Woher haben Spammer meine E-Mail-Adresse? Die 7 Hauptwege

Spammer haben E-Mail-Adressen aus Datenlecks, aus Listen, die Firmen verkaufen oder weitergeben, aus dem Scraping von Websites und öffentlichen Profilen, vom Raten gängiger Namen, aus den Adressbüchern anderer Leute und aus alten Domain-Registrierungsdaten. Danach testen sie, welche Adressen aktiv sind, indem sie auf Öffnungen, Klicks und Antworten achten. Spam-Mails kommen sogar an eine Adresse, die du nie herausgegeben hast – durch Raten, Scraping oder die Kontakte anderer –, und nur einige dieser Wege kannst du selbst schließen. Für die Wege, die bei dir beginnen, gibt CatchNone jedem Shop und jedem Newsletter eine eigene Adresse und zeigt, an welche jede Nachricht ging, sodass ein Datenleck oder ein Listenverkauf seine Quelle verrät, auf iPhone, iPad und Mac.

Woher Spammer E-Mail-Adressen haben: die 7 Wege

1. Datenlecks und die daraus zusammengestellten Passwortlisten.
2. Adresshandel und Weitergabe über Datenhändler und „Partner“.
3. Scraping, also das automatische Auslesen von Webseiten, Social-Media-Profilen und Code.
4. Raten gängiger Namen, vor allem auf Domains, die jede Adresse annehmen.
5. Die Adressbücher anderer Leute: hochgeladene Kontakte, Schadsoftware und lange Cc-Ketten.
6. Alte WHOIS-Einträge aus der Zeit vor 2018.
7. Bestätigung: Tracking-Pixel, Klicks, Antworten und leere Testnachrichten, die beweisen, dass eine Adresse funktioniert.

Datenlecks und Combo-Listen

Wenn eine Firma gehackt wird, kann ihre Kundenliste mit abfließen, ob du den Dienst noch nutzt oder nicht. Have I Been Pwned (HIBP) führte 1.038 Datenlecks und mehr als 17,8 Milliarden betroffene Kontodatensätze (Stand: 25. September 2026). Diese Summe zählt eine Adresse einmal für jedes Datenleck, in dem sie vorkommt, sie misst also Konten, nicht Menschen. Suche dort nach deiner eigenen Adresse, um zu sehen, in welchen Datenlecks sie steckt, wann sie passiert sind und was offengelegt wurde. Taucht sie in keinem auf, sind Adresshandel, Scraping oder Raten wahrscheinlicher.

Geleakte Adressen werden wiederverwendet. Combo-Listen sind Paare aus E-Mail-Adresse und Passwort, die aus früheren Datenlecks gesammelt und für Credential Stuffing genutzt werden, also dafür, dasselbe Passwort auf anderen Websites auszuprobieren. HIBP beschreibt Collection #1 (2019) als „773 Millionen eindeutige E-Mail-Adressen zusammen mit Passwörtern, die diese Adressen bei anderen gehackten Diensten verwendet hatten“. Stealer-Logs sind eine dritte Quelle: Schadsoftware auf einem infizierten Gerät zeichnet „E-Mail-Adressen, Passwörter und die Website, auf der sie bei der Anmeldung eingegeben werden“, auf.

Kannst du diesen Weg schließen? Nein. Du kannst begrenzen, was ein einzelnes Datenleck preisgibt: ein eigenes Passwort für jede Website, Zwei-Faktor-Authentifizierung für dein E-Mail-Konto und eine eigene Adresse für jede Firma, damit ein Datenleck nur eine Zweitadresse offenlegt statt deiner Hauptadresse. Die kostenlosen Benachrichtigungen von HIBP über Notify Me (Benachrichtige mich) informieren dich über das nächste.

Adresshandel, Datenhändler und „unsere Partner“

Die US-Handelsbehörde FTC sagt es klar: „Wenn du einer Firma deine E-Mail-Adresse gibst, kann sie sie an Dritte weitergeben oder verkaufen.“ Anmeldeformulare speisen denselben Handel. Die US-Behörde für Cyber- und Infrastruktursicherheit (CISA) weist darauf hin, dass Optionen, E-Mails zu anderen Produkten zu erhalten, manchmal standardmäßig ausgewählt sind, „wenn du sie also nicht abwählst, bekommst du womöglich auch E-Mails von diesen Listen“. Gewinnspiele, bezahlte Umfragen und Gutscheinangebote speisen ihn ebenfalls: Laut HIBP werden Spam-Listen häufig zusammengetragen, „indem man Menschen mit dem Versprechen einer Geldprämie persönliche Daten entlockt“.

