Schützen Sie die E-Mail-Adresse Ihrer Website vor Spam

Die Ver­öf­fent­li­chung einer E-Mail-Adresse ist für alle Website-Be­trei­be­rin­nen und -Betreiber ein Muss, birgt jedoch die Gefahr, Opfer von Spam-Attacken zu werden. Wie lassen sich un­ge­wünsch­te Zugriffe von Spambots auf die Mail-Adressen be­schrän­ken, ohne dabei die In­for­ma­ti­ons­pflich­ten gemäß DSGVO zu verletzen? Wir stellen die be­lieb­tes­ten Methoden vor und erläutern deren Vor- und Nachteile.

E-Mail-Har­ve­s­t­ing: So gehen Spambots auf Beutefang

Unter E-Mail-Har­ve­s­t­ing (deutsch: E-Mail-Ernte) versteht man die au­to­ma­ti­sier­te Be­schaf­fung von Mail-Adressen für unlautere Wer­be­zwe­cke, Phishing-Attacken oder die Ver­brei­tung von Schad­soft­ware. Spe­zia­li­sier­te Programme, so­ge­nann­te E-Mail-Harvester, durch­su­chen Webseiten, Mai­ling­lis­ten, Foren oder Social-Media-Platt­for­men zu diesem Zweck nach E-Mail-Adressen. Hinweise auf die begehrten Kon­takt­in­for­ma­tio­nen liefert die cha­rak­te­ris­ti­sche Syntax, der alle E-Mail-Adressen ent­spre­chen – bei­spiels­wei­se das @-Zeichen. Raf­fi­nier­te­re Spambots beziehen zudem gängige Al­ter­na­tiv­schreib­wei­sen wie [at], [AT], (at) oder (AT) in die Suche ein.

Noch „ver­rä­te­ri­scher“ als das @-Zeichen ist der HTML-E-Mail-Verweis nach dem Schema mailto:user@domain.de. Dieser er­mög­licht es Web­sei­ten­be­su­che­rin­nen und -besuchern, durch einen Mausklick ihr be­vor­zug­tes E-Mail-Programm zu öffnen. Web­sei­ten­be­trei­be­rin­nen und -betreiber sind daher gut beraten, klas­si­sche Muster bei der Be­reit­stel­lung der elek­tro­ni­schen Kon­takt­mög­lich­keit zu durch­bre­chen.

Klas­si­sche Dar­stel­lung der E-Mail-Adresse ohne Schutz

Um eine E-Mail-Adresse optimal vor dem au­to­ma­ti­schen Auslesen durch E-Mail-Harvester schützen zu können, muss man sich ver­ge­gen­wär­ti­gen, wie diese üb­li­cher­wei­se in eine Webseite in­te­griert wird. Eine einfache bar­rie­re­freie Dar­stel­lung der elek­tro­ni­schen Kon­takt­adres­se lässt sich mit folgendem Code­bei­spiel in jede beliebige HTML-Seite einfügen:

<p>Bei Fragen und Anregungen schreiben Sie eine E-Mail an: 
<a href="mailto:user@domain.de">user@domain.de</a>.
</p>

Aus Nut­zer­sicht ist dies eine ideale Dar­stel­lung der E-Mail-Adresse im Netz. Damit die Nut­zer­freund­lich­keit dieser Dar­stel­lungs­form erhalten bleibt, zielen die be­lieb­tes­ten Methoden, eine E-Mail-Adresse geschützt dar­zu­stel­len, darauf ab, diese im Quelltext un­kennt­lich zu machen, ohne dabei die Ansicht im Browser zu verändern. Al­ter­na­tiv besteht die Mög­lich­keit, die E-Mail-Adresse von der ei­gent­li­chen Website zu se­pa­rie­ren und mit einem ser­ver­sei­ti­gen Redirect auf den mailto-Verweis wei­ter­zu­lei­ten.

Methode 1: CAPTCHAs

CAPTCHAs bieten die Mög­lich­keit, die E-Mail-Adresse einer Website vor Spam zu schützen. Dabei werden ver­schlüs­sel­te E-Mail-Adressen erst in Klartext angezeigt, wenn sich Nutzer und Nut­ze­rin­nen durch eine Prüfung als mensch­lich aus­ge­wie­sen haben. Diese Prüfungen können Aufgaben wie das Abtippen einer Buch­sta­ben- oder Zah­len­kom­bi­na­ti­on be­inhal­ten. Auch kurze Re­chen­auf­ga­ben, Kom­bi­na­ti­ons­übun­gen oder Puzzles sind möglich.

CAPTCHAs bieten einen ver­gleichs­wei­se hohen Schutz vor Spam, da E-Mail-Adressen in diesem Fall gar nicht oder nur ver­schlüs­selt im Quellcode angezeigt werden. Durch um­fang­rei­che Ge­stal­tungs­mög­lich­kei­ten fügen sich CAPTCHAs in­zwi­schen zudem gut in das Design einer Website ein. Der zu­sätz­li­che Aufwand, der er­for­der­lich ist, um an die E-Mail-Adresse zu gelangen, wirkt sich jedoch negativ auf die Nut­zer­freund­lich­keit der Website aus und steht der Forderung nach einem bar­rie­re­frei­en Zugang zu wichtigen Kon­takt­in­for­ma­tio­nen entgegen.

