E-Mail-Spam ist eine massenhaft und unaufgefordert an eine Vielzahl von Empfängern versendete E-Mail-Nachricht, die ohne deren Einwilligung eintrifft und neben Werbezwecken auch Phishing-E-Mails umfasst.
Auf einen Blick
Absender solcher Nachrichten werden als Spammer bezeichnet; gebräuchliche Synonyme sind Junk-Mail oder schlicht Spam.
Ein einzelner Spam-Versand kann eine sehr große Zahl von Empfängern gleichzeitig erreichen und vergrößert dadurch die Reichweite von Angriffskampagnen erheblich.
Anders als individuell zugestellte Nachrichten setzt E-Mail-Spam nicht auf Einwilligung, sondern auf Streuung an möglichst viele Postfächer.
Was ist E-Mail-Spam?
E-Mail-Spam bezeichnet massenhaft und unaufgefordert versendete Nachrichten, die Empfänger ohne deren Einwilligung erreichen und weit über einzelne Postfächer hinaus verbreitet werden. Neben lästigen Werbenachrichten umfasst diese Massenverteilung auch Phishing-E-Mails, mit denen Angreifer über einen einzigen Versand eine sehr große Zahl von Empfängern gleichzeitig erreichen können. Absender solcher Nachrichten werden als Spammer bezeichnet; gebräuchliche Synonyme sind Junk-Mail oder schlicht Spam. Die Reichweite eines einzelnen Versands vergrößert die Wirkung von Angriffskampagnen erheblich, weil bereits eine geringe Klickrate bei dieser Reichweite eine hohe absolute Trefferzahl ergibt.
Enthalten solche Massennachrichten Phishing-Links und erreichen sie die Postfächer von Mitarbeitern eines Versicherers, gelangen diese Links in dessen IT-Umgebung und schaffen damit einen möglichen Ausgangspunkt für Folgeangriffe auf Vertrags- und Kundensysteme. Ein angeklickter Link kann je nach betroffenem System den Zugriff auf Vertrags- oder Kundendaten gefährden, sofern der Angriff nicht durch Filter oder Schulung abgefangen wird. Wie stark sich ein solcher Vorfall auswirkt, hängt außerdem davon ab, welche Postfächer die Nachricht erreicht und welche Berechtigungen mit dem jeweiligen Konto verbunden sind.
Wie funktioniert E-Mail-Spam?
E-Mail-Spam entsteht durch automatisierten Massenversand an große, gekaufte oder gesammelte Adresslisten, ohne dass die Empfänger dem vorher zugestimmt haben. Empfängeradressen stammen etwa aus offen zugänglichen Quellen, aus Datenlecks oder aus automatisiertem Absuchen von Webseiten, oder sie werden laut BSI aus häufig vorkommenden Kombinationen zusammengesetzt; die gesammelten Adressen werden anschließend über Versandinfrastruktur mit hohem Durchsatz an ein breites Zielpublikum verteilt. Weil ein einzelner Versand sehr viele Empfänger gleichzeitig erreichen kann, genügt schon eine geringe Reaktionsquote, damit sich der Aufwand für den Spammer lohnt.
Enthält die Nachricht zusätzlich einen Link oder Anhang, wird der Massenversand zum Träger für Phishing: Folgt ein Empfänger dem Link, kann dies eine Weiterleitung auf eine gefälschte Anmeldeseite auslösen. E-Mail-Anbieter setzen Filter ein, die verdächtige Muster im Versandverhalten und im Nachrichteninhalt erkennen und einen Teil der Nachrichten aussortieren, bevor sie das Postfach erreichen. Ob eine einzelne Nachricht diesen Filter passiert, hängt vom Zusammenspiel aus Absenderreputation, technischer Authentifizierung und Nachrichteninhalt ab.
