Der Plus-Zeichen-Trick, der zeigt, wo deine Adresse geleakt wurde (und was er nicht beweisen kann)

Melde dich bei einem Shop als du+homedepot@beispiel.de an und bei einer Ticketseite als du+ticketmaster@beispiel.de, und solange nichts das Tag entfernt, trägt jede Mail, die ankommt, ein Label, das zeigt, in welches Formular die Adresse eingegeben wurde. Wenn Spam auf einem dieser Tags ankommt, spekulierst du nicht darüber, wo die Adresse in Umlauf kam. Du liest es direkt auf dem Umschlag.

Der Mechanismus ist alt und dokumentiert. Subaddressierung – das Anhängen von „Details" an den lokalen Teil einer Adresse nach einem Trennzeichen, üblicherweise + – ist in RFC 5233 beschrieben, veröffentlicht im Januar 2008, mit dem Beispiel, dass Mail an ken+sieve@example.org im Postfach des Benutzers ken ankommt. Gmail dokumentiert das Verhalten in seiner eigenen Hilfe: unter „Filtern mit deinem Gmail-Alias" heißt es, dass „Nachrichten, die an die folgenden Aliasse gesendet werden, alle an janedoe@gmail.com gehen", und listet dann janedoe+school@gmail.com, janedoe+notes@gmail.com und janedoe+important.emails@gmail.com auf. Ein Postfach, so viele gekennzeichnete Varianten, wie du dir vorstellen kannst, keine Einrichtung nötig.

Hier beginnt der Teil, der normalerweise überbewertet wird, auch in der ersten Version dieses Artikels. Ein Tag kennzeichnet einen Einstiegspunkt. Es kennzeichnet keinen Täter. Wenn eine Adresse, die genau einem Shop gegeben wurde, Krypto-Spam erhält, ist das etabliert: Die Adresse kam durch diese Anmeldung auf den breiteren Markt – und das ist wirklich nützlich. Was nicht etabliert ist: wie. Der Shop könnte eine Liste verkauft haben. Er könnte sie auf eine Weise weitergegeben haben, die seine eigene Datenschutzrichtlinie erlaubt. Er könnte sie an einen Processor, einen Fulfillment-Partner oder eine Marketing-Plattform weitergeleitet haben, die dann gehackt wurde. Der Bruch könnte beim Shop liegen oder drei Lieferanten weiter. Die Adresse könnte aus dem eigenen Gerät oder Postfach des Abonnenten geleakt sein. Jemand könnte das Muster erraten haben – sobald ein Angreifer du+petco@ gesehen hat, ist die Form von du+etwas-anderes@ nicht schwer zu erraten, und Tags werden manchmal direkt aus einer weitergeleisteten Nachricht kopiert. „Diese Anmeldung ist der Ort, an dem es raus kam" ist eine solide Schlussfolgerung. „Dieses Unternehmen hat mich verraten" ist eine andere Behauptung, und ein Tag ist kein Beweis dafür.

Mit dem Trick sind zwei praktische Grenzen verbunden. Die erste liegt in der Standard selbst: Die Art und Weise, wie Detail kodiert wird, ist nach RFC 5233 „standort- und/oder implementierungsspezifisch". Es gibt keine Garantie, dass ein bestimmter Provider + unterstützt, es als Trennzeichen behandelt oder dass ein bestimmtes Anmeldungsformular das Zeichen überhaupt akzeptiert; Formulare, die Adressen eng validieren, lehnen es ab, und alles, das die Adresse später verarbeitet, kann es entfernen. Die zweite ist, was das Tag tun kann, sobald es schlecht geworden ist. Ein Filter auf to: du+petco@… stoppt diese Mail, dass sie den Posteingang erreicht. Es entfernt die Adresse nicht aus irgendeiner Datenbank, und es stoppt nicht, dass sie weitergehandelt wird. Es ist Eindämmung auf der Empfängerseite, nichts mehr.

Abmelden ist die andere Hälfte dieses Missverständnisses. One-Click-Abmeldung ist keine Gefälligkeit; für Massensender ist es eine Anforderung. Googles Sender-Richtlinien fordern Sender von 5.000 oder mehr Nachrichten pro Tag an Gmail-Konten auf, dass „Marketing-Nachrichten und abonnierte Nachrichten One-Click-Abmeldung unterstützen müssen" und „einen deutlich sichtbaren Abmelde-Link im Nachrichtentext enthalten müssen", während Spam-Raten „unter 0,10 %" gehalten werden und niemals „0,30 % oder höher" erreichen. Yahoos Sender Hub verlangt einen funktionierenden List-Unsubscribe-Header plus einen sichtbaren Link, mit Abmeldeanfragen, die innerhalb von zwei Tagen berücksichtigt werden. Das sagt dir genau, wie weit der Mechanismus reicht: Er wird gegen Sender durchgesetzt, die ihre Mail an Gmail und Yahoo zugestellt haben möchten. Ein Sender, der sich nie daran halten wollte, steht außerhalb dieses Systems vollständig, und ihn höflich zu bitten, aufzuhören, ist keine Kontrolle, die du hast.

