Vielleicht hat jemand eine Erklärung für folgende Situation:

Aufgrund hohen Spam-Aufkommens (ca 100 – 200 Spam-Mails pro Tag) auf eine Mail-Adresse, die notwendigerweise im Internet veröffentlicht werden muss (Impressum), habe ich gestern Nachmittag Folgendes gemacht:
1. E-Mail-Adresse geändert.
2. E-Mail-Adresse komplett von der Homepage entfernt.
3. Anstelle der E-Mail-Adresse auf der Homepage einen Link („Hier klicken!“) zu einem Download-PDF gesetzt, der die Mail-Adresse enthält (Ich weiß, dass dieses Vorgehen juristisch noch nicht endgültig bewertet ist, da ja vorgeschrieben ist, eine gültige Mail-Adresse im Impressum vorzuhalten.)
Jetzt, ein paar Stunden später – erhalte ich schon wieder Spam-Mails auf die neu eingerichtete Adresse, die definitiv nirgendwo veröffentlicht ist (außer eben in besagtem PDF).
–> Wie ist das möglich und wie kann das verhindert werden?
(Bevor die Frage kommt: Ja, ein Spamfilter läuft natürlich mit. Dennoch ist es ausgesprochen lästig, regelmäßig zu kontrollieren, ob sich nicht doch eine wichtige E-Mail im Spamordner versteckt hat.)

ich kann mir nur vorstellen, dass der Inhalt des PDF genauso abgescannt wird wie eine Webseite

Interessantes Problem.

Leider ist die Frage etwas schwieriger zu beantworten, ohne die Randbedingungen zu kennen, z.B. wer der Mailhoster ist. Bei den üblichen Verdächtigen (GMX, 1&1, GMail etc.) wäre ich nicht so sicher, ob sie die Adressen nicht selbst (selbstverständlich gehen einen kleinen Obolus, hüstel) herausgeben. Das kann jetzt Paranoia sein, aber manche Dinge sind einfach anders nur schwer erklärbar.

Wenn Du die Mailadresse nicht weitergegeben hast, muß es jemand anders getan haben.

Die Lösung mit dem PDF ist schon eine etwas härtere Nummer, ich binde meine einfach als JPEG-Image ein und hatte bislang keine Spam-Probleme, dafür aber auch keines mit der Impressum-Pflicht. Daß ein Harvester sich PDFs herunterlädt und die auswertet halte ich eher für unwahrscheinlich. Technisch möglich, ebenso wie OCR über eingebundene JPEGs, aber halt aufwendig, wenn man massenweise Adressen abgreifen will.

Bei .gmx Adressen habe ich am Tag der Erstellung Spam bekommen, ohne das jemand außer mir und gmx diese Adresse kannten.

Es könnte am Domänenteil der E-Mail-Adresse liegen.
Anders gefragt: hat sich bei der neuen E-Mail-Adresse nur der lokale Teil geändert - dieser steht vor dem (at)-Zeichen, oder auch der Domänenteil - der nach dem (at)-Zeichen steht ?

Naja, beim Spam (egal ob Email, telefon etc.) ist ja wohl jeder so, dass es nie Du bist, sondern ein Zufallsgenerator halt auch "dich" erwischt.

Wenn du jetzt eine Emailadresse als Impressum angeben musst, dann bleiben ja nicht viel Optionen. Die Domäne ist ja schon mal da (oder ist die selbe Domäne wie die vorherige Adresse, bei andere Domäne als die Webseite). Dann bleibt vor dem @ ja nur noch eine Kombination aus deinem Namen oder Kontakt, info etc. Die Listen und Kombinationsmöglichkeiten der Spammer dürfte nahezu unendlich sein.

Zuletzt kommt mein üblicher Satz:
Spam ist Providersache und somit solltest du auf deiner (Email-)Domäne den Spamfilter aktivieren und entsprechend pflegen.

wenn man von info@meinedomain.de auf kontakt@meinedomain.de wechselt, dann bringt das in der tat nüscht. solche standardadressen werden immer zugemüllt, sobald die "meinedomain.de" beim spammer auf der liste steht.

