In den letzten Jahren wird die Mailabuse-Technik des 'List-Bombing', auch 'E-Mail-Bombe' genannt, immer häufiger eingesetzt.

Jedes Unternehmen, das über Webformulare E-Mail-Adressen erfasst, ist ein potenzielles Ziel für List-Bombing. Eine Attacke dieser Art kann Ihre Zustellraten beeinträchtigen und Folgendes nach sich ziehen:

• Spambeschwerden
• Platzierung Ihrer E-Mails im Junk-Ordner
• Ihre vollständige Blockierung durch E-Mail-Dienstanbieter

Dieser Artikel beschreibt, wie eine solche Attacke funktioniert, warum sie möglich ist und was Sie tun können, um Ihr Unternehmen zu schützen.

Ein List-Bombing stellt eine automatisierte Attacke dar, bei der eine einzelne gültige E-Mail-Adresse gleichzeitig in die Registrierungsformulare hunderttausender Websites eingegeben wird. In Folge wird die Adresse des Opfers mit E-Mails überschwemmt; seine Mailbox wird unbrauchbar gemacht.

Folgende Symptome weisen auf eine Attacke hin:

• Ein unerwarteter und substanzieller Anstieg an Registrierungsanfragen oder neuen Abonnenten

Wenn Sie beispielsweise üblicherweise an einem Tag bis zu 200 neue Abonnenten haben und plötzlich täglich über 2000 Neuregistrierungen anfallen, kann das ein Zeichen für eine Attacke sein.

• Eine plötzlich andere Audience

Nehmen wir an, Ihr Unternehmensstandort ist Deutschland und Sie haben überwiegend europäische Mailboxen in Ihrer Liste; wenn Sie nun plötzlich Registrierungsanfragen aus völlig anderen geografischen Regionen erhalten, sollte Sie das misstrauisch machen.

• Mehrere Anfragen von derselben IP

Ein Nutzer, der mehrere Anfragen für verschiedene oder eine einzelne Mailbox sendet, könnte ein Bot sein.

• Ein heftiger Anstieg bei Beschwerden und Bounces

Das ist ein guter Indikator dafür, dass etwas schiefläuft.

Reale Beispiele für 'Registrierungsbomben' enthält dieser Spamhaus-Artikel.

Für eine List-Bombing-Attacke gibt es mehrere mögliche Gründe:

• Sie soll das Opfer von wichtigen Benachrichtigungen ablenken. Unter den vielen tausenden unerwünschten E-Mails könnten zum Beispiel Versuche zur Passwort-Wiederherstellung, nicht autorisisierte Banktransaktionen oder Online-Bestellungen sowie andere wichtige Benachrichtigungen versteckt sein. In diesen Fällen dient die Attacke dazu, einen Hacking-Versuch zu verschleiern.
• Die Attacke kann zum Vergnügen, um das Opfer zu ärgern oder sich an ihm zu rächen, sowie aus anderen niederträchtigen Motiven heraus erfolgen.
• Sie kann auch für die Verteilung von Spam verwendet werden. Wenn das Webformular Namen oder Nachnamen erfasst, können diese Felder mit Spam-Text und Phishing-Websites gefüllt werden, die dann später in der Personalisierung Ihrer E-Mails verwendet werden, etwa in Double Opt-in Mails (DOI-Mails), Willkommen-Mails und sogar Marketing-Mails (mangels Opt-in).

In den letzten Jahren haben ISPs gelernt, einfache Attacken sehr effektiv abzuwehren; andererseits werden aber auch die Spammer immer besser.

E-Mails von unbekannten IPs und irgendwelchen Domains senden - das funktioniert nicht mehr. Deshalb suchen Spammer nach einer Möglichkeit, eine gültige E-Mail-Infrastruktur mit einer gut eingeführten Reputation zu verwenden.

Schädliche Skripts durchstöbern das Web auf der Suche nach nicht geschützten Websites (ohne CAPTCHA- und Double Opt-in-Lösungen), deren Formulare sie nutzen können. Registrierungsformulare triggern üblicherweise transaktionale E-Mails, die eine bessere Reputation haben und so die verschiedenen Filter besser umgehen können. Zudem werden sie oft mit höherer Priorität gesendet und haben bessere Zustellraten. Daraus folgt, dass diese Art von Attacke eine viel größere Chance hat, in der Inbox zu landen. Es ist immer schwer, zwischen einer gültigen DOI-Mail und einer unerwünschten E-Mail zu unterscheiden - daher kann eine Attacke aus einer einzelnen Quelle häufig für Tage ungehindert fortgesetzt werden.

Tatsächlich hat eine List-Bombing-Attacke drei Opfer:

• Den Empfänger - die betroffene Mailbox wird unbrauchbar oder der Mailserver des Empfängers ist überlastet.
• Den Sender - hohe Spam- oder Bounce-Raten beschädigen die Senderreputation. Das kann zur Blockierung durch Spamhaus (oder andere öffentliche Blocklists) führen, was wiederum bedeutet, dass keine E-Mails zugestellt werden oder die Zustellung extrem erschwert wird; zudem kann es zu rechtlichen Schwierigkeiten führen, weil das Newsletter Opt-in nicht rechtskonform ist (schließlich enthält Ihre Datenbank Kontakte, die davon nichts wissen und keine Newsletter erhalten sollten).
• Den E-Mail-Dienstanbieter (ESP) - das Blocklisting von Sender-IPs oder sogar kompletten IP-Bereichen macht es dem ESP grundsätzlich schwerer, E-Mails zu versenden - auch für andere Kunden.

Auch wenn der Sender nicht der Initiator der E-Mail-Bombe ist, werden Mailbox-Anbieter trotzdem sowohl den Sender als auch den E-Mail-Dienstanbieter dafür verantwortlich machen; weil diese ihre Infrastruktur nicht schützen konnten, leisten sie quasi Beihilfe zur Attacke. Um ihr Netzwerk und ihre Reputation zu schützen, müssen E-Mail-Dienstanbieter präventive Schritte setzen und so verhindern, Opfer einer solchen Attacke zu werden.

Verfallen Sie nicht in Panik und beginnen Sie sofort mit der Problemlösung.

1. Finden Sie heraus, welches Webformular missbraucht wird, ebenso wie den Zeitrahmen der Attacke. Das List-Bombing kann von Ihnen unbemerkt schon vor Tagen oder sogar Wochen begonnen haben.
2. Nehmen Sie das Formular offline und implementieren Sie die beschriebenen Maßnahmen.
3. Stellen Sie das Formular wieder online und beobachten Sie es weiterhin.
4. Identifizieren Sie die Kontakte, die durch Bots zu Ihrer Liste hinzugefügt wurden, und entfernen oder blockieren Sie diese.

Ein List-Bombing hat negative Auswirkungen auf den Ruf Ihres Unternehmens und Ihre Senderreputation sowie die Inbox-Platzierung und Zustellbarkeit Ihrer E-Mails. Glücklicherweise genügen einige wenige einfache Maßnahmen, um Ihre Website zu schützen und eine aktuelle Attacke zu stoppen. Seien Sie vorbereitet und lassen Sie sich von niemandem in eine Cyberattacke hineinziehen!