Die meisten von uns bekommen jeden Tag Spam-E-Mails. Cyberangriffe haben so stark zugenommen, dass laut aktuellen Studien die Hälfte aller täglich erzeugten digitalen Newsletter unerwünscht ist. Für Nutzer ist das hochgefährlich, denn sie sind ständig schädlichen Aktivitäten ausgesetzt, die ihre Rechner mit Viren infizieren oder sensible persönliche Daten für den finanziellen Vorteil anderer abgreifen sollen.
Spam-E-Mails sind zwar nichts Neues, trotzdem fallen Menschen und Organisationen weiter darauf herein. Der State of the Phish Report von Proofpoint hält fest, dass im vergangenen Jahr über 80 % der Unternehmen finanziellen Schaden durch Phishing-Angriffe erlitten haben.
Privatpersonen wie Unternehmensvertreter müssen legitime E-Mails von Spam unterscheiden und sich schützen können. Selbst wenn ISPs und Mailbox-Provider mit ihren ausgefeilten und laufend verbesserten Anti-Spam-Systemen Wache stehen, finden unerwünschte E-Mails weiter ihren Weg in die Posteingänge.
Wie unterscheidest du legitime E-Mails von Spam, und was sollten Unternehmen tun, um ihren Kunden zu beweisen, dass ihre E-Mails echt und rechtmäßig sind? Genau darum geht es in diesem Leitfaden.
Was ist eine legitime E-Mail, was eine Spam-E-Mail?
Legitime E-Mails sind digitale Newsletter, die nach dem Gesetz oder nach etablierten rechtlichen Formen, Anforderungen und Standards entstehen. Sie sind über DNS-basierte Mechanismen zur Absender-Authentifizierung wie SPF, DKIM und DMARC authentifiziert und enthalten Angaben, die ihre Rechtmäßigkeit belegen, etwa die Postanschrift des Unternehmens.
Solche E-Mails verschicken nicht nur etablierte und angesehene Absender, sondern auch Unternehmen und Selbstständige mit einem guten Sender Score, die sich an die Empfehlungen von Aufsichtsbehörden und Anti-Spam-Organisationen halten.
Legitime E-Mails befolgen die Gesetze des Landes, in dem der Absender arbeitet oder sein Publikum bedient. Wer zum Beispiel legitime E-Mails an Menschen in Europa schickt, muss die Anforderungen der Datenschutz-Grundverordnung (DSGVO) und der ePrivacy-Richtlinie erfüllen, während US-Behörden von Unternehmen den CAN-SPAM Act verlangen.
Eine Spam-E-Mail ist ein unerwünschter und unrechtmäßiger digitaler Newsletter, der meist massenhaft an viele Empfänger geht. Er kann Werbung im Sinn haben, deinen Rechner mit Malware infizieren oder Kunden dazu bringen wollen, sensible Informationen preiszugeben. Er ist irrelevant, unerwünscht, unethisch und gefährlich. Verbreitete Formen von Spam-E-Mails sind kommerzielle Werbung, angebliche Virenwarnungen, E-Mail-Spoofing, Geldbetrug und vermeintliche Gewinnbenachrichtigungen.
Warum ist es wichtig, legitime E-Mails von Spam zu unterscheiden?
Es gibt viele gute Gründe, legitime E-Mails von Spam zu unterscheiden. Zuallererst hat die Zahl der Cyberangriffe ein bedrohliches Niveau erreicht. Aktuelle Studien beziffern die Menge der täglich erzeugten Spam-E-Mails auf 160 Milliarden, mit dem Ergebnis, dass erschreckende 96 % der Menschen in irgendeiner Form Spam-Nachrichten bekommen.
Zweitens machen sie es Nutzern schwer, sich bequem und sicher im Posteingang zu bewegen. Weil die Filter der ISPs nicht jede Spam-E-Mail abfangen, verstopfen viele davon mühelos die Postfächer. Das lenkt ab, irritiert und nervt. Fast 70 % der Menschen, die Phishing-Nachrichten erhalten haben, berichten von Folgen für ihre psychische Gesundheit.
