Erpressermail von Ihrer eigenen E-Mail-Adresse — Ursachen, Risiken und Lösungen
Sie erhalten eine Erpressermail — und der Absender ist Ihre eigene E-Mail-Adresse. Das klingt beunruhigend, ist aber in aller Regel kein echter Hack. Kriminelle nutzen eine Technik namens E-Mail-Spoofing, um den Absender beliebig zu fälschen. Ihr Passwort wurde nicht gestohlen, Ihr Konto wurde nicht übernommen.
Das SMTP-Protokoll — der technische Standard für E-Mail-Versand seit den 1980er Jahren — enthält keine eingebaute Absender-Prüfung. Das ist wie ein Brief mit gefälschtem Absender: Der Postbote prüft das nicht. Erst moderne DNS-Einträge (SPF, DKIM, DMARC) schließen diese Lücke — und die fehlen bei Millionen von Domains.
Problem erkannt? Wir helfen sofort.
Kostenlose Analyse Ihrer Situation — Antwort in 24 Stunden.
Warum wirkt die Erpressermail so überzeugend?
Kriminelle optimieren diese Mails gezielt für maximale psychologische Wirkung. Die häufigsten Elemente:
- →Absender ist identisch mit Ihrer eigenen Adresse — wirkt wie Beweis für Kontozugriff
- →Text behauptet: „Ich habe Zugang zu Ihrem Konto seit [Datum]“
- →Erwähnt möglicherweise ein altes Passwort aus einem Datenleck
- →Droht mit Veröffentlichung kompromittierender Aufnahmen oder Daten
- →Erzeugt künstlichen Zeitdruck: „Zahlen Sie innerhalb von 48 Stunden“
- →Fordert Bitcoin-Zahlung — anonym und scheinbar nicht rückzuverf olgen
Echte Bedrohung oder Spoofing? So unterscheiden Sie es
| Prüfpunkt | E-Mail-Spoofing | Echter Konto-Hack |
|---|---|---|
| Mail im Postausgang | Nicht vorhanden | Mail tatsächlich gesendet |
| Login möglich | Ja, Passwort funktioniert | Evtl. Passwort geändert |
| Fremde Login-Aktivität | Keine im Verlauf sichtbar | Unbekannte IPs/Geräte |
| Weiterleitungsregeln | Keine unbekannten Regeln | Evtl. neue Weiterleitungen |
| Mail-Header (Absender-IP) | Fremde IP — nicht Ihr Provider | IP des Angreifers via Ihren Provider |
| DKIM-Signatur | Kein DKIM-Pass | DKIM kann gesetzt sein |
| Empfehlung | Nicht zahlen, DNS absichern | Sofortige Kontosperrung, Fachberatung |
Mail-Header lesen — So finden Sie den echten Absender
Der Mail-Header enthält technische Details, die beweisen, ob die Mail wirklich von Ihrem Konto kommt oder gefälscht wurde. So öffnen Sie ihn:
Header in verschiedenen E-Mail-Programmen öffnen
| E-Mail-Client | Schritt |
|---|---|
| Gmail | Mail öffnen → Drei-Punkte-Menü → „Original anzeigen“ |
| Outlook | Mail öffnen → Datei → Eigenschaften → Internetkopfzeilen |
| GMX / Web.de | Mail öffnen → Mehr → Quelltext anzeigen |
| Apple Mail | Mail öffnen → Darstellung → Nachricht → Alle Header |
| Thunderbird | Mail öffnen → Ansicht → Quelltext der Nachricht |
Was verrät der Header?
Suchen Sie im Header nach der Zeile Received: from. Beim Spoofing zeigt diese eine fremde IP-Adresse — nicht Ihren E-Mail-Provider:
Die Zeilen spf=fail und dkim=fail bestätigen: Die Mail wurde nicht von Ihrem legitimen Mailserver gesendet. Das ist der technische Beweis für Spoofing.
🔒 Header zeigt spf=fail? Wir richten SPF/DKIM/DMARC für Sie ein.
Jetzt anfragen →SPF, DKIM und DMARC — Die drei Schutzschilde für Ihre Domain
Diese drei DNS-Einträge lösen das Spoofing-Problem dauerhaft. Mailserver bei Google, Microsoft und allen anderen großen Anbietern prüfen sie in Echtzeit:
1. SPF-Eintrag — Wer darf für Sie mailen?
SPF (Sender Policy Framework) listet im DNS, welche Server berechtigt sind, E-Mails von Ihrer Domain zu versenden. Alle anderen werden als nicht autorisiert erkannt.
Den SPF-Eintrag legen Sie als TXT-Eintrag in der DNS-Verwaltung Ihrer Domain an. Der Name ist @ (für die Haupt-Domain).
2. DKIM — Kryptografische Signatur pro Mail
DKIM (DomainKeys Identified Mail) fügt jeder ausgehenden Mail eine kryptografische Signatur hinzu. Empfangende Mailserver prüfen diese gegen einen öffentlichen Schlüssel im DNS. Eine gefälschte Mail ohne gültige Signatur fällt sofort auf.
