E-Mail-Marketing-Missbrauch

Domain Spoofing bezeichnet das Vortäuschen einer fremden Domainidentität in digitalen Kommunikations- oder Werbeprozessen. Der Begriff wird in mehreren technischen Zusammenhängen verwendet: Im E-Mail-Verkehr kann eine Nachricht eine fremde Absenderdomain behaupten; im programmatischen Anzeigenhandel kann ein Anbieter fälschlich angeben, Werbeinventar einer bekannten Website zu verkaufen. Beide Verfahren beruhen auf einer unzutreffenden Herkunftsangabe, funktionieren technisch jedoch unterschiedlich.

Domain Spoofing ist von der Registrierung einer ähnlich geschriebenen Domain zu unterscheiden. Bei Typosquatting wird eine eigenständige Internetadresse mit verwechslungsfähiger Schreibweise verwendet. Beim Spoofing wird dagegen eine Identität in einem technischen Kommunikationsfeld oder einer Werbeanfrage behauptet, die dem Absender oder Verkäufer nicht zusteht. Für Unternehmen ist die genaue Variante maßgeblich, weil die Schutz- und Meldewege verschieden sind.

Wie funktioniert Domain Spoofing im E-Mail-Verkehr?

Eine E-Mail enthält mehrere Adressinformationen. Besonders sichtbar ist die Absenderangabe im Feld From. Sie soll dem Empfänger vermitteln, von wem die Nachricht stammt. Ohne eine wirksame Authentifizierungsprüfung könnte ein Angreifer versuchen, dort eine fremde Unternehmensdomain anzugeben, obwohl er nicht über die zugehörige Mailinfrastruktur versendet.

Für die Prüfung müssen verschiedene Identitäten auseinandergehalten werden: Der sichtbare Absender kann sich von der technischen Versanddomain und der für Signaturen verwendeten Domain unterscheiden. Eine Nachricht kann zudem über legitime Weiterleitungsdienste laufen. Deshalb reicht ein einfacher Vergleich mit der IP-Adresse des sendenden Servers nicht immer für eine abschließende Bewertung.

Bei einer betrügerischen Nachricht könnten Empfänger beispielsweise zu einer fingierten Rechnung, einer gefälschten Anmeldung oder einer Änderung von Zahlungsdaten aufgefordert werden. Ein solcher Inhalt kann Phishing oder Business Email Compromise unterstützen. Ob der Absender tatsächlich gefälscht war, muss anhand der vollständigen Nachrichtenkopfzeilen und Authentifizierungsergebnisse geprüft werden.

Welche Schutzfunktion haben SPF, DKIM und DMARC?

SPF

Sender Policy Framework (SPF) erlaubt einer Domain, die für bestimmte technische Versandidentitäten zugelassenen Mailserver in DNS-Einträgen festzulegen. Beim Empfang wird geprüft, ob der versendende Server für die maßgebliche SPF-Identität autorisiert ist. Ein bestandener SPF-Test allein beweist nicht, dass die sichtbare From-Adresse unverfälscht ist, denn diese kann eine andere Domain verwenden.

DKIM

DomainKeys Identified Mail (DKIM) versieht bestimmte Nachrichtenbestandteile mit einer kryptografisch prüfbaren Signatur. Der Empfänger kann anhand eines öffentlichen DNS-Schlüssels feststellen, ob die signierten Teile seit der Signatur unverändert geblieben sind und welcher signierenden Domain die Signatur zugeordnet ist. Auch eine gültige DKIM-Signatur kann zu einer anderen Domain gehören als die im sichtbaren From-Feld angegebene.

DMARC

Domain-based Message Authentication, Reporting and Conformance (DMARC) ergänzt SPF und DKIM um die Prüfung, ob eine erfolgreich authentifizierte Domain mit der sichtbaren Absenderdomain nach den geltenden Alignment-Regeln zusammenpasst. Domaininhaber können außerdem eine Richtlinie für den Umgang mit nicht passenden Nachrichten veröffentlichen und aggregierte Berichte erhalten. Richtlinien wie p=reject können Empfängersysteme anweisen, entsprechende Nachrichten zurückzuweisen; die tatsächliche Umsetzung liegt bei den empfangenden Systemen.

