Spam-Mails: woher sie kommen, woran du sie erkennst und was dagegen hilft

Spam ist ein Sammelbegriff für massenhaft verschickte, unerwünschte E-Mails, elektronische Kettenbriefe und Werbeposts in sozialen Netzwerken ^[1]. Ein Teil davon ist nur lästige Werbung. Ein anderer Teil zielt nach Angaben des BSI auf Identitätsdiebstahl, Betrug oder Datenklau ^[1]. Phishing-Mails, die Zugangsdaten abgreifen wollen, kommen oft als Spam ins Postfach ^[10]. Die Verbraucherzentrale nennt in einem Ratgeber vom 19.12.2022 einen Anteil von 60 bis 90 Prozent an allen verschickten E-Mails, eine Quelle für die Zahl gibt sie nicht an ^[8].

Was als Spam gilt

Der Name geht auf "Spiced Ham" zurück, ein Dosenfleisch aus den USA ^[1]. Bekannt wurde das Wort als Begriff für Massenmails durch einen Sketch der Komikergruppe Monty Python von 1970, in dem es nach Zählung des BSI 132-mal vorkommt ^[1]. Im Englischen heißt Spam auch "Junk", also Ramsch ^[1].

Das BSI unterscheidet mehrere Arten ^[1]:

• Werbung, die vor allem stört und Zeit kostet.
• Scam oder Vorschussbetrug: Dir wird schnelles großes Geld versprochen, vorher sollst du einen kleineren Betrag zahlen, etwa angebliche Anwaltsgebühren.
• Hoax: eine Falschmeldung oder ein schlechter Scherz, meist mit der Bitte, die Mail weiterzuleiten.
• Phishing: Angreifer wollen persönliche Daten wie die Zugangsdaten zum Bankkonto.

Die Verbraucherzentrale nennt zusätzlich Mails, die Viren, Würmer oder Trojaner im Anhang tragen ^[8]. Beim Phishing geben sich Spam-Mails mit gefälschtem Absender nach Angaben des BSI oft als Banken, Internetanbieter oder andere Dienstleister aus ^[10]. Eine gezielte Form, das Spear-Phishing, richtet sich gegen bestimmte Firmen oder Organisationen ^[10]. Nach Angaben des BSI steht Phishing am Anfang verschiedener Delikte, vom Datendiebstahl bis zu Angriffen auf Kritische Infrastrukturen ^[10]. Wie du solche Anhänge erkennst, beschreibt Gefährliche E-Mail-Anhänge.

Woher Spammer deine Adresse haben

Spam lohnt sich nach Angaben des BSI, weil Massenmails für den Versender relativ kostengünstig sind; außerdem floriert der Handel mit Adressen ^[1]. Das BSI beschreibt mehrere Wege, auf denen Adressen in Verteilerlisten landen ^[1]:

• Harvester: Programme durchsuchen Websites automatisch nach E-Mail-Adressen, etwa in Gästebüchern oder im Impressum.
• Zufall und Muster: Adressen werden aus häufigen Kombinationen wie "info@" und einer Domain gebildet.
• Gewinnspiele: Teilnahmekarten in Zeitungen oder Einkaufszentren dienen als Quelle.
• Adresshandel: Händler besitzen Datenbanken mit Millionen Adressen.
• Diebstahl: Adressen werden aus infizierten Systemen entwendet; nach Beobachtung des BSI nimmt dieser Handel zu.

Die Verbraucherzentrale nennt außerdem Programme, die Adressen aus Buchstabenkombinationen und häufigen Nachnamen erraten ^[8].

Wie Spam verschickt wird

Spam wird meist über fremde Rechner mit gefälschten Absenderangaben verschickt, und Absender und Betreff wechseln häufig, damit die Mails schwerer zu erkennen sind ^[4]. Ein Weg dafür sind Botnetze. Das sind Verbünde von Geräten, die Kriminelle mit Schadsoftware übernommen haben und unter anderem für den Versand von Spam-Nachrichten oder für Angriffe auf Server nutzen ^[5]. Das BSI weist darauf hin, dass ein infiziertes Gerät dadurch selbst zum Täter wird, und dass Botnetze oft gegen Geld an Dritte vermietet werden ^[5].

