Ein Kundenshop fiel uns auf, weil plötzlich Hunderte Mails am Tag an Adressen hinausgingen, die nie etwas bestellt hatten: Newsletter-Bestätigungen, Registrierungsmails, Kopien von Kontaktanfragen. Niemand im Shop hatte sie ausgelöst. Der Shop war zur Versandmaschine für fremden Spam geworden – ohne dass ein Server gehackt oder ein Passwort gestohlen worden wäre.
Das Muster heißt List-Bombing, und JTL-Shops eignen sich dafür wie jede andere Website mit Formularen. Dieser Artikel erklärt, wie der Missbrauch funktioniert, woran Sie ihn erkennen und welche Schutzprinzipien tatsächlich wirken.
Was List-Bombing ist
Beim List-Bombing (auch „Subscription Bombing“) tragen Bots die E-Mail-Adresse eines Opfers in die Formulare vieler Websites ein. Jede dieser Websites schickt daraufhin eine Mail an diese Adresse – eine Bestätigung, einen Willkommensgruß, eine Kopie der Anfrage. Für das Opfer entsteht eine Flut, in der wichtige Mails untergehen. Für den Angreifer ist das bequem: Er verschickt selbst keine einzige Mail, sondern nutzt seriöse Absender als Werkzeug.
Ihr Shop ist dabei nicht das Ziel, sondern das Mittel. Die Folgen tragen Sie trotzdem.
Welche Shop-Formulare missbraucht werden
Missbrauchbar ist jedes Formular, das eine Mail an eine frei eingegebene Adresse auslöst. Im JTL-Shop sind das vor allem:
- Kontaktformular – sofern eine Kopie oder Bestätigung an den Absender geht
- Newsletter-Anmeldung – die Double-Opt-in-Bestätigung geht an die eingetragene Adresse
- Registrierung – Willkommens- oder Bestätigungsmail an das neue Konto
- Passwort vergessen – Mail mit Link an die eingegebene Adresse
- Frage zum Produkt – je nach Einstellung mit Kopie an den Fragenden
- Verfügbarkeitsbenachrichtigung – Bestätigung und spätere Benachrichtigung
- außerdem Bewertungen und das Online-Widerrufsformular, sofern sie Mails auslösen
Gerade „Passwort vergessen“ und die Verfügbarkeitsbenachrichtigung werden beim Absichern gern übersehen. Beide verschicken eine Mail an eine beliebige Adresse und taugen damit genauso als Versandkanal wie das Kontaktformular.
Warnzeichen: So bemerken Sie den Missbrauch
List-Bombing fällt selten im Shop selbst auf, sondern an den Rändern:
- Ungewöhnlich viele ausgehende Mails an Adressen, die nicht zu Ihren Kunden gehören – oft gehäuft aus Newsletter, Registrierung oder Kontakt.
- Viele Rückläufer (Bounces), weil eingetragene Adressen nicht existieren oder Postfächer voll sind.
- Beschwerden und Spam-Markierungen: Empfänger, die nie etwas bei Ihnen angefragt haben, markieren Ihre Mails als Spam.
- Zustellprobleme bei echten Mails: Bestellbestätigungen und Versandinfos landen plötzlich im Spamordner oder kommen gar nicht an. Das ist oft das erste Symptom, das der Shopbetreiber selbst bemerkt.
- Neue Konten oder Newsletter-Einträge mit auffälligen Namen, Testeinträgen oder Adressen, die in kurzer Zeit immer wieder auftauchen.
- Freitext mit fremden Links in Kontaktanfragen und Produktfragen.
Der Ruf Ihrer Absenderdomain ist schnell beschädigt und nur langsam wieder aufgebaut. Je länger der Missbrauch läuft, desto stärker leidet die Zustellung aller Shop-Mails – auch der geschäftskritischen.
Warum „X Angriffe abgewehrt“ trügt
Im eingangs erwähnten Kundenshop war bereits ein Spamschutz installiert. Er meldete für denselben Zeitraum stolz eine dreistellige Zahl abgewehrter Angriffe. Gleichzeitig gingen Hunderte Mails an fremde Adressen hinaus. Beides stimmte: Der Schutz zählte, was er abwies – aber er zeigte nirgends, was durchkam.
