Wer wissen will, welcher Online-Shop die eigene Mailadresse weitergegeben hat, braucht keine Detektivarbeit, sondern nur ein Pluszeichen. E-Mail-Aliasse gehören zu den einfachsten Datenschutzmaßnahmen überhaupt: Sie kosten nichts, funktionieren bei fast jedem Anbieter und machen Spam-Quellen sichtbar. Ich habe vor Jahren angefangen, für jeden Dienst eine eigene Adressvariante zu vergeben, und möchte das nicht mehr missen. Wie das geht, welche Varianten es gibt und was dabei zu beachten ist, zeigt dieser Artikel.
Die Plus-Adresse: eingebaut und sofort nutzbar
Die schnellste Variante ist das sogenannte Plus-Addressing. Aus max.mustermann@gmail.com wird einfach max.mustermann+shopname@gmail.com; alles zwischen Pluszeichen und @ wird vom Mailserver ignoriert, die Nachricht landet ganz normal im Postfach. Gmail und Outlook.com unterstützen das seit Ewigkeiten, auch viele deutsche Provider wie mailbox.org beherrschen die Technik. Der Vorteil: Es ist keinerlei Einrichtung nötig, die Adresse lässt sich spontan beim Ausfüllen eines Formulars erfinden.
Der Haken ist ebenso offensichtlich. Jeder, der das Schema kennt, kann das Plus-Suffix einfach abschneiden und hat die echte Adresse. Seriöse Newsletter-Versender tun das nicht, Adresshändler durchaus. Dazu kommt: Manche Webformulare lehnen das Pluszeichen fälschlich als ungültig ab. Für den Alltag reicht Plus-Addressing trotzdem oft aus, gerade bei Gewinnspielen, Foren und einmaligen Registrierungen.
Echte Aliasse beim Provider
Robuster sind vollwertige Aliasse, also zusätzliche Adressen, die auf dasselbe Postfach zeigen, ohne dass man ihnen die Hauptadresse ansieht. Viele Provider haben so etwas an Bord: GMX und Web.de erlauben mehrere Alias-Adressen pro Konto, mailbox.org und Posteo ebenfalls, Apple bietet mit „E-Mail-Adresse verbergen“ sogar automatisch generierte Wegwerfadressen für iCloud-Nutzer. Wer eine eigene Domain besitzt, hat die Königsklasse: Ein Catch-All-Postfach nimmt alles an, was vor dem @ steht, und amazon@meinedomain.de oder zeitung@meinedomain.de sind in Sekunden vergeben.
Der entscheidende Unterschied zur Plus-Adresse: Ein echter Alias lässt sich abschalten. Fängt eine Adresse an zu spammen, wird sie deaktiviert oder direkt in den Papierkorb gefiltert, und Ruhe ist. Die Hauptadresse bleibt sauber und muss nie irgendwo hinterlegt werden.
Strategie: pro Dienst ein Alias
Damit das System seinen Wert entfaltet, braucht es Disziplin, aber keine komplizierte. Die Regel lautet schlicht: Jeder Dienst bekommt seine eigene Adresse, idealerweise mit dem Dienstnamen darin. Neu beim Möbelhaus registriert? Dann eben moebelhaus@ oder plus-Suffix moebelhaus. Wer zusätzlich einen Passwortmanager nutzt, notiert den Alias einfach beim jeweiligen Login-Eintrag und muss sich nichts merken.
Ein angenehmer Nebeneffekt betrifft die Kontosicherheit: Wer bei jedem Dienst eine andere Login-Adresse verwendet, macht Credential-Stuffing-Angriffe deutlich schwerer, denn geleakte Kombinationen aus Adresse und Passwort passen nirgendwo anders. Zusammen mit einer zweiten Faktor-Absicherung ergibt das einen soliden Grundschutz, ganz ohne Zusatzkosten.
Wenn es kracht: was ein Leak verrät
Der eigentliche Aha-Moment kommt, wenn der erste Spam eintrudelt. Landet plötzlich Werbung für dubiose Finanzprodukte an der Adresse, die exklusiv ein einziger Online-Shop kannte, gibt es genau zwei Erklärungen: Der Shop hat die Daten weitergegeben, oder er wurde gehackt. In beiden Fällen weiß man sofort, wo das Problem liegt, kann das dortige Passwort ändern, den Alias stilllegen und bei Bedarf beim Anbieter nachhaken. Mit einer einzigen Adresse für alles bleibt dagegen nur Rätselraten.
Ich habe auf diese Weise schon zwei Datenpannen bemerkt, bevor sie öffentlich bekannt wurden. Das ist kein Einzelfall, sondern der Normalbetrieb dieses Systems: Aliasse verwandeln jede Registrierung in einen kleinen Frühwarnsensor. Wer heute damit anfängt, muss nicht alle Alt-Konten umstellen; es genügt, jede neue Anmeldung konsequent mit eigener Adresse zu versehen. Der Aufwand liegt bei wenigen Sekunden, der Erkenntnisgewinn hält Jahre.
