Wegwerf-E-Mail erkennen: So prüfen Sie Adressen sicher

Wer ein Anmeldeformular betreibt, möchte wissen, ob hinter einer Adresse ein Mensch erreichbar ist. Wegwerf-E-Mail erkennen heißt, genau diese Frage vor der Anmeldung zu beantworten: Handelt es sich um ein Postfach, das nach Minuten oder Stunden verschwindet, oder um ein dauerhaftes? Dieser Artikel zeigt, welche Merkmale sich technisch prüfen lassen, wie mailcheck sie bewertet und wo die Methode an ihre Grenzen stößt.

Wegwerf-E-Mail erkennen: Was sich prüfen lässt

Ein Wegwerf-Dienst stellt Adressen bereit, die ohne Registrierung funktionieren und nach kurzer Zeit verfallen. Bei manchen Anbietern ist der Posteingang öffentlich: Mailinator beschreibt auf seiner Startseite, dass jede Adresse mit der Endung @mailinator.com als öffentlicher Posteingang abrufbar ist. Wer den Namen kennt, kann mitlesen. Genau deshalb sind solche Adressen für Konten, Bestellungen oder Passwort-Rücksetzungen ungeeignet.

Für Betreiber ergibt sich daraus ein praktisches Problem: Die Anmeldung wirkt echt, die Adresse ist formal korrekt und der Mailserver nimmt Nachrichten an. Eine reine Syntaxprüfung per regulärem Ausdruck erkennt nichts davon. Was sich dagegen prüfen lässt, sind Eigenschaften der Domain und ihrer Mailserver. Das Postfach selbst bleibt dabei außen vor.

Woran sich eine Wegwerf-Adresse erkennen lässt

Die folgende Tabelle ordnet die Signale nach ihrer Aussagekraft. Starke Signale führen bei mailcheck zu einer Ablehnung, schwache nur zu einem Verdacht.

Die Prüfstufen von mailcheck

mailcheck arbeitet jede Adresse in fester Reihenfolge ab. Die erste Stufe mit eindeutigem Urteil beendet die Prüfung. Das spart DNS-Abfragen und macht jedes Ergebnis nachvollziehbar. Die vollständigen Regeln stehen auf der Seite Methodik; hier die Kurzfassung:

1. Syntax: genau ein @, lokaler Teil bis 64 Zeichen, Gesamtlänge bis 254 Zeichen, gültige Domain. Das Ergebnis lautet bei einem Fehler ungültig (100 Punkte).
2. Positivliste: Große, bekannte Anbieter wie gmail.com oder gmx.de gelten als frei (0 Punkte). Subdomains zählen nicht.
3. Alias-Dienste: Weiterleitungsdienste wie Firefox Relay erhalten das Urteil alias (20 Punkte), weil ein echtes Postfach dahintersteht.
4. Sperrlisten: Steht die Domain oder eine Elterndomain auf mindestens einer der starken Listen (disposable-email-domains, burner-email-providers, fakefilter), lautet das Urteil wegwerf (95 Punkte, bei zwei oder mehr Quellen 98). Insgesamt wertet mailcheck über 90.000 Domains aus fünf öffentlichen Listen aus. Steht eine Domain nur auf einer der beiden schwächeren Listen (FGRibreau/mailchecker oder groundcat), lautet das Urteil verdächtig mit der Empfehlung, eine Bestätigungsmail zu verlangen, und dem Grund-Code liste_schwach; stehen beide schwachen Listen dahinter, lautet es wegwerf (90 Punkte).
5. Domain und Mailserver: Existiert die Domain nicht oder nimmt sie ausdrücklich keine Mail an, ist die Adresse ungültig.
6. Wegwerf-Mailserver: Zeigt mindestens ein MX-Host auf einen Server, der als Wegwerf-Mailserver gilt, lautet das Urteil wegwerf (85 Punkte, 90 bei zusätzlichem Treffer auf einer schwachen Liste).
7. Übrige Signale: Der Wert beginnt bei 10 und steigt durch schwache Signale. Ab 40 Punkten lautet das Urteil verdächtig.

Ein Wegwerf-Mailserver wird in einem nächtlichen Lauf bestimmt: Für die gelisteten Domains werden die MX-Einträge aufgelöst und gezählt. Zeigen mindestens fünf gelistete Domains auf denselben Host, gilt er als Wegwerf-Mailserver. Ausgenommen sind große Anbieter und eine Liste geschützter Betreiber, über deren Server auch seriöse Firmen laufen.

Beispiele mit echten Ergebnissen

Die folgende Auswahl zeigt, wie die Logik mit dem Datenstand vom 05.11.2026 urteilt. Domains wurden stellvertretend mit dem Namen test vor dem @ geprüft.

Das Beispiel mozmail.com ist wichtig: Wer jede ungewöhnliche Domain ablehnt, sperrt auch Menschen aus, die ihre echte Adresse bewusst schützen. Mehr dazu im Ratgeber E-Mail-Alias erkennen.

