Eine weitere Möglichkeit versteckt sich direkt in den technischen Informationen einer E-Mail: der Header List-Unsubscribe. Dieser Header kann eine E-Mail-Adresse oder URL enthalten, über die sich ein Empfänger aus einer Mailingliste austragen kann.

Auf diesen Mechanismus bin ich im Rahmen der Analyse eines E-Mail-Sturms gestoßen, bei dem meine E-Mail-Adresse ohne mein Zutun Mitglied einer Google Group beziehungsweise Mailingliste geworden war.

Was ist List-Unsubscribe?

E-Mails bestehen nicht nur aus dem sichtbaren Absender, Empfänger, Betreff und eigentlichen Nachrichteninhalt. Im Hintergrund enthält jede E-Mail zahlreiche zusätzliche Header. Diese beschreiben unter anderem den Transportweg der Nachricht, die verwendeten Mailserver und weitere technische Eigenschaften.

Mailinglisten können zusätzliche Header verwenden, beispielsweise:

List-ID:
List-Post:
List-Help:
List-Archive:
List-Unsubscribe:

Für die Abmeldung ist insbesondere List-Unsubscribe interessant.

Ein entsprechender Header kann beispielsweise so aussehen:

List-Unsubscribe: 
<mailto:unsubscribe@example.com>,
<https://example.com/unsubscribe>

Damit teilt der Betreiber der Mailingliste dem E-Mail-Client zwei mögliche Wege zur Abmeldung mit:

1. Abmeldung über eine HTTPS-Webseite
2. Abmeldung per E-Mail

Moderne E-Mail-Clients können diese Information auswerten und daraus teilweise automatisch eine Schaltfläche wie „Abbestellen“ oder „Abmelden“ anzeigen.

One-Click-Unsubscribe

Zusätzlich kann der Header List-Unsubscribe-Post verwendet werden. Zusammen mit einer HTTPS-URL in List-Unsubscribe ermöglicht er unterstützenden E-Mail-Clients eine direkte Abmeldung, ohne dass der Benutzer die Webseite des Absenders aufrufen muss. Hierzu wird die Abmeldung per HTTP-POST an die angegebene URL übermittelt.

List-Unsubscribe: <https://example.com/unsubscribe>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Das Verfahren ist in RFC 8058 definiert und wird in der folgenden Abbildung schematisch dargestellt.

List-Unsubscribe in den E-Mail-Headern finden

Ist keine entsprechende Funktion in der Mail respektive dem E-Mail-Client sichtbar, kann der Header auch manuell geprüft werden. Dafür müssen die vollständigen beziehungsweise ursprünglichen Header der Nachricht angezeigt werden.

Je nach E-Mail-Client heißt diese Funktion beispielsweise:

• Nachrichtenquelle anzeigen
• Original anzeigen
• Internetkopfzeilen anzeigen
• Message Source
• Show Original
• Show Headers

Anschließend kann innerhalb der Header nach dem Begriff List-Unsubscribe gesucht werden.

Bei der Analyse meines E-Mail-Sturms fand ich folgenden Header:

List-Unsubscribe: 
<mailto:googlegroups-manage+3090089275+unsubscribe@googlegroups.com>,
<https://groups.google.com/a/gfx4mcd.com/group/7b/subscribe>

Damit stellte Google für die betreffende Mailingliste einen Mechanismus zur Verfügung, um die Mitgliedschaft wieder zu beenden.

Austragen über eine URL

List-Unsubscribe kann eine HTTPS-Adresse enthalten. Diese führt normalerweise zu einer Webseite, über die eine Abmeldung durchgeführt oder bestätigt werden kann.

Ob und wie die Abmeldung funktioniert, hängt vom jeweiligen Betreiber der Mailingliste ab. In meinem konkreten Fall war der Weg über die angegebene Google-Groups-URL nicht nutzbar, weshalb ich die Abmeldung per E-Mail verwendet habe.

Austragen per E-Mail

Enthält List-Unsubscribe einen mailto:-Eintrag, kann eine E-Mail an die dort angegebene Adresse gesendet werden.

