Ein Sicherheitsforscher erwirbt eine Domain, die wie ein Mülleimer für E-Mails wirkt. Hunderte Unternehmen senden ihm daraufhin vertrauliche Informationen – oft ohne es zu bemerken.
Das klingt nach einem Kuriosum, ist aber ein ernstes Sicherheitsproblem. Was als harmloser Test begann, entpuppt sich als systematisches Datenleck in der Unternehmenskommunikation.
Ein Zufallsfund mit Folgen
Der Sicherheitsforscher Cory Solowevicz kaufte 2020 die Domain noreply.us und 2024 auch noreply.net. Sein Ziel war es, eine Catch-all-Mailbox einzurichten, um Spam zu filtern und seine Privatsphäre zu schützen. Doch schnell bemerkte er: Fremde Systeme schickten massenhaft E-Mails an @noreply.us-Adressen. Es handelte sich nicht um Werbung, sondern um Nachrichten, die für andere Empfänger gedacht waren – nur eben an eine Adresse, die niemand zu kontrollieren schien.
Seit Dezember 2024 sind auf seiner noreply.net-Domain rund 400.000 Nachrichten eingegangen. Das sind fast 700 pro Tag. Darunter finden sich Reparaturaufträge, Zugangsdaten zu Testplattformen, sogar Verletzungsberichte einer Stadtverwaltung. Solowevicz nennt das Ganze einen „versehentlichen Honeypot“ – ein Netz, das er nie gespannt hatte, das aber Unmengen an sensiblen Daten anzieht.
Das Problem ist nicht neu, aber größer als gedacht. Bereits vor fast 20 Jahren berichtete der Journalist Brian Krebs über Firmen, die massenhaft E-Mails an @donotreply.com verschickten. Heute nutzen viele Unternehmen das Wort „noreply“ als Platzhalter, wenn sie eine E-Mail-Adresse nicht mehr benötigen oder einen Account löschen. Sie gehen davon aus, dass niemand diese Adressen überwacht – doch genau das tun die neuen Besitzer.
Ein digitaler Mülleimer voller Geheimnisse
Solowevicz ist nicht der Einzige, der diesen Effekt beobachtet. Auch der Sicherheitsverantwortliche Mike Sheward kaufte für etwa 15 Dollar die Domain deleteduser.com. Bereits in der ersten Stunde nach dem Kauf schickten drei verschiedene Organisationen E-Mails an @deleteduser.com. Diese Firmen ändern offenbar einfach die E-Mail-Adresse eines Nutzers, statt den Account komplett zu löschen – und leiten damit alle künftigen Nachrichten auf eine fremde Domain um.
Sheward hat inzwischen Zehntausende solcher Nachrichten erhalten. Darunter sind Bestellbestätigungen für Viagra, Urlaubsanträge, Hotelbuchungen mit vollständigen Namen oder Einladungen zu Zoom-Meetings einer britischen Regierungsbehörde. Besonders häufig sind Nachrichten aus der Cybersicherheitsbranche und von Microsoft-Partnern. Ein Unternehmen, das er nicht nennen will, verwendet Objekterkennungstechnologie, um Arbeiter auf Industrieanlagen im Nahen Osten zu überwachen – und hat ihm tausende Standbilder aus Überwachungskameras geschickt.
„Ich bin der gute Wächter des Internet-Mülleimers“, sagt Sheward. Aber er macht auch klar: „Wenn ich böswillig wäre, wäre es ein Leichtes, diese Informationen zu missbrauchen.“ Die Daten, die hier versehentlich ankommen, sind nicht nur lästig – sie sind ein gefundenes Fressen für Erpresser und Industriespione.
Missverständnisse rund um „noreply“-Adressen
Warum passiert das? Viele Unternehmen verwenden „noreply“ als Absender für automatisierte Nachrichten – etwa für Bestellbestätigungen oder Passwort-Resets. Diese Absender sind Wegwerfadressen, auf die niemand antwortet. Doch wenn ein internes System eine E-Mail an eine Person schicken muss, deren Account gelöscht wurde, ersetzen einige Systeme die ursprüngliche Adresse einfach durch eine generische Version wie [firmenname]@noreply.net. Das ist ein schlechter Workaround, der auf der Annahme beruht, dass diese Domain nicht existiert oder niemand die Nachrichten liest.