Für Anmeldungen, denen du keine echte Adresse anvertraust, bietet Apple zwei separate Dinge, die häufig verwechselt werden. Das erste ist iCloud+ Hide My Email, das ein iCloud+-Abonnement erfordert: „Wenn du iCloud+ abonnierst", kannst du „eindeutige, zufällige E-Mail-Adressen generieren", „an deine zufälligen Adressen gesendete Mail wird an dein persönliches E-Mail-Konto weitergeleitet", „du kannst so viele Adressen erstellen, wie du brauchst", und „du kannst auch Adressen deaktivieren oder löschen, die du nicht mehr verwendest". Deaktivierung ist rückgängig zu machen; Löschung, wie Apple vermerkt, nicht. Das zweite ist Sign in with Apple, bei dem die Anmeldung bei einer App mit einem Apple-Konto eine Relay-Adresse in der privaterelay.appleid.com-Domain ausstellen kann, anstatt deine eigene zu übergeben; die Änderung der Adresse, an die Relay weiterleitet, ist selbst ein iCloud+-Feature. Beide vermeiden es, dem Sender etwas zu geben, das er entfernen oder scrapen könnte, weil es kein sichtbares Tag gibt, das an eine echte Adresse angebracht ist – aber sie sind unterschiedliche Features, mit unterschiedlichen Anforderungen, und es lohnt sich, sie namentlich anzufordern.

Die Skala, die dahintersteckt, ist leicht zu überprüfen und es lohnt sich, sie zu überprüfen, anstatt sie aus dem Gedächtnis zu zitieren. Die Startseite von Have I Been Pwned, gelesen am 20. Oktober 2026, zeigte 17.846.550.965 kompromittierte Adressen über 1.047 gehackte Webseiten hinweg. Dies sind Adressen, die in Breaches erscheinen, die das Projekt geladen hat, nicht kompromittierte Konten, und nicht eine Zählung aller Breaches, die je passiert sind. Tagging hält eine Adresse nicht aus dem nächsten heraus. Was es tut, ist eine anonyme Flut in gekennzeichnete Mail zu verwandeln, damit du, wenn etwas schief geht, weißt, durch welche Tür sie gekommen ist – und ehrlich mit dir selbst darüber umgehst, was das beweist und was nicht.

Korrektur, 20. Oktober 2026. Eine frühere Version dieses Artikels wurde in der ersten Person geschrieben und beschrieb persönliche Beobachtungen von getaggten Adressen, die in Data-Broker-Dumps erscheinen. Der Artikel hat keinen identifizierten einzelnen Autor – er wird von xmail als Organisation veröffentlicht – und dieses Konto konnte nicht bestätigt werden, daher wurde es als neutrales, reproduzierbares Szenario umgeschrieben. Die Behauptung, dass eine getaggte Adresse „genau einen Verdächtigen" hinterlässt und das Unternehmen benennt, das die Adresse verkauft hat, wurde korrigiert: Ein Tag kennzeichnet einen Einstiegspunkt, keinen Täter oder eine Transaktion. Eine Aussage, dass Gmail Plus-Adressierung seit 2008 unterstützt, wurde entfernt, da Googles Dokumentation kein Startdatum angibt; das Datum 2008 bezieht sich jetzt auf RFC 5233, wo die Konvention spezifiziert ist. Die Have I Been Pwned-Zahl, zuvor mit mehr als 14 Milliarden kompromittierten Konten über Tausende von Breaches angegeben, wurde durch die eigenen Zähler der Seite ersetzt, wie sie am 20. Oktober 2026 gelesen wurden. Die Beschreibung von Apples Relay-Adressen wurde in iCloud+ Hide My Email und Sign in with Apple aufgeteilt, die separate Features mit unterschiedlichen Anforderungen sind, und die Zitierung für Gmails Verhalten verweist jetzt auf die Hilfenseite, die es tatsächlich dokumentiert. Eine Behauptung, dass Abmelde-Links oft Phishing-Köder sind, wurde aus Mangel an einer Quelle entfernt.