Das stützt meinen oben geäußerten Verdacht. Wundert mich auch nicht weiter, irgendwie muß United Internet seine Gratis-Mailaccounts ja auch finanzieren.
Das ist ziemlich unwahrscheinlich, es sei denn, der Mailaccount hätte eine Art Wildcard-Regel. Dann würden aber grundsätzlich alle Mails, die an einen beliebigen Adressaten in der Domain gehen, durchkommen und eine Änderung des lokalen Teils wäre irrelevant.

Und so blöd, so etwas einzurichten, wird der OP sicherlich nicht sein.

So ist es !

Das ist allerdings noch eine schöne Option ... aber einfach zu beheben.

Dabei kommt noch das häßliche Problem dazu, daß man als Domainhaber bzw. Tech-C z.B. abuse- und postmaster-Adressen haben muß. Bei denen hilft wirklich nur ein guter Spamfilter.

Aber solange der OP sich nicht zu den näheren Umständen des Problems äußert, tappen wir bis auf weiteres im Dunklen.

Wie kommst Du auf die Idee, dass ein Webcrawler zwar verlinktes HTML scannt, verlinkte PDFs aber nicht?
Mit den üblichen JavaScript-Code-Schnipseln, die die Email-Adresse erst bei Aufruf durch einen Web-Browser dynamisch generieren und anzeigen? (Nein, ich weiß nicht, wie die das im Detail machen, ich hab irgendwann mal so ein Code-Schnipsel bei mir eingebaut, und das scheint gut zu funktionieren.)
Wieso das denn? Der Text-Inhalt von PDFs wird schließlich von jedem Webcrawler erfasst, was soll daran aufwändig sein? (OCR über JPEGs ist eine komplett andere Nummer.)

Kann auch passieren, aber auch da kann man bei veröffentlichten Adressen relativ einfach entgegenwirken. Das sind ja keine Mailadressen, die man auch im täglichen Leben benutzt - also funktioniert so etwas wie 'heinz.meier.08154711@example.com' (also z.B. mit irgendeiner Zufallszahl in der Adresse) bestens und ist eine ziemlich gute Absicherung gegen zufallsgenerierte Spam-Adressen.
100% d'accord.

Ich habe derzeit etwa 10 "normale" Mailkonten, davon einige veröffentlicht und in diversen Adreßbüchern außerhalb meiner Einflußsphäre abgelegt, und unendlich viele Einwegadressen (Mail an ein bestimmtes, wohldefiniertes Namensschema kommt immer an). Aus den letzten 30 Tagen finden sich in meinem Spam-Ordner genau 12 Mails. Den Rest hat der Server gar nicht erst angenommen - Blacklists, Graylisting und rigorose Prüfung der ankommenden Mails auf RFC-Konformität filtern alles andere weg.

Ich habe nicht geschrieben, daß es unmöglich ist. Es ist im Grunde sogar ziemlich einfach.

Aber was will ein Massenmail-Versender? Möglichst schnell möglichst viele Adressen abgreifen. Auf allen möglichen Webseiten nach PDFs suchen, die möglicherweise eine verwertbare Mailadresse enthalten, und die dann herunterladen und parsen ist viel Aufwand für relativ wenig Effekt. Lohnt nicht.

Nach der gleichen Logik funktioniert Graylisting: Der Mailserver lehnt eine Mail erst einmal mit einem temporären Fehler ab und akzeptiert sie erst, wenn der gleiche Absender nach einer gewissen Zeit einen weiteren Zustellversuch an den gleichen Adressaten unternimmt. Das ist trivial zu umgehen, zumal die Fehlermeldung auch noch einen Hinweis auf Graylisting enthält.

Aber: Graylisting fängt nach meinen Statistiken 90-95% des SPAM-Aukommens auf meinem Server weg. Das wiederholte Zustellen der SPAM-Mails ist schon zu viel Aufwand für die Spammer. Lohnt nicht.

Der Provider-Spamfilter ist das Erste, was ich abschalte.

Ich würde niemals einem Provider vertrauen, dass nicht auch eine wichtige Email dort hängenbleibt.

Lieber 10.000 Emails in meinem lokalen Spamordner als 1 verpasste Email.

Aber das ist natürlich Einstellungssache (pun intended ).

