Backscatter: Bounces für E-Mails, die du nicht gesendet hast (was du tun kannst)

Was das bedeutet

Du bekommst viele Meldungen wie „Undelivered Mail Returned to Sender“, „Delivery Status Notification (Failure)“ oder „Unzustellbar“, und zwar für E-Mails, die du nie geschrieben hast. Das nennt man Backscatter.

So kommt es dazu: Ein Spammer verschickt Spam an Tausende Adressen und trägt deine Adresse als Absender ein. Manche empfangenden Server nehmen den Spam zuerst an, stellen dann fest, dass der Empfänger nicht existiert, und schicken einen Bounce an den Absender, der in der Nachricht steht, also an dich. Du bekommst die Bounces, nicht den Spam.

Backscatter ist lästig, heißt aber meist nicht, dass dein Konto gehackt wurde. Das musst du allerdings zuerst prüfen.

Warum das passiert

• Die Absenderadresse in SMTP lässt sich leicht fälschen. Ohne durchgesetztes SPF, DKIM und DMARC kann jeder Server behaupten, für deine Domain zu senden. Spoofing allgemein wird in Gefälschte E-Mails mit deiner Domain behandelt.
• Schlecht konfigurierte empfangende Server nehmen jede Nachricht an und schicken den Bounce später, statt ungültige Empfänger schon während der SMTP-Verbindung abzulehnen.
• Eine Catch-all-Adresse auf deiner Domain empfängt Bounces, die an zufällige, von Spammern erfundene Adressen (xk3h@yourdomain.com) gehen.

So prüfst du es

Backscatter oder gehacktes Konto?

Öffne einen Bounce und schau dir die ursprüngliche Nachricht an, die unten angehängt oder zitiert ist. Lies ihre Received-Header:

• Zeigt die erste Received-Zeile eine IP und einen Server, die nicht dir gehören (unbekanntes Land, privater Anschluss), und gibt es keine gültige DKIM-Signatur für deine Domain, ist es Backscatter.
• Ist die Nachricht wirklich über deinen Mail-Anbieter oder Server rausgegangen (Hostnamen deines Anbieters, deine Anmeldung in den Headern, Kopien in deinem Ordner „Gesendet“), ist dein Konto oder deine Website eventuell kompromittiert. Folge dann stattdessen Gehacktes E-Mail-Konto verschickt Spam.

Prüfe auch die Versandprotokolle oder die Nachrichtenablaufverfolgung deines Anbieters.

Deine Authentifizierung prüfen

Schau deine Domain im Domain-Scanner nach: Hast du einen SPF-Eintrag, der auf -all oder ~all endet, und einen DMARC-Eintrag? Schick einen Test aus deinem echten Postfach an die einmalige Adresse auf der Startseite von Delivmail, um zu bestätigen, dass deine echten E-Mails SPF, DKIM und DMARC bestehen. Prüfe außerdem die IP deines eigenen Servers auf öffentlichen Blacklists: Schickt dein eigener Server Bounces auf Spam, kann er als Backscatter-Quelle gelistet werden.

So behebst du es

Du kannst Spammer nicht daran hindern, deine Adresse einzutragen, aber du kannst verringern, wie viele Server die gefälschten E-Mails annehmen, und die Bounces filtern.

1. Veröffentliche strenge Authentifizierung. Ein korrekter SPF-Eintrag, DKIM auf all deinen echten E-Mails und eine DMARC-Richtlinie, die du auf quarantine und dann auf reject stellst (siehe DMARC sicher auf quarantine oder reject umstellen). Server, die das prüfen, lehnen die gefälschte E-Mail schon während der Verbindung ab, also wird dir kein Bounce geschickt.
2. Entferne die Catch-all-Adresse, wenn du sie nicht brauchst, damit Bounces an erfundene Adressen abgelehnt werden.
3. Filtere die Bounces. Lege eine Regel an, die Bounce-Nachrichten, deren ursprüngliche Nachricht nicht von dir stammt, in einen Ordner verschiebt. In Microsoft 365 kann die erweiterte Spamfilter-Einstellung für NDR-Backscatter sie als Spam markieren:

   Set-HostedContentFilterPolicy -Identity Default -MarkAsSpamNdrBackscatter On

4. Erwäge auf deinem eigenen Server BATV (Bounce Address Tag Validation): Dein Server fügt dem Envelope-Absender echter E-Mails ein signiertes Tag hinzu und lehnt Bounces ab, die kein gültiges Tag tragen.
5. Erzeuge nicht selbst Backscatter. Konfiguriere deinen Server so, dass er unbekannte Empfänger während der SMTP-Verbindung ablehnt, statt anzunehmen und einen Bounce zu schicken. Halte in Postfix local_recipient_maps oder virtual_mailbox_maps vollständig, nutze relay_recipient_maps für weitergeleitete Domains und lass deinen Spamfilter ablehnen statt Bounces zu schicken.

Wellen hören meist nach ein paar Tagen auf, wenn die Spam-Kampagne endet.

Prüfe, ob es behoben ist

Warte nach jeder DNS-Änderung die Verbreitung ab und prüfe deine Einträge erneut im Domain-Scanner. Mach einen neuen Delivmail-Test, um zu bestätigen, dass deine eigenen E-Mails weiterhin DMARC bestehen. Beobachte dann in den nächsten Tagen die Zahl der Bounces; sie sollte sinken. Zeigen Bounces Nachrichten, die wirklich von deinen Systemen gesendet wurden, behandle es als Sicherheitsvorfall.