Wer kauft E-Mail-Adressen? Marketingfirmen kaufen sie bei Adresshändlern und Datenhändlern, und Spammer kaufen sie voneinander: Die Verbraucher-FAQ von Spamhaus nennt Adressen, die „von anderen Spammern gekauft“ wurden, als eine ihrer Quellen. Firmenlisten sind ein eigenes Produkt. 2016 gelangte eine Liste mit mehr als 33 Millionen Beschäftigten US-amerikanischer Unternehmen aus dem Dienst NetProspex von Dun & Bradstreet ins Netz, und D&B ging davon aus, dass ein Kunde, der sie gekauft hatte, sie verloren hatte.

In den USA verlangt CAN-SPAM keine Einwilligung für den Versand von Werbe-E-Mails. Sobald du widersprichst, muss eine Firma dir aber innerhalb von 10 Werktagen keine E-Mails mehr schicken, und ab dem Moment deiner Anfrage „darf sie deine Adresse nicht verkaufen oder übertragen“.

Kannst du diesen Weg schließen? Teilweise. Entferne vorausgewählte Häkchen, melde dich von Werbung ab, die du nicht liest, und gib jeder Firma ihre eigene Adresse, damit der nächste Verkauf zeigt, wer ihn gemacht hat. Herausfinden, wer deine E-Mail-Adresse verkauft hat behandelt Header, Datenleck-Abfragen und Auskunftsanfragen ausführlich.

Scraping: Websites, Profile und Code

„Spammer können jede E-Mail-Adresse abgreifen, die auf einer Website steht“, warnt die CISA. In einem Experiment der FTC von 2002 bekamen 86 % der auf Webseiten veröffentlichten Adressen innerhalb von sechs Wochen Spam, und eine in einem Chatroom veröffentlichte Adresse bekam neun Minuten nach ihrer ersten Verwendung Spam (Ergebnisse, nachgedruckt von der ICANN). Wo sie auf der Seite stand, spielte keine Rolle: „Wenn die Adresse das ‚@‘-Zeichen enthielt, zog sie Spam an.“

Profile werden in großem Stil abgegriffen. 2021 griffen Angreifer Hunderte Millionen öffentlicher LinkedIn-Profile ab und erbeuteten laut HIBP dabei rund 125 Millionen eindeutige E-Mail-Adressen. Angreifer missbrauchten außerdem eine Twitter-API, die E-Mail-Adressen den passenden Konten zuordnete, und mehr als 200 Millionen so gesammelte Datensätze tauchten 2023 auf.

Auch öffentlicher Code legt Adressen offen: Jeder Git-Commit enthält die E-Mail-Adresse seines Autors. Öffne auf GitHub „Settings“ (Einstellungen) > „Emails“ (E-Mails), wähle „Keep my email addresses private“ (meine E-Mail-Adressen privat halten) und „Block command line pushes that expose my email“ (Pushes über die Kommandozeile blockieren, die meine E-Mail-Adresse offenlegen) aus und stelle Git auf deinem Computer dann auf die dort angezeigte @users.noreply.github.com-Adresse ein. Commits, die vor der Änderung entstanden sind, „sind weiterhin mit deiner vorherigen E-Mail-Adresse verknüpft“ (GitHub Docs). Deine Adresse aus GitHub- und GitLab-Commits heraushalten beschreibt alle Schritte.

Kannst du diesen Weg schließen? Für die Zukunft. Halte deine Hauptadresse von öffentlichen Seiten fern, nutze stattdessen ein Kontaktformular oder eine separate Adresse und stelle deine Social-Media-Profile so ein, dass nur Menschen, denen du vertraust, deine E-Mail-Adresse sehen, wie es die CISA rät. Was schon abgegriffen wurde, bleibt im Umlauf.

Raten: Können Spammer deine Adresse einfach erraten?

Ja, und dafür braucht es keine Liste. Der Sicherheitsausschuss der ICANN beschrieb die Methode 2007: Spammer probieren „einzelne und zusammengesetzte gängige Vor- und Nachnamen“ oder jede Zeichenkombination aus und behalten die Adressen, die ein Mailserver annimmt. Das nennt man Directory Harvest Attack (Verzeichnisernte-Angriff). In einem der Tests des Ausschusses gingen 70 % des Spams an Adressen auf den Testdomains, die nirgends veröffentlicht worden waren. Kurze, gängige Namen sind die leichtesten Ziele, und das Muster first.last@example.com einer Firma erlaubt es jedem, Adressen für ihre Beschäftigten zu bilden.