| Hoster / Anbieter | DKIM aktivieren |
|---|---|
| cPanel (Webhosting) | Email → Authentication → DKIM aktivieren |
| Plesk | Mail-Einstellungen → DKIM-Signatur aktivieren |
| Google Workspace | Admin-Konsole → Apps → Gmail → E-Mail-Authentifizierung |
| Microsoft 365 | Security Center → Email & Collaboration → Policies → DKIM |
| Strato / IONOS | E-Mail-Einstellungen → Sicherheit → DKIM |
3. DMARC — Was passiert bei Spoofing-Versuchen?
DMARC kombiniert SPF und DKIM und legt fest, was mit Mails passiert, die beide Prüfungen nicht bestehen. Es gibt drei Stufen:
| DMARC-Policy | Wirkung | Empfehlung |
|---|---|---|
| p=none | Nur Reporting — keine Aktion | Phase 1: Monitoring starten |
| p=quarantine | Gefälschte Mails → Spam-Ordner | Phase 2: Nach 2–4 Wochen |
| p=reject | Gefälschte Mails werden abgelehnt | Phase 3: Ziel-Policy |
Häufige Fehler bei der SPF/DKIM/DMARC-Einrichtung
| Fehler | Folge | Lösung |
|---|---|---|
| Mehrere SPF-Einträge für eine Domain | Nur der erste wird geprüft, andere ignoriert | Alles in einen einzigen TXT-Eintrag zusammenführen |
| SPF mit zu vielen DNS-Lookups (>10) | SPF-Fehler, Mails landen im Spam | Subdomain-Includes minimieren, macros verwenden |
| DMARC mit p=none belassen | Reporting ohne Schutzwirkung | Nach Monitoring-Phase auf quarantine upgraden |
| DKIM-Schlüssel zu kurz (512 bit) | Leicht kryptografisch angreifbar | Mindestens 2048-bit-Schlüssel verwenden |
| rua-Adresse im DMARC fehlt | Kein Report über Spoofing-Versuche | rua=mailto:reports@ihredomain hinzufügen |
Was Sie sofort tun sollten — Schritt-für-Schritt-Checkliste
- Ruhe bewahren — in nahezu allen Fällen handelt es sich um automatisierten Massen-Spam ohne echte Bedrohung
- Nicht zahlen — jede Zahlung bestätigt die Adresse als aktiv und führt zu weiteren Forderungen
- Nicht antworten — auch Antworten markieren Ihre Adresse als reaktionsfähig
- Postausgang prüfen — keine Mail dort? Dann ist Ihr Konto sicher
- Login-Aktivität prüfen — keine fremden Zugriffe? Bestätigt Spoofing
- Passwort ändern — als Vorsichtsmassnahme, besonders wenn ein altes Passwort erwähnt wird
- 2-Faktor-Authentifizierung aktivieren — schützt dauerhaft, auch wenn ein Passwort kompromittiert ist
- SPF/DKIM/DMARC prüfen — mit Spoof-Prüfer oder MXToolbox
- Mail als Spam markieren — trainiert Ihren Filter und schützt andere Empfänger
- E-Mail-Leak prüfen — mit Passwort-Leak-Check auf bekannte Datenlecks prüfen
Anzeige erstatten — Wo und wie in Österreich, Deutschland und der Schweiz
Eine Anzeige ist möglich und sinnvoll: Die Polizei erfasst aktive Kampagnen und kann bei genügend Fällen ermitteln. Aufw and: 10–15 Minuten online.
| Land | Stelle | Online-Anzeige |
|---|---|---|
| Österreich | LKA Cybercrime / Bundeskriminalamt | Onlinewache: bundeskriminalamt.at |
| Deutschland | ZAC (Zentrale Anlaufstelle Cybercrime) je Bundesland | Polizei-Online des jeweiligen Bundeslandes |
| Schweiz | NCSC (Nationales Zentrum für Cybersicherheit) | incibe.ncsc.admin.ch |
Was Sie mitbringen sollten: Die Original-Mail als .eml-Datei gespeichert (nicht nur Screenshot), den vollständigen Mail-Header, und falls vorhanden die Bitcoin-Wallet-Adresse aus der Forderung.
Häufig gestellte Fragen zur Erpressermail von eigener E-Mail
Hintergrund: Wie funktioniert diese Art der Erpressung?
Sogenannte Sextortion-Mails und Bitcoin-Erpressermails werden vollautomatisch in Millionen von Kopien verschickt. Kriminelle kaufen gestohlene Datensätze (E-Mail, altes Passwort) im Darknet für wenige Dollar pro Tausend Einträge und fügen diese in Vorlagen ein. Das Ergebnis wirkt erschreckend persönlich, ist aber reine Masse.
Zahlen und Fakten zur Erpressungsmasche:
- Laut Europol versenden kriminelle Netzwerke täglich bis zu 30 Millionen solcher Mails
- Die durchschnittliche Bitcoin-Forderung liegt zwischen 500 und 2.000 USD
- Weniger als 0,1 % der Empfänger zahlen — trotzdem ist das Geschäftsmodell profitabel
- Zahlen Sie nicht: Einmal als „zahlungsbereit“ markiert, folgen weitere Forderungen
- Das Passwort in der Mail stammt aus Datenlecks — nicht aus einem aktuellen Hack Ihres Kontos
Unser Vorgehen in 3 Schritten
- 1Spoofing bestätigen — Wir analysieren den Mail-Header und bestätigen, dass es sich um Spoofing handelt und kein echter Hack vorliegt.
- 2Domain absichern — SPF, DKIM und DMARC werden für Ihre Domain eingerichtet — neue Spoofing-Versuche werden geblockt.
- 3Sicherheits-Check — Zusätzlich prüfen wir, ob Ihre Passwort-Daten in Datenleck-Datenbanken erscheinen.
Warum Protecta360?
Kostenlose Analyse — Spoofing oder echter Hack?
Erpressermail von Ihrer eigenen Adresse erhalten? Wir klären kostenlos, ob es Spoofing ist und was zu tun ist.
Verwandte Seiten: Drohmail von eigener Adresse · E-Mail Spoofing stoppen · Erpressermail Bitcoin-Forderung · SPF-Record prüfen