Woher bekommen Spammer Ihre E-Mail-Adresse? 7 häufige Quellen und was Sie tun können

Woher bekommen Spammer deine E-Mail-Adresse?

Spammer bekommen deine E-Mail-Adresse aus einigen gängigen Quellen: gehackte Kundendatenbanken, Unternehmen und Datenhändler, die Kontaktlisten weitergeben, öffentliche Webseiten und Profile, die Kontakte und Nachrichtenverläufe anderer Personen, Phishing-Formulare und erratene Adressen. Spam zu erhalten bedeutet nicht, dass dein Posteingang gehackt wurde, und wenn du nicht für jede Anmeldung eine separate Adresse verwendet hast, lässt sich die genaue Quelle oft nicht nachweisen.

Eine offengelegte Adresse und ein gehacktes Konto sind zwei verschiedene Probleme. Ein Spammer braucht nur deine Adresse, um dir Post zu schicken, aber dein Passwort, um sie zu lesen. Dieselbe Adresse kann gleichzeitig auf vielen Listen stehen, sodass das Schließen eines Leaks Spam selten über Nacht stoppt.

• Sobald eine Adresse auf einer Liste steht, lässt sie sich selten überall entfernen, aber du kannst aufhören, neue Listen zu füttern.
• Melde dich nur von Mailinglisten ab, die du kennst; unbekannte oder verdächtige Absender meldest du stattdessen als Spam.
• Eine separate Adresse oder ein Alias für jede Anmeldung ist der praktischste Weg, um zu sehen, wo der Spam begonnen hat.
• Temporäre E-Mail eignet sich für einmalige, risikoarme Anmeldungen, nicht für Konten, die du behalten oder wiederherstellen musst.

Sieben gängige Quellen für Spam-E-Mail-Adressen

Jede der folgenden Quellen funktioniert anders, hinterlässt unterschiedliche Spuren und erfordert eine andere Lösung. Eine Adresse kann gleichzeitig aus mehreren stammen, und Spammer handeln mit Listen, sodass die erste Quelle oft schwer zu bestimmen ist.

1. Datenpannen bei Diensten, die du genutzt hast

Wenn ein Shop, eine App oder ein Forum, bei dem du dich angemeldet hast, gehackt wird, kann dessen Kundendatenbank kopiert, verkauft oder online gestellt werden. Wenn die offengelegten Datensätze E-Mail-Adressen enthalten, können diese später auf Spam- und Phishing-Listen auftauchen. Daten, die aus einem alten Konto kopiert wurden, können auch nach der Schließung des Kontos im Umlauf bleiben.

Hinweise: Spam oder Phishing, bei dem der Dienst namentlich genannt wird, oder ein Anstieg von Spam kurz nach einer Meldung über eine Datenpanne. Was hilft: Prüfe deine Adresse bei Have I Been Pwned, einem kostenlosen Dienst zur Suche nach Datenpannen, und abonniere dessen Benachrichtigungen, wenn du über künftige Datenpannen informiert werden möchtest. Ein sauberes Ergebnis beweist nicht, dass deine Adresse nie offengelegt wurde, da der Dienst nur Datenpannen in seinem eigenen Datensatz abdeckt. Wenn bei einer Datenpanne ein Passwort betroffen war, das du wiederverwendet hast, ändere es überall, wo du es verwendet hast. Um zu begrenzen, was die nächste Datenpanne offenlegen kann, sieh dir an, wie temporäre Post die Folgen von Datenpannen verkürzen kann.

2. Anmeldungen, Lead-Formulare und Unternehmen, die Daten weitergeben

Viele Seiten verlangen eine E-Mail-Adresse, bevor du kaufen, herunterladen, an einem Gewinnspiel teilnehmen, ein Quiz machen oder weiterlesen kannst. Manche nutzen sie nur für ihr eigenes Marketing. Andere geben sie gemäß ihrer Datenschutzrichtlinie oder den Teilnahmebedingungen an "Partner", "Affiliates" oder "Sponsoren" weiter, und ein vorab angehaktes Einwilligungsfeld kann schon ausreichen. Der Verbraucherleitfaden der FTC "How To Get Less Spam in Your Email" weist darauf hin, dass Unternehmen deine Adresse weitergeben oder verkaufen können, und empfiehlt, die Datenschutzrichtlinien zu prüfen, bevor du sie herausgibst.