Kommt stark auf den Provider an. Ich lasse meine Mails auf dem Server nicht wegfiltern (außer Mails, die *offensichtlich* SPAM sind, durch DKIM- oder SPF-Checks fallen, Graylisting nicht bestehen etc. pp.), sondern lediglich als SPAM flaggen. Die kommen dann so bei mir im SPAM-Ordner an.

Und egal, ob Du einen Provider-Filter ein- oder ausschaltest, wird der ähnliches tun. Wirklich alles, was an Deine Adressen geschickt wird, bekommst Du in keinem Fall zugestellt, und das ist, wie gesagt, auch gut so.
Ketzerische Mutmaßung dazu: Wenn Du 10000 Mails in Deinem SPAM-Ordner manuell aussortierst, machst Du mehr Fehler als ein gut konfigurierter automatischer Filter.

Vielen Dank euch für die vielfältigen und sehr hilfreichen Beiträge!

Meine Wahl fiel auf den besagten PDF-Link, weil viele Anbieter (etwa 1&1, wo die entsprechende Webseite liegt) davon ausgehen, dass das ziemlich „sicher“ – allerdings auch rechtlich umstritten – ist.
Eine Umleitung auf einen generelle "Domain-Empfang“, falls die konkrete Adresse nicht vorhanden ist, kann ausgeschlossen werden. Die Sendung an eine nicht (mehr) vorhandene Adresse der selben Domain generiert dies übliche „Mail Delivery failed“-Meldung.
Auch einen „Verkauf der Adressen seitens des Hosters möchte ich nach derzeitigem Kenntnisstand ausschließen. Es handelt sich um eine bezahlte 1&1/ionos-Domain. Eine solche Praxis könnte den Hoster bei Bekanntwerden sehr schnell in den Ruin treiben.
Was ich jetzt noch probiert habe:

• Die Adresse vor der Domain-Angabe wurde nochmals geändert und etwas komplizierter gestalte
• Die verlinkte PDF-Datei durch ein JPG ersetzt.

Mal sehen, was das bewirkt …

Ein Problem dabei ist, dass ich die ganze Angelegenheit nicht „überkomplizieren“ darf, da ich die „Besitzer“ der Homepage und auch die Interessenten und Besucher weder bei der Einrichtung noch bei der Kontaktaufnahme überfordern möchte.

Wie gesagt: Mal sehen, was in den nächsten Stunden passiert. Ich werde berichten …
(Ach ja: Falls es jemanden interessiert: Die fragliche Seite ist diese:
Ich habe bislang zu Testzwecken lediglich den Kontakteintrag „Homepage“ geändert.

Um welche E-Mail-Adresse geht bzw. ging es denn überhaupt? Was steht vor dem @? Ein individueller Name? Oder ein info, kontakt, vertrieb o.ä?

Kannst du doch sehen, wenn du dem angegebenen Link folgst. Wie gesagt: Nur die Adresse für „Homepage“ ist geändert. Bin noch am Testen …

Nur zu Info zu deiner Seite:
Die hat sich bei mir so dargestellt:

Der Rest sah okay aus.

Ich sehe die Karte ca. 0,5 Sekunden, dann wie bei Rosember.

... ich würde auf der Website bei den E-Mail-Adressen mal das @ gegen (at) ersetzen - allein diese kleine Maßnahme verschafft schon weniger Spam.

Insgesamt sind dort ca. 10 E-Mail-Adressen. (vermutlich 5 alte und 5 neue).
An welcher dieser neuen Adressen ist der Spam angekommen?

Das werden 99,9 % der Besucher nicht kapieren

Sind das Apple-User?

Dudax, die Adresse ist doch gar nicht auf der Homepage! Wo sollte ich da @ durch „at“ ersetzen?

Ich bin ja ein Freund von Obfuscation, aber das ist wirklich *zu* einfach ... hilft das echt noch?

Also ich sehe sowohl auf der Startseite als auch unter Impressum E-Mail-Adressen ...

Megaseppl, nochmals: Ich sagte bereits, nur die Adress für „Homepage“ ist momentan geändert, die anderen nicht. Und es sind keine 10, sondern exakt 5 Adressen!
Das JPG öffnet hier (iPad, Mac) übrigens völlig korrekt. Kann es sein, das diejenigen, die Probleme haben, das JPG zu sehen, nicht bemerken, dass es in einem neuen Tab öffnet?
Auch mit der Google-Karte gibt es hier irgendwelche Probleme, aber das ist nicht Gegenstand dieses Threads.

