Woher die vielen unbekannten Mailadressen ohne Bestellung in der Kundenliste?

[Sophia_92]

Hallo zusammen,

seit kurzem tauchen in meiner Kundenliste fast täglich zig neue Mailadressen ohne Bestellung auf. Alle mit dem E-Mail Abo Status "ausstehend". Ich kann nahezu ausschließen, dass es sich dabei um natürlichen Traffic bzw. "echte" Interessenten des Newsletters handelt: Ich mache keine Werbung für den Newsletter, die Vielzahl der neuen Mailadressen passt auch nicht mit der Anzahl der Visits zusammen, die meisten meiner Kund:innen kann ich über Social Media/ andere Kontakt mehr oder weniger zuordnen, diese neuen Mailadressen erscheinen mir aber alle ziemlich random.

Was kann das sein? Wie kann man das verhindern? Ist dadurch irgendetwas zu befürchten?

Ich finde das ziemlich nervig, weil das meine Kundenansicht auch einfach etwas "zerschießt", wenn da die ganzen unbekannten, unbestätigten Mailadressen auftauchen.

Ich würde mich freuen, wenn da jemand mehr weiß!

Liebe Grüße

Sophia

[Gabe]

Hey @Sophia_92 

Danke für die Fragen und so etwas ist ärgerlich wenn dein Shop Ziel von Internet Bots geworden ist, wie es aussieht. Normalerweise wird deine Anmelde Seite mit einem Google reCaptcha beschützt. Poste die Seite gerne hier so dass ich eine  👁️  drauf werfen kann um den Anmelde Flow zu prüfen.

Du kannst das etwas näher untersuchen indem du beispielsweise die Zeitpunkte der "Fake" Newsletter Anmeldungen gegen deinen Sessions Bericht prüfst um zu sehen, aus welchen Regionen der Welt diese fake Anmeldungen kommen:

Google reCAPTCHA hilft dabei, das Verhalten von Besuchern deines Onlineshops zu analysieren, um Spam von Bots zu blockieren. Google reCAPTCHA verringert auch die Reibung für echte Benutzer, indem CAPTCHA-Herausforderungen eliminiert werden. Es ist in allen Shopify-Shops standardmäßig aktiviert.

Google reCAPTCHA kann an den folgenden Stellen deines Onlineshops angezeigt werden:

• in Kontakt- und Kommentarformularen
• auf Anmelde-, Kontoerstellungs- und Passwortwiederherstellungsseiten

Mehr Informationen zum Bearbeiten von Google reCAPTCHA in Themes findest du unter Shopify.dev.

ReCAPTCHA für den Onlineshop aktivieren oder deaktivieren

Google reCAPTCHA v3 ist in allen Shopify-Shops standardmäßig aktiviert. Informationen zu reCAPTCHA stehen allen Besuchern zur Verfügung. reCAPTCHA v3 überwacht kontinuierlich das Verhalten des Besuchers, um festzustellen, ob es sich um einen Menschen oder einen Bot handelt.

Wenn reCAPTCHA v3 nicht feststellen kann, ob ein Besucher ein Bot ist, wird der reCAPTCHA v2-Flow angewendet und Besucher werden aufgefordert, ein Kontrollkästchen anzuklicken, um zu beweisen, dass sie ein Mensch sind.

Das Google reCAPTCHA-Logo wird an der Stelle angezeigt, für die es aktiviert ist:

Schritte:

1. Klicke in deinem Shopify-Adminbereich auf Einstellungen > Apps und Vertriebskanäle.

2. Klicke auf der Seite Apps und Vertriebskanäle auf Online store.

3. Klicke auf Vertriebskanal öffnen.

4. Klicke auf Einstellungen.

5. Im Abschnitt Spamschutz kannst du Google reCAPTCHA für diesen Standort aktivieren oder deaktivieren:

• Google reCAPTCHA für Kontakt- und Kommentarformulare aktivieren
• Google reCAPTCHA bei Login, Kontoerstellung und Passwortwiederherstellung aktivieren.

Google reCAPTCHA für Kontakt- und Kommentarformulare

Verwende Google reCAPTCHA für Kontaktformulare und Blog-Kommentare, um eingehenden Spam von Bots zu minimieren. Google reCAPTCHA ist in allen Shopify-Shops standardmäßig aktiviert.

Wenn Google reCAPTCHA aktiviert ist, werden Kunden, die mehrere Kommentare abgeben oder Kommentare von einer E-Mail-Adresse eingeben, die von Google als verdächtig betrachtet wird, zu der Seite weitergeleitet, auf der sie bestätigen können, dass sie kein Roboter sind.

