Hilfe ich bekomme Spam!
In letzter Zeit erreichen mich immer häufiger Kundenanfragen: „Thomas, mein Postfach quillt über, was kann ich gegen den ganzen Spam tun?“ Ich kann dich beruhigen – oder auch nicht: Du bist nicht allein. Auch ich bleibe von diesem Mist nicht verschont. Ganz im Gegenteil, ich kämpfe jeden Tag mit einer ganzen Wagenladung an unerwünschten E-Mails.
Gerade für kleine Unternehmen ist das extrem nervig, weil die Zeit für die wichtigen Dinge fehlt. Damit dein Spamschutz ordentlich funktioniert, schauen wir uns mal an, was wirklich hilft und was du dir sparen kannst.
Obfuscation: E-Mail-Adressen verstecken
Der Klassiker unter den Tipps: Wir verstecken die Adresse einfach vor den bösen Bots. Aber leider ist der Erfolg überschaubar und hat zudem seinen Preis.
Der einfache Weg (deine Besucher zu nerven)
Du kennst das bestimmt: Auf einer Website steht statt der Adresse plötzlich etwas wie info(at)deinedomain(punkt)de. Damit will man die automatische Erkennung durch Spam-Bots verhindern.
Ganz ehrlich: Das nervt deine menschlichen Nutzer deutlich mehr als die Bots. Moderne Spam-Crawler haben diese simplen Schreibweisen längst in ihren Suchmustern. Die werden nicht einmal ausgebremst. Deine Kunden hingegen müssen die Adresse mühsam händisch korrigieren, bevor sie dir schreiben können.
Vergiss diese Idee!
JavaScript, CSS und Bilder
Etwas effektiver wird es, wenn man die E-Mail-Adresse als Bild einfügt, rückwärts schreibt und per CSS umdreht oder sie per JavaScript kodiert. Dann wird sie erst im Browser des Besuchers wieder lesbar zusammengesetzt. Einfache Bots bleiben hier tatsächlich hängen.
Aber: Moderne Crawler nutzen heute oft richtige Browser-Engines, die den Text trotzdem auslesen können statt nur den Quelltext der Seite zu durchsuchen. Zudem schließt du damit oft Screenreader und damit Menschen mit Behinderungen aus. Wer aus Sicherheitsgründen JavaScript deaktiviert hat, sieht deine Adresse gar nicht erst. Das ist uncool und kann im Impressum sogar rechtlich problematisch werden.
Spam-Flut im Postfach?
Weiterer Schutz auf deiner WordPress-Seite
Mit dem Verstecken von E-Mail-Adressen sind nicht alle Maßnahmen gegen Spam direkt auf deiner Website ausgeschöpft. Gerade für kleine Unternehmen gibt es noch eine ziemlich radikale Methode.
Kontaktformulare: Die smarte Lösung
Bei den Formularen auf deiner Website nutze ich am liebsten die von Elementor. Damit habe ich bisher erstaunlich wenig Probleme mit Spam. Zudem kann man sie, sollte man doch Spam-Probleme haben, nachrüsten: Der Trick dabei sind sogenannte Honeypots.
Das sind versteckte Felder im Formular, die für einen echten Menschen unsichtbar sind. Ein Bot hingegen stürzt sich blind auf jedes Feld und füllt es aus. Sobald das Honeypot-Feld befüllt ist, weiß das System: Das war kein Mensch. Die Anfrage landet direkt im Müll, ohne dass deine echten Kunden jemals von nervigen Captchas oder Bilderrätseln genervt werden. Erst wenn eine Website wirklich massiv attackiert wird, müssen wir hier zu härteren Methoden greifen.
Ländersperren: Die rabiate Methode
Das ist eine Methode, die sicher nicht für jeden passt, aber effektiv sein kann. Über spezielle Plugins kannst du Besucher ganze Länder von deiner kompletten Website ausschließen.
Ich als deutschsprachiger Webdesigner rechne eher nicht mit seriösen Anfragen aus China, Russland oder aus Afrika. Deshalb habe ich den Zugriff aus diesen Ländern schlichtweg blockiert. Wenn du natürlich international verkaufst, fällt das flach. Auch die USA oder andere EU-Länder würde ich trotz hoher Spam-Quoten niemals aussperren. Aber für rein lokal agierende kleine Unternehmen ist das oft ein echter Gamechanger im WordPress-Spamschutz.
Aufrufe zu blockieren verbraucht in der Regel zudem weniger Ressourcen deines Webservers: Weniger Daten werden übertragen und es wird keine komplexe Seite gerendert sondern nur ein statisches: Sorry, Zugang verweigert!