Hinweise: Marketing von Marken, die du nie kontaktiert hast, das kurz nach einer Anmeldung oder Gewinnspielteilnahme beginnt. Was hilft: Entferne das Häkchen bei Partner-Marketing-Kästchen, verzichte auf Gewinnspiele, deren Regeln die Weitergabe von Teilnahmen an Sponsoren erwähnen, und verwende eine separate Adresse für Anmeldungen, denen du nicht vollständig vertraust.

3. Datenhändler und Listenverkäufer

Datenhändler sammeln Informationen aus öffentlichen Registern, Käufen und Online-Aktivitäten und verkaufen dann Profile und Marketinglisten. Die FTC-Studie von 2014 zu neun Datenhändlern, "Data Brokers: A Call for Transparency and Accountability", ergab, dass Händler Marketingprodukte verkaufen, darunter Listen von Verbrauchern, die bestimmten Kriterien entsprechen. Spammer und aggressive Marketer können solche Listen kaufen oder mieten, anstatt selbst Adressen zu sammeln.

Hinweise: Spam, der bereits deinen Namen oder deine Stadt kennt. Das kann auf einen Datenhändler hindeuten, kann aber auch aus zusammengeführten Datenpannen stammen, also betrachte es eher als Hinweis denn als Beweis. Was hilft: Widerspruchsanfragen an einzelne Datenhändler können künftige Weitergaben reduzieren, können aber bereits verkaufte Listen nicht zurückholen. Einwohner Kaliforniens können die Delete Request and Opt-out Platform (DROP) des Bundesstaates nutzen, um eine Löschanfrage an registrierte Datenhändler zu senden; diese müssen solche Anfragen seit dem 1. August 2026 bearbeiten, vorbehaltlich gesetzlicher Ausnahmen.

4. Öffentliche Seiten, Profile, Foren und Register

Automatisierte Programme durchsuchen öffentliche Webseiten und kopieren alles, was wie eine E-Mail-Adresse aussieht. Häufige Fundorte sind persönliche und geschäftliche Webseiten, Forenbeiträge, Online-Lebensläufe, PDFs, Kommentarbereiche, öffentliche Social-Media- und Geschäftsprofile sowie einige öffentliche Register. Auch ältere öffentliche WHOIS-Einträge für Domainnamen konnten die E-Mail-Adresse eines Registranten offenlegen. Im Jahr 2018 schränkte ICANN die Veröffentlichung persönlicher Kontaktdaten für generische Top-Level-Domains ein und verlangte stattdessen eine anonymisierte E-Mail-Adresse oder ein Webformular.

Hinweise: Suche nach deiner vollständigen Adresse in Anführungszeichen. Ein Treffer zeigt, wo die Adresse öffentlich sichtbar ist, aber kein Treffer beweist nicht, dass sie nie veröffentlicht wurde, denn archivierte oder nicht indexierte Seiten erscheinen nicht. Was hilft: Entferne die Adresse, wo es möglich ist, nutze ein Kontaktformular statt einer gedruckten Adresse, verberge deine E-Mail in den Datenschutzeinstellungen des Profils und aktiviere den Domain-Datenschutz, wenn du eine Website besitzt.

5. Kontakte und Nachrichtenverläufe anderer Leute

Deine Adresse steht auch in den Adressbüchern anderer Leute, in alten E-Mail-Verläufen und in Gruppennachrichten. Wird eines dieser Konten oder Geräte kompromittiert, können seine Kontaktliste und Konversationen kopiert werden. Lange CC-Ketten und weitergeleitete Nachrichten setzen außerdem jeden sichtbaren Empfänger jedem aus, der sie später erhält.

Hinweise: Spam, der scheinbar von einem Freund oder Kollegen stammt oder der den Betreff eines echten alten Verlaufs wiederverwendet. Was hilft: Nutze BCC für Gruppennachrichten, halte deine Sicherheitssoftware wie von der FTC empfohlen aktuell und informiere einen Kontakt, wenn dessen Konto offenbar E-Mails sendet, die er nicht geschrieben hat.

6. Phishing-Seiten und irreführende Formulare

Eine gefälschte Anmeldeseite, eine Umfrage, ein Gewinnversprechen oder eine Nachricht wie "Bestätigen Sie Ihr Konto" kann deine E-Mail-Adresse direkt abgreifen, oft zusammen mit einem Passwort. Hier ist die Adresse nur ein Nebeneffekt; das eigentliche Ziel ist dein Konto. Wenn du ein Passwort auf einer Seite eingegeben hast, die du über eine unerwartete E-Mail erreicht hast, behandle es als Kontoproblem und nicht als Spam-Problem: Ändere das Passwort auf der echten Seite und aktiviere die Zwei-Faktor-Authentifizierung.

