Sammelmail mit Bcc versenden
An mehrere externe Empfänger schreiben, ohne deren Adressen offenzulegen: der Bcc-Reflex, typische Fallstricke und das Vorgehen nach einem Fehler.
In 30 Sekunden
- Wo es passiert
- Beim Versand einer Nachricht an mehrere Personen außerhalb des Unternehmens (Kunden, Bewerber, Teilnehmer, Partner).
- Was der Angreifer will
- Die über Sie verfügbaren Informationen nutzen, um seine Phishing-Nachrichten überzeugender zu machen3.
- Der Reflex
- Der Reflex: externe Empfänger in Bcc setzen und vor dem Klick auf Senden die Felder An, Cc und Bcc noch einmal prüfen.
Worum es geht
Bevor Sie eine E-Mail an dreißig Kunden, Partner oder Seminarteilnehmer senden, gilt die Regel: Prüfen Sie, in welchem Feld jeder Empfänger steht. Sobald die Nachricht verschickt ist, haben die Empfänger die Adressen bereits erhalten.
Dieser Beitrag beschreibt den Handgriff vor dem Versand: externe Empfänger in das Feld Bcc (Blindkopie) setzen. Er beschreibt außerdem die üblichen Fallstricke, was offengelegte Adressen einem Betrüger ermöglichen und wie Sie nach einem Fehler vorgehen. Die hier zitierten Quellen beschreiben nicht, wie die Felder An, Cc und Bcc funktionieren. Der Beitrag gibt daher die Verhaltensregel wieder, ohne auf die Technik des E-Mail-Programms einzugehen.
Direkte Fragen
Warum ist eine sichtbare Adressliste ein Problem?
Die DSGVO definiert die Datenschutzverletzung als eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, unter anderem zur „divulgation non autorisée de données à caractère personnel“ führt (unbefugte Offenlegung personenbezogener Daten)1. Die CNIL stellt klar, dass damit jeder Sicherheitsvorfall gemeint ist, ob böswillig oder nicht, ob vorsätzlich oder nicht1. Ein Versand, bei dem alle Empfänger für die anderen sichtbar sind, kann daher unter diese Definition fallen, auch ohne jeden Angriff.
Die CNIL nennt einen ähnlichen Fall: Ein Dritter teilt dem Verantwortlichen mit, er habe eine E-Mail mit Informationen über eine andere Person erhalten, und legt dafür einen Beleg vor. Der Verantwortliche gilt dann als über die Verletzung informiert1.
Wozu dienen die erbeuteten Adressen?
Die hier zitierten Quellen beschreiben, wie Angreifer solche Informationen nutzen. Das britische NCSC schreibt, Kriminelle nutzten online verfügbare Informationen, um ihre Phishing-Nachrichten überzeugender zu machen3. MITRE beschreibt „Phishing for Information“: Nachrichten, die gesendet werden, um Informationen zu erhalten, mit denen sich ein Opfer anschließend gezielt angreifen lässt2. Laut MITRE nutzte die Gruppe Kimsuky gezielte Phishing-Mails, um Informationen über ihre Opfer zu sammeln, darunter Kontaktlisten, und so weitere Ziele zu ermitteln2.
Beim Phishing gibt sich der Täter als vertrauenswürdiger Dritter aus, um an persönliche Daten oder Bankdaten zu gelangen4.
Wer ist für den Fehler verantwortlich?
Die Pflichten der DSGVO treffen den Verantwortlichen, also die Organisation, ob öffentlich oder privat und unabhängig von ihrer Größe1. Für Beschäftigte liegt der nützliche Punkt woanders: Sobald sie den Fehler bemerken, melden sie ihn intern, denn die Organisation entscheidet über das weitere Vorgehen.
1Wie es funktioniert1 min
Der Text der DSGVO verlangt vom Verantwortlichen, eine Verletzung unverzüglich und möglichst binnen 72 Stunden nach Kenntnis der Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten der Personen6. Die CNIL ergänzt, dass diese Frist beginnt, sobald der Verantwortliche hinreichend sicher ist, dass ein Vorfall stattgefunden und personenbezogene Daten betroffen hat1.
