Passwörter und eine missbrauchte E-Mail-Adresse: gehackt oder gefälscht?

Modul 3: Ihr Postfach verwalten · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie Ihr Postfach gut absichern, den Unterschied zwischen einem gefälschten Absender und einem übernommenen Postfach erkennen und bei beidem die richtigen Schritte unternehmen.

Kernbegriffe: sicheres Passwort, Passphrase, Passwort-Manager, Wiederverwendung, Datenleck, Brute Force, IP-Sperre, Zwei-Faktor-Authentifizierung, App-Passwort, Phishing, Spoofing (gefälschter Absender), Backscatter, übernommenes Postfach, verdächtige Regeln und Weiterleitungen, Versandlimit

Zwei Arten von "meine Adresse versendet Spam"

Fast jeder Administrator hört es irgendwann: "von meiner Adresse geht Spam aus". Dafür gibt es zwei ganz unterschiedliche Ursachen, und die Vorgehensweise unterscheidet sich.

1. Fälschung (Spoofing): niemand war in Ihrem Postfach

Eine Absenderadresse ist einfach nur Text. Jeder kann eine Mail mit Von: info@example.com versenden, über seinen eigenen Server, ohne jemals in Ihr Postfach zu gelangen. Das nennt man Spoofing.

So erkennen Sie es:

• Sie erhalten plötzlich Dutzende oder Hunderte Bounces zu Mails, die Sie nie versendet haben, oft an unbekannte Adressen. Das ist Backscatter: Die Empfänger haben die gefälschte Mail abgelehnt und die Fehlermeldung an die darin angegebene Adresse geschickt, also an Sie.
• In Ihrem eigenen Ordner Gesendet steht nichts.
• In den Protokollen Ihres Mailservers (bei vielen Panels eine Funktion wie "E-Mail-Verfolgung") sehen Sie diese Nachrichten nicht als ausgehende Mail.
• In den Headern einer solchen zurückgeschickten Mail (Lektion 1.5) steht eine Received-Zeile von einem Server, der nicht Ihnen gehört.

Das Ändern Ihres Passworts hilft hier nicht: Niemand hatte es. Was wirklich hilft, ist DMARC (Lektion 4.4). Mit p=quarantine oder p=reject teilen Sie Empfängern mit, dass sie Mail, die nicht durch Ihr SPF oder DKIM kommt, aussondern oder ablehnen sollen. Dann kommt die gefälschte Mail seltener an, und es werden auch weniger Menschen mit Ihrem Namen betrogen. Die Bounces hören meist nach ein paar Tagen von selbst auf; Sie können sie löschen.

2. Ein übernommenes Postfach: jemand hat Ihr Passwort

Hat jemand Ihr Passwort, meldet er sich bei Ihrem Server an und versendet tatsächlich Spam über Ihr Postfach. Das ist deutlich schwerwiegender: Der Spam kommt von einem vertrauenswürdigen Server mit Ihrem gültigen SPF und DKIM, also kommt er oft an. Und der Server verliert seinen guten Ruf (Lektion 5.2).

So erkennen Sie es:

• Im Protokoll des Servers sehen Sie ausgehende Mail, die Sie nicht versendet haben, oft in großer Zahl.
• Die Anzahl der versendeten Nachrichten Ihres Postfachs ist viel höher als üblich, oder Sie erreichen plötzlich das Versandlimit.
• Ihr Provider meldet es oder blockiert den Versand.
• In Ihrem Postfach befinden sich Dinge, die Sie nicht kennen: eine Weiterleitungsregel an eine unbekannte Adresse, ein Filter, der bestimmte Mail (zum Beispiel von Ihrer Bank oder Ihrem Provider) sofort in den Papierkorb verschiebt, eine andere Antwortadresse (Reply-To) in Ihren Einstellungen oder eine Abwesenheitsnachricht.