Methode 2: Ersetzung der E-Mail-Adresse

Schutz­stra­te­gien, die auf Ersetzung basieren, tilgen die gesamte E-Mail-Adresse aus dem Quelltext und ersetzen diese entweder durch eine grafische Dar­stel­lung oder einen Wei­ter­lei­tungs­link auf den mailto-Verweis.

E-Mail-Adresse als Grafik einbinden

Wird eine E-Mail-Adresse als Grafik ein­ge­bun­den, bleibt diese zwar für das mensch­li­che Auge lesbar, für E-Mail-Harvester sind Texte als Grafik aber nur schwer zu erkennen. Mit dem Einbinden von ent­spre­chen­den Kon­takt­in­for­ma­tio­nen als Grafik können Sie die E-Mail-Adresse auf Ihrer Website daher ver­gleichs­wei­se gut vor Spam schützen. Der passende HTML-Code sieht bei­spiels­wei­se wie folgt aus:

<img src="Pfad/grafikdatei.png" with="120" height="20" alt="Bei Fragen und Anregungen schreiben Sie eine E-Mail an: user@domain.de">

Diese E-Mail-Dar­stel­lung ist für die meisten Menschen lesbar. Der Text lässt sich jedoch weder kopieren noch mit einem mailto-Verweis verlinken. Für einen Großteil der Nutzer und Nut­ze­rin­nen ist das er­for­der­li­che Abtippen der Adresse zumindest mühsam. Menschen mit Seh­be­hin­de­rung können die Adresse sogar nur mithilfe ent­spre­chen­der Angaben im alt-Attribut erfassen. Diese lassen sich mithilfe von Screen­rea­dern auslesen – stehen somit jedoch auch Spambots zur Verfügung. Aus diesem Grund ist die Methode allein als Prä­ven­ti­ons­maß­nah­me gegen Spam nicht zu empfehlen.

HTML-E-Mail-Verweis per Redirect

Sie können die E-Mail-Adresse auch geschützt dar­stel­len, indem Sie diese von der Website se­pa­rie­ren. Ty­pi­scher­wei­se kommt hierfür ein Skript zum Einsatz, das nach einem Klick auf einen Link auf den mailto-Verweis wei­ter­lei­tet. Dieser öffnet das E-Mail-Programm der Nutzerin bzw. des Nutzers und gibt dort die Adresse aus. Für Spambots, die den Quellcode einer Website scannen, sieht ein solcher Link wie ein Verweis auf eine Datei aus. Umsetzen lässt sich dieser Schutz­me­cha­nis­mus zum Beispiel als Link auf eine PHP-Datei, die den Redirect be­inhal­tet:

<p>Bei Fragen und Anregungen schreiben Sie uns eine 
<a href="redirect-mailto.php">E-Mail</a>.
</p>

Der Inhalt der Datei redirect-mailto.php ist ein Skript, das auf den ei­gent­li­chen mailto-Verweis per Redirect umleitet:

<?php
header("Location: mailto:user@domain.de"); 
?>

Der Nachteil dieser Lösung zur Spam­prä­ven­ti­on ist, dass User einen Handler für mailto: benötigen, um an die E-Mail-Adresse zu gelangen. In der Praxis ist das in der Regel ein E-Mail-Programm wie Outlook oder Thun­der­bird. Auf neueren Browsern lassen sich als Handler jedoch auch Webmailer eintragen.

Methode 3: Mas­kie­rung der E-Mail-Adresse

Soll eine E-Mail-Adresse nicht komplett durch eine Grafik oder einen Link auf den mailto-Verweis ersetzt werden, bieten sich al­ter­na­tiv Stra­te­gien an, die es er­mög­li­chen, die E-Mail-Adresse zu ver­schlüs­seln bzw. zu maskieren.

Mas­kie­rung durch Zei­chen­co­die­rung

Gängige Zei­chen­co­die­run­gen, die bei der Mas­kie­rung von E-Mail-Adressen im Quelltext zum Einsatz kommen, stützen sich auf HTML-Entities und HEX-Code. Für E-Mail-Adressen bietet sich diese Art der Codierung an, da die je­wei­li­gen Re­fe­renz­zei­chen in der Brow­ser­an­sicht au­to­ma­tisch übersetzt werden.