Ein Catch-all nimmt jeden Rateversuch an. Wenn deine eigene Domain Mails für jede beliebige Adresse zustellt, erreichen dich admin@example.com und info@example.com, ob du sie je benutzt hast oder nicht. Die FAQ von addy.io warnt, dass „Spammer und Bots oft zufällige E-Mail-Adressen ausprobieren“, und laut cPanel kann ein Catch-all „große Mengen Spam empfangen“, wenn Spammer es auf eine Domain abgesehen haben. Was ist eine Catch-all-E-Mail-Adresse? behandelt die Vor- und Nachteile ausführlich.

Kannst du diesen Weg schließen? Teilweise. Eine kurze, gängige Adresse bleibt erratbar, deine nächste muss es aber nicht sein: Wähle eine, die schwer zu erraten ist, wie es die britische Datenschutzbehörde ICO rät. Auf deiner eigenen Domain verhinderst du durch das Abschalten des Catch-all, dass geratene Adressen dich erreichen. Wenn du ihn behältst, blockiere geratene Namen bei deinem Mail-Anbieter. In Cloudflare E-Mail-Routing öffnest du zum Beispiel „Compute“ (Rechenleistung) > „Email Service“ (E-Mail-Dienst) > „E-Mail-Routing“ > „Routing Rules“ (Routing-Regeln) und legst für die Adresse eine Regel mit der Aktion „Drop“ (Verwerfen) an, die „E-Mails, auf die die Regel zutrifft, löscht, ohne sie weiterzuleiten“. Cloudflare weist darauf hin, dass die Adresse für Absender weiterhin gültig erscheint; schick eine Testnachricht, um zu prüfen, dass die Regel Vorrang vor deinem Catch-all hat.

Adressbücher und Posteingänge anderer Leute

Deine Adresse steht in den Kontakten aller, denen du je geschrieben hast, und diese Kopien liegen nicht in deiner Hand.

• Hochgeladene Kontakte. Wenn jemand seine Kontakte mit Facebook, Messenger oder Instagram synchronisiert, lädt Meta täglich „die Namen, Telefonnummern und E-Mail-Adressen in seinem Adressbuch“ hoch, auch die von Menschen, die Metas Apps nicht nutzen. Das allein gibt sie noch nicht an Spammer weiter, aber laut Meta haben Scraper vor September 2019 die Funktion zum Importieren von Kontakten missbraucht, um Telefonnummern Konten zuzuordnen.
• Schadsoftware auf dem Computer anderer. Die Schadsoftware Emotet konnte „E-Mail-Adressen aus Outlook auslesen“ und echte E-Mail-Verläufe kapern, um sich zu verbreiten (CISA-Warnung AA20-280A).
• Cc-Ketten und Mailinglisten. Eine lange Weiterleitung trägt jede Adresse aus dem Verlauf mit sich, und der Sicherheitsausschuss der ICANN beschrieb, wie Spammer Mailinglisten beitreten, um Adressen aus den Headern From, Reply-To und Cc zu sammeln.
• Jemand meldet dich an. Die Gmail-Hilfe beschreibt, dass Leute deine Adresse nutzen, „um sich für E-Mails wie Werbeaktionen oder Newsletter anzumelden“, versehentlich oder absichtlich.

Kannst du diesen Weg schließen? Nicht direkt. Nutze Bcc für Gruppenmails, entferne die Adressen anderer aus einem Verlauf, bevor du ihn weiterleitest, und bitte andere, dasselbe zu tun.

Alte WHOIS-Einträge

Domain-Registrierungsdaten haben früher die E-Mail-Adresse des Inhabers veröffentlicht. 2007 kam der Sicherheitsausschuss der ICANN zu dem Schluss, dass eine Adresse im WHOIS „praktisch garantiert, dass Spam zugestellt wird“.

Dieser Weg ist weitgehend geschlossen. Ab dem 25. Mai 2018 verpflichtete die Temporary Specification (vorläufige Spezifikation) der ICANN Registrare, die Kontaktdaten bei Registrierungen mit Bezug zu Europa zu schwärzen, erlaubte ihnen das überall sonst und sah stattdessen eine Weiterleitungsadresse oder ein Webformular vor. Eine Studie von Interisle aus dem Jahr 2021 ergab, dass nur noch 13,5 % der generischen Domains wie .com einen echten Inhaber nannten. Die dauerhafte Registration Data Policy (Richtlinie zu Registrierungsdaten) der ICANN, die seit dem 21. August 2025 gilt, behält dasselbe Modell bei.

