Du öffnest dein Postfach und findest zahlreiche automatische Fehlermeldungen. Angeblich konnten deine E-Mails nicht zugestellt werden. Manche Meldungen sprechen von fehlgeschlagenen Prüfungen bei SPF oder DKIM. Das Merkwürdige: Du kennst die Empfänger nicht und hast ihnen nie geschrieben.

Genau mit dieser Situation hat sich ein Kunde an uns gewandt. Die Einordnung in diesem Fall: Backscatter. Dabei landen automatische Rückmeldungen zu fremden Nachrichten bei einer unbeteiligten Person, deren Adresse als Absender missbraucht wurde.

Das ist lästig und kann beunruhigen. Es bedeutet aber nicht automatisch, dass dein Mailkonto gehackt wurde oder deine eigenen Einstellungen für SPF und DKIM falsch sind. Hier erfährst du, wie Backscatter entsteht, was du prüfen solltest und wie du wieder Übersicht in dein Postfach bringst.

Backscatter: Das Wichtigste in Kürze

• Du erhältst Rückmeldungen zu Nachrichten, die du nicht verschickt hast. Häufig wurde deine Adresse als Absender oder Rücksendeadresse gefälscht.
• Eine Fehlermeldung zu SPF oder DKIM kann die gefälschte Nachricht betreffen. Sie beweist nicht, dass dein eigener Mailversand falsch eingerichtet ist.
• Backscatter allein ist kein Beweis für einen Kontozugriff. Unbekannte Anmeldungen oder tatsächlich unberechtigt versendete Nachrichten müssen trotzdem untersucht werden.
• Ein vollständiger Stopp lässt sich nicht versprechen. Eine gezielte Filterregel kann die Nachrichten jedoch aus dem Posteingang in einen separaten Ordner verschieben.
• Echte Zustellfehler sollen sichtbar bleiben. Deshalb empfehlen wir zunächst das Verschieben und Kontrollieren statt einer pauschalen automatischen Löschung.

Was ist Backscatter bei E-Mails?

Backscatter bezeichnet unerwünschte automatische Rückmeldungen, die aufgrund gefälschter Absenderangaben an Unbeteiligte gehen. Besonders häufig sind Unzustellbarkeitsmeldungen. Diese werden oft als NDR bezeichnet. Die Abkürzung steht für den englischen Begriff für eine Meldung über eine fehlgeschlagene Zustellung.

Eine solche Meldung ist grundsätzlich sinnvoll: Wenn eine echte Nachricht nicht ankommt, möchtest du darüber informiert werden. Bei Backscatter erreicht diese Information jedoch die falsche Person.

Ein einfaches Beispiel

Stell dir vor, jemand verschickt Briefe und schreibt deine Adresse als Rücksendeadresse auf die Umschläge. Einige Briefe sind unzustellbar und kommen zu dir zurück. Du hast sie nie geschrieben. Deine Adresse wurde trotzdem verwendet.

Bei E-Mails kann etwas Ähnliches passieren:

1. Ein Spamversender verwendet deine Mailadresse als gefälschte Rücksendeadresse.
2. Ein beteiligtes Mailsystem kann die Nachricht nicht zustellen oder stuft sie nach der Annahme als unerwünscht ein.
3. Das System erzeugt eine automatische Unzustellbarkeitsmeldung.
4. Diese landet bei dir, obwohl du mit dem ursprünglichen Versand nichts zu tun hattest.

Technisch ist dabei häufig die Rücksendeadresse aus dem Transportumschlag der Nachricht entscheidend. Sie kann von der sichtbaren Absenderadresse abweichen. Eine gefälschte sichtbare Absenderzeile allein führt deshalb nicht zwangsläufig zu Backscatter.

Auch automatische Antworten wie Abwesenheitsmeldungen können bei gefälschten Absenderangaben Unbeteiligte erreichen. Einen Überblick bietet der Wikipedia Beitrag zu Backscatter. Die technischen Hintergründe zu Absenderadressen erläutert Microsoft zur Authentifizierung von E-Mails.

Warum bekomme ich Fehler zu SPF oder DKIM, obwohl ich nichts gesendet habe?

Der entscheidende Punkt ist: Eine Fehlermeldung kann sich auf die fremde, gefälschte Nachricht beziehen und muss nicht deinen eigenen Mailversand betreffen.

Verwendet ein Angreifer deine Domain, kommt seine Nachricht möglicherweise von einem nicht autorisierten Server und trägt keine gültige Signatur deiner Domain. Ein empfangendes System kann dies erkennen. Wenn anschliessend eine Rückmeldung an deine missbrauchte Adresse erzeugt wird, liest du darin den Hinweis auf die fehlgeschlagene Prüfung.

