Wer selbst eine Website betreibt oder ein Firmen-Postfach betreut, kennt das Problem: Spam taucht praktisch überall auf. In Kommentar-Feldern, Kontaktformularen, oder einfach nur, wenn eine E-Mail Adresse auf der Website steht.
Auch bei neuen Inhalten geht es meist wenige Stunden bevor die Angriffsversuche starten. Warum ist das eigentlich so?
Der Grund ist simpel: Es lohnt sich
Spam existiert, weil es funktioniert. Selbst wenn sich lediglich ein kleiner Prozentsatz des Spams irgendwie auszahlt, kann sich der Aufwand bereits lohnen. Fürs Verständnis ist wichtig: Der Aufwand für Spam ist in den meisten Fällen verschwindend klein. Die Angriffsfläche skalieren wir auf Millionen von Websites hoch. Nun braucht es (prozentual) nicht viel Erfolg, damit es sich lohnt. Der Aufwand ist minimal, der mögliche Gewinn aber hoch.
Wichtige Faktoren sind auch schlecht geschützte Websites und Standardkonfigurationen. So stellen die Websites einfache Ziele dar.
Wie funktioniert Spam technisch?
Bots durchforsten das Internet voll automatisiert. Sie besuchen Websites und suchen systematisch nach Angriffsstellen. Dabei geht es um Quantität vor Qualität. Die Bots sind nicht sonderlich ausgereift. Trotzdem gibt es genug Opfer.
Typische Orte für Spam
Spam tritt überall da auf, wo es direkte Möglichkeiten gibt, fragwürdige Inhalte zu verbreiten:
Kommentar-Felder
Die Kommentarspalte in Blogs sind ein klassisches Ziel seitdem es Blogs gibt. Voll automatisiert posten Bots links zu dubiosen Websites, generieren so Backlinks oder leiten Traffic um.
Kontaktformulare
Die Bots füllen Kontaktformulare aus und versenden so fragwürdige Inhalte direkt an die Seiteninhaber*innen. Typische Inhalte sind Werbung, Phishing oder Malware.
Öffentlich sichtbare E-Mail Adressen
Finden Bots E-Mail-Adressen im Klartext auf einer Websites, nehmen sie die Adressen direkt für Spam-Kampagnen auf. Im Fall von grossen Firmen oder sehr offensichtlichen E-Mail-Adressen ist es auch möglich, das Bots mögliche Empfänger-Adressen plump durchprobieren.
Mögliche Lösungen (oder Massnahmen)
Ganz verhindern lässt sich Spam leider nie. Die Angreifer*innen hinken den neusten Sicherheitsmassnahmen immer etwas nach. Aber auch auf dieser Seite ist der technische Fortschritt präsent.
Für viele Anwendungsfälle gibt es aber Massnahmen, um Spam stark zu reduzieren:
CAPTCHAs einsetzen
CAPTCHAs sind Mechanismen für die Unterscheidung von Mensch und Maschine. Mit verschiedensten Rätseln versuchen die Anbieter, Computer auzuschliessen.
Wer schon etwas länger im Web unterwegs ist, ist es vielleicht aufgefallen: Über die Jahre wurden die Rätsel immer schwieriger zu lösen. Mittlerweile passiert es mir immer öfters, dass ich überfordert bin. Zum Beispiel sind die Ziffern nicht erkennbar oder ich muss lange nachdenken, bevor ich verstehe, was zu tun ist.
Für was steht die Abkürzung CAPTCHA?
Auf Englisch: Completely Automated Public Turing test to tell Computers and Humans Apart
Auf Deutsch ungefähr: Komplett automatisierter und öffentlicher Turing-Test für die Unterscheidung von Computer und Mensch
Meine persönlichen Erfahrungen mit CAPTCHA machen uns direkt auf eine grosse Hürde Aufmerksam: Die Barrierefreiheit bzw. eine möglichst barrierearme Lösung für CAPTCHAs existiert nicht immer.
Honeypot-Felder
Bei Honeypot-Feldern handelt es sich um für Menschen direkt unsichtbare Felder im Formular. Automatisierte Mechanismen erkennen aber nicht, dass es Fallen sind. Die Bots füllen die Felder wie gewohnt aus. Menschen füllen die Felder aber nicht aus. Honeypots sind einfacher und lange effizienter Ansatz gegen Spam.
Spam-Filter nutzen
Plugins wie Aksimet (WordPress) oder serverseitiges Filter können viele Spam-Inhalte erkennen. Kommt Spam von der Website her, gibt es verschiedene Stellen, wo Systeme Spam filtern können.
Insbesondere grosse Anbieter wie Google, Microsoft oder Mailchimp sind darin schon recht gut. Weiter lernen viele Anbieter auch mit, sofern wir Mails explizit als Spam markieren.
E-Mail-Adressen schützen
Insbesondere persönliche E-Mail-Adressen solltest du nie öffentlich und ohne jegliche Schutzmassnahmen publizieren. Es gibt verschiedenste Möglichkeiten, E-Mail-Adressen zu schützen. Grundsätzlich gilt, veröffentliche eine E-Mail-Adresse nur, wenn es unbedingt nötig ist. Oftmals stellt ein Kontaktformular eine Alternative dar. Falls es unbedingt eine E-Mail-Adresse sin muss, schütze sie: Beispielsweise kann eine Adresse über Javascript geschützt oder als Bild hinterlegt werden. Reicht der Schutz nicht aus, müssen wohl oder über Spam-Filter herhalten.
Fazit
Spam ist nichts Neues und wird uns noch lange begleiten. Umso mehr Relevanz deine Website hat, je eher ist sie das Ziel von Angriffen. Versuche immer möglichst auf dem gesamten Weg vom der Website bis hin zu deinem Postfach alle möglichen Massnahmen einzuführen.
