erfahrungen.app: Ein Firmenprofil, das niemand bestellt hat - und jetzt soll ich es beanspruchen

Ich habe offenbar ein Firmenprofil. Ich wusste nichts davon, angelegt habe ich es auch nicht. Ein Portal namens erfahrungen.app hat es für mich erledigt und erinnert mich jetzt freundlich daran, dass ich es noch „beanspruchen“ muss. Kostenlos, ohne Papierkram, in zehn Sekunden. Natürlich.

Die Mail: drei Einwände, drei Mal „Nein“

Die Mail ging an die Impressum-Adresse einer Firmen-Domain, die ich betreue. Im Betreff steht der Firmenname, direkt aus dem Impressum kopiert, dahinter kostenlos, ohne Papierkram, jederzeit kündbar. Im Screenshot ist der Firmenname durch einen Platzhalter ersetzt.

Der Inhalt ist eine Mini-FAQ, die jeden Grund zum Zögern vorab abräumt:

Kostet das etwas? Nein — beanspruchen und antworten ist dauerhaft kostenlos.

Brauche ich Unterlagen? Nein — diese E-Mail-Adresse genügt als Nachweis.

Wie lange dauert es? Etwa 10 Sekunden.

Das ist kein Werbetext, das ist Einwandbehandlung aus dem Vertriebsseminar. Und der Footer verrät gleich zwei Dinge auf einmal: „Erinnerung an die Impressum-Adresse von …“. Erstens: Die Adresse stammt aus dem Impressum. Zweitens: Es ist eine Erinnerung, also nicht die erste Mail dieser Serie. Kein Impressum des Absenders, keine Firma, keine Anschrift. Wer anderen Leuten Impressum-Daten abschreibt, hat selbst keins. Das hat fast schon Stil.

Technisch: sauberer als die meisten Newsletter

Wer bei Spam an kaputte Header und SPF-Fails denkt, wird hier enttäuscht. Die Mail kommt über Amazon SES aus Frankfurt (eu-central-1). SPF ist bestanden, DKIM für erfahrungen[.]app ebenfalls, passend zur Absenderdomain. Bounces laufen über eine eigene Subdomain bounce[.]erfahrungen[.]app, Antworten an hello[@]mail[.]erfahrungen[.]app landen nicht in einem Postfach, sondern im SES-Inbound von AWS. Es gibt sogar einen korrekten One-Click-Abmeldeheader, so wie Gmail und Yahoo ihn von Massenversendern verlangen. (Domains sind defangt, damit nichts aus Versehen angeklickt wird.)

Im SPF-Record steht neben Amazon SES schon _spf.elasticemail.com. Ein zweiter Versanddienstleister, vorbereitet für den Fall, dass AWS den Account sperrt. Daneben liegt eine Google-Search-Console-Verifizierung. Die Profile sollen also bei Google ranken, wenn jemand „Firmenname Erfahrungen“ sucht. Der Domainname ist genau auf diese Suche zugeschnitten.

Das Problem ist nicht die Technik, sondern das Alter und der Ruf. Laut Registry wurde erfahrungen[.]app am 26. August 2026 registriert, zwei Monate vor dieser Mail, über Cloudflare. Der Webserver steht hinter dem Cloudflare-Proxy, der eigentliche Host ist unsichtbar. Beim Empfang schlug Rspamd an: Die Domain steht auf der URIBL-Blocklist, die Mail bekam das Spam-Flag. Bei VirusTotal kommt die Domain auf 15 von 93 Engines, Kaspersky, BitDefender, G-Data und VIPRE sagen „phishing“. 17 Einreichungen zeigen: Ich bin nicht der Einzige, der diese Post bekommt.

Alle vier Links der Mail tragen dieselbe ID. Profil, Beanspruchen, Abmelden und ein unsichtbares 1x1-Pixel unter /api/outreach/o/<id>. Der Pfad „outreach“ sagt eigentlich alles: Das ist eine Kaltakquise-Maschine mit eingebauter Öffnungsmessung.