Genau diese Annahme ist das Kernproblem. Eine Domain wie noreply.net lässt sich ohne großen Aufwand registrieren, sofern sie noch frei ist. Wer sie kauft, kontrolliert damit alle E-Mail-Adressen auf dieser Domain. Jede E-Mail, die an eine beliebige Adresse auf dieser Domain geschickt wird, landet im Postfach des Domainbesitzers. Das ist kein Hack, sondern schlichte Konfiguration. Unternehmen, die solche Platzhalterdomains nutzen, riskieren, Kundendaten, Mitarbeiterdaten und interne Informationen an Unbefugte weiterzugeben.
Dabei wäre die Lösung trivial: Es gibt die reservierte Top-Level-Domain .invalid, die garantiert nie existiert. Oder man verwendet interne Domainnamen, die nicht öffentlich erreichbar sind. Doch viele Firmen greifen eben zu „noreply“ oder ähnlichen Begriffen, weil sie glauben, dass diese Adressen unbeobachtet bleiben. Das Gegenteil ist der Fall – wie die Erfahrungen der Forscher zeigen.
Die Jagd nach weiteren gefährlichen Domains
Solowevicz und Sheward arbeiten unabhängig voneinander daran, das Ausmaß des Problems zu kartieren. Sie haben zusammen über 30 weitere Domains gekauft, die als Platzhalter genutzt werden könnten – etwa deleteduser.com, maildrop.net oder ähnliche. Damit wollen sie verhindern, dass Kriminelle diese Domains in die Hände bekommen und die Daten missbrauchen. Ein Wettlauf gegen die Zeit.
Im Rahmen seines Vortrags auf der Sicherheitskonferenz Defcon stellte Solowevicz eine Analyse vor: Er scannte 7.136 mögliche Platzhalterdomains und fand heraus, dass 328 davon tatsächlich mit Catch-all-Mailboxen konfiguriert waren. Auf diesen Domains werden alle E-Mails angenommen – wer sie registriert hat, erhält sämtliche Nachrichten. „Ich weiß nicht, wie groß das Problem wirklich ist“, sagt er, „aber ich befürchte, dass das, was ich zufällig entdeckt habe, nur die Spitze des Eisbergs ist.“
Die Forscher haben bereits mehrere Firmen über ihre Fehlkonfigurationen informiert. Die Reaktionen sind gemischt: Manche Unternehmen haben die Probleme stillschweigend behoben, viele haben gar nicht geantwortet. Angesichts von über 400.000 E-Mails auf einer einzigen Domain ist es praktisch unmöglich, jeden Absender einzeln zu kontaktieren. Solowevicz betont, dass dies mittlerweile eine Vollzeitbeschäftigung wäre – und genau deshalb macht er seine Erkenntnisse öffentlich.
Was Unternehmen daraus lernen müssen
Dieser Fall zeigt, wie schnell aus einer vermeintlich harmlosen E-Mail-Adresse ein Sicherheitsrisiko wird. Unternehmen, die „noreply“-Domains als Platzhalter für gelöschte oder geänderte Adressen nutzen, sollten das sofort überdenken. Stattdessen sollten sie auf interne Domains oder die reservierte Endung .invalid zurückgreifen. Außerdem ist es ratsam, regelmäßig zu überprüfen, ob an die eigene Domain E-Mails an unbekannte Adressen gehen – das kann man über SPF- oder DMARC-Records sehen, die auch Auskunft über die Zustellung geben.
Für dich als Nutzer bedeutet das: Du solltest niemals davon ausgehen, dass eine „noreply“-Adresse unbeobachtet ist. Wenn du eine E-Mail von einer Firma mit einer solchen Absenderadresse erhältst, ist das normal – aber wenn du eine Antwort an diese Adresse schickst, landet sie im Nirgendwo. Viele wissen nicht: Wenn eine Firma deine E-Mail-Adresse in eine „noreply“-Adresse umwandelt, weil du deinen Account löschst, kann das dazu führen, dass deine persönlichen Daten an einen Dritten gehen – nämlich an den Besitzer dieser Domain.
Die Geschichte von Solowevicz ist kein Einzelfall, sondern ein Symptom. Sie zeigt, wie nachlässig viele Organisationen mit E-Mail-Adressen umgehen, obwohl E-Mail nach wie vor ein zentraler Kanal für vertrauliche Informationen ist. Die gute Nachricht: Das Problem ist mit geringem Aufwand lösbar. Die schlechte Nachricht: Solange Unternehmen weiterhin auf „noreply“ als Mülleimer setzen, werden auch andere Forscher – oder schlimmer noch, Angreifer – diese Daten finden.
Quelle: arstechnica.com
