Spam-Mails stoppen: Woher die Flut kommt und was wirklich hilft

Spam-Mails stoppen Sie, indem Sie zuerst die Sorte bestimmen: Seriöse Newsletter bestellen Sie per Abmeldelink ab, Werbung unbekannter Firmen beantworten Sie mit Widerspruch und Auskunftsverlangen nach DSGVO, Betrugsspam markieren Sie nur als Spam, ohne zu klicken. Dauerhaft hilft eine getrennte Adresse für jeden Shop und Newsletter.

Spam ist kein Randproblem. Nach Angaben des Bundesamts für Sicherheit in der Informationstechnik besteht mehr als die Hälfte des weltweiten E-Mail-Aufkommens aus unerwünschten Massenmails. Die Filter der großen Anbieter fangen den Großteil ab, doch was durchrutscht, kostet Zeit, Nerven und im schlimmsten Fall Geld: Zwischen Rabattaktionen, Krypto-Versprechen und angeblichen Paketbenachrichtigungen verstecken sich Köder, die auf Ihre Zugangsdaten zielen.

Die meisten Ratgeber zu dem Thema empfehlen pauschal „nicht reagieren, Filter nutzen“. Das ist zu kurz gegriffen. Ein Newsletter, den Sie vor Jahren bei einem Möbelhaus abonniert haben, verlangt eine völlig andere Reaktion als die Mail eines Absenders, von dem Sie nie gehört haben. Dieser Ratgeber zeigt Ihnen eine Einordnung in drei Sorten, die passende Gegenmaßnahme für jede davon, Ihre Rechte gegen Werbemails, einen Mustertext und die Strategie, mit der Spam künftig gar nicht erst an Ihrer Hauptadresse ankommt.

Die Spam-Triage: drei Sorten, drei Gegenmittel

Bevor Sie irgendetwas anklicken, ordnen Sie die Mail ein. Die Einteilung dauert wenige Sekunden und entscheidet, ob ein Klick hilft oder schadet. Maßgeblich sind zwei Fragen: Kennen Sie den Absender wirklich, und hatten Sie mit ihm jemals Kontakt?

Die Sorte 2 ist die tückischste, weil sie seriös aussieht. Hier steckt fast immer eine Weitergabe dahinter: eine Gewinnspielteilnahme mit Einwilligung im Kleingedruckten, ein Vergleichsportal, ein Adresshändler. Ein Abmeldelink entfernt Sie bestenfalls aus genau dieser einen Liste, die Quelle liefert Ihre Adresse aber weiter an den nächsten Kunden. Deshalb lohnt sich bei dieser Sorte das Auskunftsverlangen: Nach Art. 15 Abs. 1 lit. g DSGVO muss das Unternehmen Ihnen mitteilen, woher es Ihre Adresse hat. Mit dieser Antwort gehen Sie eine Stufe höher, zur eigentlichen Quelle.

Wie Sie bei Sorte 3 echte Gefahr von bloßem Müll unterscheiden, also Phishing an Absender, Links und Kopfzeilen erkennen, erklärt unsere Anleitung Phishing-Mails in sieben Prüfschritten erkennen.

Woher Spammer Ihre E-Mail-Adresse haben

Wer weiß, über welchen Weg seine Adresse in Umlauf geraten ist, kann gezielter gegensteuern. Das BSI nennt auf seiner Themenseite zu Spam und zwielichtigen E-Mails mehrere Beschaffungswege. Ergänzt um die Erfahrung aus der Praxis ergibt sich dieses Bild:

