Vor kurzem erhielt ich eine scheinbar harmlose E-Mail von einem Autohändler in Esslingen. Der Inhalt war lediglich eine automatische Eingangsbestätigung für eine Anfrage. Das Kuriose daran: Ich hatte weder eine Anfrage gestellt noch einen Bezug zu dem Vorgang.
Kurze Zeit später folgten weitere Nachrichten. Empfänger fragten, warum sie diese E-Mail erhalten hatten, andere wollten aus dem Verteiler entfernt werden. Aus einer einzelnen Nachricht entwickelte sich innerhalb kurzer Zeit ein sogenannter E-Mail-Sturm.
In diesem Artikel beschreibe ich anhand dieses Beispiels, wie sich ein E-Mail-Sturm erkennen lässt, wie er entsteht und welche Maßnahmen helfen, ohne selbst zur weiteren Eskalation beizutragen.
Die initiale E-Mail
Beim Blick auf die E-Mail-Header fällt auf, dass die Nachricht nicht direkt vom Autohändler an mich, sondern an eine Mail-Gruppe gesendet wurde.
Eine genauere Analyse der Header, beispielsweise mit dem Email Header Analyzer von MXToolbox, zeigt, dass die Nachricht technisch korrekt zugestellt wurde und zunächst keine direkten Anzeichen für Phishing oder Schadsoftware enthält.
Obwohl die E-Mail inhaltlich nicht nach klassischem Spam aussieht, gibt es einige Auffälligkeiten:
- Ich erhielt eine Antwort auf eine Anfrage, die ich nie versendet hatte.
- Empfänger-, Absender- und
Reply-To-Adresse passten nicht zum Inhalt. - Die Nachricht wurde über eine mir unbekannte Google Group beziehungsweise Mailingliste versendet.
Anhand der Received-Header lässt sich nachvollziehen, welchen Weg die Nachricht vom ursprünglichen Absender bis in das eigene Postfach genommen hat.
In E-Mail-Header-Analysetools werden die einzelnen Übergabepunkte (Hops) häufig tabellarisch dargestellt. Zusätzlich können beispielsweise die beteiligten Mailserver und deren IP-Adressen auf bekannte Blacklist-Einträge geprüft werden.
| Hop | From | By | With | Blacklist |
|---|---|---|---|---|
| 1 | FR6P281MB5377.DEUP281.PROD.OUTLOOK.COM fe80::6f04:856e:eed:e62 | FR6P281MB5377.DEUP281.PROD.OUTLOOK.COM fe80::6f04:856e:eed:e62 | mapi | OK |
| 2 | FR6P281MB5377.DEUP281.PROD.OUTLOOK.COM 2603:10a6:d10:1a7::12 | FR5P281MB5447.DEUP281.PROD.OUTLOOK.COM 2603:10a6:d10:1ae::18 | Microsoft SMTP Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384) | OK |
| 3 | mail-germanywestcentralazon11022108.outbound.protection.outlook.com 40.107.149.108 | mx-gate33-hz1 | OK | |
| 4 | mx-relay33-hz1-if1.hornetsecurity.com 94.100.128.43 | mx.google.com | ESMTPS | OK |
| 5 | 2002:a05:600c:63ca:b0:490:482f:65d8 | SMTP | ||
| 6 | mail-wm1-x347.google.com | SMTP | ||
| 7 | mail-wm1-x347.google.com 2a00:1450:4864:20::347 | smtpin.rzone.de | ESMTPS | OK |
In diesem Fall führte der Weg unter anderem über Microsoft 365, Hornet Security und Google bis zum empfangenden Mailserver.
