Wegwerf-E-Mails erkennen, bevor sie zum Bounce-Problem werden

Einen Monat lang sah das Wachstums-Dashboard großartig aus. Die Anmeldungen stiegen, der Trial-Funnel war voll, und niemand bemerkte, dass ein Fünftel der neuen Konten nie eine einzige E-Mail geöffnet hatte.

Dann begann die Onboarding-Strecke zu bouncen. Die Adressen waren echt gewesen, als sie eingetippt wurden. Sie existierten nur etwa zehn Minuten später nicht mehr.

Wegwerf-Postfächer sind keine Wachstumskennzahl

Ein Wegwerf-E-Mail-Dienst stellt auf Abruf ein Postfach bereit und löscht es kurz darauf, oft nach wenigen Minuten. Die Gründe sind nachvollziehbar: einen Download holen, ein Produkt testen oder noch eine kostenlose Testphase mitnehmen, ohne eine Adresse preiszugeben, die einem wichtig ist.

Für das Unternehmen auf der anderen Seite ist jede dieser Anmeldungen ein Problem mit Verzögerung:

• Das Konto ist nicht erreichbar. Passwort-Resets, Belege und Sicherheitshinweise gehen ins Leere.
• Jede E-Mail bounct oder verschwindet, und die Onboarding-Strecke versucht es trotzdem weiter. Ein Bounce kostet mehr als eine Kampagne: Er geht auf die Reputation der Versanddomain.
• Die Zahlen lügen. Missbrauch von Testphasen, Betrug bei Empfehlungsprogrammen und aufgeblähte Anmeldezahlen beruhen alle auf Adressen, die niemand behalten will.

Warum Regex nicht reicht

Eine Wegwerf-Adresse ist formal einwandfrei. anna.meyer@ mit einer Wegwerf-Domain besteht jede Formatprüfung, die Sie schreiben können, auch den Formularvalidator Ihres Frameworks.

Das einzige Indiz ist die Domain, und davon gibt es Tausende. Jeden Monat entstehen neue Dienste, und alte registrieren neue Domains, wenn sie blockiert werden.

Was sie wirklich erkennt

Die Erkennung funktioniert in Schichten:

• Eine gepflegte Liste von Wegwerf-Domains. Sie erfasst die bekannten Dienste, die den Großteil ausmachen. Sie muss mit neuen Diensten aktualisiert werden; eine Kopie, die vor zwei Jahren in den Code gewandert ist, ist größtenteils veraltet.
• Eine DNS-Prüfung. Eine Domain ohne Mailserver kann gar keine Mails empfangen, ob Wegwerf oder nicht.
• Die vollständige Postfachprüfung. Sie findet fehlerhafte Adressen, tote Domains und vom Server abgewiesene Adressen, die oft mit Fake-Anmeldungen einhergehen.

BounceIntel führt alle drei Schichten bei jeder Prüfung aus. Eine Wegwerf-Domain liefert misc.is_disposable: true, den Begründungscode disposable und is_reachable mit dem Wert risky. Den Rest des Ablaufs beschreibt Wie E-Mail-Verifizierung funktioniert.

Wie eine Domain auf einer Wegwerf-Liste landet

Niemand rät. Eine Domain verdient sich die Markierung, indem sie sich wie ein Wegwerfdienst verhält, und es sind immer dieselben Signale:

• Sie nimmt jede Adresse an. Wegwerf-Postfächer müssen das, denn die Adresse entsteht erst in dem Moment, in dem jemand sie eintippt.
• Ihre MX-Einträge zeigen auf bekannte Wegwerf-Infrastruktur, oft geteilt von Dutzenden scheinbar unabhängiger Domains.
• Sie wurde vor wenigen Wochen registriert, mit Inhaberschutz, und hat keine Website außer einer Seite mit temporären Postfächern.
• Sie steht in der öffentlichen Domainliste, die der Dienst selbst veröffentlicht, damit Nutzer eine anders aussehende Adresse wählen können.
• Sie rotiert. Wird eine Domain gesperrt, legt der Betreiber fünf weitere an und behält dieselben Server.

Wegen des letzten Punktes zählt die Aktualität der Liste mehr als ihr Umfang. Eine Liste mit 100.000 Domains, vor zwei Jahren in ein Repository kopiert, kennt nichts von dem, was seither entstanden ist, und jeden Monat kommen neue Dienste dazu.

Wegwerf, Relay oder einfach kostenlos: der Unterschied

Diese drei werden ständig verwechselt, und sie gleich zu behandeln kostet Kunden.

Ein Verifizierungsergebnis sagt Ihnen, was Sie vor sich haben: misc.is_disposable, misc.is_role_account und der Code free_provider beantworten je eine andere Frage, also können Sie jede anders entscheiden.