Diese Mechanismen erschweren die direkte Absenderfälschung, verhindern aber nicht jede Form von E-Mail-Betrug. Angreifer können beispielsweise eigene täuschend ähnliche Domains registrieren oder zuvor echte Mailkonten übernehmen. Ein bestandenes DMARC-Ergebnis belegt daher keinen vertrauenswürdigen Inhalt der Nachricht.

Wie funktioniert Domain Spoofing im Anzeigenhandel?

Beim programmatischen Anzeigenkauf werden Werbeplätze über technische Gebotsanfragen angeboten. Diese enthalten unter anderem Angaben zur Website oder App, auf der eine Anzeige erscheinen soll. Eine betrügerische Quelle kann versuchen, den Domainnamen eines bekannten Publishers in der Anfrage zu verwenden, obwohl die tatsächliche Auslieferung auf einer anderen Website erfolgt.

Für den Käufer kann dadurch der Eindruck entstehen, eine Anzeige erscheine in einem hochwertigen redaktionellen Umfeld. Ein Preis oder eine Buchungsentscheidung kann sich auf diese falsche Annahme stützen. Die tatsächliche Anzeige kann stattdessen auf einer fremden Domain ausgeliefert oder Teil anderer manipulierter Werbeabläufe sein.

Der vom IAB Tech Lab veröffentlichte Standard ads.txt erlaubt Publishern, die Unternehmen zu benennen, die ihre digitalen Werbeplätze verkaufen dürfen. sellers.json und das SupplyChain Object bieten ergänzende Informationen über beteiligte Verkäufer und Vermittler. Diese Standards dienen der Transparenz, garantieren aber nicht die Echtheit einer einzelnen Impression oder die Qualität sämtlicher Werbeplätze.

Welche Formen von Domainmissbrauch sind zu unterscheiden?

Die ähnliche Bezeichnung darf nicht dazu führen, verschiedene Angriffstechniken gleichzusetzen. Beim Domain Hijacking wird die Kontrolle über eine tatsächliche Domain oder ihre Verwaltung unberechtigt verändert. Bei DNS Hijacking werden DNS-Auflösungen oder entsprechende Einstellungen manipuliert. Beim URL Spoofing steht die irreführende Darstellung einer Webadresse im Vordergrund.

Auch gefälschte Unternehmenswebsites, Lookalike-Domains und unberechtigte Markenverwendungen können parallel auftreten. Eine Domain, die optisch an eine bekannte Marke erinnert, beweist für sich allerdings noch keine Markenverletzung. Die konkrete Benutzung, das geschützte Zeichen und eine mögliche Verwechslungsgefahr müssen getrennt beurteilt werden.

Welche Folgen können Unternehmen treffen?

Im E-Mail-Verkehr können Kunden auf fingierte Zahlungsaufforderungen reagieren oder Zugangsdaten an Betrüger übermitteln. Das Vertrauen in echte Unternehmensnachrichten kann leiden, auch wenn die eigentliche Mailinfrastruktur des Unternehmens nicht kompromittiert wurde. Werden dagegen tatsächlich interne Postfächer übernommen, liegt eine andere technische Ursache vor, die zusätzlich untersucht werden muss.

Im Anzeigenhandel können Werbetreibende für ein Umfeld bezahlen, das sie nicht erhalten haben. Gleichzeitig kann der Name eines Publishers in missbräuchlichen Werbeanfragen auftauchen, obwohl dieser die Auslieferung nicht veranlasst hat. Solche Vorgänge können finanzielle und reputationsbezogene Folgen für verschiedene Parteien haben.

Eine bloße Kundenbeschwerde oder ein einzelner auffälliger Werbebericht reicht nicht aus, um Ursache, Täter oder Schaden zu bestimmen. Die technischen Spuren müssen zur jeweiligen Kommunikationsform passen.

