Schutz von E‑Mail-Adressen gegen Crawler und Spambots

Craw­ler sind im Netz unter­wegs und durch­su­chen Web­sei­ten unter ande­rem nach per­so­nen­be­zo­ge­nen Inhal­ten. Eini­ge von Ihnen suchen nach E‑Mail-Adres­sen auf Web­sei­ten, um die­se dann inner­halb von Archi­ven abzu­le­gen. Aus die­sen Archi­ven wer­den dann Spam-Mails an die jewei­li­ge E‑Mail-Adres­se ver­sandt. Die­ser Arti­kel geht auf die Mög­lich­kei­ten zum Schutz ein und erläu­tert, war­um gera­de für Unter­neh­men der Schutz wich­tig ist.

Warum ist der Schutz der E‑Mail-Adresse für Unternehmen so wichtig?

Nach dem § 5 Abs. 1 Nr. 2 TMG haben Unter­neh­men die Pflicht die “Adres­se der elek­tro­ni­schen Post” im Impres­sum anzu­ge­ben. Nach einem Urteil des Kam­mer­ge­richts Ber­lin wur­de das ein­deu­tig bestätigt.

“Dem­nach rei­chen weder die Anga­be einer Tele­fax­num­mer oder die Bereit­stel­lung eines Online-Kon­takt­for­mu­lars aus, um die­se Vor­ga­be zu erfül­len. Selbst die Anga­be einer Tele­fon­num­mer ent­bin­det den Unter­neh­mer nicht von der Pflicht, auch eine E‑Mail-Adres­se im Impres­sum aus­zu­wei­sen.”
(Quel­le: E‑Mail-Adres­se im Impres­sum ist Pflicht)

Eine E‑Mail-Adres­se muss somit immer auf der Web­sei­te hin­ter­legt wer­den, wes­halb es gera­de Unter­neh­men beson­ders schwer haben sich gegen Spam-Mails zu weh­ren. Dann bleibt nur die Hoff­nung, dass das Spam-Pro­gramm auf dem Mail-Ser­ver die ent­spre­chen­den Nach­rich­ten fil­tert. Beson­de­re Gefahr geht dabei von sogen­n­an­ten Phis­hing-Mails aus, da hier­bei oft unbe­wußt sen­si­ble Infor­ma­tio­nen wei­ter­ge­ge­ben werden.

Welche Möglichkeiten gibt es zum Schutz der E‑Mail-Adresse?

In die­sem Abschnitt wer­den häu­fig genutz­te Mög­lich­kei­ten zum Schutz aus der Über­sicht über 15 Mög­lich­kei­ten, die E‑Mail-Adres­se geschützt dar­zu­stel­len vor­ge­stellt. Dane­ben wird unter ande­rem auf den tat­säch­li­chen Schutz, geord­net von gut bis schlecht erkenn­bar durch Web­craw­ler, eingegangen.

1. Text statt Mailto-Link

Die E‑Mail-Adres­se als Text anstatt als Link zu hin­ter­le­gen und damit auf das “mail­to:” zu ver­zich­ten ist nur für den Besu­cher der Sei­te ärger­lich. Die­ser kann die E‑Mail-Adres­se nicht ankli­cken und bekommt damit auch nicht sein E‑Mail-Pro­gramm (z.B. Out­look oder Thun­der­bird) zum Sen­den einer E‑Mail geöff­net. Für Web­craw­ler ist die Erken­nung der E‑Mail die als Text hin­ter­legt ist sehr einfach.

2. @-Zeichen ersetzen durch “[at]”, “(at)” …

Hier soll­te das Kür­zel für die Erset­zung recht kom­pli­ziert sein. Da es aber noch für den Nut­zer der Sei­te mög­lich sein muss dar­aus eine E‑Mail-Adres­se zu schluss­fol­gern, ist es für Craw­ler ein leich­tes das Mus­ter der E‑Mail-Adres­se zu erken­nen. Im Ver­gleich zu 1. ist die­se Mög­lich­keit etwas bes­ser als rei­ner Text, mehr aber auch nicht. Zusätz­lich kann der Besu­cher die Adres­se nicht direkt im eige­nen Mail-Pro­gramm öffnen.

3. Verschleierung durch HEX- bzw. URL-Encoding

Im Netz gibt es eini­ge Kon­ver­ter wo die E‑Mail-Adres­se ein­tra­gen wer­den kann und einen ent­spre­chen­de kodier­te E‑Mail zurück­be­kommt. Erwei­ter­te Web­craw­ler ver­fü­gen jedoch auch über eine sol­ches Reper­toire an Zei­chen und kön­nen die Mail leicht deco­die­ren bzw. erkennen.