Was hilft: Öffne wichtige Seiten über dein eigenes Lesezeichen oder deine App statt über Links in E-Mails, und sei vorsichtig bei jedem Formular, das nach deinem E-Mail-Passwort fragt.

7. Erratene Adressen

Spammer senden auch an Adressen, die sie nirgendwo gefunden haben, sondern aus gebräuchlichen Namen und gängigen Adressformaten bei beliebten Anbietern oder Firmendomains zusammensetzen. Der CAN-SPAM-Compliance-Leitfaden der FTC führt das Adressernten und diese "Wörterbuchangriffe" unter den schwerwiegenden Verstößen auf, die zusätzliche Strafen nach sich ziehen können, aber das hält Absender nicht davon ab, das Gesetz zu ignorieren.

Hinweise: Spam an eine Adresse, die du kaum benutzt oder nie geteilt hast, besonders eine kurze oder namensbasierte Adresse. Was hilft: Verlass dich auf den Spamfilter deines Anbieters. Allein deswegen musst du keine Adresse aufgeben, aber eine weniger vorhersehbare Adresse kann bei neuen Konten helfen.

Warum bekomme ich plötzlich so viel Spam?

Ein plötzlicher Anstieg bedeutet meist, dass deine Adresse auf einer neuen Liste gelandet ist oder eine alte Liste wieder verschickt wird. Häufige Auslöser sind ein kürzlich bekannt gewordener Datenschutzvorfall, eine Anmeldung oder ein Gewinnspiel, bei dem deine Adresse weitergegeben wurde, oder eine neue Kampagne, die dein Spamfilter noch nicht zu erkennen gelernt hat. Spam kommt oft in Schüben, weil Listen in großen Mengen gehandelt und verschickt werden.

Drei schnelle Fragen können es eingrenzen:

• Hast du dich in den letzten Wochen irgendwo neu angemeldet?
• Nennt der Spam ein bestimmtes Unternehmen, ein Produkt oder ein altes Konto?
• Zeigt eine Suche nach Datenlecks einen kürzlichen Vorfall für deine Adresse?

Antworten, Klicks und geladene Bilder

Manche Spammer achten auch auf Anzeichen dafür, dass eine Adresse genutzt wird. Auf Spam zu antworten, auf seine Links zu klicken (auch auf den Abmeldelink) oder seine externen Bilder zu laden, kann dem Absender verraten, dass eine Nachricht einen funktionierenden Posteingang erreicht hat. Das Signal ist unzuverlässig, weil manche Mail-Apps und Sicherheitsscanner Bilder automatisch laden, aber du gewinnst nichts, wenn du es sendest. Melde die Nachricht, statt zu antworten.

Eine Flut von Anmeldebestätigungen

Wenn innerhalb weniger Stunden Dutzende oder Hunderte Newsletter-Bestätigungen oder Willkommens-E-Mails eintreffen, hat möglicherweise jemand Ihre Adresse bei vielen Websites gleichzeitig angemeldet. Das wird manchmal als Subscription Bombing bezeichnet. Es kann reine Belästigung sein, aber auch dazu dienen, eine echte Warnung – etwa eine Bestellbestätigung oder eine Benachrichtigung über eine Passwortänderung – im Lärm untergehen zu lassen. Prüfen Sie Ihre wichtigen Konten, indem Sie die offizielle App öffnen oder die Adresse der Website selbst eingeben, statt Links in der Flut zu folgen, und klicken Sie nicht auf die Bestätigungslinks.

Wie können Sie herausfinden, wer Ihre E-Mail-Adresse verkauft oder weitergegeben hat?

Sobald der Spam beginnt, lässt sich meist nicht beweisen, wer eine Adresse verkauft oder weitergegeben hat. Eine eindeutige Adresse oder ein Alias zeigt, wo Sie diese Adresse ursprünglich verwendet haben, aber er kann einen Verkauf nicht von einer Datenpanne bei einem Anbieter oder einer späteren Weitergabe unterscheiden. Zeitpunkt, persönliche Angaben und das in einer Nachricht genannte Unternehmen sind Hinweise, keine Beweise.