• Adress-Sammelprogramme (Harvester): Kleine Programme durchkämmen Webseiten nach allem, was wie eine E-Mail-Adresse aussieht, etwa in Gästebüchern, Foren, Vereinsseiten oder einem Impressum. Eine Adresse, die einmal offen im Netz stand, bleibt in diesen Listen über Jahre.
• Raten: Spammer kombinieren häufige Vor- und Nachnamen mit den großen Anbietern oder probieren Muster wie info@ oder kontakt@ bei jeder Domain. Wer „vorname.nachname“ bei einem Massenanbieter nutzt, ist für diese Methode ein leichtes Ziel.
• Gewinnspiele und Gratisangebote: Das BSI rät ausdrücklich, das Kleingedruckte zu lesen, bevor Sie Ihre Adresse in ein Teilnahmeformular eintragen. Hinter vielen Verlosungen steht ein Geschäftsmodell aus Werbeeinwilligungen, wie unser Ratgeber zu Gewinnspielen als Einstieg in den Adresshandel zeigt.
• Adresshandel: Professionelle Händler vermieten und verkaufen Adressbestände. Seriös arbeitende Anbieter brauchen dafür Einwilligungen, die schwarzen Schafe der Branche nehmen es damit weniger genau.
• Datenlecks: Wird ein Shop, ein Forum oder ein Dienstleister gehackt, landen die Kundenlisten in einschlägigen Foren. Nach dem BSI wächst gerade der Handel mit Adressen, die von infizierten Systemen gestohlen wurden. Ein sprunghafter Anstieg Ihres Spams ist oft das erste sichtbare Zeichen eines Lecks.

Den letzten Punkt sollten Sie zuerst prüfen, weil er die meisten Folgen hat: Steht Ihre Adresse in einem Leak, steht dort häufig auch ein Passwort. Kostenlos prüfen, ob Ihre Adresse in bekannten Datenlecks auftauchtEigenwerbung

Das Nachladen von Bildern ist dabei der unterschätzte Kanal: Viele Werbe- und Spam-Mails enthalten ein unsichtbares Zählpixel, das beim Öffnen meldet, dass und wann Sie die Nachricht gelesen haben. Wie Sie das in den gängigen Mail-Programmen abschalten, steht in unserem Ratgeber E-Mail-Tracking und Zählpixel blockieren.

Abmelden oder nicht? Die Drei-Fragen-Regel

Der Abmeldelink ist weder pauschal gut noch pauschal gefährlich. Seriöse Unternehmen sind sogar verpflichtet, ihn anzubieten, und setzen ihn in der Regel zuverlässig um. Klicken Sie ihn nur, wenn Sie alle drei Fragen mit Ja beantworten:

• Kenne ich den Absender aus eigener Erfahrung? Nicht „klingt bekannt“, sondern: Ich habe dort bestellt, ein Konto angelegt oder einen Newsletter abonniert.
• Führt der Link auf die Domain dieses Unternehmens oder eines bekannten Versanddienstes? Fahren Sie am Rechner mit der Maus über den Link und lesen Sie die Adresse unten im Fenster. Am Handy halten Sie den Finger lange auf den Link, ohne loszulassen. Eine kryptische Adresse ohne Bezug zum Absender ist ein Warnsignal.
• Verlangt die Abmeldeseite nur die Abmeldung? Eine seriöse Abmeldung braucht höchstens einen Klick auf „Bestätigen“. Fragt die Seite nach Passwort, Telefonnummer oder Zahlungsdaten, schließen Sie sie.

Eine bequeme Alternative bieten viele Mail-Programme selbst: Gmail, Outlook, Apple Mail und die Webmailer von GMX und WEB.DE zeigen bei Massenmails mit standardisiertem Abmeldevermerk einen eigenen Knopf „Abbestellen“ neben dem Absender an. Der Knopf nutzt die im Kopf der Mail hinterlegte Abmeldeadresse, Sie müssen keine Webseite des Absenders öffnen. Auch hier gilt: nur bei Sorte 1.

Was Firmen bei Werbemails dürfen: die Rechtslage

Das deutsche Recht ist bei E-Mail-Werbung strenger als bei Briefwerbung. Nach § 7 Abs. 2 Nr. 2 UWG ist Werbung per elektronischer Post ohne vorherige ausdrückliche Einwilligung des Empfängers stets eine unzumutbare Belästigung. Eine Bagatellgrenze gibt es nicht: Bereits eine einzige unverlangte Werbemail kann nach dem Bundesgerichtshof einen Unterlassungsanspruch begründen (Beschluss vom 20. Mai 2009, Az. I ZR 218/07; der Fall betraf einen Gewerbetreibenden, für Privatpersonen stützen Gerichte den Anspruch auf das allgemeine Persönlichkeitsrecht). Werbung, bei der die Identität des Absenders verschleiert wird oder eine gültige Abmeldeadresse fehlt, ist nach § 7 Abs. 2 Nr. 3 UWG ebenfalls unzulässig.