Ein fiktives Beispiel mit zwei unterschiedlichen Angriffen

Ein mittelständischer Händler erhält Hinweise auf E-Mails, die offenbar von seiner Buchhaltung stammen und zu Zahlungen auf ein fremdes Konto auffordern. Die IT untersucht eine Originalnachricht einschließlich Headerdaten und stellt fest, dass keine passende Authentifizierung der sichtbaren Absenderdomain vorliegt. Damit ist eine falsche Domainbehauptung plausibel. Ob zusätzlich ein echtes Konto kompromittiert wurde, muss separat geprüft werden.

Zur selben Zeit meldet die Marketingabteilung Werbung auf einer Website, die in ihren Berichten unter dem Namen eines bekannten Nachrichtenportals erscheint. Ein Abgleich der Gebotsinformationen mit autorisierten Verkäufern zeigt Unstimmigkeiten. Diese zweite Auffälligkeit gehört zum Werbeinventar und hat keinen unmittelbaren technischen Zusammenhang mit den E-Mails. Beide Fälle dürfen nicht allein aufgrund des gemeinsamen Begriffs „Domain Spoofing“ demselben Akteur zugeschrieben werden.

Woran erkennt man gefälschte Domainidentitäten?

Bei E-Mail-Nachrichten sind vollständige Header, Authentifizierungsberichte und die tatsächlichen verlinkten Ziele besonders aufschlussreich. Anzeigenbetrug verlangt dagegen den Abgleich von Publisher-Domain, Verkäuferidentität, Lieferkette und beobachteter Auslieferung. Ein allgemeines Domain-Monitoring erfasst nur einen Teil solcher Vorgänge.

• E-Mail: Stimmen sichtbare From-Domain, SPF-/DKIM-Ergebnisse und DMARC-Alignment überein?
• Versandkontrolle: Welche Dienste dürfen unter der Unternehmensdomain versenden und sind sie vollständig dokumentiert?
• Werbeinventar: Sind die Verkäufer des betroffenen Publishers über ads.txt autorisiert?
• Transparenzdaten: Lassen sich Verkäufer und Vermittler in sellers.json und SupplyChain-Informationen zuordnen?
• Auslieferung: Gibt es technische Belege dafür, auf welcher Website die Anzeige tatsächlich erschien?
• Verwechslungsgefahr: Wird eine eigene ähnliche Domain oder ein fremder Name als Herkunftsangabe eingesetzt?

Ein fehlgeschlagener SPF-Test kann durch Weiterleitungen oder Konfigurationsfehler entstehen. Eine unvollständige ads.txt-Datei kann auf ein Pflegeproblem hinweisen. Beide Befunde verdienen Aufmerksamkeit, beweisen für sich aber keine absichtliche Täuschung.

Wie wird ein Domain-Spoofing-Verdacht untersucht?

Zunächst wird die Art der Fälschung festgelegt. Bei einer verdächtigen E-Mail sollten Originalnachricht, technische Kopfzeilen, Empfangszeitpunkt und eingebundene Links gesichert werden. Danach werden die eigenen DNS-Einstellungen und die zulässigen Versandwege geprüft. Betroffene Kunden können vor konkreten betrügerischen Nachrichten gewarnt werden, ohne unbelegte Täterzuschreibungen zu verbreiten.

Bei Werbeanfragen werden Gebotsdaten, Publisherkennungen, die dokumentierten Verkäufer und mögliche unabhängige Auslieferungsnachweise gegenübergestellt. Für eine wirtschaftliche Bewertung zählt, welche Anzeigenkontakte tatsächlich bezahlt und ob bereits Korrekturen vorgenommen wurden.

Eine Angriffsquelle kann aus den Daten ersichtlich werden, ohne dass damit die verantwortliche Person identifiziert ist. IP-Adressen, Vermittlerkonten und verwendete Domains können von Dritten missbraucht werden. Relevante Informationen sollten deshalb nachvollziehbar dokumentiert, aber nicht als Beweis einer bestimmten Täterschaft überinterpretiert werden.