Verfahren	Was wird geprüft?	Was bedeutet das bei Backscatter?
SPF	Ob der sendende Server für die Domain der technischen Absenderadresse autorisiert ist.	Ein fremder Versandserver kann diese Prüfung nicht bestehen, obwohl dein eigener Versand korrekt eingerichtet ist.
DKIM	Ob eine überprüfbare Signatur der signierenden Domain vorhanden ist und die signierten Bestandteile unverändert sind.	Eine gefälschte Nachricht kann ohne gültige Signatur deiner Domain unterwegs sein.
DMARC	Ob mindestens eine erfolgreiche Prüfung durch SPF oder DKIM zur Domain der sichtbaren Absenderadresse passt.	Empfänger können eine Domainrichtlinie für Nachrichten anwenden, die diese Prüfung nicht bestehen.

Bitte ändere die DNS Einträge deiner Domain nicht allein aufgrund einer solchen Rückmeldung. Zuerst muss geklärt werden, welche ursprüngliche Nachricht betroffen ist und über welchen Server sie versendet wurde.

Wichtig ist auch die Unterscheidung zwischen der eingegangenen Rückmeldung und der darin beschriebenen Originalnachricht. Beide haben eigene technische Informationen. Ein pauschaler Hinweis wie «SPF fehlgeschlagen» reicht für eine Diagnose nicht aus.

Ist mein Mailkonto gehackt?

Für das Fälschen einer Absenderadresse braucht ein Angreifer nicht zwangsläufig Zugang zu deinem Postfach. Backscatter kann deshalb auftreten, obwohl niemand dein Passwort kennt.

Trotzdem sollte man unbekannte Rückläufer einmal sauber einordnen. Eine fehlende Nachricht im Ordner «Gesendet» ist ein Hinweis, aber kein sicherer Ausschluss eines unberechtigten Versands. Manche Anwendungen versenden Nachrichten, ohne dort eine Kopie abzulegen.

Beobachtung	Sinnvolle Einordnung
Rückmeldungen zu völlig unbekannten Empfängern und Inhalten	Passt zum Muster von Backscatter. Die Originalnachrichten und den Versandweg prüfen lassen.
Unbekannte Anmeldungen, neue Weiterleitungen oder veränderte Postfachregeln	Möglicher Kontomissbrauch. Den Mailanbieter zeitnah einschalten.
Unzustellbarkeitsmeldungen zu eigenen Offerten oder Rechnungen	Ein echtes Zustellproblem untersuchen. Nicht als Backscatter aussortieren.
Nachrichten, die eine sofortige Anmeldung über einen Link verlangen	Auch eine gefälschte Fehlermeldung kann Phishing sein. Den Anbieter über den bekannten Zugang aufrufen.

Bei einer Abklärung helfen Versandprotokolle, Anmeldeinformationen und die vollständigen Nachrichtenkopfzeilen. Auch berechtigte Versandquellen wie Kontaktformulare, Shops, Newsletter oder Buchhaltungsprogramme müssen berücksichtigt werden.

Wenn neben den Meldungen Veränderungen an deiner Website auffallen, findest du in unserem Beitrag Webseite gehackt? Soforthilfe und Schutz für WordPress Hinweise zum weiteren Vorgehen. Backscatter allein beweist jedoch keinen Angriff auf deine Website.

Was hilft gegen Backscatter?

Du kannst nicht steuern, welche fremden Server deine Adresse verwenden und welche Systeme darauf automatische Rückmeldungen erzeugen. Deshalb lässt sich ein vollständiges Ende der Nachrichtenflut nicht garantieren.

Das bedeutet aber nicht, dass überhaupt keine Massnahmen möglich sind. Manche Mailanbieter erkennen Backscatter oder bieten entsprechende Filterfunktionen an. Microsoft beschreibt beispielsweise eine Möglichkeit zur Einstufung als Spam. Ob eine solche Funktion für dein Postfach verfügbar und sinnvoll ist, hängt vom Anbieter ab.

Unsere praktische Empfehlung für den geschilderten Fall: Die zugestellten Rückmeldungen gezielt in einen separaten Ordner verschieben, dort kontrollieren und bestätigten Backscatter bei Bedarf gesammelt löschen.

Damit wird der Ursprung des Problems nicht beseitigt. Dein Posteingang bleibt aber übersichtlich, und die Nachrichten stehen für eine weitere Prüfung zunächst noch zur Verfügung.

Filterregel einrichten: Backscatter in einen separaten Ordner verschieben

Eine gute Regel soll die konkrete Nachrichtenwelle erfassen. Sie sollte nicht jede Unzustellbarkeitsmeldung ausblenden, denn auch die Rückmeldung zu einer wichtigen Kundenmail kann von einem automatischen Maildienst kommen.

