Du bekommst plötzlich Spam- oder Phishing-Mails, die angeblich von deiner eigenen E-Mail-Adresse stammen? Das wirkt zunächst so, als wäre dein Postfach gehackt worden – ist es in den allermeisten Fällen aber nicht. In diesem Artikel erfährst du, was hinter diesem sogenannten „Spoofing“ steckt, warum solche Mails manchmal trotzdem im Posteingang statt im Spam-Ordner landen, und wie du gleichzeitig dafür sorgst, dass wichtige Mails aus deinem eigenen Shop-System zuverlässig ankommen.
Voraussetzungen
- Du hast eine verdächtige E-Mail erhalten, die scheinbar von deiner eigenen Adresse abgeschickt wurde.
- Du hast Zugriff auf den vollständigen E-Mail-Header der verdächtigen Nachricht (in den meisten E-Mail-Programmen über „Original anzeigen“ oder „Quelltext anzeigen“ abrufbar).
- Für den zweiten Teil (Shop-Mails landen im Spam): Zugriff auf dein WordPress-Backend bzw. Plesk-Kundencenter.
Schritt-für-Schritt-Anleitung
1. Verstehen, was „Spoofing“ bedeutet
Beim Spoofing gibt sich ein Angreifer als Absender einer fremden Adresse aus, ohne diese Adresse tatsächlich zu kontrollieren. Die Nachricht wird über einen fremden Server eingeliefert, zeigt aber deine eigene Adresse als Absender an. Dein Postfach oder deine Zugangsdaten wurden dabei in aller Regel nicht kompromittiert – die Mail wurde einfach mit einer gefälschten Absenderzeile verschickt.
2. Den Widerspruch zwischen SPF-Fehlschlag und DKIM/DMARC-Erfolg verstehen
Ein verwirrendes, aber wichtiges Detail: Manchmal zeigt der E-Mail-Header, dass die SPF-Prüfung fehlschlägt (spf=fail), während DKIM und DMARC trotzdem als erfolgreich (dkim=pass, dmarc=pass) markiert sind. Das bedeutet nicht, dass der Absender deine echten Zugangsdaten hatte. Häufigster Grund: Der Spamfilter des Empfängers hat die genutzte Absenderadresse (bzw. Domain) bereits auf einer eigenen Whitelist (Positivliste) eingetragen, wodurch Prüfungen für diese Adresse weniger streng gehandhabt werden. Diese Whitelist-Einträge entstehen oft unbeabsichtigt, zum Beispiel wenn eine eigene Adresse versehentlich als vertrauenswürdig markiert wurde.
3. Die eigene Domain von der Whitelist entfernen
Prüfe in den Spam- bzw. Filtereinstellungen deines E-Mail-Postfachs (z. B. im Plesk-Kundenportal oder in deinem E-Mail-Programm), ob deine eigene Adresse oder Domain dort auf einer Positivliste steht, und entferne diesen Eintrag. Dadurch werden gefälschte Mails mit deiner eigenen Adresse als Absender künftig wieder regulär von den Sicherheitssystemen geprüft und gefiltert.
4. Sicherheit erhöhen (optional, aber empfohlen)
- Du musst dir bei einer reinen Spoofing-Mail keine Sorgen um dein Postfach machen.
- Wenn du dennoch ganz sichergehen möchtest, kannst du dein E-Mail-Passwort im Kundencenter zur eigenen Beruhigung ändern.
- Die gefälschten Mails selbst kannst du einfach löschen.
5. Warum man Spoofing nie zu 100 % ausschließen kann
Auch mit korrekt eingerichteten SPF-, DKIM- und DMARC-Einträgen (siehe DKIM, DMARC und SPF) lässt sich Spoofing nicht vollständig verhindern:
- Das E-Mail-System wurde ursprünglich ohne Absender-Identitätsprüfung entwickelt; Schutzmechanismen wie DMARC wurden erst nachträglich ergänzt.
- Es liegt am Mailserver des Empfängers, wie streng er diese Schutzregeln durchsetzt.
- Betrüger nutzen häufig ähnliche Domains oder ändern nur den angezeigten Namen – das kann kein Domainschutz allein verhindern.
6. Separates Problem: Mails aus einem Shop-System landen im Spam
Wenn du zusätzlich feststellst, dass eigene System-Mails (z. B. Bestellbestätigungen aus einem Onlineshop) im Spam-Ordner landen, kann das eine ganz andere, unabhängige Ursache haben: Viele WordPress-Installationen und angebundene Shop-Systeme versenden E-Mails standardmäßig unauthentifiziert über die PHP-Funktion mail() direkt vom Webserver aus, statt über ein authentifiziertes Postfach.
Die zuverlässige Lösung ist die Einrichtung eines SMTP-Plugins wie WP Mail SMTP, das den Versand über dein eigenes, authentifiziertes E-Mail-Postfach abwickelt (siehe auch WordPress über SMTP):
- Logge dich in dein WordPress-Backend ein.
- Gehe zu Plugins und aktiviere das Plugin WP Mail SMTP (sofern bereits installiert, sonst zunächst installieren).
- Navigiere zu WP Mail SMTP → Einstellungen.
- Wähle im Bereich Mailer die Option „Anderer SMTP“ (Other SMTP).
- Trage folgende Verbindungsdaten ein:
- SMTP-Host: der Servername deines Postfachs (z. B. deinserver.hpress.de)
- Verschlüsselung: SSL, Port 465
- Authentifizierung: aktiviert
- SMTP-Benutzername: die vollständige Postfach-Adresse
- SMTP-Passwort: das Passwort dieses Postfachs
- Speichere die Einstellungen.
- Nutze anschließend die Funktion „E-Mail-Test“, um zu prüfen, ob eine Testmail erfolgreich zugestellt wird.
Hinweis: Wenn deine Shop-Mails aus einem separaten Drittsystem stammen (z. B. einer eigenständigen Shop-Plattform, die nicht direkt über WordPress läuft), muss die SMTP-Konfiguration in den Einstellungen dieses Drittsystems vorgenommen werden – eine Anpassung an der WordPress-Installation allein reicht in diesem Fall nicht aus.
Fazit & Support-Hinweis
Phishing-Mails von der eigenen Adresse sind in aller Regel klassisches Spoofing und kein Zeichen für ein gehacktes Postfach – meist reicht es, eine versehentliche Whitelist-Eintragung der eigenen Domain zu entfernen. Landen zusätzlich eigene System- oder Shop-Mails im Spam, liegt das oft an einem unauthentifizierten Versand über die PHP-Mail-Funktion und lässt sich mit einem SMTP-Plugin wie WP Mail SMTP zuverlässig lösen. Bei Unsicherheiten zur Analyse deines E-Mail-Headers oder zur SMTP-Einrichtung hilft dir unser Support gerne weiter.