Verwenden Sie für jede Anmeldung eine separate Adresse oder einen Alias

Gmail und Google Workspace unterstützen die Plus-Adressierung: Ein Tag nach Ihrem Benutzernamen, etwa ihrname+shop, wird weiterhin an Ihren Hauptposteingang zugestellt, und das Tag zeigt, welche Version der Adresse ein Absender verwendet hat. Die Plus-Adressierung ist jedoch nur ein Hinweis: Ein Formular kann das Pluszeichen ablehnen, und das Tag kann entfernt werden, bevor die Adresse weitergegeben wird. Weiterleitungs-Aliase gehen weiter, denn jeder Alias ist eine eigene Adresse, die Sie abschalten können. Unser Vergleich von temporären Mail- und E-Mail-Aliasen erklärt, welcher Typ zu Konten passt, die Sie behalten.

Eine eindeutige Adresse zeigt, welche Adresse weitergegeben wurde, nicht wer sie weitergegeben hat. Das Unternehmen könnte sie verkauft haben, einer seiner Dienstleister könnte eine Datenpanne erlitten haben, oder eine Liste könnte weiter unten in der Kette weitergereicht worden sein.

Welche Nachrichtendetails Ihnen etwas sagen können und welche nicht

Die „An“-Adresse, ein etwaiges Plus-Tag und der Zeitpunkt, zu dem der Spam begann, sind die nützlichsten Details. Vollständige Nachrichten-Header zeigen, über welche Server eine Nachricht gelaufen ist und ob sie die Authentifizierungsprüfungen bestanden hat, aber sie können nicht zeigen, wer Ihre Adresse verkauft oder weitergegeben hat. Spammer versenden oft über Dienste oder kompromittierte Rechner, die nichts mit dem ursprünglichen Leck zu tun haben.

Ist es sicher, auf „Abmelden“ zu klicken?

Es ist sicher, sich von einer Mailingliste abzumelden, die Sie kennen und bei der Sie sich erinnern, angemeldet zu haben – idealerweise über die integrierte Abmeldefunktion Ihrer E-Mail-App. Bei unbekannten, verdächtigen oder nachgeahmten Absendern folgen Sie dem Abmeldelink auf keinen Fall; markieren Sie die Nachricht stattdessen als Spam oder Phishing.

Nutzen Sie die Abmeldefunktion Ihrer E-Mail-App

Seriöse Marketingunternehmen haben rechtliche und praktische Gründe, Abmeldungen zu respektieren. In den USA schreibt der CAN-SPAM-Leitfaden der FTC vor, dass kommerzielle E-Mails eine Möglichkeit zum Abmelden bieten müssen, dass Abmeldeanfragen innerhalb von 10 Werktagen bearbeitet werden müssen und dass der Abmeldemechanismus mindestens 30 Tage nach dem Versand der Nachricht weiter funktionieren muss. Absender dürfen keine Gebühr verlangen und nicht mehr als Ihre E-Mail-Adresse abfragen, und nach Ihrer Abmeldung dürfen sie Ihre Adresse nicht verkaufen oder weitergeben – außer an ein Unternehmen, das beauftragt wurde, ihnen bei der Einhaltung des Gesetzes zu helfen.

Google verlangt außerdem von Absendern, die täglich mehr als 5.000 Nachrichten an Gmail-Konten senden, dass sie für Marketing- und abonnierte Nachrichten das Abmelden mit einem Klick unterstützen. Regelkonforme Nachrichten enthalten standardmäßige Abmelde-Header, die Gmail und andere E-Mail-Apps nutzen können, um eine Abmeldeoption anzuzeigen, sodass Sie nicht die Nachricht durchsuchen oder eine vom Absender gewählte Seite besuchen müssen. Der Spam-Leitfaden der FTC empfiehlt ebenfalls die Abmeldefunktionen, die Ihr E-Mail-Anbieter anbietet.

Wann Sie einem Abmeldelink nicht folgen sollten

• Sie kennen das Unternehmen nicht oder haben sich nie angemeldet.
• Der Name oder die Domain des Absenders imitiert eine bekannte Marke, mit kleinen Rechtschreibfehlern oder einer unpassenden Domain.
• Die Abmeldeseite verlangt von Ihnen, sich anzumelden, ein Passwort einzugeben oder mehr als Ihre E-Mail-Adresse anzugeben.
• Der Link startet einen Download, oder die Nachricht drängt Sie, schnell zu handeln.