Solche Regeln sind ein bekannter Trick. Ein Angreifer, der Ihr Postfach übernimmt, möchte oft lange unbemerkt mitlesen, zum Beispiel um im richtigen Moment eine gefälschte Rechnung mit einer anderen Kontonummer zu versenden. Eine Weiterleitungsregel an seine eigene Adresse funktioniert weiter, auch wenn Sie Ihr Passwort geändert haben.

Wie kommt jemand an Ihr Passwort?

• Phishing: eine gefälschte Mail mit einem Link zu einer nachgebauten Anmeldeseite ("Ihr Postfach ist voll, melden Sie sich hier an"). Die häufigste Ursache.
• Wiederverwendung: Sie verwenden dasselbe Passwort auch bei einem Onlineshop oder Forum, und das wird gehackt. Die gestohlenen Kombinationen aus E-Mail-Adresse und Passwort werden danach automatisch bei Mailservern ausprobiert. Mit Diensten wie Have I Been Pwned können Sie nachschauen, ob Ihre Adresse in einem bekannten Datenleck vorkommt.
• Erraten: Kurze oder naheliegende Passwörter (Welkom2026!, der Name des Unternehmens) werden mit Brute Force erraten: Tausende Versuche hintereinander.
• Schadsoftware auf Ihrem Computer, die Passwörter abfängt oder aus Ihrem Browser ausliest.

Ihr Postfach gut absichern

1. Ein langes, einzigartiges Passwort pro Postfach. Länge zählt mehr als ungewöhnliche Zeichen. Eine Passphrase aus vier oder fünf einzelnen Wörtern ist sicher und leicht zu merken. Verwenden Sie sie nirgendwo sonst.
2. Ein Passwort-Manager. Dann müssen Sie sich all diese Passwörter nicht merken, und Wiederverwendung ist nicht mehr nötig.
3. Zwei-Faktor-Authentifizierung wo immer möglich. Bei geschäftlicher Cloud-Mail (Microsoft 365, Google Workspace) und im Kundenpanel Ihres Providers ist das meist möglich. Bei einem gewöhnlichen IMAP-Postfach geht das oft nicht für IMAP und SMTP selbst, weil E-Mail-Programme nur ein Passwort senden. Manche Dienste arbeiten dann mit App-Passwörtern: einem separaten, langen Passwort pro Programm, das Sie widerrufen können, ohne Ihr Hauptpasswort zu ändern.
4. Seien Sie vorsichtig, wo Sie sich anmelden. Geben Sie Ihr Passwort nur in Ihrem eigenen E-Mail-Programm oder auf der echten Adresse Ihres Webmails ein. Ein Provider fragt niemals per Mail nach Ihrem Passwort.
5. Kennen Sie die Absicherung Ihres Servers. Viele Server sperren eine IP-Adresse nach einer Reihe fehlgeschlagener Anmeldeversuche. Das schützt gegen Brute Force, bedeutet aber auch, dass ein altes Gerät mit einem falschen Passwort (ein alter Tablet, ein Drucker, der nach Mail scannt) Ihr gesamtes Büronetzwerk sperren lassen kann.

Was tun Sie bei einem übernommenen Postfach?

Tun Sie dies sofort, in dieser Reihenfolge:

1. Ändern Sie das Passwort im Panel Ihres Providers (nicht über einen Link aus einer Mail). Wählen Sie ein neues, einzigartiges Passwort.
2. Kontrollieren Sie Weiterleitungsregeln, Filter, Aliasse und die Abwesenheitsnachricht, sowohl im Webmail als auch im Panel. Entfernen Sie alles, was Sie nicht selbst eingerichtet haben.
3. Schauen Sie, welche Geräte und Programme sich verbinden, und tragen Sie überall das neue Passwort ein. Ein vergessenes Gerät mit dem alten Passwort kann Ihre IP sperren lassen.
4. Scannen Sie Ihren Computer auf Schadsoftware, vor allem, wenn Sie nicht auf einen Phishing-Link geklickt haben.
5. Ändern Sie das Passwort auch anderswo, wenn Sie es wiederverwendet haben, und auch das Passwort Ihres Kundenpanels, falls dieses identisch war.
6. Melden Sie es Ihrem Provider. Dieser kann sehen, was versendet wurde, die Warteschlange bereinigen und eine Sperre aufheben.
7. Warnen Sie Ihre Kontakte, wenn Mail an sie gegangen ist, besonders bei gefälschten Rechnungen. Ein Datenleck mit personenbezogenen Daten kann nach der DSGVO auch eine Meldung an die Datenschutzaufsichtsbehörde in Ihrem Land erforderlich machen; klären Sie das im Zweifel ab.