Das erklärt, warum Spammer schwer zu fassen sind. Nach Erkenntnissen des BSI läuft ein Großteil des Spam-Versands heute über kompromittierte Server, infizierte Geräte oder ausgespähte Zugangsdaten legitimer E-Mail-Konten ^[2]. Die echten Versender bleiben weitgehend unbekannt, und der internationale Charakter des Internets erschwert die Verfolgung zusätzlich ^[4]. Weil Absender gefälscht sein können, kann auch eine bekannte Adresse im Absenderfeld stehen ^[2]. Mehr dazu steht unter Gefälschte Absender erkennen.

Spam erkennen

Das BSI nennt eine Reihe von Merkmalen, die auf Spam hindeuten ^[2]:

• unbekannte Absenderadresse oder ein ungewöhnlicher, kryptischer Absendername
• anonyme Anrede wie "Sehr geehrte Damen und Herren"
• kein Impressum und kein Link zum Abbestellen, den ein seriöser Newsletter hätte
• Links oder anklickbare Bilder im Text
• seltsamer Betreff oder Inhalt und viele Grammatik- und Rechtschreibfehler
• Bitte um persönliche Daten, etwa für eine angebliche Kontoprüfung
• angebliche Rechnungen im Anhang, oft als ZIP-Datei, sowie Word- oder Excel-Anhänge

Die Aufforderung, persönliche Daten einzugeben, nennt das BSI ein "fast untrügliches" Zeichen für Spam ^[2]. Kommt eine Zahlungsaufforderung, prüfst du zuerst, ob bei diesem Händler oder Dienst überhaupt eine Rechnung offen sein kann ^[3]. Das BSI verschickt übrigens selbst keine Warnungen per Massen-E-Mail; Mails mit dem BSI als Absender und einer angeblichen Warnung sind Fälschungen ^[3]. Typische Merkmale von Phishing beschreibt Phishing-Mails erkennen.

Was gegen Spam hilft

"Die wichtigste Spam-Schutzmaßnahme ist ein gesundes Misstrauen", schreibt das BSI ^[3]. Daraus folgen einige feste Regeln:

• Nicht antworten. Eine Antwort bestätigt dem Absender, dass deine Adresse aktiv ist ^{[3, 4]}.
• Keine Anhänge öffnen und keine Links anklicken, auch nicht den angeblichen Link zum Abbestellen in einer unverlangten Werbemail ^{[2, 8]}.
• Keine persönlichen Daten eingeben. Bei Zweifeln rufst du beim angeblichen Absender an ^[3].
• Bilder in HTML-Mails nicht anklicken. Ein Klick auf ein eingebettetes Bild baut eine Verbindung zum Server auf und verrät dem Absender, dass deine Adresse aktiv ist ^[3].

Technisch hilft vor allem der Spamschutz deines Postfachs. Das BSI rät, ihn einzuschalten und beim Anbieter zu fragen, ob und zu welchen Bedingungen er einen anbietet ^[3]. Wie das bei gängigen Postfächern geht, steht unter Spamfilter einrichten. Eigene Regeln im Mailprogramm, die Nachrichten nach Absender oder Betreff löschen, haben laut BSI eine geringe Trefferquote und können auch erwünschte Mails mit ähnlichem Betreff erwischen ^[4]. Die Verbraucherzentrale rät zusätzlich, die Vorschaufunktion des Mailprogramms abzuschalten, vor dem Öffnen Betreff und Absender zu prüfen und Betriebssystem und Virenschutz aktuell zu halten; Anhänge in Spam-Mails tragen nach ihren Angaben häufig Endungen wie .exe, .com, .pif oder .scr ^[8]. Die Internet-Beschwerdestelle empfiehlt, die Adresse nicht überall zu hinterlassen und für Newsletter und Gewinnspiele eine zweite Adresse zu nutzen; gibt ein Anbieter Daten weiter, bleibt das Hauptpostfach verschont ^[9]. Die Verbraucherzentrale rät, die Hauptadresse nur Menschen zu geben, die man persönlich kennt, und bei der Wahl keinen vollständigen Namen zu verwenden ^[8]. Die Bundesnetzagentur empfiehlt, Telefonnummer und Mailadresse nur gezielt an seriöse Vertragspartner weiterzugeben und bei Verträgen, Gewinnspielen und Abos zu prüfen, wofür die Daten verwendet werden ^[7].

