SynoPower Club-Punkt:<\/strong> Ich habe jahrelang im Support von Synology gearbeitet, und die h\u00e4ufigste Sorge beim Selbsthosting war, dass ein einziger Ausfall die Website lahmlegen k\u00f6nnte. Hier war das nicht der Fall. Das NAS lieferte weiterhin Seiten aus, der Shop nahm Bestellungen entgegen, und das einzige Symptom waren etwa zehn Zeilen in den Formulareintr\u00e4gen. Der entscheidende Unterschied lag darin, dass alles an einem Ort gespeichert war: Die Formulareintr\u00e4ge, das Mail-Log und die Besucher-IPs befanden sich alle auf demselben Synology-Server. So konnte ich die E-Mail-Bombing-Attacke in einem einzigen Durchgang nachverfolgen, anstatt drei Support-Tickets bei drei verschiedenen Hosting-Anbietern einreichen zu m\u00fcssen.<\/p>\n<\/blockquote>\n\n\n\n Beim E-Mail-Bombing muss man nicht in Systeme einbrechen. Der Angreifer nimmt die E-Mail-Adresse des Opfers und gibt sie in so viele \u00f6ffentliche Formulare wie m\u00f6glich ein: Newsletter-Anmeldungen, Kontoregistrierungen und Kontaktformulare, die eine Kopie der Nachricht an den Absender zur\u00fccksenden. Jede dieser Webseiten sendet dann eine echte, korrekt signierte E-Mail an das Opfer. Da keine dieser Nachrichten technisch gesehen Spam ist, passieren sie die Filter und sammeln sich im Posteingang an.<\/p>\n\n\n\n Das Ziel ist selten die Spamflut selbst. Microsoft Threat Intelligence hat Gruppen dokumentiert, die E-Mail-Bombing als ersten Schritt nutzen und anschlie\u00dfend das Opfer anrufen, um sich als IT-Helpdesk auszugeben und das Spamproblem zu beheben. Andere Angreifer verwenden die Spamflut, um eine Bankbenachrichtigung, eine Kaufbest\u00e4tigung oder eine Passwort\u00e4nderungsbenachrichtigung zu verbergen, w\u00e4hrend sie ein gestohlenes Konto missbrauchen.<\/p>\n\n\n\n Kontaktformulare sind attraktiv, da viele von ihnen automatisch an die eingegebene E-Mail-Adresse antworten. F\u00fcr Angreifer ist dies ein kostenloser, anonymer Mail-Relay mit einem vertrauensw\u00fcrdigen Absendernamen. F\u00fcr Website-Betreiber bedeutet es, dass Ihre Domain E-Mails an Personen versendet, die diese nie angefordert haben, und einige davon werden den Spam-Button anklicken.<\/p>\n\n\n\n Das Muster wurde deutlich, als wir die Eintr\u00e4ge nebeneinander betrachteten. Zwischen dem Abend des 24. September und dem darauffolgenden Morgen gingen zehn Anfragen \u00fcber unser Support-Formular ein, im Abstand von ein bis zwei Stunden. Dieses langsame Tempo ist beabsichtigt: Es bleibt unterhalb der meisten Kapazit\u00e4tsgrenzen und sieht aus wie normaler Datenverkehr.<\/p>\n\n\n\n Keiner dieser Personen hatte SynoPower Club jemals besucht. Unsere Best\u00e4tigungs-E-Mail mit einem Betreff wie \u201eSynoPower #1234: Produktanfrage\u201c wurde an alle diese Personen versandt. Falls Sie eine dieser Nachrichten erhalten und uns nie kontaktiert haben, wurden Sie Opfer von E-Mail-Bombing: Ihre Adresse wurde von jemand anderem eingegeben. Es wurde kein Konto f\u00fcr Sie erstellt und es wurden Ihnen keine Kosten berechnet. Unsere Anleitung dazu finden Sie hier. Wie man erkennt, ob eine E-Mail wirklich von SynoPower Club stammt<\/a> listet alle Adressen auf, von denen wir versenden.<\/p>\n\n\n\n Unser Formular verf\u00fcgte bereits \u00fcber zwei Schutzmechanismen gegen Spam, dennoch durchdrang die E-Mail-Bombardierung diese ungehindert: Cloudflare Turnstile und ein verstecktes Honeypot-Feld. Beide funktionierten einwandfrei, obwohl keiner von ihnen f\u00fcr solche F\u00e4lle ausgelegt war.<\/p>\n\n\n\n Ein Honeypot f\u00e4ngt Skripte ab, die alle Felder einer Seite ausf\u00fcllen, auch die f\u00fcr Menschen unsichtbaren. Diese Eingaben stammten von einem echten Browser, der nur die sichtbaren Felder ausf\u00fcllte, sodass die Falle leer blieb. Turnstile pr\u00fcft, ob sich der Besucher wie ein echter Browser und ein echter Mensch verh\u00e4lt. Jeder der zehn Eintr\u00e4ge enthielt ein g\u00fcltiges Turnstile-Token, was darauf hindeutet, dass der Absender einen echten Browser in menschlicher Geschwindigkeit nutzte und kein grobes Skript.