Am Vormittag des 29. Oktober kamen bei mir lauter Abwesenheitsnotizen an. Eine Recruiterin war bis 2. November außer Haus, eine Ärztin bis 6. November. Ich kannte keine einzige dieser Personen. Alle Notizen antworteten auf dieselbe Mail: „Bestätige deine Anmeldung“. Das ist die Mail, die mein Newsletter-Tool verschickt, wenn sich jemand einträgt.
Ich habe nachgeschaut, und das Ergebnis war unangenehm. In meiner allgemeinen Newsletter-Liste standen 60 Kontakte. 57 davon waren Firmenadressen aus Maschinenbau, Bahntechnik und Versicherungen, eingetragen seit Mitte Oktober, an manchen Tagen alle fünf Minuten eine neue. Echt waren genau drei.
Wie die Bots reingekommen sind
Der Weg war ein altes Anmeldeformular. Mein Ideengenerator hat früher eine E-Mail-Adresse verlangt, inzwischen läuft er ohne Eintragung. Das Formular dafür habe ich von der Website genommen, im Newsletter-Tool war es aber noch aktiv. Jedes Formular bei Brevo, Mailchimp und Co. hat eine eigene Adresse, an die man Daten schicken kann, auch ohne die Website. Genau dort haben die Bots eingetragen, über 1.300 Mal.
Warum Double-Opt-in nicht geholfen hat
Ich war mir sicher, dass mich das Double-Opt-in schützt. Eine Adresse kommt ja erst auf die Liste, wenn jemand den Link in der Bestätigungsmail anklickt. Und ein Bot liest keine Mails.
Die Logs zeigen etwas anderes. Bestätigungsmail zugestellt um 11:59, Link angeklickt um 11:59, Begrüßungsmail verschickt um 12:00. Kein Mensch klickt in derselben Minute. Viele Firmen lassen jeden Link in eingehenden Mails von ihrem Sicherheitssystem öffnen, bevor die Mail beim Menschen ankommt, um Schadsoftware abzufangen. Für mein Newsletter-Tool sieht dieser Klick aus wie eine echte Bestätigung. So erkläre ich mir das Muster, und es passt zu jedem einzelnen Fall in der Liste.
Was das kostet
Mein Newsletter ging an diesem Tag laut Tool an 46 Kontakte. Gelesen haben ihn höchstens eine Handvoll. Wer seine Öffnungsraten feiert, ohne die Liste anzuschauen, freut sich unter Umständen über die Linkscanner fremder Firmen.
Teurer ist der Ruf. Fremde Firmenpostfächer bekommen Mails, die sie nie bestellt haben. Wenn dort jemand auf „Spam“ klickt, leidet die Zustellbarkeit für alle echten Leserinnen und Leser. Und eine Einwilligung, die ein Sicherheitssystem erteilt hat, ist keine Einwilligung.
Was ich gemacht habe
Ich habe das alte Formular gelöscht. Der Ideengenerator funktioniert weiter, weil er das Formular gar nicht braucht. Die 57 Adressen stehen auf der Sperrliste, damit sie keine Mails mehr bekommen und sich nicht erneut eintragen können.
Was du heute prüfst
- Formulare aufräumen. Öffne in deinem Newsletter-Tool die Liste der Formulare. Ist jedes davon noch irgendwo auf deiner Website eingebunden? Was nicht mehr gebraucht wird, kommt weg.
- Kontakte anschauen. Sortiere nach Erstellungsdatum und schau auf die Adressen. Viele Firmenadressen aus Branchen, die mit dir nichts zu tun haben, sind ein Warnsignal.
- Logs prüfen. Liegen zwischen Zustellung und Klick auf den Bestätigungslink nur Sekunden? Dann hat sehr wahrscheinlich kein Mensch geklickt.
- Spamschutz einschalten. Bei Formularen, die du behältst, den Schutz aktivieren, den dein Tool anbietet.
Eine Newsletter-Liste ist nur so viel wert wie die Menschen darauf. Bei mir waren es an diesem Tag drei statt sechzig. Das ist ehrlicher als vorher, und genau damit arbeite ich weiter. Warum Technik allein selten die ganze Antwort ist, steht auch in meinem Artikel Kein WordPress, trotzdem betroffen.
Häufige Fragen
Schützt Double-Opt-in vor Bots?
Nur teilweise. Wenn die Sicherheitssysteme der Empfänger Links automatisch öffnen, gilt eine Adresse trotzdem als bestätigt, obwohl nie ein Mensch zugestimmt hat.
Woran erkenne ich Bot-Anmeldungen?
An vielen Einträgen in kurzer Zeit, an fremden Firmenadressen ohne Bezug zu deinem Thema und daran, dass die Bestätigung in derselben Minute kommt wie die Zustellung.
Soll ich Bot-Kontakte löschen oder sperren?
Sperren. Gesperrte Adressen bekommen keine Mails mehr und können sich nicht erneut eintragen. Gelöschte Adressen könnten beim nächsten Durchlauf wieder auftauchen.
Brauche ich ein Captcha?
Für Formulare, die öffentlich bleiben, ist ein Spamschutz sinnvoll. Noch wichtiger ist, Formulare zu entfernen, die du nicht mehr nutzt.
Stand: 29.10.2026.
Du möchtest, dass jemand regelmäßig auf deine Website und deine Formulare schaut?
Ich halte deine Website sicher und aktuell und sage dir Bescheid, bevor du dir Sorgen machen musst.
