„Wir haben die Anforderungen an E-Mail-Absender deutlich verschärft: Wer Mails an unsere User zustellen möchte, muss strenge Authentifizierungsstandards erfüllen, um seine Identität nachzuweisen. Zusätzlich begegnen wir verdächtigen Nachrichten mit gezielten Verzögerungsmechanismen, um legitime E-Mails von Spam und Phishing zu unterscheiden“, sagt Arne Allisat, E-Mail-Security-Chef von WEB.DE und GMX.
Mit einer korrekten Authentifizierung weist ein Absender-Server seine Identität nach. Besonders im Fokus ist dabei eine konfigurierte Domain-Authentifizierung mit „aligned DKIM“. Dadurch wird sichergestellt, dass zum Beispiel eine E-Mail, die augenscheinlich von „@bahn.de“ kommt, auch wirklich von den Servern der Deutschen Bahn verschickt wurde – und nicht von manipulierten Spam-Rechnern. Fehlt eine solche Domain-Authentifizierung, wird die E-Mail durch die Sicherheitssysteme von WEB.DE und GMX als verdächtig eingestuft und kann abgelehnt oder verzögert zugestellt werden. Das ist ein entscheidender Schritt, um Identitätsmissbrauch (so genanntes „Spoofing“) zu verhindern.
Insbesondere das „Verzögern“ (englisch „Defer“) potenziell verdächtiger Mails ist ein wichtiger Erfolgsfaktor. Damit fordern die Server von WEB.DE und GMX den Absender auf, die Nachricht zu einem späteren Zeitpunkt zuzustellen. Seriöse Versender unternehmen dann einen weiteren Zustellversuch. Kriminelle Spam-Versender haben diese Zeit meist nicht: Scheitert deren erste Auslieferung, bricht die Zustellung ganz ab – und die Schadmails gelangen gar nicht erst in die Infrastruktur von WEB.DE und GMX.
KI fester Bestandteil der Spam-Bekämpfung
Beim Erkennen und Bewerten von Spam- und Phishing-Mails spielt Künstliche Intelligenz inzwischen eine zentrale Rolle. KI-Systeme können binnen kürzester Zeit verschiedene Merkmale im Strom der eingehenden Mails erkennen und so bestimmte Muster identifizieren. Das hilft dabei, ankommenden Daten einen Reputations-Wert zuzuweisen – also zu bewerten, wie vertrauenswürdig bestimmte Mails oder Serververbindungen sind. Anschließend wird auf dieser Basis automatisiert entschieden, ob E-Mails angenommen oder abgelehnt werden.
Bei den Spam-Versendern auf der Gegenseite sieht der Einsatz von KI-Modellen wie ChatGPT, Google Gemini oder Perplexity anders aus: „Die Vorstellung vom technischen Laien, der mit Hilfe von ChatGPT einen Spam-Server programmiert und dann im großen Stil erfolgreich Spam-Mails verschickt, ist ein Mythos. Das Spam-Business ist ein Profigeschäft mit hochspezialisierten Experten, die KI vorwiegend für das Optimieren und Testen ihrer Spam-Kampagnen nutzen – und denen schieben wir mit unseren Abwehrmaßnahmen jetzt noch einfacher weitere Riegel vor“, sagt der GMX und WEB.DE Experte Allisat.
Gutscheine, Investment-Phishing, Banking-Betrug
In den Top 3 der aktuellen Spam-Trends finden sich alte Bekannte wieder. Die Sicherheits-Experten von WEB.DE und GMX sehen am häufigsten Maschen, bei denen Empfänger zum Einlösen von Gutscheinen aufgefordert werden – und dabei ihre Login-Daten für Shopping-Plattformen an die Betrüger verlieren.
Auf Platz zwei landet so genanntes „Investment-Phishing“, bei dem Opfer dazu gebracht werden sollen, die Investment-Strategie erfolgreicher Unternehmer nachzuahmen oder in Geschäftsideen aus TV-Sendungen wie „Die Höhle der Löwen“ zu investieren.
An dritter Position der häufigsten Spam-Methoden liegt klassischer Banking-Betrug. Hier wird dem Empfänger dringender Handlungsbedarf im eigenen Konto vorgetäuscht. Über einen bequemen Login-Button kann man sich direkt im Onlinebanking anmelden – und landet dabei auf einer Phishing-Webseite, die Nutzername und Passwort für die Betrüger speichert.
Drei Tipps für mehr Sicherheit im Postfach
Nutzerinnen und Nutzer, die sich gegen Spam- und Phishing effektiv schützen möchten, sollten die wichtigsten drei Sicherheits-Tipps im eigenen Postfach beherzigen:
- Absender genau prüfen!
Scheint eine E-Mail verdächtig, lohnt ein genauer Blick auf die Absenderadresse: Ist alles richtig geschrieben? Oder wird hier bewusst durch „Tippfehler“ in der Domain (z.B. „g_mx.net“ statt „gmx.net“) getäuscht?
- Nicht auf Login-Links klicken!
Besser: Im Zweifel die Adresse der Website oder des Unternehmens, von dem die E-Mail mit der Login-Aufforderung kommt, einfach manuell selbst im Browser öffnen und dort sicher einloggen.
- Bei Verdacht auf Fremdzugriff: Passwort ändern!
Wer glaubt, dass Online-Kriminelle sich Zugang zum E-Mail-Postfach verschafft haben, sollte umgehend ein neues Passwort festlegen. Dabei kommt es auf die Länge an: Mindestens 8, besser 12 Zeichen sollte das Passwort lang sein – und vor allem darf es sonst bei keinem anderen Dienst in Verwendung sein. Zusätzlich sollte immer da, wo möglich, eine Zwei-Faktor-Authentifizierung eingerichtet werden: Dabei braucht man für den Login nicht nur das korrekte Passwort, sondern darüber hinaus einen 6-stelligen Zahlencode, der über eine Handy-App generiert wird. Nur, wer Passwort und Code hat, kann dann ins Postfach gelangen.
