommen Sie der Aufforderung zur Eingabe persönlicher Daten auf keinen Fall nach, auch nicht bei Androhung von Mahn- oder Strafzahlungen. Das gilt auch für täuschend echte E-Mails angeblicher Behörden oder Banken. Im Zweifel vergewissern Sie sich per Telefon, ob die Nachricht echt ist.
• Nicht antworten: Wer antwortet, zeigt Betrügern, dass die Adresse aktiv ist, und erhält mehr Spam.
• Spam-Schutz aktivieren: Schalten Sie den Spam-Schutz Ihres E-Mail-Programms ein. Prüfen Sie auch, ob und zu welchen Konditionen Ihr E-Mail-Provider einen Spam-Schutz anbietet.

Spam melden und abwehren

Statt zu antworten, empfiehlt das BSI, unerwünschte Werbe-E-Mails zum Beispiel bei der Internet-Beschwerdestelle zu melden und umgehend zu löschen. Ratsam kann es außerdem sein, sich in die kostenlose Robinsonliste des Interessenverbands Deutsches Internet eintragen zu lassen. Auch die Bundesnetzagentur bietet laut BSI Unterstützung bei der Abwehr von Spam-E-Mails und Telefonwerbung.

Wie eine Meldung im Einzelnen abläuft, welche Angaben dafür nötig sind und wie lange eine Bearbeitung dauert, steht auf den hier genutzten Seiten nicht. Dafür müssen Sie die jeweiligen Stellen selbst aufrufen.

Woher die Adresse stammt

Das BSI nennt mehrere Wege, auf denen Ihre Adresse zu Spam-Versendern gelangt. Programme, sogenannte Harvester, durchsuchen systematisch Websites und sammeln gefundene Adressen, zum Beispiel aus Gästebucheinträgen oder dem Impressum. Oft werden Adressen auch aufs Geratewohl aus häufigen Kombinationen zusammengesetzt. Gewinnspiele in Zeitungen oder Einkaufszentren sind eine weitere Quelle, deshalb sollten Sie das Kleingedruckte lesen, bevor Sie Ihre Adresse eintragen. Hinzu kommt der kommerzielle Handel mit E-Mail-Adressen für Werbezwecke sowie der Handel mit illegal erworbenen Adressen.

Warnung vor falschen BSI-Mails

Laut BSI kursieren seit Jahren immer wieder Spam-E-Mails mit dem BSI als angeblichem Absender. Das BSI verbreitet Warnmeldungen niemals per Massen-E-Mail. Erhalten Sie eine solche Nachricht, klicken Sie weder auf eingebaute Links noch auf angehängte Dateien.

Wo Remove Me Ihnen helfen kann und wo nicht

Die kostenlose Analyse von Remove Me braucht kein Konto. Sie geben Ihre Angaben ein, dann durchsucht der Dienst öffentlich sichtbare Webergebnisse, bekannte öffentliche Datenlecks (über Have I Been Pwned) und ein Register von Datenhändlern und zeigt Ihnen anschließend einen Bericht. Ein per E-Mail gesendeter 6-stelliger Code schaltet den Bericht frei.

Remove Me sendet derzeit noch keine Löschanfragen in Ihrem Namen.

Das Remove-Me-Team