Drittens kann Spam die Produktivität drücken, besonders bei Beschäftigten in Unternehmen. Wer sich mit schädlichen E-Mails herumschlägt, verliert Konzentration und Motivation und verschwendet kostbare Zeit und Kraft.
Viertens kann eine Spam-E-Mail der erste Schritt zu einem ausgefeilteren Cyberangriff sein. Aktuellen Statistiken zufolge hat über die Hälfte der Menschen schon Geld durch Online-Betrug verloren.
Und schließlich haften Unternehmen ohne saubere Schutzmaßnahmen nach der DSGVO, dem CAN-SPAM Act und weiteren Anti-Spam-Vorschriften. Stufen ISPs oder Mailbox-Provider ihre Nachrichten und ihr Verhalten als spammig ein, drohen drastische Konsequenzen. Die reichen von einer Beschränkung ihrer Aktivität im Kanal bis zu enormen Bußgeldern (bis zu Millionen von Dollar) und sogar Haftstrafen für die Mitarbeitenden, die für ein Datenleck verantwortlich sind.
Legitime E-Mails von Spam zu unterscheiden ist nicht nur für Privatpersonen wichtig, die finanziellen Schaden erleiden können, sondern auch für Unternehmen, die riskieren, von ISPs und Mailbox-Providern blockiert zu werden und damit ihre Chance auf E-Mail-Marketing-Kampagnen zu verlieren.
Spam-Statistiken von Mailmodo
Wie unterscheidest du legitime E-Mails erfolgreich von Spam?
Spam-E-Mails treten in allen Formen und Größen auf, von der plumpen Gewinnbenachrichtigung bis zur raffinierten kommerziellen Werbung. Manche wirken auf den ersten Blick sogar legitim, weil böswillige Akteure die Identität bekannter Marken mühelos nachahmen und sogar ein wenig Personalisierung einstreuen, um das Vertrauen der Leser zu gewinnen.
Hier sind die wichtigsten Ratschläge, mit denen Nutzer legitime E-Mails von Spam unterscheiden und böse Folgen vermeiden.
Sieh dir die Absenderadresse genau an
Einer der besten Ratschläge für alle, die sich vor Spam schützen wollen, lautet: niemals öffnen. Der erste Schritt ist deshalb, die Adresse des Absenders gründlich zu prüfen. Wirkt sie verdächtig oder kennst du den Absender nicht, lösch die Nachricht aus deinem Posteingang.
In der Geschäftswelt ist das allerdings nicht immer möglich. Manchmal stecken hinter unbekannten Adressen Kolleginnen und Kollegen, Partner oder Organisationen. Dann ist es entscheidend, die Angaben zum Absender zu untersuchen. Frag dich:
- Kommt die E-Mail von einer öffentlichen Domain? Kein legitimes Unternehmen, egal wie klein oder jung, verschickt E-Mails von einer Adresse, die auf eine öffentliche Domain wie „Gmail“ oder „Yahoo“ endet.
- Enthält die Domain des Absenders Tippfehler, Ungereimtheiten oder winzige Abweichungen, die sie wie die legitime Adresse einer bekannten Marke aussehen lassen, besonders bei Unternehmen aus Finanz- und Handelsbranchen?
- Nutzt die Adresse des Absenders ähnlich aussehende Zeichen aus anderen Sprachen, um vertraut zu wirken?
- Besteht die Adresse des Absenders aus zufälligen Zahlen- und Buchstabenkombinationen oder wirkt sie schlicht komisch?
- Weicht die Adresse des Absenders vom üblichen E-Mail-Format des Unternehmens ab?
- Ist die E-Mail überhaupt an dein E-Mail-Konto adressiert?
Zum Schluss lohnt sich auch ein Blick auf die Betreffzeile und auf BIMI.
Die Betreffzeile kann verraten, dass mit der E-Mail etwas nicht stimmt, denn böswillige Akteure stecken kaum Zeit und Mühe hinein. In der Regel ist sie banal, schräg und seltsam und ergibt für dich keinen Sinn.