Wo bitte auf der Startseite?
Unter „Impressum“ – ja. Aber nicht die Kontakt-Adresse für „Homepage“ und um die, und keine andere, geht es momentan. Wie oft muss man das eigentlich noch sagen?

JavaScript wurde bereits erwähnt, oder?!
Funkioniert bei mir einwandfrei.

Einfach die E-Mail-Adresse in den Enkoder eingeben und schon erhältst Du den Code.

Easy peasy 😎

Doch, bekomme ich. Das weiß ich so genau, weil ich meinen eigenen Mailserver betreibe.
Da bin ich eben vollkommen anderer Auffassung.
Ich sortiere sie doch aber nicht aus. Sie bleiben da einfach. Manchmal finde ich dann Jahre später dort irgendein Kleinod.

Ich weiß immernoch nicht um welche E-Mail-Adresse es geht.
Es kann komplett irrelevant sein ob die Adresse auf der Webseite dargestellt wird oder nicht. An bestimmte Prefixe bekommt man immer Spam: sales@, contact@, info@, vertrieb@, marketing@ , support@ etc.
An diese Adressen wird auch bereits Spam geschickt wenn diese noch gar nicht existieren. Die kommen halt so lange nicht an. Schert den Spammer aber wenig. Wenn man eine dieser Adressen am Server einrichtet, bekommt man mit sehr hoher Wahrscheinlichkeit kurz darauf Spam. Selbst dann, wenn niemand von der Adresse weiß.

Wenn es aber um eine weniger generische E-Mail-Adresse geht, also Personennamen o.ä., dann ist die Ursache eher woanders zu suchen.
Ohne die Adresse zu kennen, ist es aber schwer dir zu helfen.

Ich will das noch einmal dick unterstreichen.

Bei der jetzigen Lösung mit einem JPEG müssten Interessenten die Adresse ja manuell eingeben. 50% der Interessenten werden sich allein deshalb schon abwenden, von den verbleibenden 50% werden 50% die Adresse falsch abtippen. Das ist ein Mechanismus nicht zum Verhindern von Spam-Mails, sondern zum Verhindern von Mails.

Das ist aber nun wirklich Dein Problem. Sie steht auf der verlinkten Website unter Homepage ja nun groß da …

Sehe ich etwas anderes als Du?
Auf der verlinkten Seite sehe ich einen Link mit "Hier klicken". Mit Klick darauf komme ich auf ein JPG mit 5 Adressen. Geht es dabei um die erste, also die "Kontakt"-Adresse oder die letzte, also die "qs-homepage"-Adresse?
An welcher kam Spam an? Er schrieb auch, dass er die Adresse noch komplizierter gemacht hat. War es also zwischenzeitlich "homepage@", an die Spam geschickt wurde?

jup. info@ ist eine denkbar schlechte idee, wenn man spam vermeiden will.

ob qs-homepage jetzt so wesentlich besser ist

würde mal was völlig anderes versuchen .... was man nicht aus dem domainnamen irgendwie herleiten kann.

Megaseppl, das ist doch völlig unerheblich!
Mit Klick auf „Hier klicken“ kommst du zu dem JPG. Und auf dem gibt es nix zu klicken, da es ein Bild ist. Ich hab das nur verlinkt, um zu zeigen wie ich vorgehe/vorgegangen bin.
Aber wenn es dich interessiert: Es geht um die Adresse des „Webmasters“ („• Homepage:“). Das ist die einzige Mailadresse, die ich bislang serverseitig geändert habe. Die anderen folgen, sobald diese einigermaßen „spamfrei“ läuft, da hier mehrere andere Rechner und Personen involviert sind.

