Wie die Ablenkung funktioniert
Bei einem Subscription Bombing melden Angreifer eine E-Mail-Adresse bei sehr vielen echten Formularen an. Dadurch treffen innert kurzer Zeit hunderte oder tausende Bestätigungen ein. In dieser Flut kann eine einzelne echte Sicherheitswarnung untergehen, beispielsweise zu einer ausgelösten Zahlung, einem Passwortwechsel oder einer Bestellung.
Das BACS weist darauf hin, dass klassische Filter oft nur begrenzt helfen: Die Nachrichten stammen von legitimen Servern und verfügen deshalb häufig über gültige technische Absenderprüfungen.
So reagiert ein KMU richtig
- Ruhe bewahren: Den Posteingang nicht pauschal leeren oder sämtliche Nachrichten anklicken.
- Gezielt suchen: Nach Zahlungs-, Sicherheits- und Passwortbegriffen sowie nach bekannten Banken, Lieferanten und Cloud-Diensten suchen.
- Konten direkt prüfen: E-Banking, Kreditkarte, E-Mail-Konto und wichtige Geschäftsdienste über bekannte URLs oder Apps kontrollieren.
- Passwörter kontrolliert ändern: Bei Auffälligkeiten zuerst die betroffenen Konten und ihre Wiederherstellungswege einordnen.
- Spuren sichern: Zeitpunkt, Umfang der Flut und auffällige Nachrichten dokumentieren.
Was Website- und IT-Verantwortliche vorbereiten sollten
Kontakt- und Newsletterformulare sollten gegen automatisierte Missbrauchsversuche geschützt sein. Sinnvoll sind Rate-Limits, Spam-Schutz und je nach Risiko eine zusätzliche Mensch-Prüfung. E-Mail-Adressen im Klartext auf Webseiten erleichtern automatisiertes Sammeln und sollten mit Bedacht eingesetzt werden.
Gleichzeitig braucht es einen klaren Ablauf für kritische Benachrichtigungen: Wer prüft Zahlungs- oder Sicherheitswarnungen, wenn ein zentrales Postfach überlastet ist?
Quelle: BACS, Woche 6/2026: «Subscription Bombing» – Wenn das E-Mail-Postfach unter Beschuss steht.