Bei automatisierten Mailinglisten ist der Inhalt der Nachricht häufig nicht entscheidend. Je nach Anbieter kann bereits eine leere E-Mail ausreichen oder eine zusätzliche Bestätigung erforderlich sein.

In meinem Fall konnte ich mich über die im Header angegebene Adresse erfolgreich aus der Google Group austragen.

Vorsicht bei Spam

Nicht bei jeder unerwünschten E-Mail ist eine Abmeldung sinnvoll.

Bei seriösen Newslettern und bekannten Mailinglisten kann List-Unsubscribe problemlos zur Abmeldung verwendet werden. Bei offensichtlichem Spam sollte dagegen auf eine Interaktion mit dem Absender verzichtet werden.

Durch eine Abmeldung kann unter Umständen bestätigt werden, dass:

• die angeschriebene E-Mail-Adresse existiert,
• das Postfach aktiv verwendet wird,
• der Empfänger auf Nachrichten reagiert.

In solchen Fällen kann es daher sinnvoller sein, die Nachricht als Spam zu markieren und den Absender beziehungsweise entsprechende Merkmale der Nachricht zu blockieren.

Sonderfall: Unbekannte Mailingliste

Etwas schwieriger wird die Entscheidung, wenn die eigene Adresse ohne Zustimmung in eine Mailingliste aufgenommen wurde. Genau das war bei meinem E-Mail-Sturm der Fall.

Da die verwendete Liste offensichtlich nicht legitim von mir abonniert worden war, gab es grundsätzlich zwei Möglichkeiten:

Nachrichten blockieren

Die E-Mails werden anhand von Absender, List-ID oder anderen Eigenschaften gefiltert. Die eigene Adresse bleibt allerdings Mitglied der Mailingliste.

Aus der Liste austragen

Über List-Unsubscribe wird versucht, die Adresse tatsächlich aus der Mailingliste zu entfernen. Dabei besteht jedoch das Risiko, dass eine aktive Nutzung der E-Mail-Adresse bestätigt wird.

Fazit

List-Unsubscribe bietet eine standardisierte Möglichkeit, sich aus Newslettern und Mailinglisten auszutragen – auch wenn in der eigentlichen Nachricht kein sichtbarer Abmelde-Link vorhanden ist. Je nach Anbieter erfolgt die Abmeldung per E-Mail, über eine HTTPS-URL oder direkt über den E-Mail-Client mittels One-Click-Unsubscribe.

In meinem Fall entschied ich mich für die im Header angegebene E-Mail-Adresse und konnte mich darüber erfolgreich aus der unerwünschten Google Group austragen.

Quellen

• ietf.org – RFC 8058 – Signaling One-Click Functionality for List Email Headers
• mxtoolbox.com – Email Header Analyzer, RFC822 Parser
• twilio.com – List-Unsubscribe Header: What It Is & How to Use It | Twilio

Der Beitrag Mit List-Unsubscribe aus Newslettern und Mailinglisten austragen erschien zuerst auf Maximilian Krieg.

Kurze Zeit später folgten weitere Nachrichten. Empfänger fragten, warum sie diese E-Mail erhalten hatten, andere wollten aus dem Verteiler entfernt werden. Aus einer einzelnen Nachricht entwickelte sich innerhalb kurzer Zeit ein sogenannter E-Mail-Sturm.

In diesem Artikel beschreibe ich anhand dieses Beispiels, wie sich ein E-Mail-Sturm erkennen lässt, wie er entsteht und welche Maßnahmen helfen, ohne selbst zur weiteren Eskalation beizutragen.

Die initiale E-Mail

Beim Blick auf die E-Mail-Header fällt auf, dass die Nachricht nicht direkt vom Autohändler an mich, sondern an eine Mail-Gruppe gesendet wurde.

Eine genauere Analyse der Header, beispielsweise mit dem Email Header Analyzer von MXToolbox, zeigt, dass die Nachricht technisch korrekt zugestellt wurde und zunächst keine direkten Anzeichen für Phishing oder Schadsoftware enthält.

