Es gibt eine Domain namens noreply.net, was wörtlich übersetzt „keine Antwort“ bedeutet. Sie war seit langem registriert, blieb aber jahrelang ungenutzt. Im Jahr 2024 kaufte der US-amerikanische Sicherheitsforscher Cory Solovewicz die Domain und richtete ein Catch-All-Postfach für alle eingehenden E-Mails ein. In den folgenden anderthalb Jahren begannen Unternehmen weltweit, automatisierte E-Mails an sein Postfach zu senden: Unfallberichte von städtischen Mitarbeitern, Aktivierungs-Mails für Schulkonten, Bestätigungen von Pizza-Bestellungen, Reparaturaufträge, Zugangsdaten für Testplattformen sowie eine enorme Menge an internen Dokumenten, Rechnungen, Verträgen und Links zum Zurücksetzen von Passworten. Als er seine Daten auf der Defcon – der weltweit bekanntesten Hacker-Konferenz – präsentierte, hatte die Domain insgesamt 401.796 E-Mails empfangen, durchschnittlich etwa 700 pro Tag, von denen 28.365 Anhänge enthielten.
Keine einzige dieser E-Mails wurde von einem Menschen geschrieben; alle stammten aus automatisierten Systemen der Unternehmen. Solovewicz erklärte, er habe ursprünglich nur eine private E-Mail-Adresse zum Blockieren von Spam gesucht und dabei „versehentlich einen Honeypot gebaut“. Honeypot ist ein Fachbegriff aus der IT-Sicherheit für eine beabsichtigte Falle: Man platziert Köder an sichtbarer Stelle, um Angreifer anzulocken. Doch in diese Falle tappten ausgerechnet die Unternehmenssysteme, die eigentlich am aufmerksamsten sein sollten.
Abb.: In den Augen von Unternehmen sind solche Domains die Papierkörbe der digitalen Welt – Orte, die angeblich „niemand liest“ und in die man alles werfen kann. Quelle: Ars Technica (Foto: Richard Drury via Getty)
Warum eine „unbeachtete Domain“ Unternehmensgeheimnisse empfängt
Um dieses Phänomen zu verstehen, sind zwei Hintergrundinformationen erforderlich.
Erstens: Unzählige Softwareanwendungen nutzen standardmäßig [email protected] als Absenderadresse, um zu signalisieren, dass keine Antworten gelesen werden. Viele Unternehmen übernehmen bei der Installation der Einfachheit halber diese Standardkonfiguration oder tragen sogar die zwar existierende, aber nicht in ihrem Besitz befindliche Domain noreply.net ein – in dem Glauben, dass ohnehin niemand auf diese Adressen antwortet. Auch beim Ausscheiden von Mitarbeitern oder Löschen von Konten schreiben Systeme die ursprünglichen Adressen oft in Platzhalter wie [email protected] um, anstatt die Datensätze wirklich zu löschen.
Zweitens: Das E-Mail-System läuft seit über 50 Jahren – gerechnet von der ersten E-Mail im Jahr 1971 und der Standardisierung des Protokolls in den frühen 1980er Jahren. Von Anfang an prüfte das Protokoll streng nur ein einziges Detail: die Empfängeradresse. Denn die Post muss wissen, wohin die Nachricht zugestellt werden soll. Wer der Absender ist, übernimmt das Protokoll ungeprüft so, wie es angegeben wird. Eine E-Mail ist im Grunde eine Postkarte: Die Post stellt sie rein nach der Zieladresse zu, ohne die Identität des Absenders zu überprüfen.
Treffen diese beiden Faktoren aufeinander, entsteht eine gravierende Sicherheitslücke. Unternehmen senden vertrauliche Daten an eine Adresse, auf der angeblich „niemand liest, wo aber tatsächlich jemand empfängt“. Das E-Mail-System prüft die Empfängeradresse, bestätigt deren Gültigkeit und stellt die Nachricht zu – ohne dass an irgendeiner Stelle der Kette geprüft wird, wer der Absender ist oder wem die Domain gehört. Die Vertrauensannahme, auf der die Geschäftswelt seit 50 Jahren basiert, bricht hier zusammen.
Diese Annahme funktionierte, als nur Universitäten und Militärinstitute vernetzt waren, die einander kannten. Doch als E-Mail weltweit geöffnet wurde, zeigten sich die Folgen unüberprüfter Absenderangaben: Betrüger gaben sich als „Ihre Bank“ oder „Ihr Vorgesetzter“ aus – die Grundursache für unzählige Phishing-Wellen. Die Branche entwickelte spätere Erweiterungen wie SPF, DKIM und DMARC, um die Fälschung von Absender-Domains zu verhindern. Doch diese Schutzmechanismen greifen hier nicht: Die Absender-Domain der Unternehmen ist völlig echt; lediglich die Empfängeradresse ist falsch konfiguriert – und genau diese Empfängeradresse ist das Einzige, was E-Mail-Systeme strikt überprüfen.