Wenn überhaupt, dann "Spamfrei"

Bitte nutze Hot Macs Lösung und gut ist

Nein. Eben nicht. Lies meine oder el_duderinos Posts noch einmal.
Du schriebst vorher aber auch "Die Adresse vor der Domain-Angabe wurde nochmals geändert und etwas komplizierter gestalt". War das vor oder nachdem dort Spam eingetrudelt ist?
Eine E-Mail-Adresse die mit homepage@ beginnt, bekommt bereits Spam bevor sie am Mail-Server angelegt wird. Auf meinen Servern habe ich sogar einen Sperreintrag für diesen Prefix, damit bei Verwendung von Wildcard-Adressen darüber kein Spam ankommt.
Eine neue Adresse mit qs-homepage@ hat dieses Grundproblem jedoch nicht. Da wäre die Ursache eine andere.
Kommt jetzt aktuell noch Spam an, wenn der einzige SMTP-Alias qs-homepage@
Hast du Peter Eckels Hinweis überprüft, ob die Adresse eventuell als Wildcard-Empfänger eingerichtet ist?
Kannst du im TO-Feld der Spam-Nachrichten die E-Mail-Adresse sehen bzw. wenn nicht dort, dann im Header der Spam-Mails?

Ach ja: Hast du die Adresse eines bestehenden Postfachs geändert oder hast du ein neues Postfach am Mailserver angelegt?

Das meiste ist schon gesagt:

• Als ich den Post schrieb, habe ich Spam-Nachrichten auf die neue Adresse bekommen. Diese Adresse tauchte auf der Website nirgendwo im Klartext auf. Lediglich in einer verlinkten PDF-Datei (–> Bitte klicken!“)
• Inzwischen habe ich die fragliche Adresse nochmals geändert und statt der PDF ein JPG eingebaut. So, wie es in meinem obigen Link ersichtlich. Nun muss beobachten, was passiert. Genau sehe ich das morgen, wenn mir 1&1 die aktuelle Spamliste schickt.
• Es ist definitiv keine Wildcard eingerichtet.
• Ich habe die Adresse geändert und nicht neu angelegt.

War dort noch der Prefix "homepage@"?Das ist schonmal gut.
Weitere Aliase existieren nicht? Je nach Interface werden die Aliase häufig recht versteckt dargestellt . Wenn z.B. noch ein Alias-Eintrag á la webmaster@ auf die qs-homepage@ geht, wird natürlich auch darüber wieder Spam eintrudeln. (Bei einigen Providern wird die webmaster-Adresse sogar automatisch als Alias beim ersten Postfach hinterlegt.)

Ich persönlich halte es übrigens in diesem Fall für unwahrscheinlich, dass die Spammer die Adresse aus dem PDF haben. Auf Lange Sicht landet man so zwar auf jeden Fall in Spam-Verteilern, aber es dauert in der Regel ein paar Tage oder sogar Wochen bis die Seiten gecrawlt wurden und Spam an die Adressen geschickt werden. Die machen das nicht ganz so regelmäßig wie Google, Bing, Yandex etc.

E-Mail-Adressen die für internationale Domains als technischer Ansprechpartner für das whois eingetragen werden, bekommen allerdings quasi instant Spam. Die Spammer bekommen bei neuen Domains sofort mit für welche E-Mail-Adresse sie registriert ist. Bei DE-Domains ist dies allerdings dank der DSGVO nicht mehr so einfach, da diese Mail-Adressen nicht mehr herausgegeben werden.
Bei dir sollte dies daher nicht die Ursache sein, es sei denn die Webseite hat neben der DE-Domain noch eine andere, internationale First-Level-Domain.

Das Prefix war bereits bei meinen ersten Versuchen geändert.

Danke euch nochmals für die Infos. Ich habe jetzt als weiteren Versuch die fragliche Adresse nicht geändert sondern komplett neu angelegt.
Näheres werden wir in den nächsten Tagen sehen …

schöne erinnerung – das gabs früher mal vom selben autor als eigenständiges programm (allerdings als 32 bit applikation, also was von damals) – aber zugleich ein guter tipp, dass das jetzt so geht. danke dafür, ist wirklich nützlich (wenn auch auf unsicherer seite, aber da wird wohl nichts mehr aktualisiert )

'smtpd_*_restrictions' alle leer? Das ist ... originell (immer mal in der Annahme, daß Du Postfix benutzt).
Das kann in der Tat ein Spaß für lange Winterabende sein. Wenn man auf sowas steht (und ja, die eine oder andere Perle, die es trotz allem bis in den Spam-Ordner geschafft hat, hat mir auch schon zur Belustigung gereicht).