Die wichtigste Ausnahme steht in § 7 Abs. 3 UWG und betrifft Bestandskunden. Ein Händler darf Ihnen ohne gesonderte Einwilligung werben, wenn alle vier Bedingungen erfüllt sind:

• Kauf: Er hat Ihre Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung von Ihnen selbst erhalten. Eine bloße Anfrage oder ein abgebrochener Warenkorb genügt nicht.
• Ähnliche Produkte: Er wirbt nur für eigene Waren oder Dienstleistungen, die dem Gekauften ähnlich sind. Partnerangebote fremder Firmen sind nicht gedeckt.
• Kein Widerspruch: Sie haben der Verwendung nicht widersprochen. Ein einziger Widerspruch beendet die Ausnahme.
• Hinweis: Er hat Sie beim Erheben der Adresse und in jeder einzelnen Werbemail klar auf Ihr jederzeitiges Widerspruchsrecht hingewiesen.

Parallel greift das Datenschutzrecht. Nach Art. 21 Abs. 2 und 3 DSGVO können Sie der Verarbeitung Ihrer Daten für Direktwerbung jederzeit widersprechen, ohne Gründe zu nennen und ohne Abwägung. Danach dürfen Ihre Daten für diesen Zweck nicht mehr verarbeitet werden. Auch Bewertungs- und Zufriedenheitsanfragen nach einem Kauf können als Werbung gelten, die Hintergründe stehen in unserem Beitrag zum BGH-Urteil zu Umfrage-Mails ohne Einwilligung.

Realistisch betrachtet: Diese Rechte wirken gegen Unternehmen der Sorten 1 und 2, die ein Impressum haben und erreichbar sind. Gegen Betrugsspam aus dem Ausland mit gefälschten Absendern läuft jeder Widerspruch ins Leere. Dort bleiben Filter und Vorbeugung die einzigen wirksamen Mittel.

Spam-Mails stoppen: Anleitung in sieben Schritten

Schritt 1: Als Spam markieren statt nur löschen

Der Spamfilter Ihres Anbieters lernt aus Ihren Markierungen. Eine gelöschte Mail ist für ihn ein neutrales Ereignis, eine als Spam markierte Mail ein Signal, ähnliche Nachrichten künftig auszusortieren. Das gilt auch umgekehrt: Prüfen Sie einmal pro Woche den Spamordner und markieren Sie fälschlich aussortierte Mails als „Kein Spam“. Bei Gmail, Outlook, GMX und WEB.DE fließen diese Markierungen zusätzlich in die Bewertung des Absenders für alle Nutzer ein.

Schritt 2: Sorte-1-Absender gesammelt abbestellen

Suchen Sie in Ihrem Postfach nach den Wörtern „abmelden“ und „abbestellen“. Das Ergebnis ist eine fast vollständige Liste aller Newsletter, die Sie erhalten. Sortieren Sie nach Absender und gehen Sie die Liste in einem Durchgang durch: Was Sie in den letzten drei Monaten nicht geöffnet haben, bestellen Sie ab. Erfahrungsgemäß schrumpft die tägliche Werbeflut bei vielen Menschen schon dadurch deutlich, weil ein großer Teil der lästigen Post von Firmen stammt, mit denen tatsächlich einmal Kontakt bestand.

Schritt 3: Sorte-2-Absender nach der Quelle fragen

Für Werbung von realen, aber unbekannten Firmen nutzen Sie den Mustertext unten. Er kombiniert das Auskunftsrecht mit dem Widerspruch gegen Direktwerbung und der Löschung. Das Unternehmen muss innerhalb eines Monats antworten (Art. 12 Abs. 3 DSGVO). Kommt keine Antwort, ist die Beschwerde bei der Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem das Unternehmen sitzt, der nächste Schritt. Sie ist kostenlos.