Die Höhe des Risikos bestimmt die Pflichten1. Ohne Risiko dokumentiert die Organisation den Vorfall intern in einem Register. Bei einem Risiko dokumentiert sie ihn und benachrichtigt die CNIL. Bei einem hohen Risiko dokumentiert sie ihn, benachrichtigt die CNIL und informiert zusätzlich die betroffenen Personen. Das Risiko wird im Einzelfall bewertet, nach Art und Sensibilität der Daten, nach der Leichtigkeit, die Personen zu identifizieren, und nach den möglichen Folgen1. Eine einzelne Adresse und eine Adresse, die die Zugehörigkeit zu einer sensiblen Gruppe verrät, werden nicht gleich beurteilt, doch diese Bewertung obliegt der Organisation, nicht dem Absender.
2Was Sie tun1 min
Vor dem Versand einer Nachricht an mehrere externe Personen:
- Setzen Sie die externen Empfänger in das Feld Bcc, nicht in An oder Cc.
- Prüfen Sie vor dem Senden alle drei Felder: In An oder Cc darf keine externe Adresse stehen.
- Wird die Nachricht häufig versendet (Newsletter, Einladung), bitten Sie das IT-Team um ein Versandwerkzeug für diesen Zweck, statt den Handgriff jedes Mal von Hand zu wiederholen.
Nach einem Fehler:
- Informieren Sie sofort den DPO oder die IT-Abteilung, mit Betreff der Nachricht, Versandzeit und Anzahl der Empfänger.
- Versuchen Sie nicht, die Sache allein zu regeln, indem Sie den Empfängern schreiben: Die Organisation muss zuerst das Risiko bewerten.
- Bewahren Sie die gesendete Nachricht auf. Bei Phishing empfiehlt Cybermalveillance.gouv.fr, Beweise zu sichern4. Derselbe Reflex dient hier als Grundlage für die Dokumentation des Vorfalls.
Auf Seiten der Organisation verlangt die CNIL, den Vorfall zu dokumentieren: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen, wahrscheinliche Folgen, ergriffene oder geplante Maßnahmen5. Bei Zweifeln, ob die Personen informiert werden müssen, rät die CNIL, ihr den Vorfall zu melden; sie teilt dann mit, ob die Personen zu informieren sind5. Die Meldung erfolgt über einen Online-Dienst für Organisationen5. Liegen innerhalb der 72 Stunden nicht alle Informationen vor, kann auf eine erste Meldung eine ergänzende folgen5.
3Die Fallstricke1 min
- Bcc vergessen: nur einen Empfänger in An setzen, die übrigen aus Gewohnheit in Cc eintragen oder die ganze Liste in das falsche Feld einfügen. Dagegen hilft das Prüfen der Felder vor dem Versand.
- Weiterleiten oder Allen antworten: Prüfen Sie vor dem Weiterleiten oder dem Antworten an alle, welche Adressen in den Feldern stehen.
- Den Vorfall für folgenlos halten: Die Adressen liegen bereits bei Dritten, und das NCSC weist darauf hin, dass Betrüger verfügbare Informationen nutzen, um ihre Nachrichten glaubwürdiger zu machen3. Die Empfänger können deshalb anschließend verdächtige Nachrichten erhalten: Die Organisation kann ihnen raten, auf zweifelhafte Nachrichten nicht zu antworten und sie bei Signal Spam zu melden4.
Die hier zitierten Quellen berichten über keinen datierten Fall eines Sammelversands mit sichtbaren Adressen. Dieser Beitrag stellt daher keinen vor.
Merkblatt
- Kennung
- CP-564
- Flügel
- 5. Büroalltag und Reflexe
- Brain-Kompetenz
- Social Engineering durchschauen (outsmart_social_engineering)
- Brain-Reflex
- cr-041
- Schema
- G5 · Entscheidungsbaum Reflex
- Sprachen
- de, en, fr
- Quellen
- 6 Quellen geprüft am 3. November 2026
Quellen6 Quellen
- CNIL, „Violations de données personnelles : les règles à suivre“, 19. Juni 2018. https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026)
- NCSC (Royaume-Uni), „Phishing scams: how to spot and report them“, 26. November 2021. https://www.ncsc.gov.uk/collection/phishing-scams (abgerufen am 3. November 2026)
- Cybermalveillance.gouv.fr, „Que faire en cas de phishing ou hameçonnage ?“, 10. Januar 2020. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing (abgerufen am 3. November 2026)
- CNIL, „Notifier une violation de données personnelles“, 24. Mai 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (abgerufen am 3. November 2026)
- CNIL, „CHAPITRE IV - Responsable du traitement et sous-traitant“. https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article33 (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Sammelmail mit Bcc versenden“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp564_de_2026,
author = {Brain},
title = {Sammelmail mit Bcc versenden},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/sammelmail-bcc-verdeckte-empfaenger/},
note = {CC BY 4.0}
}