1. Einen eigenen Ordner anlegen

Erstelle beispielsweise einen Ordner mit dem Namen «Backscatter zur Prüfung». So bleiben verdächtige Rückläufer getrennt von der normalen Korrespondenz und können später gesammelt bearbeitet werden.

2. Die Regel aus bestätigten Beispielen ableiten

Wähle mehrere als Backscatter eingeordnete Nachrichten und vergleiche ihre Merkmale. Typische Betreffzeilen enthalten etwa «Undelivered Mail Returned to Sender», «Delivery Status Notification» oder «Mail delivery failed». Solche Begriffe allein sind jedoch zu allgemein.

Eine eng gefasste Regel kombiniert nach Möglichkeit mehrere Merkmale der konkreten Welle. Das kann beispielsweise ein wiederkehrender Betreff zusammen mit einem spezifischen Textbestandteil oder einem wiederkehrenden fremden Empfänger aus der Fehlermeldung sein. Welche Bedingungen verfügbar sind, hängt vom Mailprogramm ab.

Regelbestandteil	Empfehlung
Name	«Backscatter Rückläufer»
Bedingungen	Mehrere passende Merkmale aus bereits geprüften Beispielen kombinieren.
Aktion	In den Ordner «Backscatter zur Prüfung» verschieben.
Kontrolle	Mit vorhandenen Beispielen testen und auf falsch einsortierte echte Zustellfehler achten.
Bereinigung	Bestätigten Backscatter nach Kontrolle gesammelt löschen.

Eine Regel ist eine Sortierhilfe, kein technischer Beweis für Backscatter. Wenn die Nachrichten keine verlässlichen gemeinsamen Merkmale haben, sollte der Mailanbieter bei der Filterung unterstützen.

3. Die Regel testen und den Ordner kontrollieren

Teste die Regel zunächst an einigen Nachrichten. Kontrolliere den Zielordner anfangs regelmässig. Wenn echte Rückmeldungen zu deinen eigenen E-Mails darin landen, muss die Regel enger gefasst werden.

Für Outlook findest du die versionsabhängigen Schritte in der Anleitung von Microsoft zu Regeln in Outlook. Je nach Konto lässt sich die Regel auch direkt im Webmail einrichten. Eine serverseitige Regel wird üblicherweise unabhängig davon ausgeführt, ob dein Mailprogramm geöffnet ist.

Nicht empfehlenswert: Alle Nachrichten von «Postmaster» löschen, sämtliche E-Mails mit «SPF» im Text blockieren oder jede Unzustellbarkeitsmeldung ungeprüft entfernen. So könnten wichtige Hinweise auf echte Versandprobleme verloren gehen.

Was SPF, DKIM und DMARC langfristig beitragen

Auch wenn eine Meldung zu Backscatter keinen Fehler deiner Konfiguration beweist, lohnt sich eine saubere Einrichtung der Authentifizierung. SPF, DKIM und DMARC helfen empfangenden Systemen, berechtigten Versand und gefälschte Absenderangaben besser zu unterscheiden.

Dafür müssen alle legitimen Versandquellen bekannt sein: das normale Firmenpostfach ebenso wie Newsletterdienste, Kontaktformulare, Shops oder Rechnungssoftware. Die Richtlinien von Google für den Mailversand erläutern die Bedeutung dieser Verfahren für die Zustellung.

Eine strengere Richtlinie für DMARC sollte erst eingeführt werden, wenn der berechtigte Versand korrekt eingerichtet und geprüft ist. Sonst können auch erwünschte Nachrichten abgewiesen werden. DMARC ist zudem kein garantierter Ausschalter für alle Rückläufer: Die Verarbeitung durch fremde Mailsysteme bleibt ausserhalb deiner direkten Kontrolle.

Falls dein Hosting auch Nachrichten an beliebige, nicht ausdrücklich eingerichtete Adressen deiner Domain annimmt, lohnt sich eine Prüfung dieser Sammelfunktion. Sie kann dazu führen, dass Rückmeldungen zu erfundenen Adressen bei dir landen. Eine Abschaltung hilft allerdings nicht gegen Rückläufer an deine tatsächlich vorhandene Adresse und sollte mit dem Anbieter abgestimmt werden.

Wie Domain und technische Hostingumgebung zusammenhängen, erklären wir im Beitrag Domain und Hosting einfach erklärt.

Warum eine fehlgeschlagene Zustellung nicht immer Backscatter erzeugt

Mailserver können eine unerwünschte Nachricht bereits während der Übertragung zurückweisen. Dann muss der empfangende Server keine spätere Fehlermeldung an die behauptete Rücksendeadresse verschicken.