Sollen die cha­rak­te­ris­ti­schen Zeichen der E-Mail-Adresse user@domain.de mit Hilfe von HTML-Entities maskiert werden, werden diese zunächst in die al­ter­na­ti­ve Schreib­wei­se über­tra­gen:

@ = @ . = . (Punkt)

In die E-Mail-Adresse eingefügt ergibt sich dann folgende Dar­stel­lung im Quellcode:

<p>Bei Fragen und Anregungen schreiben Sie eine E-Mail an: 
<a href="mailto:user&commat;domain&period;de">user&commat;domain&period;de</a>
</p>

Wollen Sie die gesamte E-Mail-Adresse ver­schlüs­seln, bietet sich eine Dar­stel­lung mittels HEX-Encoding an. Dabei wird die Unicode-Zei­chen­num­mer her­an­ge­zo­gen und in folgendem Grund­sche­ma notiert:

&#Zei­chen­num­mer;

Üb­li­cher­wei­se benutzt man die durch ein kleines “x” ge­kenn­zeich­ne­te HEX-Nummer des be­tref­fen­den Zeichens. Der Buchstabe “m” ließe sich somit “m” oder dezimal “m” notieren. So ergibt sich für die E-Mail-Adresse user@domain.de inklusive mailto-Verweis folgende Dar­stel­lung:

<p>Bei Fragen und Anregungen schreiben Sie uns eine
<a href="&#x6d;&#x61;&#x69;&#x6c;&#x74;&#x6f;&#x3a;&#x75;&#x73;&#x65;&#x72;&#x40;&#x64;&#x6f;&#x6d;&#x61;&#x69;&#x6e;&#x2e;&#x64;&#x65;">E-Mail</a>.
</p>

Grund­sätz­lich lässt sich eine Mas­kie­rung der E-Mail-Adresse durch Zei­chen­co­die­rung schnell umsetzen. Die Schutz­wir­kung ist jedoch ver­gleichs­wei­se gering, da die meisten Spambots mitt­ler­wei­le so pro­gram­miert werden, dass sie diese einfache Form der Ver­schlüs­se­lung pro­blem­los ent­zif­fern können.

Mas­kie­rung durch Ergänzung

Grund­sätz­lich ist es möglich, eine E-Mail-Adresse vor Spambots zu ver­ste­cken, indem diese durch zu­sätz­li­che Zeichen un­ter­bro­chen wird. Programme nehmen die Adresse dann im besten Fall nicht mehr als Ganzes wahr, wodurch ein au­to­ma­ti­sches Auslesen un­ter­bun­den wird. Eine einfache Mög­lich­keit, dies zu rea­li­sie­ren, bieten zum Beispiel HTML-Kom­men­ta­re.

<!-- Kommentar -->

Werden solche Kom­men­ta­re in die E-Mail-Adresse eingefügt, stoßen Spambots, die die Website scannen, auf folgenden Code:

<p>Für Fragen und Anregungen schreiben Sie eine E-Mail an: 
u<!-- Kommentar -->ser@domai<!-- kommentar -->n.de.
</p>

Während mensch­li­che Nut­ze­rin­nen und Nutzer im Web­brow­ser die korrekte E-Mail-Adresse angezeigt bekommen, liest ein Spambot den aus­ge­blen­de­ten Text im span-Element vor­aus­sicht­lich mit aus. Nachteil der Mas­kie­rung durch Ergänzung ist, dass die E-Mail-Adresse bei dieser Methode nicht mit einem HTML-E-Mail-Verweis verlinkt werden kann. Nutzer und Nut­ze­rin­nen müssen die Adresse in diesem Fall also manuell in ihr E-Mail-Programm kopieren.

Methode 4: Ver­schlüs­se­lung der E-Mail-Adresse

Ein gängiges Verfahren zur E-Mail-Ver­schlüs­se­lung, das sich bereits mit wenigen Zeilen Ja­va­Script umsetzen lässt, ist ROT13.

<script type="text/javascript">
function decode(a) {
    return a.replace(/[a-zA-Z]/g, function(c){
        return String.fromCharCode((c <= "Z" ? 90 : 122) >= (c = c.charCodeAt(0) + 13) ? c : c - 26);
    })
}; 
function openMailer(element) {
var y = decode("znvygb:orahgmre@qbznva.qr");
element.setAttribute("href", y);
element.setAttribute("onclick", "");
element.firstChild.nodeValue = "E-Mail-Software öffnet sich";
};
</script>
<a id="email" href=" " onclick='openMailer(this);'>E-Mail: bitte klicken</a>

Der Bei­spiel­code zeigt in Zeile 9 die ver­schlüs­sel­te Version der E-Mail-Adresse user@domain.de inklusive mailto-Text­string (znvygb:orahgmre@qbznva.qr) sowie in den Zeilen 2 bis 7, wie dieser Code zu ent­schlüs­seln ist. Die Funktion in Zeile 8 bis 13 öffnet das be­vor­zug­te E-Mail-Programm der Nutzerin bzw. des Nutzers und schreibt die ent­schlüs­sel­te Adresse in die Emp­fän­ger­zei­le. Gestartet wird das Skript durch einen Klick auf einen Link mit dem Ankertext „E-Mail: bitte klicken“ (Zeile 15 bis 16). Dieser zeigt nach dem Klick den Text „E-Mail-Software öffnet sich“ (Zeile 12).