Obwohl die E-Mail inhaltlich nicht nach klassischem Spam aussieht, gibt es einige Auffälligkeiten:

• Ich erhielt eine Antwort auf eine Anfrage, die ich nie versendet hatte.
• Empfänger-, Absender- und Reply-To-Adresse passten nicht zum Inhalt.
• Die Nachricht wurde über eine mir unbekannte Google Group beziehungsweise Mailingliste versendet.

Anhand der Received-Header lässt sich nachvollziehen, welchen Weg die Nachricht vom ursprünglichen Absender bis in das eigene Postfach genommen hat.

In E-Mail-Header-Analysetools werden die einzelnen Übergabepunkte (Hops) häufig tabellarisch dargestellt. Zusätzlich können beispielsweise die beteiligten Mailserver und deren IP-Adressen auf bekannte Blacklist-Einträge geprüft werden.

In diesem Fall führte der Weg unter anderem über Microsoft 365, Hornet Security und Google bis zum empfangenden Mailserver.

Interessanter sind jedoch die Header, die Informationen über die verwendete Mailingliste enthalten:

Damit war klar, dass die Nachricht über eine Google Group beziehungsweise Mailingliste verteilt wurde.

Der E-Mail-Sturm beginnt

Kurze Zeit nach der ersten Nachricht trafen weitere E-Mails ein. Zahlreiche Empfänger reagierten auf die ursprüngliche Nachricht beispielsweise mit:

„Warum bekomme ich diese E-Mail?“

„Bitte nehmen Sie mich aus dem Verteiler.“

„Bitte nicht mehr an alle antworten!“

Genau diese Antworten wurden jedoch erneut über die Mailingliste verteilt und erreichten damit wiederum deren Teilnehmer.

Aus der ursprünglich einzelnen Nachricht entwickelte sich so innerhalb kurzer Zeit ein klassischer E-Mail-Sturm.

Was ist ein E-Mail-Sturm?

Ein E-Mail-Sturm (engl. Mail Storm, Reply Storm oder Reply-All Storm) entsteht, wenn eine Nachricht an einen großen Verteiler oder eine Mailingliste versendet wird und zahlreiche Empfänger darauf antworten. Dabei erfolgt die Antwort beispielsweise über eine entsprechend konfigurierte Reply-To-Adresse oder durch die Funktion „Allen antworten“.

Wird die Antwort anschließend wieder an alle Mitglieder des Verteilers zugestellt, erhalten sämtliche Teilnehmer diese Nachricht. Antworten darauf wiederum weitere Empfänger, entsteht ein sich selbst verstärkender Effekt.

Aus einer einzelnen Nachricht können dadurch innerhalb kurzer Zeit dutzende, hunderte oder sogar tausende E-Mails entstehen.

Ursachen und Symptome

In den meisten Fällen entsteht ein E-Mail-Sturm unbeabsichtigt.

Häufige Ursachen sind:

• Versehentliches Antworten an alle Empfänger
• Fehlkonfigurierte Mailinglisten oder Verteiler
• Import alter oder ungepflegter Verteilerlisten
• Organisatorische Fehler bei der Nutzung von Verteilergruppen
• Absichtlicher Missbrauch zur Störung oder Belästigung

Typischerweise erkennt man einen laufenden E-Mail-Sturm daran, dass innerhalb kurzer Zeit zahlreiche Nachrichten mit ähnlichem Inhalt eintreffen. Das eigentliche Problem besteht darin, dass viele Empfänger versuchen, das Problem durch eine Antwort zu lösen.

Die Aufforderung

„Bitte entfernen Sie mich aus diesem Verteiler.“

klingt zunächst sinnvoll. Wird sie jedoch wieder an den gesamten Verteiler gesendet, erhalten alle Teilnehmer eine weitere Nachricht.

Dadurch verstärken die Empfänger den E-Mail-Sturm unbeabsichtigt selbst.

Eskalation durch automatische Systeme

Besonders problematisch wird ein E-Mail-Sturm, wenn neben menschlichen Empfängern auch automatisierte Systeme auf die Nachrichten reagieren.