Den Weg gibt es noch, wo du der Veröffentlichung zugestimmt hast, bei Registraren, die Daten von Organisationen oder von Inhabern außerhalb Europas veröffentlichen, unter den eigenen Regeln mancher Länderdomains und in kostenpflichtigen Archiven mit Einträgen von vor 2018.

Kannst du diesen Weg schließen? Standardmäßig ist er weitgehend geschlossen. Wenn dir eine Domain gehört, schlag sie in ICANN Lookup nach, um zu sehen, was öffentlich ist, lass die Datenschutzoption deines Registrars eingeschaltet und stimme nicht zu, deine Kontaktdaten zu veröffentlichen.

Bestätigung: Öffnungen, Klicks, Antworten und leere Nachrichten

Eine Adresse ist mehr wert, sobald bekannt ist, dass sie funktioniert. Spammer „verkaufen aktive Adressen mit Aufschlag als ‚bestätigt zustellbare‘ Adressen an noch mehr Spammer“, heißt es in der Verbraucher-FAQ von Spamhaus. Sie bestätigen Adressen über:

• Tracking-Pixel. „Wenn dein Mailprogramm die Grafik von ihrem Webserver lädt, wissen die Spammer, dass du die Nachricht geöffnet hast“ (CISA).
• Klicks und Antworten. Jeder Klick und jede Antwort, auch eine Bitte, dich aus der Liste zu streichen, bestätigt, dass jemand die Adresse liest.
• Abmeldelinks. Der Standard für die Abmeldung mit einem Klick, RFC 8058, hält fest, dass eine Abmeldung „dem Versender einen starken Hinweis darauf gibt, dass die Adresse, an die die Nachricht ging, gültig war“.
• Leere Nachrichten. „Um zu prüfen, ob E-Mail-Adressen gültig sind, senden Spammer oft E-Mails ohne Inhalt im Text oder Betreff“, heißt es in der Gmail-Hilfe. Die Adressen, die funktionieren, bekommen später Spam.

Kannst du diesen Weg schließen? Ja. Auf Mails von Fremden antwortest du nicht, klickst nichts an und meldest dich nicht ab; melde sie als Spam. Bei Marken, die du kennst oder bei denen du dich angemeldet hast, nutze den Abmelde-Button deiner Mail-App, wie Gmail es empfiehlt, oder die Abmeldemöglichkeit in der Nachricht, wie es die ICO rät; Wann Abmeldelinks sicher sind erklärt die Regel je nach Absender.

Sorg dann dafür, dass Bilder dich nicht verraten. Öffne in Apple Mail auf dem iPhone (iOS 27) „Einstellungen“ > „Apps“ > „Mail“ > „Datenschutz“ und aktiviere „Mail-Aktivität schützen“. Dann werden Bilder privat im Hintergrund geladen, sodass der Absender nicht erkennen kann, ob oder wann du eine Nachricht liest (Apple-Anleitung). Öffne in Gmail am Computer „Einstellungen“ > „See all settings“ (Alle Einstellungen aufrufen), stelle „Images“ (Bilder) auf „Ask before displaying external images“ (Vor dem Anzeigen externer Bilder fragen) und klicke auf „Save Changes“ (Änderungen speichern) (Google-Hilfe). Beides deckt weder Links noch Anhänge ab. So blockierst du Tracking-Pixel beschreibt die Schritte für andere Mail-Apps und was jede davon trotzdem preisgibt.

Wie du erkennst, welcher Weg zu dir geführt hat

Bcc verbirgt die anderen Empfänger, und die Gmail-Hilfe weist darauf hin, dass „Spammer manchmal zufällige E-Mail-Adressen in das ‚Bcc‘-Feld eintragen, um Leute zu einer Antwort zu bewegen“ – antworte also nicht.

Gibt es eine Spam-Liste, in der du nachsehen oder aus der du dich austragen kannst?