Ein Zähler für abgewehrte Angriffe ist deshalb keine Sicherheitsaussage. Er beruhigt, ohne etwas zu belegen. Aussagekräftig ist nur die Gegenrechnung: Wie viele Formularanfragen wurden angenommen, und wie viele Mails sind daraufhin an Adressen gegangen, die nicht zu echten Kunden gehören?
Achten Sie bei jedem Spamschutz darauf, dass er auch Durchbrüche sichtbar macht – also angenommene Anfragen, die nachträglich verdächtig aussehen. Ein Werkzeug, das nur Erfolge meldet, kann einen laufenden Missbrauch nicht anzeigen.
Schutzprinzipien, die wirken
Kein einzelner Mechanismus hält alle Bots auf. Wirksam ist eine Kombination mehrerer Prüfungen – sinnvollerweise in einer festen Reihenfolge: erst die billigen und eindeutigen Prüfungen, dann solche mit Datenbankzugriff, externe Dienste zuletzt.
Honeypot
Ein für Menschen unsichtbares Formularfeld, das echte Besucher leer lassen. Ist es ausgefüllt, war mit hoher Wahrscheinlichkeit ein Bot am Werk. Der Honeypot ist billig und stört niemanden – allein reicht er aber nicht.
Einmal-Token mit Mindest- und Höchstalter
Jedes ausgelieferte Formular erhält ein Token, das genau einmal verwendet werden kann. Dazu kommen ein Mindestalter (kein Mensch füllt ein Formular in einer Sekunde aus) und ein Höchstalter (ein Formular von gestern ist abgelaufen). Ein bloß signierter Zeitstempel genügt nicht, denn er ließe sich beliebig oft wiederverwenden.
Wichtig für die Besucherfreundlichkeit: Ein abgelaufenes oder doppelt abgeschicktes Formular ist kein Spamverdacht. Hier gehört ein Hinweis wie „Bitte laden Sie die Seite neu“ hin – nicht eine Spam-Meldung, die einen echten Kunden vergrault.
Ratelimit je Adresse und je Netz
Begrenzen Sie, wie viele Formularanfragen von einer IP-Adresse in einem Zeitraum angenommen werden. Das allein greift aber oft nicht, weil Bots ihre Adresse innerhalb desselben Netzbereichs wechseln. Deshalb braucht es zusätzlich ein Limit je Netz. Bewährt haben sich zwei Zeitfenster: ein kurzes gegen plötzliche Wellen und ein Tagesfenster gegen langsame Bots.
Sperren sollten ablaufen und sich bei Wiederholung verlängern. Eine IP-Adresse kann später jemand anderem gehören; dauerhafte Sperren für ganze Netze gehören bewusst gesetzt in den Webserver, nicht in eine Automatik. Sperren Sie außerdem zuerst die einzelne Adresse, nicht gleich das ganze Netz – sonst treffen Sie viele Unbeteiligte.
Ratelimits und Sperren funktionieren nur, wenn der Shop die echte Besucheradresse sieht. Steht ein Proxy oder CDN davor, muss der Webserver die Weiterleitungs-Header sauber setzen. Sonst laufen Sperren ins Leere oder treffen die Falschen.
Inhaltsregeln
Freitextfelder lassen sich prüfen: Schlüsselwörter einer Blockliste, fremde Links in Nachrichten, typische Sondierungseinträge wie „Test User“ mit der Nachricht „Test“. Solche Regeln fangen vieles ab, was technisch sauber aussieht.
Alle Formularwege abdecken
Manche Formulare werden erst per AJAX in die Seite geladen, etwa „Passwort vergessen“ aus dem Login-Fenster. Ein Schutz, der nur fertig ausgelieferte Seiten bearbeitet, übersieht diese Formulare oder blockiert dort versehentlich echte Kunden. Prüfen Sie, ob Ihr Schutz auch nachgeladene Formulare und die AJAX-Schnittstelle des Shops berücksichtigt.