Schritt 4: Filterregeln gezielt einsetzen

Das Blockieren einzelner Absender hilft nur bei Sorte 1 und 2, weil Betrugsspam ständig neue Absender verwendet. Wirksamer sind Regeln auf den Inhalt: Legen Sie in den Einstellungen Ihres Postfachs Filter an, die wiederkehrende Begriffe aus Ihrem Spam in den Spamordner verschieben, etwa bestimmte Produktnamen oder Formulierungen. Vorsicht bei zu allgemeinen Wörtern wie „Rechnung“ oder „Paket“, sonst verschwinden auch echte Nachrichten.

Schritt 5: Ihre Adresse aus dem offenen Netz holen

Suchen Sie bei Google nach Ihrer Adresse in Anführungszeichen, also "vorname.nachname@anbieter.de". Jeder Treffer ist eine Quelle für Sammelprogramme. Alte Foren- oder Vereinseinträge können Sie beim Betreiber entfernen lassen. Wo eine Kontaktmöglichkeit nötig ist, etwa auf einer eigenen Webseite, ist ein Kontaktformular weniger anfällig als eine offen ausgeschriebene Adresse. Für das Impressum gilt allerdings die gesetzliche Pflicht zur Angabe einer elektronischen Kontaktmöglichkeit, dort nehmen Sie besser eine eigene Adresse, die Sie nur für diesen Zweck nutzen.

Schritt 6: Die Hauptadresse künftig nicht mehr herausgeben

Der nachhaltigste Schritt: Ihre Hauptadresse bekommen nur noch Bank, Versicherung, Behörden, Arbeitgeber und Menschen, die Sie kennen. Für alles andere, also Onlineshops, Newsletter, Gewinnspiele, Probeabos und WLAN-Anmeldungen im Café, verwenden Sie getrennte Adressen. Taucht an einer davon Spam auf, wissen Sie, welcher Dienst Ihre Adresse weitergegeben oder verloren hat, und schalten genau diese Adresse ab. Alias-Adressen mit eigenem Postfach für Anmeldungen nutzenEigenwerbung

Schritt 7: Phishing melden, nicht nur löschen

Eine Phishing-Mail, die sich als Ihre Bank, Ihr Paketdienst oder Ihr Mailanbieter ausgibt, leiten Sie an die Meldeadresse des betroffenen Unternehmens weiter (die meisten Banken und Paketdienste nennen sie auf ihrer Webseite) und markieren sie anschließend als Spam. Allgemeinen Werbespam können Sie bei der Internet-Beschwerdestelle von eco und FSM melden. Haben Sie bereits Daten eingegeben, ändern Sie das betroffene Passwort und informieren Sie bei Kontodaten Ihre Bank.

Mustertext: Auskunft, Widerspruch und Löschung

Dieser Text ist für Werbemails realer Unternehmen gedacht, mit denen Sie keine Kundenbeziehung hatten (Sorte 2), oder für Sorte-1-Absender, die trotz Abmeldung weiter schreiben. Die Empfängeradresse finden Sie im Impressum oder in der Datenschutzerklärung des Unternehmens, meist unter „Datenschutzbeauftragter“.

Ein Detail aus der Praxis: Behauptet das Unternehmen, Sie hätten eingewilligt, muss es diese Einwilligung nachweisen (Art. 7 Abs. 1 DSGVO). Bei E-Mail-Werbung ist das Double-Opt-in üblich, also eine Bestätigungsmail, deren Link Sie angeklickt haben. Lassen Sie sich Zeitpunkt und Quelle zeigen. Nicht selten stellt sich dabei heraus, dass die Adresse über ein Gewinnspiel oder ein Vergleichsportal kam, das Sie längst vergessen hatten. Weitere Vorlagen für andere Fälle bietet unser Musterbrief für DSGVO-Löschanträge.