<\/p>\n\n\n\n Das ist die ehrliche Grenze von Bot-Pr\u00fcfungen gegen E-Mail-Bombing. Sie machen massenhaften automatisierten Missbrauch teuer, aber ein geduldiger Absender, der st\u00fcndlich ein Formular \u00fcber einen normalen Browser absendet, wirkt wie ein echter Kunde. Um ihn zu stoppen, braucht es Informationen \u00fcber die Herkunft der Anfrage, nicht nur \u00fcber ihr Verhalten.<\/p>\n\n\n\n Da der gesamte Stack auf einem einzigen Synology-System l\u00e4uft, verlie\u00df die Untersuchung das NAS nie. Dies sind die vier Pr\u00fcfungen, die wir in der angegebenen Reihenfolge durchgef\u00fchrt haben; sie funktionieren f\u00fcr jede WordPress-Website, die im Container Manager oder in der Web Station gehostet wird.<\/p>\n\n\n \u00d6ffnen Sie die Eintragsliste Ihres Formular-Plugins und sortieren Sie sie nach Datum. Achten Sie auf zuf\u00e4llige Namen oder Nachrichten, wiederkehrende Themen und ein gleichm\u00e4\u00dfiges Intervall zwischen den Einsendungen und notieren Sie sich die zu jedem Eintrag gespeicherte IP-Adresse.<\/p>\n<\/div>\n<\/div>\n \u00d6ffnen Sie das Mail-Log Ihres SMTP-Plugins oder das Zustellungslog in Synology MailPlus Server und suchen Sie nach den Eintragsnummern. Diese zeigen an, ob Ihre Website tats\u00e4chlich eine Best\u00e4tigung an jede Adresse gesendet und ob diese zugestellt wurde.<\/p>\n<\/div>\n<\/div>\n Laden Sie die Massen-Exit-Node-Liste des Tor-Projekts herunter und suchen Sie darin nach jeder IP-Adresse aus den Eintr\u00e4gen. In unserem Fall handelte es sich bei allen zehn Adressen um Tor-Exit-Nodes, w\u00e4hrend keiner der 199 seit 2024 registrierten Eintr\u00e4ge von einer Adresse auf dieser Liste stammte.<\/p>\n<\/div>\n<\/div>\n Stellen Sie sicher, dass die IPs in Ihren Protokollen Besuchern geh\u00f6ren und nicht Cloudflare oder Ihrem Reverse-Proxy. Falls alle Eintr\u00e4ge dieselben wenigen Adressen enthalten, stellen Sie die urspr\u00fcngliche Besucher-IP wieder her, bevor Sie Schlussfolgerungen ziehen.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n Die L\u00f6sung f\u00fcr das E-Mail-Bombing musste zwei Bedingungen erf\u00fcllen: den Absender vollst\u00e4ndig stoppen und die Nutzung des Formulars f\u00fcr Kunden, die w\u00f6chentlich Lizenzanfragen stellen, nicht unn\u00f6tig erschweren. Wir entschieden uns f\u00fcr eine gezielte \u00c4nderung.<\/p>\n\n\n\n Formular\u00fcbermittlungen \u00fcber das Tor-Netzwerk werden ab sofort auf allen Formularen der Website abgelehnt. Cloudflare kennzeichnet Tor-Traffic mit dem L\u00e4ndercode T1 und gleicht die Besucher-IP-Adresse mit der t\u00e4glich aktualisierten Tor-Projekt-Exit-Liste ab. Die Regel gilt daher auch dann, wenn eine Anfrage das NAS erreicht, ohne Cloudflare zu passieren. Abgelehnte Anfragen erhalten eine kurze Nachricht mit unserer Support-Adresse. Kunden, die Tor bevorzugen, k\u00f6nnen uns daher weiterhin per E-Mail erreichen.<\/p>\n\n\n\n Die Seiten zum St\u00f6bern, Bezahlen und zur Kontoverwaltung bleiben unver\u00e4ndert. Die \u00c4nderung greift erst beim Absenden eines Formulars \u2013 genau dort, wo der Missbrauch stattfand.<\/p>\n\n\n\n Der wirksamste Schutz vor E-Mail-Bombing \u00fcber ein Formular besteht darin, keine Nachrichten mehr an die eingegebene Adresse zu senden. Wenn das Formular Sie lediglich benachrichtigt, hat ein Angreifer keinen Vorteil davon, die Adresse eines Fremden einzugeben. Wir haben diese Option sorgf\u00e4ltig gepr\u00fcft.