Abb.: Illustration aus der WIRED-Berichterstattung zum Thema „Vertrauliche Informationen fließen ununterbrochen in ‘No Reply’-Postfächer“. Quelle: WIRED (Illustration: Jobanny Cabrera)
Was 400.000 E-Mails bedeuten
Solovewicz zählte Nachrichten von über 14.000 Absenderadressen aus 6.200 Hauptdomains. Diese Zahl zeigt, dass das Problem die gesamte Branche betrifft – ein kontinuierliches Datenleck mit einem Volumen von durchschnittlich 700 E-Mails pro Tag.
Ein weiterer Sicherheitsforscher, Mike Sheward, kaufte für etwa 15 US-Dollar die Domain deleteduser.com. Bereits in der ersten Stunde traf E-Mail-Post von drei Organisationen ein. Seine Funde waren noch brisanter: Urlaubsanträge von Mitarbeitern, Hotelreservierungen mit vollständigen Namen, Einladungen zu Zoom-Meetings britischer Regierungsbehörden und sogar die Einladung zu einem Sommerfest einer Firma aus San Francisco mit der Anrede „Lieber gelöschter Benutzer“. Der aktivste Absender war ein KI-Unternehmen, das Bilderkennung zur Helm-Überwachung auf Baustellen im Nahen Osten einsetzt – es übersandte Tausende von Überwachungs-Screenshots. Sheward bezeichnete sich selbst als „Verwalter des Müllschlauchs des Internets“ – Mülleimer ist genau die Rolle, die Unternehmen solchen Domains beimessen. Besonders gefährlich sind E-Mails mit Anhängen: 28.365 Anhänge bedeuteten Tabellenkalkulationen, gescannte Dokumente und Screenshots, die oft weitaus wertvoller sind als der reine Text.
15 Dollar, eine Stunde, drei Organisationen. Das dürfte der Rekord für das kostengünstigste Datenleck der Geschichte sein.
Beide Forscher erkannten, dass diese Domains in den Händen von Hackern oder Erpressern eine Goldgrube darstellen würden. Daher kauften sie präventiv insgesamt über 30 ähnliche Platzhalter-Domains. Solovewicz scannte anschließend per Skript 7.136 potenzielle Platzhalter-Domains und stellte fest, dass bei 328 davon ein Catch-All-Postfach aktiv geschaltet war. Wie er selbst anmerkte, dürfte dieses zufällig entdeckte Problem nur die Spitze des Eisbergs sein.
Ein Datenleck ohne Hacker
In dieser Geschichte gab es weder Sicherheitslücken im klassischen Sinne noch Angreifer. Die eigentlichen Verursacher heißen „Standardkonfiguration“ und „mangelnde Validierung“. Automatisierte Systeme senden vertrauliche Daten blind an Platzhalter-Adressen; das E-Mail-Protokoll vertraut jeder angegebenen Identität; und die auf E-Mail angewiesene Geschäftswelt prüft fast nie, wohin ihre automatisch generierten Nachrichten tatsächlich fließen.
Das Problem ist keineswegs neu – bereits vor zwei Jahrzehnten berichtete der Journalist Brian Krebs darüber, wie Unternehmen massenhaft E-Mails an donotreply.com schickten. Zwanzig Jahre später besteht das Problem unverändert fort. Solovewicz benachrichtigt laufend betroffene Unternehmen – mit gemischten Reaktionen: Einige beheben den Fehler stillschweigend, die meisten antworten überhaupt nicht. Er räumte ein, dass die Benachrichtigung aller Betroffenen mittlerweile einem Vollzeitjob gleicht.
Die Gegenmaßnahmen sind nicht komplex: Nutzung eigener interner Unternehmensdomains, Verwendung der gemäß Spezifikation garantiert nicht existierenden Domain .invalid oder regelmäßige Audits der ausgehenden E-Mail-Logs. Die eigentliche Hürde liegt im Bewusstsein – Unternehmen müssen anerkennen, dass jede automatisch versendete E-Mail von einem völlig Fremden gelesen werden kann.
Die 50 Jahre alte E-Mail-Infrastruktur läuft weiter, doch ihre ursprünglichen Vertrauensannahmen passen längst nicht mehr zur heutigen Welt. Während dieser Artikel verfasst wurde, sind in jenem Postfach vermutlich schon wieder Dutzende neue „vertrauliche E-Mails“ eingetroffen.
Weiterführende Links:
- Ars Technica: A researcher bought noreply.net. Companies started sending him secrets.
- WIRED: Sensitive Info Goes Into ‘No Reply’ Emails Constantly. This Guy Sees It All
- Lobsters-Diskussion (lobste.rs/s/exgfc0, 27 Punkte)