Interessanter sind jedoch die Header, die Informationen über die verwendete Mailingliste enthalten:
| Header Name | Header Value | Bedeutung |
|---|---|---|
Precedence: list | list | Die Nachricht stammt von einer Mailingliste |
Mailing-list | list 7b@gfx4mcd.com; contact 7b+owners@gfx4mcd.com | Identifiziert die verwendete Mailingliste |
List-ID | <7b.gfx4mcd.com> | Eindeutige Kennung der Liste |
X-Google-Group-Id | 3090089275 | Kennung der verwendeten Google Group |
List-Post | <https://groups.google.com/a/gfx4mcd.com/group/7b/post>, <mailto:7b@gfx4mcd.com> | Adresse zum Versenden von Nachrichten an die Liste |
List-Help | <https://support.google.com/a/gfx4mcd.com/bin/topic.py?topic=25838>, <mailto:7b+help@gfx4mcd.com> | Informationen bzw. Kontakt zur Liste |
List-Archive | <https://groups.google.com/a/gfx4mcd.com/group/7b/> | Archiv der Mailingliste |
List-Unsubscribe | <mailto:googlegroups-manage+3090089275+unsubscribe@googlegroups.com>, <https://groups.google.com/a/gfx4mcd.com/group/7b/subscribe> | Möglichkeit zum Austragen aus der Liste |
Damit war klar, dass die Nachricht über eine Google Group beziehungsweise Mailingliste verteilt wurde.
Der E-Mail-Sturm beginnt
Kurze Zeit nach der ersten Nachricht trafen weitere E-Mails ein. Zahlreiche Empfänger reagierten auf die ursprüngliche Nachricht beispielsweise mit:
„Warum bekomme ich diese E-Mail?“
„Bitte nehmen Sie mich aus dem Verteiler.“
„Bitte nicht mehr an alle antworten!“
Genau diese Antworten wurden jedoch erneut über die Mailingliste verteilt und erreichten damit wiederum deren Teilnehmer.
Aus der ursprünglich einzelnen Nachricht entwickelte sich so innerhalb kurzer Zeit ein klassischer E-Mail-Sturm.
Was ist ein E-Mail-Sturm?
Ein E-Mail-Sturm (engl. Mail Storm, Reply Storm oder Reply-All Storm) entsteht, wenn eine Nachricht an einen großen Verteiler oder eine Mailingliste versendet wird und zahlreiche Empfänger darauf antworten. Dabei erfolgt die Antwort beispielsweise über eine entsprechend konfigurierte Reply-To-Adresse oder durch die Funktion „Allen antworten“.
Wird die Antwort anschließend wieder an alle Mitglieder des Verteilers zugestellt, erhalten sämtliche Teilnehmer diese Nachricht. Antworten darauf wiederum weitere Empfänger, entsteht ein sich selbst verstärkender Effekt.
Aus einer einzelnen Nachricht können dadurch innerhalb kurzer Zeit dutzende, hunderte oder sogar tausende E-Mails entstehen.
Ursachen und Symptome
In den meisten Fällen entsteht ein E-Mail-Sturm unbeabsichtigt.
Häufige Ursachen sind:
- Versehentliches Antworten an alle Empfänger
- Fehlkonfigurierte Mailinglisten oder Verteiler
- Import alter oder ungepflegter Verteilerlisten
- Organisatorische Fehler bei der Nutzung von Verteilergruppen
- Absichtlicher Missbrauch zur Störung oder Belästigung
Typischerweise erkennt man einen laufenden E-Mail-Sturm daran, dass innerhalb kurzer Zeit zahlreiche Nachrichten mit ähnlichem Inhalt eintreffen. Das eigentliche Problem besteht darin, dass viele Empfänger versuchen, das Problem durch eine Antwort zu lösen.
Die Aufforderung
„Bitte entfernen Sie mich aus diesem Verteiler.“
klingt zunächst sinnvoll. Wird sie jedoch wieder an den gesamten Verteiler gesendet, erhalten alle Teilnehmer eine weitere Nachricht.
Dadurch verstärken die Empfänger den E-Mail-Sturm unbeabsichtigt selbst.