Eine Adresse per API prüfen

Die mailcheck-API ist ohne Konto nutzbar. Sie senden per POST einen JSON-Body mit dem Feld email und erhalten das Urteil mit Gründen:

curl -s -X POST https://mailcheck.moersbergerit.de/api/v1/pruefen \
  -H "Content-Type: application/json" \
  -d '{"email": "test@mailinator.com"}'

Die Antwort für eine Wegwerf-Domain sieht so aus (Stand 05.11.2026, unverkürzt):

{
  "ergebnis": "wegwerf",
  "punkte": 98,
  "gruende": [
    {
      "code": "liste",
      "text": "Die Domain steht auf Listen bekannter Wegwerf-Anbieter.",
      "quellen": ["burner-email-providers", "disposable-email-domains", "fakefilter", "mailchecker"],
      "eintrag": "mailinator.com"
    }
  ],
  "domain": "mailinator.com",
  "empfehlung": "ablehnen",
  "vorschlag": null
}

Für Programmlogik verwenden Sie die Felder ergebnis, empfehlung und die code-Werte in gruende. Die Klartexte in text können sich ändern. Die Felder bedeuten:

• vorschlag: eine korrigierte Adresse bei Tippfehlern wie gmial.com, sonst null.
• ergebnis: ungueltig, wegwerf, verdaechtig, alias, frei oder firma.
• punkte: Risikowert von 0 (unbedenklich) bis 100 (sicher unbrauchbar).
• empfehlung: ablehnen, bestaetigen_lassen oder annehmen.

Für echtes Sperren rufen Sie die API aus Ihrem Backend auf, denn eine Prüfung im Browser lässt sich umgehen. Unter /api/v1 ist CORS erlaubt (Origin *); der Aufruf aus dem Browser eignet sich daher für Sofort-Hinweise im Formular wie „Meinten Sie …?“, nicht als alleinige Sperre. Beim serverseitigen Aufruf teilen sich alle Besucher die IP Ihres Servers und damit das Limit von 10 Anfragen pro Minute und 500 pro Tag; der Header X-RateLimit-Remaining zeigt den Rest. API-Schlüssel für höhere Limits folgen. Verwenden Sie außerdem immer POST: Bei GET steht die Adresse in der URL und kann in Protokollen von Proxys oder Browsern landen. Bis zu 10 Adressen auf einmal prüft POST /api/v1/pruefen/stapel mit dem Body {"emails": [...]}. Fehler kommen als {"fehler": "email_fehlt", "text": "…"}.

Was Sie mit dem Ergebnis tun

Die Fehlermeldung sollte nicht anklagen. Ein Satz wie „Bitte verwenden Sie eine Adresse, unter der wir Sie dauerhaft erreichen“ erklärt den Zweck, ohne dem Besucher etwas zu unterstellen. Wie Sie die Prüfung in WordPress und Shopware einbauen, steht im Ratgeber Wegwerf-Adressen sperren. Welche weiteren Maßnahmen gegen Scheinanmeldungen sinnvoll sind, beschreibt Fake-Anmeldungen verhindern.

Grenzen der Methode

Ehrlich gesagt gibt es keine Methode, die Wegwerf-Adressen vollständig erkennt. Diese Punkte sollten Sie kennen:

• Kein Postfach-Beweis: mailcheck prüft die Domain, nicht das Postfach. Es gibt keine SMTP-Probe, weil sie Verbindungen zu fremden Mailservern aufbauen würde und Absender-Reputation und Postfächer belasten kann. Ob eine Adresse existiert, zeigt nur eine Bestätigungsmail.
• Listen haben Lücken und Fehler: Das README der Liste disposable-email-domains räumt selbst ein, dass nicht garantiert ist, ob alle Einträge noch als Wegwerf-Domains gelten. Neue Anbieter stehen oft erst nach Tagen auf einer Liste.
• Schwache Signale irren: Der Zufallsname-Test kann echte Namen treffen. Bei einer DNS-Zeitüberschreitung ist ein Fehlurteil „verdächtig“ möglich, eine erneute Prüfung klärt das meist.
• Eigene Domains: Wer sich eine Wegwerf-Domain selbst registriert und einen eigenen Mailserver betreibt, taucht in keiner Liste auf. Dagegen hilft nur eine Bestätigungsmail.

Das Ergebnis ist eine Einschätzung und keine rechtsverbindliche Aussage. Datenschutzrechtlich gilt: Geben Sie Adressen Ihrer Nutzer an einen Dienst weiter, benötigen Sie dafür eine eigene Rechtsgrundlage und sollten das in Ihrer Datenschutzerklärung nennen. Das ist keine Rechtsberatung; im Zweifel klären Sie die Einzelheiten mit einer fachkundigen Stelle.

Empfohlenes Vorgehen in drei Schritten

1. Prüfen Sie die Adresse beim Absenden des Formulars serverseitig, nicht nur im Browser.
2. Lehnen Sie nur bei „ablehnen“ ab. Behandeln Sie „verdächtig“ mit einer Bestätigungsmail und lassen Sie alias zu.
3. Planen Sie den Ausfall der Prüfung ein: Bei Zeitüberschreitung oder Status 429 lassen Sie die Anmeldung durch und verlassen sich auf die Bestätigungsmail.

Wenn Sie eine einzelne Adresse prüfen möchten, nutzen Sie das Prüffeld auf der Startseite. Der Datenstand der Listen ist über GET /api/v1/stand abrufbar.

Häufige Fragen