BIMI wiederum, kurz für Brand Indicators for Message Identification, gehört zur Truppe der E-Mail-Authentifizierung. Es zeigt visuelle Elemente der Marke wie ein Logo, ein kleines Maskottchen oder ein Symbol. Weil es vor unrechtmäßigen Absendern schützt, die Logos spoofen, kann es eine zusätzliche Informationsquelle sein. Frag dich also: Sieht das genau nach dem visuellen Auftritt der Marke aus? Denk aber daran, dass die Verbreitung noch gering ist (99 % der Domains, die wir prüfen, veröffentlichen überhaupt keinen BIMI-Eintrag). Ein fehlendes Logo ist also weit davon entfernt, ein Beweis für Spam zu sein.
Achte auf Anhänge und Links
Weil Menschen E-Mails lieber überfliegen als Wort für Wort zu lesen, handeln sie leicht, ohne weiter nachzudenken, und fallen auf raffinierte Formulierungen oder beeindruckende Angebote herein. Wenn du zu denen gehörst, die einen Text nur überfliegen, achte wenigstens gründlich auf Anhänge und Links.
Diese zwei verbreiteten Bestandteile digitaler Newsletter sind die wichtigsten Quellen für Malware, Viren und schädliche Dateien. Die Faustregel lautet: keine Dateien herunterladen und keine Links anklicken, die seltsam oder verdächtig aussehen. Weil gefährliche Dateien allerdings in jeder Form daherkommen, besonders in vertrauten Dateiendungen, kann es schwer sein, legitime E-Mails von Spam zu unterscheiden. Diese Fragen helfen dir dabei:
- Ergibt die Ansprache für dich Sinn?
- Klingt das Angebot zu gut, um wahr zu sein?
- Drängt die E-Mail darauf, schnell zu handeln?
- Enthält die E-Mail generische Buttons mit Formulierungen wie „Hier klicken“ oder „Jetzt zugreifen“?
- Weicht die URL oder das Ziel, das beim Überfahren mit der Maus erscheint, vom Linktext ab?
Lautet die Antwort auf eine dieser Fragen ja, verdient die E-Mail deine gründliche Prüfung.
Prüfe Text und Design der E-Mail
Leider heißt eine unverdächtige Absenderadresse noch nicht, dass die E-Mail legitim ist. Die gute Nachricht: Allein durch das Öffnen einer E-Mail infizierst du deinen Rechner nicht und verlierst keine sensiblen persönlichen Daten. Böswillige Akteure brauchen eine Handlung von dir, etwa das Herunterladen von Dateien über Links oder das Öffnen von Anhängen. Umso wichtiger ist es, Text und Design der E-Mail zu prüfen.
Fang mit dem Design an, denn das fällt uns zuerst auf. Wirkt es nach Marke? Wirkt es modern? Passt es zum üblichen Stil des Unternehmens? Weil böswillige Akteure keine Zeit für gut gemachte E-Mail-Vorlagen haben, sehen ihre digitalen Newsletter oft unprofessionell, grob und verzerrt aus.
Sieh dir dann den Text an. Mehrere Anzeichen deuten auf eine Spam-E-Mail hin:
- Unrealistische Angebote. Klingt der Inhalt zu gut, um wahr zu sein, etwa das Versprechen großer Geldsummen für einfache Handlungen, steckt wahrscheinlich eine Phishing-Masche dahinter, die es auf Bankdaten abgesehen hat.
- Grammatikfehler. Weil Spam-E-Mails schnell für den Massenversand zusammengeschustert werden, stecken sie meist voller Tippfehler, Fehler und Ungereimtheiten.
- Unpersönliche Anrede. Legitime E-Mails sprechen Menschen in der Regel mit ihrem richtigen Namen an.
- Ungewöhnliche oder holprige Formulierungen. Auch hier gilt: Weil Spam-E-Mails im Vorbeigehen entstehen, enthalten sie oft merkwürdige Textbrocken. Sie wirken wie aus einer Fremdsprache übersetzt oder passen inhaltlich nicht zu deiner Sprache.
- Künstliche Dringlichkeit. Hacker erzeugen ein Gefühl der Eile, damit Leser schnell handeln. Meist kommt eine Drohung dazu, etwa „dein Computer ist infiziert“.