Dazu gehören beispielsweise:

• Automatische Abwesenheitsnotizen
• Ticketsysteme
• Monitoring- und Alarmierungssysteme
• Weitere Mailinglisten oder Verteiler
• Automatisierte Workflows und Benachrichtigungssysteme

Antwortet beispielsweise ein Ticketsystem automatisch auf jede eingehende E-Mail und wird diese Antwort wiederum an die Mailingliste verteilt, kann dadurch eine weitere automatische Reaktion ausgelöst werden.

Im ungünstigsten Fall entstehen Schleifen zwischen mehreren Systemen.

Je größer der Verteiler und je mehr automatisierte Systeme beteiligt sind, desto schneller kann sich ein einzelner Fehler zu einer erheblichen Nachrichtenflut entwickeln.

Die Folgen reichen von überfüllten Postfächern über stark belastete Helpdesks bis hin zu einer zusätzlichen Belastung der beteiligten Mail-Infrastruktur.

Böswillig ausgelöste E-Mail-Stürme

Während die meisten E-Mail-Stürme unbeabsichtigt entstehen, können solche Situationen auch gezielt provoziert werden.

In meinem Fall sprach einiges für einen absichtlichen Missbrauch. Die betroffene E-Mail-Adresse wurde von mir nur auf einer einzelnen Plattform verwendet, bei der es in der Vergangenheit zu einem Datenleck gekommen war.

Mögliche Ziele eines absichtlich erzeugten E-Mail-Sturms sind beispielsweise:

• Gezielte Belästigung von Personen oder Organisationen
• Störung des normalen E-Mail-Verkehrs
• Belastung von Postfächern, Mailservern oder Helpdesks
• Überprüfung, welche E-Mail-Adressen tatsächlich aktiv verwendet werden

Gerade der letzte Punkt ist interessant: Antworten Empfänger auf die Nachrichten oder führen andere Aktionen aus, können Angreifer unter Umständen Rückschlüsse darauf ziehen, welche Adressen noch aktiv genutzt werden.

Wie sollte man auf einen E-Mail-Sturm reagieren?

Sobald ein E-Mail-Sturm erkannt wurde, sollte man vor allem vermeiden, selbst zu seiner weiteren Eskalation beizutragen.

Die wichtigste Regel lautet daher:

Nicht auf „Allen antworten“ klicken.

Auch eine gut gemeinte Nachricht mit der Bitte, aus dem Verteiler entfernt zu werden, kann den Sturm weiter verstärken.

Stattdessen kommen unter anderem folgende Maßnahmen infrage:

• Mailingliste beziehungsweise Absender blockieren
• Filterregeln für die betroffenen Nachrichten erstellen
• Nachricht als Spam melden
• Administrator der Mailingliste kontaktieren
• Sich direkt aus der Mailingliste austragen

Welche Maßnahme sinnvoll ist, hängt von der Ursache des E-Mail-Sturms ab.

Bei einer legitimen, aber fehlerhaft konfigurierten Unternehmens-Mailingliste kann beispielsweise die Kontaktaufnahme mit dem Administrator sinnvoll sein.

Handelt es sich dagegen um eine absichtlich missbrauchte Mailingliste, ist dies möglicherweise nicht zielführend.

In meinem Fall entschied ich mich deshalb dafür, mich direkt aus der verwendeten Mailingliste auszutragen.

Dafür musste ich nicht auf eine der Nachrichten des E-Mail-Sturms antworten. Stattdessen konnte der in der Nachricht vorhandene List-Unsubscribe-Header verwendet werden.

Wie dieser Header funktioniert und wie man sich damit manuell aus einer Mailingliste oder einem Newsletter austragen kann, beschreibe ich im folgenden Artikel Mit List-Unsubscribe aus Newslettern und Mailinglisten austragen.

Quellen

• wikipedia.org – Email storm
• mxtoolbox.com – Email Header Analyzer, RFC822 Parser

Der Beitrag Erkennung und Vermeidung eines E-Mail-Sturms erschien zuerst auf Maximilian Krieg.