<\/p>\n\n\n\n Wir haben uns entschieden, die Best\u00e4tigung beizubehalten. Viele unserer Kunden melden sich, weil ein Lizenzschl\u00fcssel nicht aktiviert wurde oder eine Bestellbest\u00e4tigung im Spam-Ordner gelandet ist. Eine sofortige Antwort mit Empfangsbest\u00e4tigung und Ticketnummer reduziert ihren Stress erheblich. W\u00fcrden wir die Best\u00e4tigung entfernen, w\u00fcrden wir alle unsere Kunden bestrafen, nur um einen einzigen Absender zu ver\u00e4rgern.<\/p>\n\n\n\n Der Kompromiss ist jedoch klar. Das Blockieren von Tor unterbindet zwar die Route des Absenders, aber ein entschlossener Angreifer k\u00f6nnte auf herk\u00f6mmliche Proxys ausweichen. Sollten Spam-Eintr\u00e4ge von Nicht-Tor-Adressen eingehen, muss die Best\u00e4tigung optional gestaltet oder deaktiviert werden. Diese Entscheidung geh\u00f6rt auf Ihre Checkliste, bevor es zu einem solchen Vorfall kommt, nicht erst dann.<\/p>\n\n\n\n Schritt 4 der Untersuchung verdient einen eigenen Abschnitt, da er die h\u00e4ufigste Falle darstellt, wenn eine selbstgehostete Website mit E-Mail-Bombing oder anderen Missbrauchsf\u00e4llen konfrontiert wird. Eine Anfrage an SynoPower Club durchl\u00e4uft Cloudflare, dann den Reverse-Proxy in Synology DSM, bevor sie WordPress im Container erreicht. Ohne zus\u00e4tzliche Konfiguration sieht WordPress die Adresse des letzten Hops, sodass jede Formulareingabe, jeder Kommentar und jede Bestellung mit einer Cloudflare- oder Proxy-IP-Adresse erfasst wird.<\/p>\n\n\n\n Cloudflare \u00fcbermittelt die urspr\u00fcngliche Adresse im CF-Connecting-IP-Header. Apache kann so konfiguriert werden, dass er diesem Header nur dann vertraut, wenn die Anfrage von Cloudflare oder einem eigenen Proxy stammt. Wir hatten dies erst wenige Tage zuvor zur Betrugspr\u00fcfung von Bestellungen behoben, und es zahlte sich sofort aus: Die Formulareintr\u00e4ge zeigten die tats\u00e4chlichen Tor-Exit-Adressen an, wodurch das Muster innerhalb von Minuten sichtbar wurde.<\/p>\n\n\n\n Wenn Sie Ihre Daten auf einem Synology NAS hinter Cloudflare hosten, \u00fcberpr\u00fcfen Sie dies, bevor Sie es ben\u00f6tigen. Senden Sie einen Testeintrag von Ihrem Smartphone \u00fcber mobile Daten und best\u00e4tigen Sie, dass die gespeicherte IP-Adresse mit der von Ihrem Smartphone gemeldeten \u00fcbereinstimmt.<\/p>\n\n\n\n Ein Shop, der Synology-Lizenzen verkauft, sollte in der Lage sein, auf Synology zu laufen, und unserer kann das auch \u2013 alles. Virtual Machine Manager<\/a> hostet die Virtual DSM-Instanz, auf der die Website l\u00e4uft, Container Manager f\u00fchrt WordPress und seine Datenbank aus, und Synology MailPlus<\/a> versendet jede Bestellbest\u00e4tigung, Lizenzzustellung und Formularantwort.<\/p>\n\n\n\nWas E-Mail-Bombing ist und warum Kontaktformulare h\u00e4ufig Ziel von Angriffen sind<\/h2>\n\n\n\n
Wie E-Mail-Bombing in unserem auf Synology gehosteten Shop auftauchte<\/h2>\n\n\n\n
\n
![\"Spam-E-Mails](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-form-entries.webp\")
Warum Drehkreuz und Honigtopf es nicht verhindert haben<\/h2>\n\n\n\n
Aufsp\u00fcren von E-Mail-Bombing auf einem Synology NAS in 4 Schritten<\/h2>\n\n\n\n
Lesen Sie die Formulareintr\u00e4ge<\/h3>\n
Pr\u00fcfen Sie, wer die Post erhalten hat.<\/h3>\n
Vergleiche die IPs mit der Tor-Liste<\/h3>\n
Best\u00e4tigen Sie, dass es sich bei den IPs um echte Besucher handelt.<\/h3>\n
![\"WordPress-Mailprotokoll](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/email-bombing-mail-log.webp\")
Was wir nach der Untersuchung ge\u00e4ndert haben<\/h2>\n\n\n\n
Sollte die automatische Antwort nach einer E-Mail-Bombardierung beibehalten werden?<\/h2>\n\n\n\n
Ermittlung der tats\u00e4chlichen Besucher-IP-Adresse hinter Cloudflare und Synology Reverse-Proxy<\/h2>\n\n\n\n
Warum wir SynoPower Club auf Synology ausf\u00fchren<\/h2>\n\n\n\n
![\"WordPress-](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/09\/synopower-club-on-virtual-dsm.webp\")