- Drohungen mit negativen Folgen. Drohungen machen Menschen immer nervös. Dieses Gefühl treibt dazu, ohne Nachdenken zu handeln, und genau das nutzen böswillige Akteure bei ihren Angriffen.
- Aufforderungen zu vertraulichen Daten. Das ist vielleicht das bekannteste Anzeichen für Spam-E-Mails. Kein legitimes Unternehmen bittet per E-Mail um sensible persönliche Daten. Wenn du also eine Aufforderung siehst, Bankdaten zu nennen oder ein Passwort zurückzusetzen, ist das ein Zeichen für eine unerwünschte Nachricht.
- Widersprüche bei den Absenderangaben. In legitimen E-Mails müssen die Angaben in der Absenderadresse (etwa Domainname oder Name des Absenders) zu den Absenderangaben in der Signatur passen. Entdeckst du Widersprüche, ist es wahrscheinlich Spam.
Wie sorgst du dafür, dass deine E-Mails legitim wirken?
Von der Nachahmung bekannter Marken bis zu Nachrichten, die ziemlich echt und rechtmäßig aussehen: Legitime E-Mails von Spam zu unterscheiden kann für Nutzer, ISPs und Mailbox-Provider zur Herausforderung werden. Deshalb bauen die beiden Letzteren ihre Anti-Spam-Systeme regelmäßig aus. Ihre strengen Scan-Prozesse sollen ein sicheres E-Mail-Ökosystem schaffen.
Während diese Filter Nutzer vor Cyberangriffen schützen, stellen sie E-Mail-Marketern allerdings Hürden in den Weg und erschweren es, Abonnenten selbst mit legitimen E-Mails zu erreichen. Hier sind die besten Praktiken für Unternehmen, um bei ISPs und Mailbox-Providern nicht wie Spammer zu wirken und die Verbindung zu den Abonnenten zu halten.
Prüfe jede E-Mail in Unspam
Das Erste, was jedes E-Mail-Marketing-Team im Kanal tun muss, ist eine gründliche Untersuchung der eigenen laufenden Kampagnen. Diese Prüfung deckt Details auf, die die Kommunikation für ISPs und Mailbox-Provider unrechtmäßig aussehen lassen. Weil Anti-Spam-Algorithmen hochentwickelt und raffiniert genug sind, um mit der Kunstfertigkeit böswilliger Akteure mitzuhalten, können diese Schwachstellen alles sein: von einer heiklen Formulierung im E-Mail-Text bis zu falsch eingerichteten DMARC-Einträgen.
Deshalb solltest du unbedingt diese Details deiner laufenden Kampagnen prüfen:
- SPF- und DMARC-Einträge. Sind sie korrekt eingerichtet? Sind sie gültig? Erfüllen sie die Standards?
- DKIM-Signatur. Ist sie gültig und verifiziert?
- Reverse DNS. Hat der Mailserver ein Reverse DNS? Sind Mailserver und HELO aufeinander abgestimmt?
- List-Unsubscribe-Header. Enthält er einen einfachen Abmeldemechanismus? Dieses Detail wird leicht übersehen: Nur 14 % der Absender, die wir testen, erfüllen die Anforderung an das List-Unsubscribe mit einem Klick.
- Domain-Endung. Ist sie vertrauenswürdig?
- Betreffzeile. Passt sie zum Text der E-Mail? Ist sie aussagekräftig und klar? Enthält sie Spam-Wörter?
- Text und Design der E-Mail. Stimmt das Verhältnis von Text und Bild? Gibt es kaputte Links? Werden die Anti-Spam-Vorschriften eingehalten? Verhält sich alles über alle Bildschirmgrößen hinweg gleich?
Auf den ersten Blick sieht das nach viel Stoff aus, doch sicherzustellen, dass deine Kampagne echt ist und für ISPs und Mailbox-Provider legitim aussieht, ist unverzichtbar.
Die gute Nachricht: Unternehmen müssen diese Prüfungen weder manuell noch allein erledigen. Zusätzliches Personal und zusätzliche Zeit brauchen sie dafür ebenfalls nicht. Nötig ist nur Unspam, ein professionelles Werkzeug für Anti-Spam-Prüfungen und Tests der Zustellbarkeit. Es erledigt alles oben Genannte und noch einiges mehr. Zum Beispiel:
- Es prüft, ob deine Domain und deine IP auf wichtigen Blacklists stehen.
