Wie funktioniert SMTP-Verifizierung?

SMTP-Verifizierung ist der älteste und gängigste Weg, E-Mails zu prüfen. In diesem Artikel gehen wir alles durch, was du über SMTP-Verifizierung wissen musst: wie sie funktioniert, wo sie scheitert und wie du bessere Ergebnisse bekommst.

Los geht’s.

Was ist SMTP?

SMTP steht für Standard Mail Transfer Protocol.

Wie andere Protokolle (z. B. HTTP, FTP) ist es ein standardisiertes Regelwerk, das alle Server nutzen, wenn sie E-Mails untereinander austauschen. Dazu gehört: eine Verbindung aufbauen, sich gegenseitig identifizieren (Domain, IP-Adresse usw.), mitteilen, welche Kommandos unterstützt werden, E-Mails austauschen und Fehlermeldungen ausgeben, wenn etwas schiefgeht.

Was ist SMTP-basierte E-Mail-Verifizierung?

Die SMTP-basierte E-Mail-Verifizierung nutzt das SMTP-Protokoll, um zu prüfen, ob eine E-Mail-Adresse auf einem Zielserver existiert.

Sie stützt sich dabei auf ein Standardverhalten der meisten E-Mail-Server: Diese werfen eine vorzeitige “Fehler”-Meldung, wenn die Adresse, die der Absender erreichen will, nicht existiert.

Der Austausch sieht ungefähr so aus:

Verifizierungsserver: “Hallo, ich würde dir gern eine E-Mail schicken.”

Empfängerserver: “Super, hier sind meine Informationen und die verfügbaren Kommandos.”

Verifizierungsserver: “Cool, ich würde gern eine E-Mail an jane@beispiel.de schicken.”

Empfängerserver: “Lass es sein, diese Adresse existiert nicht. Verschwende weder deine Zeit mit dem Senden noch meine mit dem Zurückschicken (Bounce).”

Auf den ersten Blick wirkt das effizient und logisch, gilt heutzutage aber als Sicherheitslücke. Warum? Weil es böswilligen Akteuren erlaubt, einen sogenannten “Enumeration-Angriff” zu starten: Sie probieren viele Varianten von E-Mail-Adressen durch (john.smith@acme.com, jack.smith@acme.com usw.), bis sie funktionierende Firmenadressen entdecken. Von dort aus können sie dann Phishing-Angriffe starten.

Die “Catch-all”-E-Mail

Catch-all-Adressen sind eigentlich kein Feature der E-Mail-Adresse selbst, sondern des dahinterliegenden E-Mail-Servers.

Solche Server haben in der Regel richtige IT-Teams, die die Risiken der SMTP-Verifizierung kennen. Deshalb ändern sie das Standardverhalten des Servers so, dass ungültige Adressen während der SMTP-Handshake-Phase nicht abgelehnt werden. Das ist zwar weniger effizient, aber Security-Leute bevorzugen es, weil es dem Angreifer mehr Zeit und Bandbreite kostet und zu mehr Bounces führt, was wiederum seine Reputation beim E-Mail-Host des Angreifers beschädigt.

Wie erkennen SMTP-Verifizierer also, ob das positive Ergebnis der Prüfung von einem Catch-all-Server stammt? Meist führen sie zwei Server-Checks durch: einen mit einer erfundenen Adresse, von der sie WISSEN, dass sie nicht existiert, und dann die tatsächliche Adresse, die geprüft werden soll.

Bekommen sie auf die erfundene Adresse eine “positive” Antwort, wissen sie: Es handelt sich um einen Catch-all-Server, und sie geben weder ein positives noch ein negatives Ergebnis zurück.

Ein reales Beispiel dafür: Man sieht, wie die geprüfte E-Mail-Adresse aus zwei erfundenen alphanumerischen Zeichenketten zusammengesetzt ist.

Wie zuverlässig ist SMTP-Verifizierung?

Dir fällt vielleicht auf, dass SMTP-verifizierte E-Mails ab und zu trotzdem bouncen.

Die stark vereinfachte Erklärung: Bounce-Verhalten hängt nicht immer damit zusammen, dass die Adresse nicht existiert (auch wenn die Bounce-Meldung genau das behauptet). Warum? Weil aus Sicherheitssicht der beste Weg, Angriffe zu verhindern, darin besteht, dem Angreifer Fehlinformationen zu geben.

Im Enterprise-Umfeld ist folgendes Szenario nicht ungewöhnlich:

• Eine “Accept all”-Meldung ausgeben, die besagt, dass die Adresse gültig ist.
• Sobald die E-Mail eingeht, eine Spam-Analyse von Absender und Inhalt durchführen. Wird sie als verdächtig markiert, einen automatischen Bounce auslösen, sodass der Angreifer denkt, die Zielperson arbeite vielleicht nicht mehr dort.

Hinweis: Es gibt unendlich viele Varianten davon. Wie du am besten mit ihnen umgehst, behandeln wir in einem anderen Beitrag.

Aus diesem Grund bieten verschiedene E-Mail-Verifizierer unterschiedliche Verifizierungs-SLAs.

Was die Abdeckung angeht, wird meist behauptet, man könne rund 45 % aller geschäftlichen E-Mail-Adressen validieren.

Was die Genauigkeit angeht, wird behauptet, dass du bei den vergebenen “valid/invalid”-Status in weniger als 1 % der Fälle mit einem Bounce rechnen musst.

Gibt es einen besseren Ansatz zur E-Mail-Verifizierung?

Ja. Es gibt sowohl andere Techniken zur Verifizierung von E-Mails, die eine bessere Abdeckung und Genauigkeit erzielen (besonders in Kombination mit der SMTP-Verifizierung), als auch bessere Wege, Verifizierung einzusetzen, als es heute üblich ist (das reine Validieren von Standardlisten).

Genau hier setzt Hi Walter an: verifizierte E-Mails und Handynummern von Entscheidern aus amtlichen Quellen, per API und MCP direkt in deinen Workflow eingebunden statt als nachträgliche Listenprüfung. Willst du mehr über diese Methoden erfahren? Abonniere unseren Blog und bleib bei den neuesten Erkenntnissen auf dem Laufenden.