Was die eigentlich wollen

Der Ablauf ist simpel. Ein Crawler liest Impressen, das Portal legt pro Firma eine „Akte“ an (so heißt der Pfad, und so heißt auch die Absenderadresse). Dann geht die Mail-Serie raus. Öffnet ihr die Mail mit geladenen Bildern, weiß der Betreiber das über das Pixel. Klickt ihr auf „Firmenprofil beanspruchen“, landet ihr auf /akte/<id>/konto. Die ID im Link ist euer Ausweis, mehr Prüfung gibt es nicht. Damit ist eure Adresse bestätigt, euer Interesse auch, und ihr legt ein Konto an.

Was danach kommt, kann ich nicht belegen, denn ich rufe solche Seiten nicht auf. Das Muster kennt man aber von Branchenbuch- und Bewertungsportalen: Erst ist alles gratis, später kosten Premium-Profil, Antworten auf Bewertungen oder das Entfernen unschöner Einträge Geld. „Jederzeit kündbar“ im Betreff ist ein interessantes Versprechen für etwas, das angeblich nichts kostet. Und wer beim Anlegen des Kontos das Passwort seines Firmen-Postfachs wiederverwendet, schenkt es einem Betreiber ohne Impressum.

Rechtlich ist die Sache übrigens auch im B2B-Bereich klar: Werbung per E-Mail braucht nach § 7 Abs. 2 UWG eine vorherige ausdrückliche Einwilligung. Eine Adresse im Impressum ist keine.

Woran ihr es erkannt hättet

Ihr habt nie ein Profil angelegt, also könnt ihr auch keins „beanspruchen“. Das ist der schnellste Test, und er funktioniert ohne jede Technik.

Dazu kommt: Der Absender nennt weder Firma noch Anschrift. Der Footer gibt zu, dass eure Adresse aus dem Impressum stammt. „Die E-Mail-Adresse genügt als Nachweis“ heißt im Klartext: Hier wird niemand geprüft. Kein seriöser Dienst übergibt ein Firmenprofil an jeden, der einen Link klickt.

Wer es technisch mag: Die Domain ist zwei Monate alt, und Text- und HTML-Teil der Mail erzählen unterschiedliche Dinge. Die Textversion meldet nur „Firmenprofil noch unbeansprucht“. Die HTML-Version liefert die FAQ. Zwei Templates, zusammengeklebt.

Was ihr tun könnt

1. Nicht klicken. Auch nicht auf „abmelden“. Die Abmelde-ID ist dieselbe wie die Profil-ID. Jeder Klick bestätigt: Diese Adresse lebt und wird gelesen.
2. Domain im Spamfilter sperren. erfahrungen[.]app als Absender- und Link-Domain blocken, beim Hoster oder im eigenen Filter. Damit ist die restliche Mail-Serie für alle Postfächer erledigt.
3. Impressum-Adresse trennen. Eine eigene Adresse fürs Impressum mit strengerem Filter hält gescrapte Werbung aus den Arbeitspostfächern raus.
4. Teamregel: Keine Profile auf fremden Portalen ohne Rücksprache. Und nie ein bestehendes Passwort. Ein Passwort-Manager erzeugt für jedes Portal ein eigenes.
5. Bei Amazon melden. Ohne Impressum gibt es niemanden zum Abmahnen. AWS dagegen reagiert auf Missbrauchsmeldungen an abuse@amazonaws.com. Den kompletten Header mitschicken, die Feedback-ID darin identifiziert den Versand-Account.

Wie eure eigene Domain bei SPF, DKIM und DMARC dasteht, zeigt der Mail-Check hier auf der Seite. Diese Mail beweist nebenbei: Grüne Haken sagen nur, wer gesendet hat. Ob der Absender seriös ist, verraten sie nicht.

Fazit

Handwerklich ist das die sauberste Spam-Mail seit Wochen: eigenes SES-Setup, DKIM passend zur Absenderdomain, Abmeldeheader nach Lehrbuch. Inhaltlich ist es das alte Branchenbuch-Spiel im neuen Gewand, nur ohne Fax. Wer ein Profil beanspruchen soll, das er nie angelegt hat, ist kein Kunde, sondern ein Lead.

Der Firmenname und die Adresse des Empfängers sind in Text und Screenshot unkenntlich gemacht. Die vollständigen IOCs liegen intern.