Beobachtungsmodus vor Blockmodus
Schalten Sie einen neuen Schutz nicht sofort scharf. Im Beobachtungsmodus prüft er jede Anfrage und protokolliert das Ergebnis, weist aber nichts ab. So sehen Sie nach einigen Tagen, welche Regeln greifen und ob echte Anfragen betroffen wären. Erst danach wechseln Sie in den Blockmodus. Der Beobachtungsmodus eignet sich auch, um einen neuen Schutz neben einem bestehenden einzufahren.
Keine Mails an unbekannte Adressen, wo es nicht nötig ist
Die einfachste Maßnahme: Prüfen Sie für jedes Formular, ob es überhaupt eine Mail an die eingegebene Adresse schicken muss. Eine Kopie der Kontaktanfrage an den Absender ist bequem, aber selten notwendig. Wo keine Mail rausgeht, gibt es auch nichts zu missbrauchen.
Die Double-Opt-in-Bestätigung beim Newsletter ist rechtlich geboten und lässt sich nicht einfach abschalten. Gerade dieses Formular braucht deshalb den vollständigen Schutz.
Und das Captcha?
Einfache Captchas, die der Shop selbst mitbringt, halten automatisierte Absender oft kaum auf, weil Bots das Formular ohnehin vollständig auswerten. Ein externer Prüfdienst kann eine sinnvolle zusätzliche Stufe sein – als letzte Prüfung, nicht als einzige. Auch ein Nachweis, dass im Browser JavaScript läuft, ist möglich, sperrt aber Besucher ohne JavaScript aus.
Fehlerbild auf einen Blick
| Symptom | Ursache | Lösung |
|---|---|---|
| Viele Mails an Adressen, die nie bestellt haben | Formulare werden als Versandkanal für List-Bombing missbraucht | Alle mailauslösenden Formulare absichern (Honeypot, Einmal-Token, Ratelimit) |
| Bestellmails landen plötzlich im Spam | Ruf der Absenderdomain durch Beschwerden und Rückläufer beschädigt | Missbrauch stoppen, Mailversand und Rückläufer beobachten |
| Spamschutz meldet viele Abwehrerfolge, trotzdem gehen Spam-Mails raus | Schutz zählt nur Abweisungen, nicht Durchbrüche | Schutz einsetzen, der auch angenommene Anfragen auswertet |
| Ratelimit greift nie, obwohl Wellen kommen | Bots wechseln IP innerhalb eines Netzes | Ratelimit zusätzlich je Netz |
| Ratelimit sperrt viele Unbeteiligte | Shop sieht nicht die echte Besucheradresse (Proxy/CDN) | Weiterleitungs-Header im Webserver korrekt setzen |
| Echte Kunden scheitern an „Passwort vergessen“ | Nachgeladenes Formular wird vom Schutz nicht erfasst | Schutz für AJAX-Formulare prüfen, zunächst im Beobachtungsmodus |
Checkliste
- Alle Formulare erfassen, die Mails an frei eingegebene Adressen auslösen – inklusive Passwort vergessen und Verfügbarkeitsbenachrichtigung.
- Unnötige Kopien und Bestätigungen an Absender abschalten.
- Honeypot und Einmal-Token mit Mindest- und Höchstalter einsetzen.
- Ratelimit je IP-Adresse und je Netz, mit kurzem und Tagesfenster.
- Sperren befristen und bei Wiederholung verlängern; Dauersperren bewusst im Webserver setzen.
- Sicherstellen, dass der Shop die echte Besucheradresse sieht.
- Inhaltsregeln für Freitext: Blockliste, fremde Links, Testeinträge.
- Nachgeladene Formulare und AJAX-Aufrufe mit abdecken.
- Neuen Schutz zuerst im Beobachtungsmodus betreiben.
- Nicht nur Abwehrerfolge, sondern auch Durchbrüche und den tatsächlichen Mailversand beobachten.
- Freundliche Hinweise bei abgelaufenen Formularen statt Spam-Meldungen.
Unser Formularschutz für JTL-Shop 5
Genau aus einem solchen Fall ist unser eigenes Plugin entstanden: ein Formularschutz für JTL-Shop 5, der die oben beschriebenen Prinzipien vollständig umsetzt – und der Ihren Shop zuverlässig davor schützt, als Versandmaschine missbraucht zu werden.