Ein Absender, der das Gesetz bereits ignoriert, hat keinen Grund, Ihrer Anfrage nachzukommen, und sein Link kann Ihre Adresse bestätigen oder zu einer Phishing-Seite führen. Melden Sie die Nachricht und machen Sie weiter.

Wie Sie die Spam-E-Mails reduzieren, die Sie bereits erhalten

Sie können Ihre Adresse nicht aus jeder kopierten Liste entfernen, daher bedeutet das Stoppen von Spam meist, ihn zu filtern und zu melden, statt jeden Versand zu unterbinden. Die Verbraucherberatung der FTC empfiehlt diese Grundlagen:

• Markieren Sie Spam in Ihrer E-Mail-App als Spam oder Junk.
• Blockieren Sie hartnäckige Absender oder Domains, wenn dieselbe Quelle immer wieder durchkommt.
• Schauen Sie ab und zu im Spam-Ordner nach, ob echte E-Mails versehentlich dort gelandet sind.
• Melden Sie unerwünschte Nachrichten Ihrem E-Mail-Anbieter und Betrugsfälle der FTC unter ReportFraud.ftc.gov.

Als zusätzliche Vorsichtsmaßnahme sollten Sie nicht auf verdächtige Nachrichten antworten und keine darin genannten Telefonnummern anrufen.

Der Wechsel zu einer neuen Adresse ist ein letzter Ausweg. Er hilft nur, wenn Sie Ihre wichtigen Konten sorgfältig umziehen und die neue Adresse besser schützen als die alte.

Halten Sie Ihre Hauptadresse aus künftigen Anmeldelisten heraus

Der effektivste langfristige Schritt ist, weniger Unternehmen Ihre Hauptadresse zu geben. Ein einfaches Drei-Stufen-Setup funktioniert für die meisten Menschen:

• Hauptadresse: Banking, Arbeit, Behördengänge und alle Konten, die Sie zur Wiederherstellung benötigen.
• Weiterleitungs-Alias: Shopping, Abonnements und Konten, die Sie behalten, damit Sie jeden Alias deaktivieren können, der Spam erhält.
• Temporäre E-Mail: einmalige Downloads, Gutscheine, Foren-Testversionen und andere risikoarme Anmeldungen, die Sie nicht behalten möchten.

Wann temporäre E-Mail passt und wann nicht

Eine temporäre E-Mail-Adresse hält einmalige Anmeldungen von Ihrem Hauptposteingang fern. Wenn eine Adresse, die Sie nur für eine Anmeldung verwendet haben, später Spam erhält, ist diese Anmeldung ein nützlicher Hinweis, auch wenn sie nicht beweisen kann, ob das Unternehmen, einer seiner Anbieter oder jemand weiter unten in der Kette die Adresse weitergegeben hat. Wenn Sie neu in dieser Idee sind, behandelt diese Übersicht über wie temporäre Post funktioniert, die Grundlagen.

Tmailor ist nur empfangsbereit, Sie können also von der Adresse weder senden noch antworten, und es akzeptiert keine Anhänge. Nachrichten werden etwa 24 Stunden nach Eintreffen automatisch gelöscht. Sie können später mit dem Access Token zur gleichen Adresse zurückkehren, aber ein verlorener Token kann nicht wiederhergestellt werden, und einige Seiten blockieren Wegwerf-E-Mail-Domains. Das macht temporäre E-Mail ungeeignet für Bankgeschäfte, Arbeit, Einkäufe, für die Sie Quittungen brauchen, oder für ein Konto, das Sie möglicherweise wiederherstellen müssen. Mehr zu alltäglichen Anwendungsfällen finden Sie in unserem Leitfaden zum temporären E-Mail- und Spam-Schutz.

Sie können nicht jede Spam-Nachricht zurückverfolgen, aber Sie können aufhören, neue Listen zu füttern

Spam beginnt mit einer Adresse, die jemand gesammelt, weitergegeben oder erraten hat, und sobald sie kursiert, können Sie sie nicht mehr zurückholen. Was Sie kontrollieren können, ist, wie viele neue Listen Ihre Hauptadresse sehen. Melden Sie, was durchkommt, melden Sie sich nur bei bekannten Absendern ab und halten Sie einmalige Anmeldungen getrennt. Wenn ein Download oder Gutschein das nächste Mal nach einer E-Mail fragt, erstelle dafür eine kostenlose temporäre E-Mail, anstatt deine echte zu verwenden.