Es gibt keine offizielle Liste der Spam-Empfänger und keine Möglichkeit, von den eigenen Listen der Spammer herunterzukommen. Du kannst aber prüfen, ob deine Adresse in der geleakten Liste eines Spammers aufgetaucht ist: Suche sie auf Have I Been Pwned, das 16 solcher Listen enthält (Stand: 25. September 2026). Die größten sind Onliner Spambot (711 Millionen Adressen, 2017) und River City Media (393 Millionen, 2017). Taucht einer dieser Namen in deinen Ergebnissen auf, hatte ein Spammer deine Adresse.

Blocklisten sind etwas anderes: Sie erfassen, woher Spam kommt. Spamhaus definiert eine Blockliste als „eine Datenbank mit IP-Adressen, Domains oder Hashes“, die jeweils gelistet sind, weil sie beim Versand von Spam oder bei anderem Schaden beobachtet wurden oder einen schlechten Ruf haben. Ihre Hash Blocklist kann E-Mail-Adressen enthalten, aber das sind Adressen, die Spam versenden oder darin vorkommen, etwa ein gehacktes Konto. Blocklist-Prüfdienste wie der Blacklist Check von MxToolbox testen die IP-Adresse eines Mailservers, nicht deine E-Mail-Adresse.

Eine Sperrliste für E-Mail-Werbung würde auch nicht helfen. 2004 teilte die FTC dem US-Kongress mit, dass ein solches Register wahrscheinlich nach hinten losgehen würde, weil „Spammer ein solches Register als Verzeichnis gültiger E-Mail-Adressen nutzen würden“ (FTC). Spamhaus nennt kostenpflichtige Dienste, die versprechen, dich aus den Listen von Spammern zu entfernen, „bestenfalls Betrug und schlimmstenfalls ein System, mit dem der Spammer ‚aktive Adressen‘ bestätigt“.

Die nächstliegenden echten Möglichkeiten erreichen Firmen, die sich an das Gesetz halten, keine Spammer. Stand September 2026:

• DROP in Kalifornien (Delete Request and Opt-out Platform, eine Plattform für Löschanträge und Widersprüche) ermöglicht Einwohnern Kaliforniens, einen einzigen kostenlosen Löschantrag an über 600 registrierte Datenhändler zu schicken, die Anträge mindestens alle 45 Tage bearbeiten müssen. Firmen, mit denen du direkt zu tun hattest, erreicht es nicht (Nutzungsbedingungen von DROP).
• Der Email Preference Service der Association of National Advertisers, verlinkt auf DMAchoice.org, ist kostenlos und gilt 10 Jahre (FTC), erreicht aber nur Marketingfirmen, die ihn zum Bereinigen ihrer Listen nutzen.

Was kann man allein mit deiner E-Mail-Adresse machen?

Ohne dein Passwort weniger, als du vielleicht befürchtest. Allein mit der Adresse kann jemand:

• Phishing schicken, das echt aussieht, vor allem mit Details aus einem Datenleck
• Passwörter, die bei anderen Websites geleakt wurden, an deinen Konten ausprobieren
• herausfinden, welche Dienste du nutzt, wie es die Twitter-API einst erlaubte
• dich für Mails anmelden, die du nie wolltest
• sie weiterverkaufen, und zwar teurer, sobald sie als aktiv bestätigt ist

Was wollen Betrüger mit deiner E-Mail-Adresse?

Sie ist der erste Schritt zu deinem Posteingang, und ein Krimineller in deinem E-Mail-Konto könnte „alle Passwörter deiner anderen Konten zurücksetzen“. Das britische National Cyber Security Centre (NCSC) rät zu einem starken, separaten Passwort für dein E-Mail-Konto und zusätzlich zur Zwei-Faktor-Authentifizierung.

Spam, der deine eigene Adresse als Absender zeigt, beweist nicht, dass jemand eingedrungen ist, denn die From-Zeile lässt sich leicht fälschen. So prüfst du, ob dein E-Mail-Konto gehackt wurde führt durch die Prüfungen für Gmail, Outlook.com und iCloud Mail.

Ist es sicher, deine E-Mail-Adresse anzugeben?

Meistens ja. Eine Adresse ist kein Passwort, und wer sie kennt, kommt damit nicht in dein Konto. Gib deine Hauptadresse Menschen und Firmen, auf die du dich verlässt, etwa deiner Bank. Für Shops, Newsletter und einmalige Anmeldungen hält eine eigene Adresse pro Firma Datenlecks und Adresshandel von deiner Hauptadresse fern, und deine Hauptadresse sollte überhaupt nicht öffentlich stehen.