Welche Maßnahmen schützen Domain und Markenidentität?

Im E-Mail-Verkehr gehören eine vollständige Erfassung der Versanddienstleister, korrekt eingerichtete SPF- und DKIM-Verfahren sowie eine überwachte DMARC-Richtlinie zum üblichen Schutz. Vor einer restriktiven DMARC-Einstellung sollte überprüft werden, ob legitime Newsletter-, CRM- oder Rechnungsdienste korrekt authentifiziert sind. Andernfalls können echte Nachrichten ausfallen.

Für Werbeinventar sollten Websitebetreiber ihre autorisierten Verkäufer in ads.txt pflegen. Werbetreibende können geeignete Transparenzprüfungen beim Einkauf verwenden. Die Kontrolle ähnlicher Domains sowie die Sicherung von Markenrechten ergänzt diese Maßnahmen bei Identitätsmissbrauch, ersetzt aber keine technischen Authentifizierungsverfahren.

Welche rechtlichen Aspekte sind berührt?

Bei einer Verwendung fremder geschützter Kennzeichen kommen unter den jeweiligen Voraussetzungen § 14 MarkenG und § 15 MarkenG in Betracht. Täuschende geschäftliche Herkunfts- oder Leistungsangaben können gegebenenfalls § 5 UWG betreffen. Bei nachgewiesener Vermögenstäuschung ist eine Prüfung des § 263 StGB denkbar.

Domain Spoofing ist keine eigenständige pauschale Strafnorm. Eine fremde Domain in einem technischen Feld zu verwenden, erfüllt nicht automatisch sämtliche genannten Tatbestände. Die konkrete Handlung, geschützte Rechte und mögliche Schäden müssen festgestellt werden.

Häufige Fragen zu Domain Spoofing

Kann meine Domain als E-Mail-Absender vorgetäuscht werden, ohne dass jemand mein Postfach hackt?

Ja. Die Behauptung einer fremden From-Domain ist technisch von der tatsächlichen Übernahme eines Mailkontos zu unterscheiden.

Verhindert DMARC jede betrügerische E-Mail?

Nein. DMARC erschwert die direkte Fälschung der sichtbaren Absenderdomain, schützt aber nicht vollständig gegen Lookalike-Domains, kompromittierte echte Konten oder betrügerische Inhalte auf legitim authentifizierten Absendern.

Kann ads.txt jede falsche Werbeplatzierung verhindern?

Nein. Der Standard macht autorisierte Verkäufer nachvollziehbarer. Die tatsächliche Auslieferung und die Echtheit einzelner Kontakte benötigen gegebenenfalls zusätzliche Kontrollen.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei gefälschten E-Mails sollten IT-Verantwortliche zunächst die Originalnachrichten sichern und die Domainauthentifizierung prüfen. Bei falschen Werbeplatzangaben sind die beteiligten Werbeplattformen einzubeziehen. BRANDPROTECTIONNOW begleitet Unternehmen als Partner bei der Analyse des Domain- und Markenmissbrauchs, der Dokumentation verdächtiger Nachrichten oder Anzeigen sowie bei geeigneten Melde- und Schutzmaßnahmen. Für die Verletzung einer Unternehmensidentität führt der passende Leistungsbereich zu BRANDPROTECTIONNOW Markenschutz; bei manipuliertem Werbeinventar ist ergänzend der Werbebetrugsschutz einschlägig.

Fachquellen

• RFC 7489 – DMARC: Domainabgleich und Richtlinien zur E-Mail-Authentifizierung.
• RFC 7208 – SPF und RFC 6376 – DKIM: technische Authentifizierungsverfahren.
• IAB Tech Lab – ads.txt / app-ads.txt: autorisierte Verkäufer von Werbeinventar.
• IAB Tech Lab – sellers.json: Transparenz der Verkäufer und Vermittler.
• § 14 MarkenG und § 5 UWG: mögliche rechtliche Einordnung.