E-Mail-Spam im Vergleich
| Kriterium | E-Mail-Spam | Spam |
|---|---|---|
| Kanal | beschränkt sich in einer engeren Begriffsverwendung auf den Versand per E-Mail | umfasst als Oberbegriff auch andere Kanäle wie SMS, Anrufe oder Social-Media-Nachrichten |
| Rolle als Angriffsvektor | dient als Einfallstor für Phishing-Links, wenn die Nachricht einen Link enthält | kann als Oberbegriff kanalunabhängig ebenfalls als Angriffsvektor dienen, wenn er zur Verbreitung anderer Bedrohungen genutzt wird |
| Technische Prüfung | lässt sich über E-Mail-spezifische Mechanismen wie Spamfilter, Absenderprüfung und Blocklisten eingrenzen | braucht als Oberbegriff je nach Kanal jeweils eigene Schutzmechanismen |
| Gängige Verwendung des Begriffs | wird im Alltag teilweise synonym zu Spam verwendet, wenn erkennbar E-Mail gemeint ist | wird als Sammelbegriff auch dort verwendet, wo der Kanal offenbleibt |
Woran erkenne ich E-Mail-Spam?
| Signal | Woran erkennbar |
|---|---|
| Nachricht kam ohne vorherige Anmeldung oder Kontakt | Kein bestehendes Kundenverhältnis oder keine Einwilligung zum Erhalt der Nachricht |
| Massenhafter, unpersönlicher Absendestil | Gleiche oder sehr ähnliche Nachricht erreicht viele Empfänger gleichzeitig |
| Nachricht enthält Links oder Anhänge ohne fachlichen Bezug | Kein Zusammenhang mit einem laufenden Vorgang erkennbar |
| Absenderadresse wirkt generisch oder gefälscht | Domain passt nicht zum vorgegebenen Absender |
Schutz im Ernstfall
Vorbeugen
- Spamfilter aktiviert halten und dessen Meldungen auswerten
- E-Mail-Adresse nicht ungeschützt öffentlich preisgeben
- Vor dem Eintragen der E-Mail-Adresse in Teilnahmeformulare, etwa bei Gewinnspielen, das Kleingedruckte lesen
- Links oder Anhänge in unerwarteten Nachrichten nicht öffnen
Was tun im Ernstfall
- Nachricht nicht beantworten und nicht auf enthaltene Links klicken
- Nachricht als Spam markieren oder beim E-Mail-Anbieter melden
- Bereits geöffneten Anhang oder Link dem zuständigen IT-Bereich melden
- System bei Verdacht auf Infektion prüfen lassen, bevor es weiter genutzt wird
Beispiele aus der Praxis
- Laut ENISA wurden massenhaft Spam-E-Mails mit angehängten Dokumenten verschickt, deren Makro nach dem Aktivieren versuchte, den Emotet-Trojaner nachzuladen.
- Angreifer versenden massenhaft Spam-E-Mails, die als Paketbenachrichtigung getarnt sind und auf eine Phishing-Seite zur Eingabe von Kreditkartendaten weiterleiten.
- Buchhaltungsmitarbeitende erhalten massenhaft versendete Phishing-E-Mails, die scheinbar von einem bekannten Dienstleister stammen und zur Eingabe von Zugangsdaten auf einer gefälschten Seite auffordern.
- Erreichen massenhafte Spam-E-Mails mit Phishing-Links die Postfächer eines Versicherers, können sie Folgeangriffe auf dessen Vertrags- und Kundensysteme ermöglichen.
Die Varianten im Detail (1)
E-Mail-Spamming E-Mail-Spamming bezeichnet den massenhaften Versand unerwünschter E-Mails.
Der Begriff hebt den Vorgang des Versendens hervor, während E-Mail-Spam eher die einzelne Nachricht benennt. Er wird verwendet, wenn die Versandpraxis der Absender, etwa über automatisierte Systeme, beschrieben wird.
Häufiger Irrtum
Mythos „E-Mail-Spam ist nur lästige Werbung ohne echtes Sicherheitsrisiko.“
Richtig Laut BSI gibt es auch Spam-Arten, die nicht nur lästig, sondern auch gefährlich sind: Spam umfasst auch Phishing-E-Mails, mit denen Cyber-Kriminelle nach Passwörtern und anderen persönlichen Informationen fischen.
