Die „Speicher voll"-E-Mail ist ein Phishing-Favorit — schau auf den Return-Path

Eine Speicher-Quota-Warnung macht dir Angst, ohne einen Cent zu fordern — und genau das ist der Grund, warum es funktioniert. Das Erkennungszeichen ist nicht das Logo oder die Formulierung — es ist die Return-Path-Kopfzeile. Eine echte Microsoft- oder Google-Quota-Benachrichtigung kommt von der eigenen signierten Service-Domain des Unternehmens. Die gefälschte nutzt einen ähnlich aussehenden Domain oder einen gekaperten Server eines Drittanbieters, und der Return-Path entlarvt sie jedes Mal.

Warum sind „Speicher voll"-E-Mails plötzlich überall?

Weil sie Dringlichkeit erzeugen, ohne die rote Flagge einer Zahlungsaufforderung zu hissen. Eine gefälschte Rechnung fordert dich auf zu zahlen; eine Quota-Warnung sagt nur „dein Postfach erhält in 24 Stunden keine E-Mails mehr — klicke zum kostenlosen Upgrade". Keine Zahlung, kein offensichtliche Bitte, also lässt deine Wachsamkeit nach. Credential-Phishing ist das Antriebswerk hier. Microsofts Bedrohungsforschung hat wiederholt Speicher- und Quota-basierte Köder als beständiges Muster in Credential-Harvesting-Kampagnen gekennzeichnet — genau deshalb, weil sie das Opfer auf eine Login-Seite statt auf eine Kasse leiten.

Das Ausmaß ist der unangenehme Teil. Der Phishing Activity Trends Report der APWG zählte über 963.000 Phishing-Angriffe in einem einzigen Quartal von 2024, wobei Webmail und SaaS unter den am meisten angegriffenen Sektoren sind. „Dein Postfach ist voll" ist billig zu versenden, trivial zu lokalisieren und landet genau an dem Ort, über den es spricht. Diese Kombination hält es in schwerer Rotation.

Was ist der Return-Path und wo finde ich ihn?

Es ist die versteckte Hüllenadresse, die dem Mailsystem sagt, wohin eine fehlgeschlagene Zustellung zurückspringen soll, und sie stimmt selten mit einer gefälschten „From"-Zeile überein. Der freundliche „From: Microsoft Account Team" ist kosmetisch — jeder kann das schreiben. Der Return-Path wird vom Sendserver gesetzt und ist das, wogegen SPF und DMARC tatsächlich prüfen.

Um ihn zu sehen, öffne die Rohdaten der Nachricht. In Gmail ist das das Drei-Punkte-Menü, dann „Original anzeigen". In Outlook öffne die Nachricht und schaue auf „Eigenschaften" für Internet-Header. Suche nach drei Zeilen: Return-Path, Authentication-Results und die Signatur-Domain in DKIM-Signature.

Eine echte Google-Quota-Benachrichtigung hat einen Return-Path, der auf eine google.com-kontrollierte Domain endet, und daran gebunden ist ein spf=pass. Eine echte Microsoft-Benachrichtigung wird anhand der microsoft.com- oder outlook.com-Infrastruktur authentifiziert. Wenn der Return-Path bounce@mail-secure-upgrade.info liest, während die From behauptet, Microsoft zu sein, passen die Hülle und das Kostüm nicht zusammen. Diese Nichtübereinstimmung ist der Scam, ausgedrückt in Klartext.

Wie schafft es eine gefälschte Quota-E-Mail überhaupt, den Spam-Filter zu passieren?

Oft täuscht sie nicht die Domain der großen Marke vor — sie kapern eine legitime. Angreifer kompromittieren ein Marketing-Konto eines kleinen Unternehmens oder einen obskuren SaaS-Sender, der bereits gültige SPF- und DKIM-Datensätze hat. Die E-Mail wird dann authentifiziert, weil sie wirklich von diesem Server kam. Authentication-Results zeigt dmarc=pass, und dein Filter lässt sie durch.

Das ist die Falle. Ein grünes Authentifizierungs-Häkchen bedeutet, dass die Nachricht wirklich von der Domain im Return-Path kam — nicht, dass die Domain Microsoft ist. Die Methode ist also: Lies die Return-Path-Domain und frage dich dann, ob diese Domain geschäftlich einen Grund hätte, dir einen Microsoft-Speicher-Hinweis zu schicken. Eine Kurier-Domain, eine zufällige .shop-Adresse, ein kapernter Server einer brasilianischen Gemeinde — keiner von ihnen betreut deine Outlook-Quota. Das ist die Art von Nichtübereinstimmung, die ein KI-Postfach, das Phishing kennzeichnet, vor dem Öffnen an die Oberfläche bringt, indem es Header liest, die du lieber nicht sehen möchtest.

Was sollte ich tatsächlich tun, wenn so eine ankommt?

Klicke niemals auf die Schaltfläche in der E-Mail. Gehe zum Service direkt — gib outlook.com oder drive.google.com selbst ein — und überprüfe deinen Speicher dort. Wenn du der Grenze wirklich nahe bist, zeigen beide Unternehmen das in den Kontoeinstellungen, nicht über einen überraschungslink.

Die echten Benachrichtigungen verhalten sich auch anders. Google und Microsoft warnen dich über Speicher im Produkt und in ihren eigenen Account-Dashboards lange bevor irgendeine E-Mail kommt, und ihre Nachrichten hetzen dich nicht in Panik mit einem Countdown. Eine legitime Quota-E-Mail leitet dich nicht auf eine Login-Seite auf einer unabhängigen Domain; die gefälschte tut es immer, weil die Login-Seite der ganze Zweck ist — sie sammelt dein Passwort.

Eine letzte Gewohnheit: Bewege die Maus über die Schaltfläche, bevor du sie nicht anklickst. Wenn der Ziel-Host nicht auf der echten Domain der Marke endet, hat der Return-Path dir die ganze Zeit über die Wahrheit gesagt.