Google reCAPTCHA bei Login, Kontoerstellung und Passwortwiederherstellung

Verwende Google reCAPTCHA auf Login-Seiten, für die Kontoerstellung und für Formulare zur Passwortwiederherstellung, um unerwünschten Traffic für deinen Onlineshop zu minimieren. Google reCAPTCHA ist in allen Shopify-Shops standardmäßig aktiviert.

Wenn Google reCAPTCHA aktiviert ist, werden Kunden, die mehrere Versuche unternehmen, sich einzuloggen, Konten zu erstellen oder ihre Passwörter zurückzusetzen, aufgefordert, ein CAPTCHA einzugeben, um sicherzustellen, dass es sich um legitime Benutzer handelt.

----
Lass wissen, wenn du weitere Fragen hast zum Shop und Business und gerne können wir das hier weiter besprechen! Halte bitte Ausschau in deiner E-Mail auf Notifications zu Antworten auf deine Fragen in der Community.

Habt ihr schon über Ostern nachgedacht? Warum nicht etwas "Easter Egg Gamification" im Vorfeld Osterns in den Shop einbauen? Man kann z. B. eine Annonce auf der Homepage zeigen, dass Oster Eier im Shop versteckt sind und wenn diese gefunden werden, werden sie automatisch als Geschenk zum Warenkorb ergänzt. Gerne können wir hier weiter darüber plaudern!

[Sophia_92]

Hey Gabe,

vielen Dank für deine hilfreiche Antwort. Wenn ich die Session und den Ort anschaue, kommt tatsächlich viel aus "Iowa, Council Bluffs" - scheint für Bots zu sprechen?! Mal eine (blöde) Zwischenfrage: Was ist die Zielsetzung dieser Bots? Was bringt das irgendwem? Meine Website: www.woelfins.de

ReCaptcha! Darau hätte ich auch kommen können. Das habe ich tatsächlich deaktiviert aufgrund irgendeiner neuen Datenschutz-Sache (mal wieder). In diversen Artikeln steht ja, dass RaCaptcha nicht DSGVO-konform sei (https://www.datenschutzexperte.de/blog/datenschutz-im-internet/recaptcha-datenschutz/). Ich benutze aber den Cookie Consent Banner (App) - habe ich da irgendeine Möglichkeit, darüber die Bestätigung für ReCaptcha direkt miteinzuholen? ... mh, wobei das für Bots wahrscheinlich eh nichts bringt, da wird ja keine Cookie-Richtlinie bestätigt...

Oder gibt´s vielleicht ne App/Alternative, die ich statt ReCaptcha direkt bei Shopify anbinden kann?

Danke!!

Viele Grüße

Sophia

[Gabe]

Hey Sophia! @Sophia_92 

Freut mich dass das hilfreich war! Und bzgl. den vielen Besuchen von Iowa, Council Bluffs, das kann verwirrend sein, da gebe ich dir recht!

Im Grunde ist es so, dass Shopify den Geschwindigkeitsbericht mit einem Google Developer-Tool durchführt (das Google-Datenzentrum befindet sich ja in Council Bluffs, USA), das 3 Seiten testet: die Homepage, eine beliebte Kollektionsseite und eine beliebte Produktseite.

Dieser Test wird täglich durchgeführt und für manche Websites ist das kein Problem, aber für kleinere Websites kann das deine Analyse- und Konversionsraten-Metriken durcheinander bringen. Wenn du 3000 Zugriffe pro Tag hast, sind 3 zusätzliche Besuche kein Problem - es sind nur 0,1 %.

Wenn du Google Analytics nutzt, kannst du diese Besuche aus dem Bericht ausschließen. Wenn du diese Besuche auf Weekly, monthly, oder yearly ändern möchtest dann kannst du dich ggf. an den Shopify Support wenden und sie bitten, das zu ändern.

Bzgl. dem reCaptcha, eine alternative wäre friendlycaptcha.com. Es ist auch toll das du dein Shop proaktiv auf die Gesetzgebung einstellst denn das baut auch bei deinen Kunden Vertrauen auf (siehe mehr zum Thema hier).

Der Google ReCaptcha wird auch als zulässiger und notwendiger Dienst gesehen, wie du unten lesen kannst. Erst neulich hat die IT-Recht-Kanzlei genau dieses Thema aufgegriffen in diesem Beitrag.

Da heißt es dazu:

Anders, als man meinen könnte, ist die IP-Übertragung durch die Webfonts-Komponente innerhalb von Google reCAPTCHA (...) aber nicht eigenständig als datenschutzrechtliches Problem zu werten.

Bereits originär wird bei der Einbindung beider Dienste nämlich die IP-Adresse des Nutzers erhoben und an Google übermittelt.