Filtern am Mail-Server
Spam direkt auf der Website zu blockieren ist gut, aber nur begrenzt effektiv. Ist deine E-Mail-Adresse einmal in den Fänger der Spammer hilft das oft gar nichts mehr.
Ab da muss dein Mail-Server die lästigen Mails abwehren. Hier können wir die Spreu vom Weizen trennen.
Mail-Server auf SMTP-Ebene
Die meisten guten Hoster haben bereits einen soliden Spam-Filter eingebaut. Oft musst du ihn nur einmal vernünftig aktivieren oder nach deinen Wünschen einstellen.
Ich setze seit Jahren auf Hetzner und empfehle das auch meinen Kunden. Dort hast du für ein paar Euro im Monat nicht nur einen stabilen Webspace, sondern kannst auch festlegen, wie streng der Server filtern soll. Mit Black- und Whitelists kannst du ganze Domains oder sogar Toplevel-Domains (wie z.B. alles, was auf .xyz oder .top endet) pauschal sperren aber auch festlegen wer immer durchgelassen werden soll. So lehnt der Mail-Server schon beim Zustellversuch einen erheblichen Teil des Spams ab.
Ich mache mir hier auch die Mühe Kaltakquise-Absender in die Blacklist einzutragen. Die brauche ich genau so wenig wie kyrillischen Spam und Phishing.
Sieve-Filter: Maßarbeit für dein Postfach
Hier wird es speziell und ein wenig mühsam, aber es lohnt sich. Nicht jeder Anbieter bietet dir die Möglichkeit, mit Sieve eigene Filterregeln direkt auf dem Server zu erstellen. Bei Hetzner ist das sogar über eine relativ verständliche Oberfläche möglich – erlaubt dadurch aber leider keine allzu komplexen Regeln.
In den letzten Monaten sind mir besonders viele Spam-Mails aufgefallen, die über die Server von Google oder Amazon versendet wurden. Da das „Big Player“ sind, winken viele Standard-Spam-Filter diese Mails einfach durch. Gerade Google Mailinglisten haben es seit ein paar Wochen auf mich abgesehen. Da ich die aber gar nicht nutze, habe ich mir eine Sieve-Regel geschrieben, die genau diese Nachrichten erkennt und sofort löscht.
Hast du erst einmal das Schema einer Spam-Welle durchschaut, kannst du so Dutzende Mails am Tag direkt in die Tonne verschieben. Du bekommst sie gar nicht erst zu Gesicht. Das erfordert am Anfang etwas Aufwand, hält dir aber langfristig den Rücken frei.
Externe Dienstleister: Muss das sein?
Natürlich gibt es auch Profis, die nichts anderes machen, als Spam zu bekämpfen. Bekannte Namen sind hier zum Beispiel Barracuda.
Das Prinzip ist einfach: Deine E-Mails werden erst über deren Server geleitet, dort gründlich gescannt und nur die „sauberen“ Nachrichten landen in deinem Postfach. Ich bin bei diesem Thema allerdings skeptisch. Zum einen kostet dieser Service monatlich extra Geld, was gerade für kleine Unternehmen oft unnötig ist. Zum anderen bin ich kein Fan davon, dass noch ein weiterer Dienstleister vollen Zugriff auf den Inhalt meiner E-Mails bekommt. Datenschutz und Kosten stehen hier für mich in keinem guten Verhältnis, solange man die Bordmittel seines Hosters noch nicht voll ausgereizt hat.
Ein ewiger Wettlauf mit den Spammern
Am Ende des Tages ist Spamschutz ein klassisches Katz-und-Maus-Spiel. Es ist ein andauernder Wettkampf zwischen den Spam-Schleudern und uns normalen Menschen, die diesen digitalen Müll einfach nicht in ihrem Postfach haben wollen.
Die perfekte Lösung, die 100% allen Spams abwehrt, gibt es leider nicht – zumindest nicht ohne das Risiko, dass auch mal eine wichtige Kundenmail im Filter hängen bleibt. Man muss hier den gesunden Mittelweg finden: Wie viel Aufwand will ich für die Abwehr betreiben und wie viel „Restrauschen“ im Postfach kann ich ertragen?
Ich persönlich feiere es jedes Mal, wenn ich durch eine geschickte Filterregel eine ganze Spam-Welle eiskalt breche und sehe, wie Dutzende Mails direkt im Nirvana verschwinden, ohne mich bei der Arbeit zu stören. Das spart nicht nur Zeit, sondern schont auch die Nerven.
Mein Tipp für dich: Wenn du merkst, dass der Spam Überhand nimmt, lösch die Nachrichten nicht sofort alle blind. Nur mit genügend Anschauungsmaterial kann ich die Header-Daten analysieren, die Lücken finden und deine Filter so scharf stellen, dass du wieder in Ruhe arbeiten kannst.
