Aus der Praxis
Die Impressumspflicht als Spam-Einfallstor
Das Gesetz verlangt von jeder geschäftsmäßigen Website eine offen genannte E-Mail-Adresse. Genau davon leben Adresssammler. Eine Pflicht, die ein Tor aufhält, das der Betreiber nicht schließen darf.
Was verlangt wird
Wer in Deutschland eine geschäftsmäßige Website betreibt, muss Angaben bereitstellen, die eine schnelle elektronische Kontaktaufnahme ermöglichen — einschließlich der Adresse der elektronischen Post. Die E-Mail-Adresse ist dabei nicht eine Möglichkeit unter mehreren, sondern ausdrücklich genannt.
Der Europäische Gerichtshof hat 2008 präzisiert, dass neben der Adresse ein zweiter Weg zur unmittelbaren Kommunikation genügt und dieser kein Telefon sein muss. Ein Kontaktformular reicht — zusätzlich, nicht ersatzweise. Die Adresse bleibt.
Warum das teuer ist
Adressen einzusammeln ist trivial. Programme lesen Websites aus und suchen nach dem Muster einer Mailadresse; das Impressum ist dabei die verlässlichste Fundstelle überhaupt, weil es an einer vorhersehbaren Stelle steht und per Gesetz eine echte, funktionierende Adresse enthalten muss.
Diese Adresse kann man nicht wechseln, wenn sie zugemüllt wird — sie steht im Impressum. Man kann sie nicht abschalten, denn sie muss erreichbar sein. Und man kann sie nicht filtern bis zur Unerreichbarkeit, denn dann ist die Pflicht nicht erfüllt.
Das ist die Eigenart dieser Pflicht: Sie verlangt nicht nur, ein Tor zu öffnen, sondern es dauerhaft offen zu halten — gegenüber jedem, auch gegenüber denen, die nur deshalb kommen.
Die üblichen Auswege, und warum sie nicht taugen
- Die Adresse als Bild. Für Sammelprogramme heute kein Hindernis mehr, für Menschen mit Sehbehinderung dagegen eine echte Sperre — und rechtlich fragwürdig, weil eine Angabe, die man abtippen muss, keine schnelle Kontaktaufnahme ermöglicht.
- Umschreibungen wie „name (at) domain (punkt) de". Trivial zurückzurechnen, und Gerichte haben mehrfach entschieden, dass eine Angabe, die nicht unmittelbar nutzbar ist, die Pflicht nicht erfüllt.
- Nur ein Kontaktformular. Erfüllt den zweiten Weg, nicht den ersten. Die Adresse ist im Gesetz ausdrücklich genannt.
- Ein Wegwerf-Postfach. Widerspricht dem Zweck: Die Angabe soll eine verlässliche Erreichbarkeit herstellen, keine formale.
Es bleibt: die Adresse offen hinschreiben und die Folgen tragen.
Was tatsächlich hilft
Da die Tür offen bleiben muss, verlagert sich alles auf das, was dahinter passiert. Für diese Seite sieht das so aus:
- Filterung nach Bewertung, nicht Ablehnung. Eingehende Post wird bewertet und bei Verdacht in einen gesonderten Ordner einsortiert, aber nicht abgewiesen. Bei einer Adresse, die per Gesetz erreichbar sein muss, ist eine fälschlich abgelehnte Nachricht der teurere Fehler.
- Verzögerung als erste Hürde. Unbekannte Absender werden beim ersten Versuch vorübergehend abgewiesen. Ordentliche Mailserver kommen wieder, Massenversender häufig nicht — Näheres unter Reputation.
- Regelmäßige Sichtung. Der aussortierte Ordner wird durchgesehen, damit eine fälschlich einsortierte Nachricht nicht verloren geht. Das ist der Teil, den keine Software abnimmt.
Und das Formular
Der zweite Kommunikationsweg hat ein eigenes Problem: Ein Formular ist eine Einladung an automatische Ausfüller. Der übliche Ausweg — ein Captcha-Dienst — bedeutet, jeden Besucher an einen Dritten zu melden, nur um ein Formular zu schützen. Auf einer Seite, die sonst keine fremden Inhalte lädt, wäre das der größte Einzelposten in der Datenschutzerklärung.
Es geht auch ohne, mit vier Hürden, die vollständig auf dem eigenen Server laufen:
- Ein unsichtbares Feld. Für Menschen nicht darstellbar, für Ausfüllprogramme ein Feld wie jedes andere. Wer es befüllt, ist keines.
- Eine Zeitprüfung. Zwischen Aufruf und Absenden liegt bei Menschen eine Weile. Vier Sekunden sind keine.
- Ein signiertes Kennzeichen. Das Formular trägt einen Zeitstempel mit kryptografischer Signatur mit sich. Wer direkt auf die Empfangsadresse schickt, ohne das Formular geladen zu haben, hat keines. Die Signatur ist nötig, weil ohne Cookies kein serverseitiger Ort existiert, an dem der Zeitpunkt stehen könnte.
- Ein Kontingent je Absender. Gespeichert wird dafür nur ein Hashwert mit täglich wechselndem Zusatz, der nach Stunden verfällt.
Ein wichtiges Detail zum Schluss: Wer eine dieser Hürden reißt, bekommt trotzdem die Erfolgsmeldung. Wer merkt, dass er abgewiesen wurde, probiert es anders — wer glaubt, durchgekommen zu sein, hört auf.
Die eigentliche Beobachtung
Hier trifft eine Rechtspflicht auf eine Systemeigenschaft, und beide sind für sich genommen vernünftig. Der Gesetzgeber will, dass Anbieter erreichbar sind — richtig. Das E-Mail-System kennt keine Möglichkeit, unerwünschte Post an der Quelle zu begrenzen — historisch erklärbar.
Aus beidem zusammen folgt eine Pflicht, deren Erfüllung dauerhaft Aufwand erzeugt, den niemand zu verantworten hat. Der Gesetzgeber hat kein Spam-Problem geschaffen; er hat eine Anforderung an ein System gestellt, das sie nicht kostenfrei erfüllen kann.
Ein Zustellsystem, in dem Erreichbarkeit nicht bedeutet, für jeden erreichbar zu sein, hätte hier keinen Zielkonflikt. Dass E-Mail zwischen diesen beiden Dingen nicht unterscheiden kann, ist keine Nachlässigkeit — es ist eine Entscheidung aus einer Zeit, in der die Unterscheidung niemand gebraucht hat.