Was das Recht zu Werbemails sagt

Unerwünschte Werbung per Mail ist in Deutschland vor allem im Gesetz gegen den unlauteren Wettbewerb geregelt. Nach § 7 Absatz 2 Nummer 2 UWG ist Werbung mit elektronischer Post ohne vorherige ausdrückliche Einwilligung des Empfängers stets eine unzumutbare Belästigung ^[6]. Dasselbe gilt nach Nummer 3 für Werbenachrichten, bei denen der Absender verschleiert wird oder keine gültige Adresse zum Abbestellen angegeben ist ^[6].

Eine Ausnahme regelt § 7 Absatz 3 UWG. Ein Unternehmen darf dir ohne Einwilligung Werbung schicken, wenn es deine Adresse beim Verkauf einer Ware oder Dienstleistung bekommen hat, nur für eigene ähnliche Angebote wirbt, du nicht widersprochen hast und du bei der Erhebung und bei jeder Mail klar auf dein Widerspruchsrecht hingewiesen wirst ^[6]. Newsletter eines Shops, bei dem du eingekauft hast, sind deshalb nicht automatisch unzulässig.

Gegen einen Versender, der gegen diese Regeln verstößt, kann ein Unterlassungsanspruch bestehen; die Verbraucherzentrale stellt dafür ein Musterschreiben bereit ^[8]. Außerdem hast du nach ihren Angaben einen Anspruch auf Löschung deiner Daten ^[8]. Gegenüber Werbetreibenden hält die Verbraucherzentrale es oft für sinnvoller, die Verarbeitung einschränken ("sperren") zu lassen, und bietet dafür einen Musterbrief an ^[8]. Eine Einwilligung, die du einmal erteilt hast, kannst du nach Angaben der Bundesnetzagentur jederzeit widerrufen ^[7]. Die Versender bleiben allerdings oft unbekannt, und die Verfolgung wird durch den internationalen Charakter des Internets erschwert, sodass solche Schritte vor allem bei erkennbaren Absendern helfen ^[4].

Spam melden

Unerwünschte Werbemails kannst du bei der Internet-Beschwerdestelle melden und danach löschen ^[3]. Die Beschwerdestelle betreiben der Verband der Internetwirtschaft eco und die Freiwillige Selbstkontrolle Multimedia-Diensteanbieter gemeinsam; die Prüfung ist kostenlos und vertraulich ^[11]. Das BSI nennt außerdem die kostenlose Robinsonliste des Interessenverbands Deutsches Internet, in die du dich eintragen lassen kannst ^[3].

Die Bundesnetzagentur wird bei Mail-Spam nur aktiv, wenn in der Mail eine Rufnummer steht ^[7]. Sie kann dann unter anderem abmahnen oder Rufnummern abschalten lassen; einen Bußgeldbescheid gegen E-Mail-Spam kann sie nicht erlassen ^[7]. Ihr Rat: nicht antworten und die in Spam-Mails genannten Rufnummern, Adressen oder Links nicht nutzen ^[7]. Bei Phishing oder anderen Straftaten kommt eine Strafanzeige in Betracht ^[8]. Alle Meldewege zusammen zeigt Spam und Phishing melden.

Landen umgekehrt deine eigenen Mails beim Empfänger im Spamordner, liegt das oft an der Einrichtung der Absenderdomain. Das erklärt Eigene E-Mails landen im Spam auf domain-root.de.

1. Behörde Spam: zwielichtige E-Mails und Falschmeldungen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Woran erkennt man Spam?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Wie schützt man sich vor Spam?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Fragen und Antworten: Spam-E-Mails. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Botnetze: Auswirkungen und Schutzmaßnahmen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
6. Gesetz § 7 UWG: Unzumutbare Belästigungen. Bundesministerium der Justiz, gesetze-im-internet.de. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Fax- oder E-Mail-Spam. Bundesnetzagentur. Stand ohne Datum. abgerufen am 29.10.2026
8. Organisation Spam: E-Mail-Müll im Internet. Verbraucherzentrale Bundesverband, verbraucherzentrale.de. Stand 19.12.2022. abgerufen am 29.10.2026
9. Organisation E-Mail und Anti-Spam. Internet-Beschwerdestelle (eco und FSM). Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Passwortdiebstahl durch Phishing. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
11. Organisation Internet-Beschwerdestelle: Startseite. Internet-Beschwerdestelle (eco und FSM). Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.