- Es verschafft dir einen Überblick über die Barrierefreiheit des digitalen Newsletters und schlägt Verbesserungen vor.
- Es schätzt das mögliche Inbox Placement ein, also ob die E-Mail im Posteingang oder im Spam-Ordner landet.
- Es erzeugt eine Heatmap.
- Es zeigt Vorschauen der E-Mail auf gängigen Geräten, um Unstimmigkeiten in der Darstellung zu finden.
Obendrein gibt dir das Expertenteam markenspezifische Empfehlungen, um deine Probleme mit der E-Mail-Zustellbarkeit zu lösen. Und all das sprengt dein Budget nicht, denn Unspam gehört zu den günstigsten Angeboten in dieser Nische.
Authentifiziere jeden digitalen Newsletter
Wenn du gerade erst ins E-Mail-Marketing gestartet bist und an deiner ersten Kampagne arbeitest, ist die Authentifizierung einer der wichtigsten Schritte überhaupt. Dafür gibt es viele gute Gründe, aber vor allem diesen: Gmail lässt keine E-Mails ohne sauber konfigurierte SPF-, DKIM- und DMARC-Einträge durch. Alle Mühe um schöne Designs, überzeugende Texte und hyperpersonalisierte Angebote wäre dann vergebens.
Die Authentifizierung kümmert sich um die technische Seite der Kommunikation. Sie liefert ISPs und Mailbox-Providern einen gültigen Beleg dafür, dass eine E-Mail legitim ist. Die Verbreitung ist allerdings ungleich: Von den Domains, die wir testen, veröffentlichen 90 % einen gültigen SPF-Eintrag und 87 % signieren ihre Mails mit einem funktionierenden DKIM-Schlüssel, doch nur 58 % veröffentlichen eine DMARC-Policy, 42 % der Domains also gar keine. Damit bleibt ein großer Teil der Absender genau dem Spoofing ausgesetzt, das Spam so schwer erkennbar macht. Um Authentifizierung in deine Kampagnen zu bringen, solltest du diese Schritte gehen:
- Lege einheitliche „From“-Adressen und freundliche Absendernamen fest. Nutze keine Cousin-Domains und keine Domains, die nur leicht vom Namen deiner Marke abweichen, denn das wirkt auf ISPs und Kunden faul.
- Erstelle eine Liste autorisierter IP-Adressen und lege einen gültigen SPF-Eintrag an.
- Signiere deine Nachrichten kryptografisch, indem du DKIM einführst.
- Veröffentliche DMARC-Einträge neben deinen übrigen DNS-Einträgen, um SPF und DKIM voll auszureizen.
- Lege einen BIMI-Eintrag an.
- Sorge dafür, dass alle deine Domains, Subdomains und E-Mail-Arten (auch die transaktionalen) durch Authentifizierungsprotokolle geschützt sind.
- Behalte die Authentifizierungsberichte dauerhaft im Blick. Richte Warnmeldungen für Auffälligkeiten in den Authentifizierungsergebnissen ein.
- Bleib bei den aktuellen Standards der E-Mail-Authentifizierung auf dem Laufenden.
Diesen Empfehlungen zu folgen kann knifflig sein, weil technisches Können nötig ist. Trotzdem führt kein Weg daran vorbei, wenn du die Rechtmäßigkeit deiner Kommunikation belegen, deinen Ruf im Netz sichern und das Vertrauen der Kunden in deine Marke halten willst.
Verbessere deinen Sender Score und deine Reputation
Der Sender Score ist eine Zahl, die Mailbox-Provider jedem Unternehmen zuweisen, um Markenreputation, Aktivität und Historie im E-Mail-Kanal zu beschreiben. Er ist ein kombinierter Wert aus IP- und Domain-Reputation.