Datenschutz-Weiterleitungen nicht blockieren

Manche Adressen wirken ungewöhnlich, gehören aber Menschen, die bleiben wollen: Apples „E-Mail-Adresse verbergen“, die duck.com-Adressen von DuckDuckGo und SimpleLogin-Aliase leiten an ein echtes Postfach weiter, das die Person über Jahre nutzt.

Das ist eine Datenschutzentscheidung, keine Ausweichstrategie, und wer diese Adressen blockiert, weist genau die sorgfältigen Kunden ab, die man haben will. BounceIntel markiert diese Weiterleitungsdomains nicht als Wegwerf-Adressen.

So binden Sie es ins Anmeldeformular ein

Prüfen Sie die Adresse beim Absenden des Formulars auf Ihrem Server, nie aus Browser-Code mit Ihrem Schlüssel, und verzweigen Sie nach dem Ergebnis:

async function checkSignupEmail(email: string) {
  try {
    const res = await fetch("https://api.bounceintel.com/v1/check_email", {
      method: "POST",
      headers: {
        Authorization: `Bearer ${process.env.BOUNCEINTEL_KEY}`,
        "Content-Type": "application/json",
      },
      body: JSON.stringify({ email }),
      signal: AbortSignal.timeout(3000),
    });
    const result = await res.json();

    if (result.misc?.is_disposable) return { allow: false, reason: "disposable" };
    if (result.is_reachable === "invalid") return { allow: false, reason: "invalid" };
    return { allow: true };
  } catch {
    // Fail open: never lose a real signup because a check was slow.
    return { allow: true, recheckLater: true };
  }
}

Zwei Entscheidungen sind wichtiger als der Code:

• Im Fehlerfall durchlassen. Läuft die Prüfung in ein Zeitlimit, lassen Sie die Person herein und prüfen Sie die Adresse im Hintergrund erneut. Ein langsamer Mailserver ist kein Grund, einen Kunden zu verlieren.
• Legen Sie fest, was risky für Sie bedeutet. Wegwerf ist eine Art von Risiko. Catch-all- und Rollenadressen sind andere, und sie verdienen meist einen Hinweis, keine Sperre.

Sanft blocken, mit verständlichen Worten

Ein knappes „ungültige E-Mail“ bringt Menschen dazu, die nächste Wegwerf-Adresse zu probieren. Erklären Sie, warum Sie eine echte brauchen:

Das sieht nach einem temporären Postfach aus. Verwenden Sie eine Adresse, die Sie behalten, damit Sie den Zugang zu Ihrem Konto und Ihren Belegen nicht verlieren.

Lassen Sie das Formular ausgefüllt, setzen Sie die Meldung direkt neben das Feld und unterstellen Sie niemandem etwas.

Wo sperren, wo warnen, wo nichts tun

Sperren ist eine Produktentscheidung, keine Sicherheitseinstellung. Die richtige Antwort hängt davon ab, wofür die Adresse da ist.

Was Sie auch wählen: Halten Sie die Entscheidung fest. Ein Feld am Konto mit dem Hinweis, dass die Adresse markiert war, ist später mehr wert als eine blockierte Anmeldung, die niemand erklären kann.

Prüfen Sie, was Sie schon haben

Bevor Sie das Formular ändern, messen Sie das Problem. Exportieren Sie die Nutzertabelle, verifizieren Sie sie als Liste und gruppieren Sie nach Domain.

Drei Dinge tauchen fast immer auf:

• Eine Rangliste der Wegwerfdomains, in der die ersten fünf fast das ganze Volumen ausmachen, was zeigt, ob es um Missbrauch oder Neugier geht.
• Eine Kohorte ohne jede Reaktion. Konten auf Wegwerfdomains öffnen selten etwas. Vergleichen Sie deren 30-Tage-Aktivität mit dem Rest, und Sie haben die Begründung.
• Eine Marketingquelle, die den Großteil liefert. Ein Gewinnspiel, eine Affiliate-Aktion oder ein Download hinter einem Formular sticht meist sofort heraus.

Sperren Sie die Wegwerfadressen, damit die Onboarding-Strecke ihnen nicht weiter schreibt, behalten Sie die Konten, wenn Sie die Historie brauchen, und reparieren Sie die Quelle, bevor Sie im nächsten Quartal dasselbe noch einmal aufräumen. Die Massenverifizierung erledigt den Export in einem Durchgang.

Ausprobieren

Den vollständigen Anmeldeablauf finden Sie im Anwendungsfall Anmeldeschutz und in der API-Dokumentation.