Wie Platzhalter-Adressen auf noreply-Domains vertrauliche E-Mails abfangen

Der IT-Sicherheitsforscher Kori Solovevich, Inhaber der Domains noreply.net und noreply.us, hat laut Wired seit Dezember 2024 mehr als 401.000 fremde E-Mails erhalten – von Berichten über Arbeitsunfälle bis hin zu Zugangsdaten für Testsysteme. Unternehmen verwenden Adressen auf solchen Domains massenhaft als Platzhalter, ohne zu ahnen, dass die E-Mails tatsächlich zugestellt werden. Das Problem betrifft Organisationen aus den unterschiedlichsten Branchen: von Bildung und Gastronomie über Behörden bis hin zu Industrieunternehmen. Zum Schutz genügt es, auf interne Domains oder die reservierte Top-Level-Domain .invalid umzusteigen.

Chronologie und Ausmaß des Problems

Den Berichten zufolge erwarb Solovevich die Domain noreply.us im Jahr 2020 zur privaten Filterung seiner E-Mails und noreply.net im Jahr 2024. Beide Domains waren als Catch-all konfiguriert – sie nahmen also E-Mails an beliebige Adressen innerhalb der Domain an. Der Forscher stellte schnell fest, dass dort ein Strom automatischer Benachrichtigungen von Fremdservices einging.

Allein auf noreply.net wurden im Zeitraum seit Dezember 2024 401.796 eingehende E-Mails registriert – durchschnittlich etwa 700 Nachrichten pro Tag. Davon enthielten 28.365 Anhänge. Im letzten Monat vor Solovevichs Vortrag auf der Konferenz DEF CON erhielten beide Domains über 11.000 E-Mails, die von mehr als 14.000 Adressen aus verschickt wurden, die 6.200 Domains zuzuordnen waren.

Unter der abgefangenen Korrespondenz befanden sich dem Forscher zufolge unter anderem:

• Berichte städtischer Dienste über Arbeitsunfälle;
• Bestellbestätigungen für Pizzalieferungen;
• Benachrichtigungen über die Erstellung von Accounts auf Bildungsplattformen;
• Service- und Reparaturanfragen;
• Zugangsdaten für Testsysteme.

Ursachen: Warum E-Mails auf fremde Domains gehen

Die Ursache des Problems liegt in der Verwendung tatsächlich routbarer Domains als Platzhalter. Es lassen sich zwei Hauptszenarien unterscheiden:

Bewusst gewählte Platzhalter. Organisationen tragen Adressen wie [email protected] in Absender- oder Empfängerfelder ein – in der irrigen Annahme, dass es ein solches Postfach nicht gibt. Tatsächlich ist die Domain noreply.net registriert und nimmt E-Mails an.

Ersetzung gelöschter Accounts. Beim Ausscheiden eines Mitarbeiters oder bei der Deaktivierung eines Nutzers ersetzen manche Systeme dessen E-Mail-Adresse automatisch durch einen Platzhalter, statt das Konto vollständig zu löschen. Verweist dieser Platzhalter auf eine öffentliche Domain, werden E-Mails an deren Inhaber zugestellt.

Kein Einzelfall: deleteduser.com und donotreply.com

Das Problem lässt sich auch mit anderen „sprechenden“ Domains beobachten. Der Head of Security des Unternehmens Xeal, Mike Sheward, hat nach seiner eigenen Schilderung Anfang 2025 die Domain deleteduser.com für rund 15 US-Dollar erworben und bereits in der ersten Stunde E-Mails von drei Organisationen erhalten. Seitdem gingen bei ihm tausende Nachrichten von mindestens 100 Unternehmen ein – darunter Daten zu Medikamentenbestellungen, Urlaubsanträge, Hotelreservierungen mit vollständigen Namen der Gäste und Zoom-Einladungen einer britischen Behörde.

