Postfach übernommen oder Spam von Ihrer Adresse: so räumen Sie auf
Erhalten Sie plötzlich viele Fehlermeldungen (Bounces) über Mails, die Sie nie versendet haben, sagen Kunden, dass sie seltsame Mails von Ihnen erhalten, oder haben wir gemeldet, dass Spam von Ihrer Adresse verschickt wird? Dann hatte jemand tatsächlich Zugriff auf Ihre Mailbox, oder jemand verwendet nur Ihre Adresse als Absender. Bestimmen Sie zunächst, um welchen der beiden Fälle es sich handelt, denn die Vorgehensweise ist völlig unterschiedlich.
Zuerst bestimmen: übernommen oder gefälscht?
| Was sehen Sie? | Übernommene Mailbox | Gefälschter Absender |
|---|---|---|
| Steht die Mail in Ihrem Ordner Gesendet oder unter E-Mail Verwendung in DirectAdmin? | Ja | Nein |
| Spalte Gesendet bei E-Mail Konten | Deutlich höher als normal | Normal |
| Meldung, dass das Sendelimit erreicht wurde, oder Nachricht von uns | Häufig | Nein |
| Eine Weiterleitung, ein Filter oder eine automatische Antwort, die Sie nicht kennen | Möglich | Nein |
| Bounces zu Mails an unbekannte Adressen | Möglich | Ja, oft sehr viele |
Wie Sie E-Mail Verwendung und die Spalte Gesendet einsehen, lesen Sie unter Sendelimits und die Meldung 'message limit reached'.
Gefälschter Absender: niemand hatte Zugriff auf Ihre Mailbox
Eine Absenderadresse ist einfach nur Text. Ein Spammer kann über seinen eigenen Server Mails mit Ihrer Adresse als Absender versenden, ohne jemals Zugriff auf Ihre Mailbox zu haben. Das nennt man Spoofing. Weist der Empfänger diese Mail ab, geht die Fehlermeldung an die Adresse, die darin stand: an Sie.
- Ihr Passwort zu ändern hilft hier nicht, da niemand es hatte.
- Der echte Schutz ist DMARC. Damit bitten Sie andere Mailserver, gefälschte Mails in Ihrem Namen abzuweisen. Steht Ihr DMARC-Eintrag bereits auf
p=quarantineoderp=reject, lassen Sie das so stehen. Steht er aufp=none, schützt er noch nicht. Lesen Sie Was ist DMARC? Erklärung in einfachen Worten und DMARC einrichten. - Verwerfen Sie die Fehlermeldungen. Meistens hört eine solche Welle nach ein paar Tagen von selbst auf.
Übernommene Mailbox: so räumen Sie auf
Hat jemand das Passwort Ihrer Mailbox, versendet er tatsächlich Mails über unseren Server, als wäre er Sie. Tun Sie dies sofort, in dieser Reihenfolge:
- Arbeiten Sie von einem sauberen Gerät aus. Haben Sie einen Anhang geöffnet oder etwas installiert, ändern Sie die Passwörter auf einem anderen Gerät und scannen Sie das erste auf Viren. Klicken Sie nicht auf Links aus der verdächtigen Mail.
- Ändern Sie das Passwort der Mailbox in DirectAdmin, siehe Das Passwort einer E-Mail-Adresse ändern. Das alte Passwort funktioniert danach sofort nicht mehr. Wählen Sie ein neues Passwort mit mindestens 15 Zeichen, oder eine Passphrase aus fünf oder sechs zufälligen Wörtern, erstellt von einem Passwortmanager. Siehe Sichere Passwörter und was Sie bei einem geleakten Passwort tun.
- Tragen Sie das neue Passwort auf allen Ihren Geräten ein. Ein Gerät, das weiterhin das alte Passwort versucht, kann dazu führen, dass Ihre IP-Adresse blockiert wird, siehe Bin ich blockiert? Ihre IP-Adresse selbst freigeben.
- Suchen Sie nach Hintertüren. Ein Angreifer richtet gerne eine Regel ein, die Mails an seine eigene Adresse weiterleitet oder Mails Ihrer Bank sofort löscht. Entfernen Sie an diesen Stellen alles, was Sie nicht selbst erstellt haben:
- Weiterleitungen in DirectAdmin, und den Reiter Weiterleitungen in Mein WebOké (E-Mail- und Domainweiterleitungen);
- Autoresponder und Abwesenheitsnachrichten;
- die Filter in den Einstellungen des Webmails (Webmail öffnen), und die Regeln in Ihrem Mailprogramm;
- eine andere Antwortadresse in den Einstellungen Ihres Webmails oder Mailprogramms.
- Prüfen Sie Ihre anderen Konten. Haben Sie dasselbe Passwort anderswo verwendet, ändern Sie es auch dort. Beginnen Sie mit Mein WebOké: ein neues Passwort dort meldet Sie auf allen anderen Geräten ab (Passwort einrichten, ändern oder vergessen). Prüfen Sie anschließend die aktiven Sitzungen und melden Sie ab, was Sie nicht erkennen. Für DirectAdmin stehen die Schritte im Artikel über sichere Passwörter oben, für Nextcloud in Geräte und Sitzungen einsehen, widerrufen oder aus der Ferne löschen, wo Sie auch App-Passwörter widerrufen.
- Nehmen Sie Kontakt mit uns auf über ein Ticket im Supportcenter. Wird von einer Mailbox Spam verschickt, können wir das Versenden vorübergehend blockieren, um Sie und die anderen Kunden auf dem Server zu schützen. Ändern Sie zuerst das Passwort; danach prüfen wir gemeinsam, ob die Mailbox wieder sicher ist und ob der Server auf einer Blacklist steht.
- Begrenzen Sie den Schaden für das nächste Mal. Geben Sie der Mailbox ein eigenes tägliches Sendelimit mit Limits ändern, siehe Passwort oder Limits einer E-Mail-Adresse ändern.
- Warnen Sie Ihre Kontakte, besonders wenn es um Rechnungen oder Zahlungen ging. Standen personenbezogene Daten von Kunden in der Mailbox, prüfen Sie, ob Sie eine Datenschutzverletzung bei der Autoriteit Persoonsgegevens melden müssen.
- Melden Sie die Phishing-Mail, mit der es begann, beim Fraudehelpdesk: leiten Sie sie am besten als Anhang weiter an valse-email@fraudehelpdesk.nl, so bleiben die technischen Daten erhalten. Eine SMS oder WhatsApp-Nachricht melden Sie über das Meldeformular. Haben Sie Geld verloren, erstatten Sie zusätzlich Anzeige bei der Polizei.
Wie kam jemand an Ihr Passwort?
Meistens durch Phishing: eine gefälschte Mail mit einem Link zu einer nachgebildeten Anmeldeseite, zum Beispiel "Ihre Mailbox ist voll". Wie Sie das erkennen, lesen Sie unter Phishing erkennen: so lesen Sie einen Link und einen Absender. Andere Ursachen: ein Passwort, das Sie auch bei einer geleakten Website verwendet haben, ein kurzes Passwort oder ein Virus. Ein Passwortmanager erstellt für jede Mailbox ein langes, einzigartiges Passwort, siehe Passwortmanager und Passkeys: so regeln Sie Ihr Anmelden sicher.
Versendet Ihre Website den Spam, oder möchten Sie mehr Erklärungen? Lesen Sie Was tun, wenn Ihre E-Mail-Adresse missbraucht wurde.