- Alle gefährdeten Formulare: Kontakt, Frage zum Produkt, Bewertung, Newsletter, Registrierung, Passwort vergessen, Verfügbarkeitsbenachrichtigung und das Online-Widerrufsformular – jedes einzeln schaltbar.
- Mehrstufige Prüfung: Sperrliste, Honeypot, Einmal-Token mit Mindest- und Höchstalter, Ratelimit je Adresse und je Netz, Inhaltsregeln und Erkennung typischer Sondierungsversuche.
- Sperren, die lernen: Wer wiederkommt, bleibt länger draußen – gedeckelt, damit kein ganzes Netz voller Unbeteiligter dauerhaft ausgesperrt wird.
- Auch die Hintertüren: Formulare, die per AJAX nachgeladen werden, und der direkte Weg über die Shop-Schnittstelle sind abgedeckt.
- Sichtbare Ergebnisse: Das Dashboard zählt nicht nur Abwehr, sondern auch Durchbrüche – Sie sehen, ob der Schutz wirklich greift.
- Sanfter Start: Erst beobachten, dann blockieren. So kostet die Einführung keine echten Anfragen.
- Ohne Captcha-Zwang und ohne externe Dienste – die Prüfung läuft im eigenen Shop. Ein externer Prüfdienst lässt sich bei Bedarf zuschalten.
Wir installieren den Schutz, stimmen ihn auf Ihren Shop ab und prüfen in der Beobachtungsphase, dass echte Kunden ungehindert durchkommen.
Formularschutz für Ihren Shop anfragen
Fazit
List-Bombing über Shop-Formulare ist kein exotischer Angriff, sondern ein verbreitetes Muster, das jeden Shop mit Formularen treffen kann. Gefährlich ist es vor allem, weil es lange unbemerkt bleibt und dann den Ruf der eigenen Absenderdomain beschädigt. Ein wirksamer Schutz kombiniert mehrere einfache Prüfungen und macht sichtbar, was durchkommt – nicht nur, was abgewehrt wird.
Wenn Sie den Verdacht haben, dass Ihr Shop missbraucht wird, oder Ihren bestehenden Formularschutz überprüfen lassen möchten, sprechen Sie uns an – wir analysieren die Lage und sichern Ihre Formulare mit unserem Plugin ab.
Häufige Fragen
Was ist List-Bombing?
Beim List-Bombing tragen Bots eine fremde E-Mail-Adresse massenhaft in Formulare verschiedener Websites ein. Das Opfer wird mit Bestätigungs- und Benachrichtigungsmails überflutet – verschickt von ganz normalen Shops und Websites.
Warum ist das für meinen Shop ein Problem, wenn die Mails doch an Fremde gehen?
Die Mails tragen Ihre Absenderdomain. Empfänger markieren sie als Spam, Mailanbieter registrieren Beschwerden und Rückläufer. Das schadet dem Ruf Ihrer Domain – und damit auch der Zustellung echter Bestell- und Versandmails.
Mein Spamschutz meldet viele abgewehrte Angriffe. Bin ich damit sicher?
Nicht unbedingt. Ein solcher Zähler zeigt nur, was abgewiesen wurde, nicht was durchgekommen ist. Entscheidend ist, wie viele Formularmails tatsächlich an fremde Adressen hinausgehen.
Reicht ein Captcha als Schutz?
Ein einfaches Captcha allein reicht oft nicht, weil Bots, die das Formular ohnehin automatisch auswerten, viele einfache Aufgaben mitlösen. Wirksamer ist eine Kombination aus Honeypot, Einmal-Token, Ratelimit und Inhaltsregeln.
Kann ich einen Schutz einschalten, ohne echte Kundenanfragen zu verlieren?
Ja. Starten Sie im Beobachtungsmodus: Der Schutz prüft und protokolliert, weist aber nichts ab. Erst wenn die Protokolle zeigen, dass keine echten Anfragen getroffen würden, schalten Sie auf Blockieren um.