4. Bild oder Grafik statt Text

Der Besu­cher kann wie bei 1. nicht sein E‑Mail-Pro­gramm benutz­ten. Für bes­se­re Web­craw­ler ist auch die Fil­te­rung der E‑Mail-Adres­se aus dem Bild oder der Gra­fik durch Tex­terken­nung mög­lich. Hin­weis: Von die­ser Metho­de wird aller­dings abge­ra­ten, da sie auf­grund man­geln­der Screen­rea­der-Unter­stüt­zung abmahn­fä­hig ist.

5. Verschleierung durch Captcha

Die Adres­se ist für Craw­ler schwer zu erken­nen. Jedoch ist hier ein recht­li­ches Fra­ge­zei­chen, da die Adres­se auch erst zur die Ein­ga­be des Codes erkenn­bar wird. Da aber die Adres­se nicht direkt sicht­bar ist, kann die­se auch unter Umstän­den abge­mahnt werden.

Ein Bei­spiel hier ist der Dienst scr.im bei dem die E‑Mail im Impres­sum wie folgt dar­ge­stellt wird:

k…@m…t.de

Der Nut­zer der Web­sei­te hat hier eben­falls nicht die Mög­lich­keit die Adres­se im eige­nen E‑Mail-Cli­ent zu öff­nen. Hier wird er auf eine Sei­te wei­ter­ge­lei­tet, bei der ein Captcha zu sehen ist und bei der rich­ti­gen Ein­ga­be des Codes die E‑Mail erscheint.

6. Verschlüsselung über JavaScript

Die bes­te Mög­lich­keit die Craw­ler zu täu­schen ist die Ver­schlüs­se­lung der Adres­se über Java­Script. Hier soll­ten jedoch mög­lichst kom­pli­zier­te Ver­fah­ren am bes­ten mehr­mals hin­ter­ein­an­der ver­wen­det wer­den. Eine häu­fig ver­wen­de­te Vari­an­te der Ver­schlüs­se­lung ist bei­spiels­wei­se die ROT13 Verschlüsselung.
Der Nut­zer der Web­sei­te bekommt die E‑Mail-Adres­se als Mail­to-Link rich­tig ange­zeigt. Für Web­craw­ler ist die E‑Mail-Adres­se, je nach Kom­ple­xi­tät der Ver­schlüs­se­lung und Imple­men­tie­rung, wei­test­ge­hend unsicht­bar. Für die­se Vari­an­te gibt es sogar ein WordPress-Plug­in, wel­ches wir an die­ser Stel­le emp­feh­len möchten. 🙂

Welches WordPress-Plugin können wir empfehlen?

Im WordPress-Plug­in-Ver­zeich­nis gibt es zwei häu­fig ver­wen­de­te Plug­ins um die E‑Mail-Adres­sen auf der WordPress Web­sei­te zu schützen.

Nicht emp­feh­len kön­nen wir das Plug­in Email Address Enco­der, da es nur das Enco­ding zum Punkt 3. der Mög­lich­kei­ten zum Schutz der E‑Mail-Adres­se unterstützt.

Das Plug­in Email Enco­der Bund­le – Pro­tect Email Address kön­nen wir emp­feh­len und soll­te somit in kei­ner WordPress-Basis­in­stal­la­ti­on feh­len. 😉 Es nutzt die Mög­lich­keit der Ver­schlüs­se­lung aus dem Punkt 6. der Mög­lich­kei­ten zum Schutz der E‑Mail-Adres­se. Lei­der jedoch in ein­fa­cher Form. Sobald das Plug­in instal­liert ist sind alle E‑Mail-Adres­sen mit Mail­to-Link auf der WordPress Web­sei­te geschützt. Die Stan­dard-Ein­stel­lun­gen kön­nen wei­test­ge­hend bei­be­hal­ten werden.

Wir emp­feh­len hier die Opti­on “Replace plain email addres­ses to pro­tec­ted mail­to links” zu akti­vie­ren, da damit auch E‑Mail-Adres­sen als Text geschützt wer­den. Die­se wer­den jedoch in einen Mail­to-Link ver­wan­delt. Für die meis­ten Anwen­dungs­fäl­le soll­te aber die­se Umwand­lung kein Pro­blem sein. Dane­ben gibt es noch eini­ge Fea­tures zum Schutz, z.B. der Tele­fon­num­mer etc.

Hin­weis: Der Kom­men­ta­tor ulrics weist dar­auf hin, dass dyna­mi­schen Metho­den, z.B. mit­tels Java­Script, unter Umstän­den nicht rechts­kon­form sind. Wir sind kei­ne Rechts­exper­ten und kön­nen das nicht beur­tei­len. Hier soll­te also jedes selbst ent­schei­den oder mit sei­nem Anwalt spre­chen, ob er die vor­ge­stell­ten Metho­den ver­wen­det oder nicht.