Im Falle von reCAPTCHA geschieht dies über ein Skript. Die IP-Adresserhebung -und Übermittlung dient hier der Verifizierung der Quelle des Aufrufs und einer automatischen Entscheidung über weitere Legitimierungsanforderungen zur Abwehr automatisierter Seitenaufrufe und Distributed Denial of Service-Attacken. Insoweit ist die IP-Adressübermittlung an Google grundsätzlich über berechtigte Interessen an der Funktionalität der Website und an der Missbrauchsprävention gem. Art. 6 Abs. 1 lit. f DSGVO gerechtfertigt.

Das liest sich so, dass die Einbindung von Google Fonts in Google reCAPTCHA insoweit nicht problematisch ist, wenn du den reCAPTCHA Dienst zur Spam-Abwehr benutzt, was einem berechtigten Interesse gleichkommt und Google Fonts hier nur dazu dient, das Design des reCAPTCHA Dienstes darzustellen. 

Eine Rechtsberatung kannst du im Falle einer Abmahnung ganz schnell bekommen, wie man hier lesen kann:

• IT-Recht Kanzlei veröffentlicht FAQ zum Thema Abmahnung
• Der IT-Recht Kanzlei Abmahnradar
• Händlerbund: Abmahnung erhalten - Soforthilfe für Online-Händler
• Händlerbund: Abmahnung erhalten? Das sind die nächsten Schritte

Hoffe das hilft! 😉

[Sophia_92]

Hallo Gabe,

vielen, vielen Dank! Das Thema musste ein paar Wochen ruhen und siehe da - auch dieses Problem löst sich nicht von alleine haha.

Danke für den Hinweis auf die Alternative friendlycaptcha. Guter Plan B, ggf. was für die Zukunft. Aktuell nerven mich die Bots aber (noch) nicht so sehr, dass ich dafür 108€ im Jahr bezahlen möchte. Mit ReCaptcha fühle ich mich hingegen datenschutztechnisch immer noch nicht ganz wohl (gut, wann fühlt man sich datenschutztechnisch schon mal richtig abgesichert, aber anderes Thema).

Daher meine Frage: Sind die Bots am Ende für mich nur nervig? Oder können sie auch ein echtes Risiko darstellen, das ich unebdingt mit friendlycaptcha eindämmen sollte?

Liebe Grüße

Sophia

[Gabe]

Hey @Sophia_92 

Die Folgen können nervig sein, wie du korrekt festgestellt hast, da deine Kundenlisten unübersichtlich dadurch werden können und möglicherweise dazu führen, dass deine E-Mails von E-Mail-Dienstanbietern als Spam markiert werden, wenn viele der E-Mail-Adressen, an die du versendest, ungültig sind. 

Du hast ja bereits FriendlyCaptcha in Betracht gezogen, aber Bedenken hinsichtlich der Extrakosten. Hier müsstest du eine Kosten-Nutzen-Analyse durchführen, um zu sehen, ob es sich lohnt die App einzurichten und zu bezahlen. Du kannst sie ja auf jeden Fall die Testzeit lang testen, um zu schauen, ob sie das erreichen kann was du brauchst bzgl. den Bots.

Alternativ kannst du ein System implementieren, das die E-Mail-Adressen überprüft, bevor sie zu deiner Liste hinzugefügt werden. Dies könnte beinhalten, dass die Nutzer einen Link in einer E-Mail anklicken, um zu bestätigen, dass sie die E-Mail-Adresse tatsächlich besitzen. Das kann aber zu Reibungen in der User Experience (UX) deiner Kunden fuehren sowie hoehere Absprungraten.

Du kannst auch bestimmte IP-Adressen oder Adressbereiche blockieren, von denen aus du festgestellt hast, dass viele ungültige Anmeldungen kommen.

Oder eine Formularvalidierung, sprich, ein added-layer-of-security durch eine zusätzliche Validierung im Anmeldeformular hinzufügen, um sicherzustellen, dass die Eingaben menschlich sind. Beispielsweise kann man überprüfen, ob die Zeit zwischen dem Laden der Seite und dem Ausfüllen des Formulars lang genug ist, um menschlich zu sein. Bei Bots ist es meistens viel schneller als bei einem Mensch.

Es gibt auch Dienste wie Cloudflare, die in der Lage sind, böswillige Bots zu erkennen und zu blockieren. Es ist wichtig zu beachten, dass keine dieser Methoden 100% effektiv sein wird, da Bots immer raffinierter werden. Es geht darum, ein Gleichgewicht zu finden zwischen dem Schutz des Shops und der UX deiner Kunden.