Emails die nicht für mich bestimmt sind

    Hallo,

    seit einigen Tagen erreichen mich täglich mehrere Mails von Banken, Autohäusern, Reiseveranstaltern, Stadtwerken etc.

    Alles Auto-Antworten alla "Danke für Ihre Kontaktaufnahme".

    Problem: Ich habe nie diese Unternehmen kontaktiert. Auch ist die Antwort-Mail gar nicht an mich gegangen, zumindest steht im Outlook eine andere Mailadresse als ich sie besitze.

    Ich habe mir im Outlook den Mail-Header anzeigen lassen, werde daraus aber nicht schlau, poste ihn gerne anhand einer Beispiel-Mail. Meine Domain und Mailadresse habe ich dabei gegen "meinedomain.de" getauscht.

    Was könnte es sein und was kann ich dagegen tun?

    Die Absender scheinen alles seriöse Unternehmen zu sein.

    Nee, habe ich nicht. Ich arbeite auch nicht bei dem Reiseveranstalter oder bei Aldi.

    Die Mails gehen an eine Mailadresse die seit rund 20 Jahren meine ist. Seit wenigen Monaten liegt die Domain bei Netcup. Das wird damit sicherlich nix zu tun habe, aber ich kann es mir nicht erklären.

    Vor wenigen Minuten gabs ne Mail von den Stadtwerken Leipzig. Inhalt

    Zitat

    Vielen Dank, wir haben Ihre Nachricht erhalten.


    Sie ahnen es vielleicht schon: Sie lesen gerade eine automatische Empfangsbestätigung. Ihre ganz persönliche Antwort bekommen Sie noch von uns. Geben Sie uns bitte etwas Zeit, um Ihr Anliegen zu prüfen.

    Nie angeschrieben das Unternehmen.

    Short answer:

    • The original mail came from autoresponder-aldi@berge-meer.de.
    • It was sent via Salesforce servers (smtp-a878b394.core1.sfdc-yzvdd4.mta.salesforce.com → 3.66.248.99).
    • Then it passed through mailgate1.berge-meer.de, a server at callcenterprotel.de.
    • It ended up at Google's infrastructure (mail-ej1-f69.google.com) for the domain gif.wsjtrading.com.
    • After that, SRS rewriting happened, changing the Return-Path to your domain (meinedomain.de).
    • Finally, it was delivered to meine@domain.de.

    Why it looks weird:

    • SRS (Sender Rewriting Scheme) modifies the Return-Path to avoid SPF failures when emails are forwarded (e.g., from gif.wsjtrading.com to meinedomain.de).
    • So the Return-Path you see is rewritten to something like SRS0=4ZkC=XM=gif.wsjtrading.com=iskg+bncBAABB6UIWTAAMGQEY4IWCUQ@meinedomain.de.
    • The original "To" address was likely not directly meine@domain.de, but it was forwarded to you.

    The universe tends toward maximum irony. Don't push it.

    Ich weiss es nicht. Ich habe keine Beziehung zu diesen Stadtwerken.

    Sparkasse Göttingen und die schwedische Bank (Google hilft) Ikano schickten heute Abend ähnliche Mails.

    Also das Unternehmen ist wuppe, ich kriegen 5-20 Mails pro Tag dieser Art, seit einiger Zeit.

    Ich würde gerne verstehen was da abgeht.

    berge-meer.de hat jedenfalls ein Kontaktformular, wo man eine E-Mail-Adresse eingeben kann. die eigene oder auch deine ;) . Ich habs jetzt nicht ausprobiert was dann von da zur eingegebenen Adresse geschickt wird.

    Was genau die eigentliche Absicht dabei ist weiss ich nicht, und heute abend verstehe ich auch nicht mehr, wie es genau funktioniert. Möglicherweise wird eine Mail weitergeleitet und das Sender Rewriting System SRS irgendwe missbraucht. In jedem Fall Vorsicht, irgendein Zweck steckt immer dahinter. Und wenn es nur ist, irgendwelche wichtigen Mails, z.B. in einer Flut von solch wirren Mails untergehen zu lassen oder von anderen stattfindenden Angriffen abzulenken.

    Stichwort email-bombing, einfach mal in eine Suchmaschine eingeben.

    Edit: Der Link, den ich erst oben drin hatte, sollte natürlich keine Werbung für deren Security Produkt sein, ich hatte nur den oberen Teil der Seite gelesen und fand ihn recht informativ. Ich nehme den Link aber besser mal raus.

    Einmal editiert, zuletzt von tab (26. April 2025 um 23:59)

    Zitat von TheFloyd

    Seit wenigen Monaten liegt die Domain bei Netcup. Das wird damit sicherlich nix zu tun habe, aber ich kann es mir nicht erklären.

    Naja, wenn Du Deine Domain(s) jetzt auf ein Netcup-Webhosting geschalten hast und die Angreifer sich die verschiedenen Domains des Webhosting-Hosts (per IPv4) auflisten lassen, dann erklärt das zumindest weshalb Du und z.B. ASS ähnliche Mails bekommen.

    Ich selbst habe vielleicht nur das 'Glück' dass meine älteren Domains noch bei einem anderen Hoster liegen und damit nicht im Fokus der Angreifer stehen.

    Diese Theorie geht jedoch nur auf, wenn Deine E-Mail-Adressen einfach sind, z.B. "info@example.com" oder "mail@example.com".

    Deshalb nutzte ich seit Jahren für jeden "Dienst" separate Adressen (z.B. Stadtsparkasse@example.com oder Wasserwerk@example.com).

    Solltest Du catchall fahren, erübrigen sich weitere Überlegungen ;)

    Zitat von Win98SE4ever

    dann erklärt das zumindest

    Meine Mails laufen ausgehend nicht über NC Server und eingehend auf eigene Server bei NC. Die Domains haben catchall, liegen aber nicht bei NC.

    Ich habe die Mailheader vor längerer Zeit mal angeschaut. Hab aber das Ergebnis nicht mehr näher im Kopf. Zum ins Forum kopieren scheinen sie mir nicht geeignet, da es mir echte Mails zu sein scheinen, die eben nur an mehr als den echten Empfänger zugestellt werden.

    Ich könnte mal schaun ob ich noch ein paar der Mails finde und die Sourcecodes an jemand interessierten weiterleiten.

    Gerne kann mir TheFloyd auch ein paar der Betreffs seiner Mails zukommen lassen. Dann suche ich, ob es die auch bei mir gibt.

    Zitat von TheFloyd

    ich kann dagegen nix tun

    Hast Du denn catchall aktiviert?

    Erreicht Dich also auch die E-Mail sjsj628jsj72882@example.com ?

    Nein - gut!

    Ja? Warum macht man sowas, wenn man kein Admin in einem Unternehmen ist oder einen E-Mail-Honypot betreibt?

    Ich betreibe ca. 70-80 aktive Mailadressen unter meiner Hauptdomain. Für jedes Forum, für jede größere Firma/Kundenbeziehung...

    Jede dieser Adressen kann ich von jetzt auf nachher deaktivieren und beim zugehörigen Dienst (z.B. Kundenaccount in einem Onlineshop) einfach eine frische Mail-Adresse vergeben.

    Spam bekomme ich so nur an meine "Rotzmail"-Adressen.

    Leider ist man nicht davor gefeiht, dass Freunde oder Verwandte sich einen Virus auf ihrem Rechner einfangen und sich dieser die E-Mail-Kontakte schnappt. Da wäre dann halt auch eine "schöne private Mail-Adresse" von mir drin.