Problematisch wird es besonders dann, wenn ein System die Nachricht zunächst annimmt und erst danach eine Rückmeldung an eine gefälschte Adresse erzeugt. Die technischen Grundlagen für Zustellung und Fehlermeldungen beschreibt die SMTP Spezifikation RFC 5321.

Darum lässt sich das Problem nicht allein durch eine Einstellung in deinem Postfach lösen: Ein Teil der wirksamen Prävention liegt bei den fremden Systemen, die solche Rückmeldungen erzeugen.

Häufige Fragen zu Backscatter

Warum bekomme ich unzustellbare E-Mails, die ich nie gesendet habe?

Eine mögliche Ursache ist Backscatter: Jemand verwendet deine Adresse als gefälschte Rücksendeadresse. Automatische Fehlermeldungen landen dadurch bei dir. Vor der endgültigen Einordnung sollten andere Versandquellen und ein möglicher Kontomissbrauch geprüft werden.

Muss ich wegen Backscatter mein Passwort ändern?

Bei einer reinen Fälschung der Absenderadresse verhindert ein Passwortwechsel diesen Missbrauch nicht. Gibt es Hinweise auf unberechtigte Anmeldungen oder echten Versand über dein Konto, muss der Zugang dagegen sofort abgesichert werden. Dazu gehören gegebenenfalls ein neues Passwort, das Widerrufen aktiver Sitzungen und die Prüfung von Weiterleitungen und Zugriffsrechten.

Sind SPF und DKIM falsch eingerichtet, wenn die Rückmeldung das behauptet?

Nicht unbedingt. Die Fehlermeldung kann eine fremde Nachricht betreffen, die deine Domain unberechtigt verwendet. Wenn auch deine selbst versendeten E-Mails betroffen sind, sollte die Konfiguration des tatsächlichen Versandwegs geprüft werden.

Kann ich Backscatter einfach löschen?

Bestätigten Backscatter kannst du löschen. Bewahre für die erste Abklärung einige vollständige Beispiele auf. Bei grösseren Mengen empfehlen wir einen separaten Ordner, eine gezielte Regel und die anschliessende gesammelte Löschung der geprüften Nachrichten.

Soll ich auf die Fehlermeldungen antworten?

Eine Antwort auf automatische Rückläufer löst das Problem normalerweise nicht. Öffne auch keine eingebetteten Anhänge der ursprünglichen Spamnachricht und gib keine Zugangsdaten über Links in einer verdächtigen Nachricht ein. Wende dich über den bekannten Kontaktweg an deinen Mailanbieter oder deine technische Betreuung.

Wie lange dauert eine Welle von Backscatter?

Das lässt sich nicht verlässlich vorhersagen. Es hängt davon ab, wie lange die Adresse missbraucht wird und wann beteiligte Systeme ihre Rückmeldungen erzeugen. Steigt das Aufkommen stark an oder beeinträchtigt es deinen Mailbetrieb, sollte der Anbieter zusätzliche Filtermöglichkeiten prüfen.

Unklare Rückläufer im Postfach? Wir helfen bei der Einordnung

Für eine erste Abklärung helfen zwei bis drei vollständige Beispielnachrichten, der ungefähre Beginn der Nachrichtenwelle und die Information, ob dein normaler Mailversand weiterhin funktioniert. Vollständige Nachrichten mit Kopfzeilen sind aussagekräftiger als ein Screenshot des Betreffs. Zugangsdaten brauchen wir dafür nicht per Mail.

Wir unterstützen dich dabei, die Rückmeldungen einzuordnen, das weitere Vorgehen mit deinem Mailanbieter abzustimmen und eine passende Filterregel zu definieren. Ziel ist ein übersichtliches Postfach, in dem wichtige Kundenmails und echte Zustellprobleme weiterhin auffallen.

Wenn auch deine Website E-Mails versendet, sollte sie in die Prüfung einbezogen werden. Ergänzende Hinweise zur Absicherung findest du in unserem Beitrag Sicherheit auf deiner Webseite erhöhen.

Quellen und weiterführende Informationen

• Wikipedia: Backscatter bei E-Mails
• Microsoft Learn: Backscatter und Filtermöglichkeiten
• Microsoft Learn: Absenderadressen, SPF, DKIM und DMARC
• Google: Richtlinien zur Authentifizierung und Zustellung von E-Mails
• Microsoft Support: Nachrichten mit Regeln in Outlook verwalten
• RFC 5321: Technische Grundlagen der Mailzustellung mit SMTP

Autor:in