Eskalation durch automatische Systeme
Besonders problematisch wird ein E-Mail-Sturm, wenn neben menschlichen Empfängern auch automatisierte Systeme auf die Nachrichten reagieren.
Dazu gehören beispielsweise:
- Automatische Abwesenheitsnotizen
- Ticketsysteme
- Monitoring- und Alarmierungssysteme
- Weitere Mailinglisten oder Verteiler
- Automatisierte Workflows und Benachrichtigungssysteme
Antwortet beispielsweise ein Ticketsystem automatisch auf jede eingehende E-Mail und wird diese Antwort wiederum an die Mailingliste verteilt, kann dadurch eine weitere automatische Reaktion ausgelöst werden.
Im ungünstigsten Fall entstehen Schleifen zwischen mehreren Systemen.
Je größer der Verteiler und je mehr automatisierte Systeme beteiligt sind, desto schneller kann sich ein einzelner Fehler zu einer erheblichen Nachrichtenflut entwickeln.
Die Folgen reichen von überfüllten Postfächern über stark belastete Helpdesks bis hin zu einer zusätzlichen Belastung der beteiligten Mail-Infrastruktur.
Böswillig ausgelöste E-Mail-Stürme
Während die meisten E-Mail-Stürme unbeabsichtigt entstehen, können solche Situationen auch gezielt provoziert werden.
In meinem Fall sprach einiges für einen absichtlichen Missbrauch. Die betroffene E-Mail-Adresse wurde von mir nur auf einer einzelnen Plattform verwendet, bei der es in der Vergangenheit zu einem Datenleck gekommen war.
Mögliche Ziele eines absichtlich erzeugten E-Mail-Sturms sind beispielsweise:
- Gezielte Belästigung von Personen oder Organisationen
- Störung des normalen E-Mail-Verkehrs
- Belastung von Postfächern, Mailservern oder Helpdesks
- Überprüfung, welche E-Mail-Adressen tatsächlich aktiv verwendet werden
Gerade der letzte Punkt ist interessant: Antworten Empfänger auf die Nachrichten oder führen andere Aktionen aus, können Angreifer unter Umständen Rückschlüsse darauf ziehen, welche Adressen noch aktiv genutzt werden.
Wie sollte man auf einen E-Mail-Sturm reagieren?
Sobald ein E-Mail-Sturm erkannt wurde, sollte man vor allem vermeiden, selbst zu seiner weiteren Eskalation beizutragen.
Die wichtigste Regel lautet daher:
Nicht auf „Allen antworten“ klicken.
Auch eine gut gemeinte Nachricht mit der Bitte, aus dem Verteiler entfernt zu werden, kann den Sturm weiter verstärken.
Stattdessen kommen unter anderem folgende Maßnahmen infrage:
- Mailingliste beziehungsweise Absender blockieren
- Filterregeln für die betroffenen Nachrichten erstellen
- Nachricht als Spam melden
- Administrator der Mailingliste kontaktieren
- Sich direkt aus der Mailingliste austragen
Welche Maßnahme sinnvoll ist, hängt von der Ursache des E-Mail-Sturms ab.
Bei einer legitimen, aber fehlerhaft konfigurierten Unternehmens-Mailingliste kann beispielsweise die Kontaktaufnahme mit dem Administrator sinnvoll sein.
Handelt es sich dagegen um eine absichtlich missbrauchte Mailingliste, ist dies möglicherweise nicht zielführend.
In meinem Fall entschied ich mich deshalb dafür, mich direkt aus der verwendeten Mailingliste auszutragen.
Dafür musste ich nicht auf eine der Nachrichten des E-Mail-Sturms antworten. Stattdessen konnte der in der Nachricht vorhandene List-Unsubscribe-Header verwendet werden.
Wie dieser Header funktioniert und wie man sich damit manuell aus einer Mailingliste oder einem Newsletter austragen kann, beschreibe ich im folgenden Artikel Mit List-Unsubscribe aus Newslettern und Mailinglisten austragen.