Besonders bemerkenswert ist ein Fall mit einem nicht namentlich genannten Unternehmen aus dem KI-Bereich: Nach Angaben aus sozialen Netzwerken schickten dessen Systeme zur Analyse der Einhaltung von Arbeitssicherheitsvorschriften in Industrieanlagen im Nahen Osten tausende Bilder von Überwachungskameras an Sheward. Diese Information basiert auf der Veröffentlichung des Forschers selbst und ist nicht durch eine offizielle Stellungnahme des Unternehmens bestätigt.

Das Problem existiert nicht erst seit Kurzem. Bereits vor rund 20 Jahren beschrieb der Journalist Brian Krebs eine ähnliche Situation mit der Domain donotreply.com, an die Unternehmen Millionen von E-Mails schickten.

Bewertung der Auswirkungen

Das potenzielle Ausmaß der Exposition ist beträchtlich. Solovevich prüfte 7.136 potenzielle Platzhalter-Domains und stellte fest, dass 328 davon als Catch-all konfiguriert sind und beliebige eingehende E-Mails annehmen können. Das bedeutet, dass derzeit hunderte Domains vertrauliche Daten sammeln könnten – und nicht alle davon gehören gutwilligen Forschern.

Die Risiken für Organisationen umfassen:

• Leakage personenbezogener Daten – Namen, Adressen, Bestelldaten, medizinische Informationen;
• Kompromittierung von Zugangsdaten – Logins und Passwörter von Test- (und potenziell auch Produktiv-)Systemen;
• Abfluss interner Kommunikation – Personalvorgänge, Buchungen, Einladungen zu Meetings;
• Verstöße gegen regulatorische Vorgaben – GDPR, FZ-152 und andere Datenschutzbestimmungen.

Als ihnen das Ausmaß der Bedrohung klar wurde, erwarben Solovevich und Sheward unabhängig voneinander mehr als 30 ähnliche Domains, um zu verhindern, dass sie in die Hände von Angreifern gelangen. Dabei handelt es sich jedoch um eine private Initiative, die das systemische Problem nicht löst.

Praktische Empfehlungen

Um die unbeabsichtigte Übermittlung von Daten an fremde Domains zu verhindern:

1. Audit der Platzhalter-Adressen. Überprüfen Sie alle Systemkonfigurationen, in denen Adressen mit „noreply“, „donotreply“, „deleteduser“ und ähnlichen Mustern verwendet werden. Stellen Sie sicher, dass die Domains in diesen Adressen Ihrer Organisation gehören.
2. Interne Domains verwenden. Nutzen Sie für Platzhalter-Adressen eigene Domains der Organisation (z. B. [email protected], wobei example.com Ihre Domain ist) oder Subdomains, die nicht ins externe Netz geroutet werden.
3. Die reservierte Domain .invalid einsetzen. Gemäß RFC 2606 wird die Top-Level-Domain .invalid garantiert nicht im DNS aufgelöst und kann keine E-Mails empfangen. Eine Adresse wie [email protected] ist für die Nutzung als Platzhalter sicher.
4. Prozesse zur Deaktivierung von Nutzern überarbeiten. Ersetzen Sie beim Löschen von Mitarbeiterkonten deren E-Mail-Adresse nicht durch einen Platzhalter mit externer Domain. Entfernen Sie die Verknüpfung vollständig oder leiten Sie auf eine interne Adresse um.
5. Monitoring für ausgehende E-Mails einrichten. Implementieren Sie DLP-Regeln, die das Versenden von E-Mails an Domains aus einer Liste typischer Platzhalter-Muster blockieren.

Die zwanzigjährige Geschichte dieses Problems – von donotreply.com über noreply.net bis hin zu deleteduser.com – zeigt, dass es nicht von selbst verschwinden wird. Jede Organisation, die E-Mail-Platzhalter nutzt, sollte jetzt prüfen, ob sie vertrauliche Daten an Domains sendet, die ihr nicht gehören, und konsequent auf eigene Domains oder die reservierte TLD .invalid für alle Platzhalter-Adressen umstellen.