Neue Adresse oder Aliasse? So treffen Sie die Entscheidung

Wenn die Flut trotz aller Schritte nicht nachlässt, steht irgendwann die Frage im Raum, ob eine neue Adresse der bessere Weg ist. Die ehrliche Antwort: Eine neue Hauptadresse bringt nur dann Ruhe, wenn Sie sie anders verwenden als die alte. Sonst stehen Sie in zwei Jahren an derselben Stelle. Als Faustregel hilft diese Abwägung:

• Neue Hauptadresse lohnt sich, wenn Ihre alte Adresse in mehreren Datenlecks steht, wenn täglich zweistellig Betrugsspam durchrutscht oder wenn sie nach dem Muster vorname.nachname leicht zu erraten ist. Lassen Sie die alte Adresse danach mindestens ein Jahr weiterlaufen und stellen Sie Konten schrittweise um, beginnend mit Bank, Behörden und Passwort-Manager.
• Aliasse genügen, wenn der Spam überwiegend aus Werbung besteht und Ihre Adresse nicht in vielen Leaks auftaucht. Dann behalten Sie die Hauptadresse, geben sie aber nicht mehr neu heraus und nutzen für jede neue Anmeldung eine eigene Alias-Adresse.
• Keine automatische Abwesenheitsnotiz auf der alten Adresse mit Verweis auf die neue. Jeder Spammer, der an die alte schreibt, bekäme damit Ihre neue Adresse gleich mitgeliefert.

Bei Datenputzer erhalten Sie im Tarif Tiefenreinigung bis zu 21 gleichzeitige Alias-Adressen, jede einem Dienst zugeordnet und mit eigenem Postfach im Dashboard. Zwei Eigenschaften sollten Sie kennen, damit Sie die Aliasse richtig einsetzen: Nachrichten im Alias-Postfach werden nach 48 Stunden gelöscht, und von einem Alias aus können Sie keine Mails versenden oder beantworten. Damit eignen sich die Aliasse für Registrierungen, Bestätigungscodes, Shop-Konten, Newsletter und Gewinnspiele, nicht aber für Korrespondenz, die Sie aufbewahren müssen. Für Bank und Behörden bleibt Ihre Hauptadresse der richtige Ort. Wird ein Alias mit Spam überschwemmt, deaktivieren Sie ihn, und Ihre Hauptadresse bleibt davon unberührt. Getrennte Adressen für jede Anmeldung einrichtenEigenwerbung

Prüfliste: Postfach auf Dauer spamarm halten

Mit diesen Gewohnheiten bleibt der Zustand stabil, nachdem Sie einmal aufgeräumt haben:

• Externe Bilder nur auf Klick laden: In den Einstellungen Ihres Mail-Programms abschalten. Damit verraten Sie unbekannten Absendern nicht, dass Sie die Mail geöffnet haben.
• Vorangekreuzte Häkchen prüfen: Bei jeder Bestellung und jeder Kontoeröffnung nach Kästchen wie „Angebote von Partnern erhalten“ suchen und sie leer lassen.
• Eine Adresse pro Dienst: Für jede neue Anmeldung eine eigene Adresse vergeben und in einer kleinen Liste notieren, welcher Dienst welche bekommen hat. Wegwerf-Adressen mit Postfach anlegenEigenwerbung
• Vierteljährlicher Newsletter-Kehraus: Einmal im Quartal nach „abmelden“ suchen und alles abbestellen, was Sie nicht mehr lesen. Zehn Minuten reichen.
• Nach Datenlecks fragen: Steigt der Spam plötzlich an, prüfen Sie Ihre Adresse auf neue Leaks. Wie Sie das Ergebnis richtig deuten und welche Dienste dafür seriös sind, erklärt unser Ratgeber Datenleck prüfen: E-Mail-Adresse kostenlos testen.
• Mail-Konto selbst absichern: Ein einzigartiges Passwort und eine Zwei-Faktor-Anmeldung für das Postfach. Wer Ihr Mail-Konto übernimmt, kann von dort aus in Ihrem Namen Spam an alle Ihre Kontakte schicken.

Wer Ordnung im Postfach dauerhaft halten möchte, braucht vor allem eine klare Trennung zwischen der Adresse für wichtige Post und den Adressen für alles, was Werbung nach sich zieht. Die Hauptadresse hinter Aliassen abschirmenEigenwerbung

Häufige Fragen zu Spam-Mails