Ein übernommenes Postfach kommt selten allein vor. Prüfen Sie auch, ob Ihre Website keinen Spam versendet: ein ungeschütztes Kontaktformular oder ein gehacktes Plugin kann ebenfalls Mail in Ihrem Namen versenden (Lektion 7.3).

In der Praxis: so sieht es in einem Panel aus

In DirectAdmin ändern Sie das Passwort eines Postfachs bei E-Mail-Konten, über die drei Punkte und Passwort/Benutzername ändern; in der Spalte Gesendet sehen Sie, wie viel Mail ein Postfach heute versendet hat. Mit E-Mail-Verfolgung sehen Sie, ob eine Nachricht tatsächlich über den Server versendet wurde. Weiterleitungen finden Sie bei E-Mail-Weiterleitungen, Abwesenheitsnachrichten bei Autoresponder und im Webmail unter Einstellungen. Andere Panels haben vergleichbare Funktionen, oft mit Bezeichnungen wie "Nachrichtenverfolgung", "message trace" oder "Postfachregeln".

Zusammenfassung

• Bounces zu Mail, die Sie nicht versendet haben, ohne etwas im Ordner Gesendet: Fälschung. Dagegen hilft DMARC, nicht ein neues Passwort.
• Echter ausgehender Spam im Serverprotokoll: übernommenes Postfach. Passwort ändern, Regeln und Weiterleitungen kontrollieren, Geräte aktualisieren, Provider informieren.
• Angreifer richten oft eine Weiterleitungsregel oder einen Filter ein, um weiter mitlesen zu können.
• Verwenden Sie ein langes, einzigartiges Passwort pro Postfach, einen Passwort-Manager und, wo möglich, Zwei-Faktor-Authentifizierung oder App-Passwörter.

Quiz

Aufgabe

Aufgabe O3.4: Sicherheitscheck für Ihr Postfach. Gehen Sie Ihr eigenes Postfach durch. Ist das Passwort einzigartig und lang, und ist es in einem Passwort-Manager gespeichert? Suchen Sie Ihre Adresse bei einem Datenleck-Dienst (wie Have I Been Pwned) und notieren Sie, ob sie in einem Leck vorkommt. Kontrollieren Sie im Webmail oder im Panel alle Weiterleitungsregeln, Filter, die Antwortadresse und die Abwesenheitsnachricht. Notieren Sie, welche Geräte das Postfach nutzen. Beantworten Sie danach: Wenn Sie morgen Bounces zu Mail erhalten, die Sie nicht versendet haben, wie finden Sie heraus, ob es Spoofing oder ein Hack ist?

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• DirectAdmin Anleitung 9.6: Was tun, wenn Ihre E-Mail-Adresse missbraucht wird
• DirectAdmin Anleitung 7.2: Das Passwort einer E-Mail-Adresse ändern
• DirectAdmin Anleitung 9.3: E-Mail-Verfolgung: wo ist meine Mail geblieben?
• Wie ändere ich das Passwort oder die Limits meiner E-Mail-Adresse?
• Postfach übernommen oder Spam von Ihrer Adresse: so räumen Sie auf
• NCSC, Hinweise zu Passwörtern und Zwei-Faktor-Authentifizierung (Niederlande): https://www.ncsc.nl