Weil er beschreibt, wie viel Vertrauen Mailbox-Provider einem Unternehmen entgegenbringen, liegt der Sender Score ihrer Entscheidung zugrunde, eine E-Mail durchzulassen, im Spam-Ordner abzulegen oder sofort abzuweisen. Er beeinflusst Zustellbarkeit, Conversion-Rate, Umsatz und am Ende den ROI. Je höher der Sender Score, desto größer die Chance, die strengen Filter und Anti-Spam-Prüfungen der Anbieter zu passieren und eine gute E-Mail-Performance zu sichern.
Deshalb ist es wichtig, deinen Sender Score zu verfolgen und zu verbessern. Hier sind einige der besten Praktiken:
Halte deine Abonnenten bei der Stange, mit überzeugenden Texten, echter Personalisierung, sinnvoller Nutzererfahrung, wertvollen Angeboten, responsivem Design und der richtigen Frequenz.
Räum deine Abonnentenliste regelmäßig auf. Trenn dich von Kontakten, die deine Aktivität im Kanal gefährden könnten. Das können Spamfallen, ungültige E-Mail-Adressen oder inaktive Kontakte sein.
Kauf oder miete niemals Abonnentenlisten. Hol dir immer die Einwilligung deiner Abonnenten, bevor du ihnen schreibst. Egal ob Werbung, Information oder Transaktionsnachricht: Stell sicher, dass deine Nutzer dem Empfang ausdrücklich zustimmen.
Bring die technische Seite deiner digitalen Kommunikation in Form. Dazu gehören viele Maßnahmen, vor allem aber authentifizierte E-Mails, ein vertrauenswürdiger Hosting-Anbieter mit dedizierter IP-Adresse und der Schutz deiner Infrastruktur durch hochwertige Sicherheitssysteme.
Vermeide Blacklist-Aufnahmen. Prüfe regelmäßig die wichtigsten Blacklist-Anbieter für E-Mails. Wenn es dich erwischt hat, folge ihren Anweisungen, um wieder von der Liste zu kommen.
Kümmere dich um Spam-Beschwerden und arbeite Hard Bounces und Soft Bounces konsequent ab.
Halte dich an Anti-Spam-Vorschriften und Gesetze. Führe die Anmeldung per Double-Opt-in ein, biete einen Abmeldelink an und erfülle Löschanfragen von Kunden so schnell wie möglich.
Beobachte die E-Mail-Zustellbarkeit und die zentralen Leistungskennzahlen, um Schwachstellen in Kampagne und Kommunikation zu finden.
Und noch ein wichtiger Punkt zum Schluss: Jeder Anbieter hat eigene Algorithmen, um einen Sender Score zu bestimmen. Viele orientieren sich allerdings an den Best Practices der Branche und erwarten von Unternehmen, dass sie ihren Empfehlungen folgen. Mach dich also mit ihren Anleitungen vertraut und nimm sie in deine E-Mail-Marketing-Routine auf.
Fazit
Spam ist mehr als ein Ärgernis. Der durchschnittliche jährliche Verlust pro Mitarbeitendem durch Spam liegt laut Nucleus Research bei rund $1.934, für Unternehmen summieren sich finanzielle Verluste von Millionen von Dollar. Legitime E-Mails von Spam zu unterscheiden und dich vor diesen drastischen Folgen zu schützen ist entscheidend.
Zum Glück sind vorbeugende Maßnahmen nicht schwer umzusetzen, zumal die ausgefeilten Anti-Spam-Mechanismen der Anbieter für dich Wache stehen. Dein Teil besteht darin, Absenderangaben und E-Mail-Text auf verdächtige Elemente zu prüfen und dich an die allgemeine Regel zu halten: nichts aus unbekannten Quellen herunterladen und keine Links mit zweifelhaftem Ziel anklicken.
Unternehmen, die die Verbindung zu ihren Abonnenten halten und ihre Markenbotschaften trotz aller Schutzmaßnahmen ausliefern wollen, müssen dafür sorgen, dass ihre Korrespondenz für alle Beteiligten im Ökosystem legitim aussieht.
Dafür müssen sie ihre E-Mails authentifizieren, eine starke Absender-Reputation aufbauen, die Best Practices einführen und ihre digitalen Newsletter in Unspam prüfen, um Unstimmigkeiten aufzudecken, die sie verdächtig wirken lassen.