So hältst du Spammer von deiner Adresse fern: welche Wege du schließen kannst

Eigene Adressen pro Firma bekommst du auf mehreren Wegen. CatchNone gibt jeder Firma einen eigenen Alias, hält diese Mails aus deinem Hauptposteingang heraus und kennzeichnet jede Nachricht mit dem Alias, an den sie ging, sodass ein Leak oder ein Verkauf auffällt. Schneller eingerichtet ist die Plus-Adressierung (die Adresse mit dem +), wenn dein Anbieter sie unterstützt (you+shop@example.com), aber jeder kann den Zusatz löschen, sie verrät ein Leak also nur, wenn der Absender sich nicht die Mühe macht, ihn zu entfernen. Apples „E-Mail-Adresse verbergen“ (Hide My Email, Teil von iCloud+), DuckDuckGo Email Protection und andere Alias-Dienste leiten Mails an deinen Posteingang weiter. Ein Catch-all auf deiner eigenen Domain funktioniert auch, mit dem oben beschriebenen Nachteil beim Raten. E-Mail-Alias-Anbieter im Vergleich zeigt die Unterschiede.

Wo CatchNone ins Spiel kommt

CatchNone setzt bei den Wegen an, die damit beginnen, dass du eine Adresse herausgibst. Jeder Shop, jeder Newsletter und jedes Konto bekommt einen eigenen Alias, und jede Nachricht ist mit dem Alias gekennzeichnet, an den sie ging, sodass eine geleakte oder verkaufte Adresse ihre Quelle verrät. „Aktivität“ weist auf Mails an einen unbenutzten Alias und auf Absender hin, die dir zum ersten Mal schreiben, und externe Bilder, darunter die meisten Tracking-Pixel, bleiben blockiert, bis du sie lädst. @catchnone.com-Adressen erfordern Premium und werden zufällig vergeben, etwa abcde-12345@catchnone.com, sodass niemand sie erraten würde. Mails an Adressen, die dort nicht existieren, werden angenommen und verworfen, ein Rater erfährt also nichts, und schaltest du eine geleakte Adresse ab, bekommen Absender einen Rückläufer. Auf deiner eigenen Domain erscheinen Mails an geratene Catch-all-Adressen unter der Adresse, an die sie gingen, mit einem grauen Badge, sodass du Wörterbuch-Spam leicht erkennst. CatchNone herunterladen, erhältlich für iPhone, iPad und Mac.

CatchNone ist eine reine Empfangs-App und kein Spamfilter: Sie sammelt Mails von Anmeldungen in einer eigenen App, fern von deinem Hauptposteingang, und zeigt, an welchen Alias jede Nachricht ging. Auf deiner eigenen Domain ist es nur eine Kennzeichnung, wenn du einen Alias als „Nicht in Verwendung“ markierst; sperre Adressen also bei deinem Mail-Anbieter.

Häufige Fragen

Woher haben Spammer meine E-Mail-Adresse, wenn ich sie nie herausgegeben habe?

Am wahrscheinlichsten haben sie sie erraten, von einer Seite, einem Profil oder einem Code-Commit abgegriffen, wo sie stand, aus dem Adressbuch eines anderen übernommen oder von einer Firma bekommen, bei der du dich einmal angemeldet und die du vergessen hast, über ein Datenleck dieser Firma oder durch Adresshandel. Die Tabelle mit den Anzeichen ordnet dem, was du siehst, den wahrscheinlichen Weg zu.

Woher haben fremde Firmen meine E-Mail-Adresse?

Meist von einer Firma, mit der du tatsächlich zu tun hattest und die sie an „Partner“ weitergegeben oder verkauft hat, oft weil du bei der Anmeldung ein vorausgewähltes Häkchen stehen gelassen hast. Auch Datenhändler sammeln und verkaufen Adressen. Die Anleitung, die unter Adresshandel und Datenhändler verlinkt ist, zeigt, wie du herausfindest, welche Firma es war.

Woher haben Spammer meine geschäftliche E-Mail-Adresse?

Aus Firmenkontaktlisten, die an Marketingfirmen verkauft werden, von der Website deines Arbeitgebers und durch Raten ihres Namensmusters. HIBP enthält mehrere geleakte Firmenlisten, etwa B2B USA Businesses, die Adressen nach Arbeitgeber und Berufsbezeichnung sortierte. Im Vereinigten Königreich dürfen Organisationen laut ICO ohne Einwilligung Werbung an eine geschäftliche Adresse schicken, es sei denn, die Adresse identifiziert dich; dann kannst du verlangen, dass sie damit aufhören.