Abmahnung wegen Mail bezüglich vorhandener Sicherheitslücke und vorherigem XML-Dateiscan

    Abmahnung halte auch ich diesbezüglich nicht für legitim oder gerechtfertigt.

    Da ich den Ursprungsthread nicht auch noch mit Nebenthemen verwässern möchte zitire ich:

    Zitat von webbie07

    ...Es geht um den Prozess, der vorher läuft: Es werden offensichtlich eine Masse an Webseiten ohne Zustimmung per KI gescannt, und wenn eine entsprechende XML Datei mit der "alten" Versionierung gefunden wird, bekommt der Webseitenbetreiber offensichtlich aktiv eine mglw. KI generierte Mail in unten zitierten Format...

    ...Möglicherweise ist diese Aktion ähnlich zu der, wenn dein Nachbar die Tür offen lässt und du sein Haus ungefragt betrittst, nur um mal zu sehen, was dort alles zu herumsteht...

    aus:

    HTProtect - schnelle Erste Hilfe für und gegen gehackte Joomlas

    Meiner Meinung nach ist es eher so:

    Exakt das falsche Bild. Ein 3 € IONOS Server ist im Höllentempo vorbeigeflogen, hat von außen gesehen es ist ein Schloßtyp eingebaut in einer Tür für das seit kurzem bekannt ist das für diesen Schloßtyp ein nachgemachter Generalschlüssel von bösartigen Bots verwendet wird, und hat frühzeitig eine freundliche Botschaft mit hilfreichen Infos eingeworfen - mit dem berufsbedingten Wissen, dass bei derartigen Lücken eine Armee von derartigen bösartigen Bots in den Startlöchern steht und bereits aktiv Einbrüche erfolgen und auch bereits Schäden entstanden sind.

    Übrigens machen sich die Bots und Hacker nicht die Mühe zuerst den Inhalt einer entsprechende XML-Datei zu untersuchen. Die nehmen gleich den/die Generalschlüssel und stecken sie in die Schlösser am Haus bei jeder öffentlichen Website die sie erreichen können. Wenn er passt gehen sie anschließend ins Haus und bauen zusätzliche versteckte Schlößer ein für die sie auch den Generalschlüssel haben usw.

    Es geht mir mitnichten um Abmahnungen. Das wurde ja nicht einmal erwähnt. Um Gottes willen.

    Das die "Bösen" nichts interessiert - geschenkt. Weiß jeder. Es ging lediglich um die Art und Weise, wie das Ding gestartet ist. Und das muss seriös angebracht werden.

    Die Quintessenz aus dem Massenmailanfall ist jedoch wie folgt: Über 90% Kunden lesen es nicht, es interessiert sie auch nicht und es wandert direkt in die Ablage P, weil die jeden Tag mit solchen Mails zugespammt werden.

    Letztendlich ist es egal. Seriöser wird es dadurch für den Kunden jedoch nicht. Aber das sind nur meine 5cent dazu. :)

    Das habe ich letztens in Mattermost gepostet und dazu stehe ich, ich bin als Dienstleisterin unterwegs und nicht als private Administratorin meiner eigenen Websites:

    Die Diskussion über die "Infomail" regt mich richtig auf. Es scheint so, dass einige den rechtlichen Rahmen unserer Tätigkeit nicht kennen oder einfach ignorieren. So entsteht kein faires Wettbewerb.

    Wenn jemand mir eine "Infomail" schickt, die ich nicht zugestimmt habe, landet sie im Spam. Wenn es ganz doll nervig ist, melde ich sie vielleicht bei irgendeiner zuständigen Behörde.

    Wenn jemand eine unaufgefordete "Infomail" an MEINEN Kunden schickt, hoffe ich, dass die Kunden es mir gleich tun.

    Wenn aber jemand eine unaufgefordete "Infomail" mit Zusätzen wie "hier kannst du meine Dienstleistung buchen" an MEINEN Kunden schickt, dann werde ich pixelig.

    Und das ist nicht aus einer Laune heraus. Es gibt Gesetze an denen wir uns halten müssen. Ich halte mich daran und so erwarte ich es auch von anderen.

    Hier eine KI-Zusammenfassung (viele stehen drauf):

    Kurzfassung vorweg: Werbemails ohne vorherige ausdrückliche Einwilligung sind in Deutschland unzulässig und abmahnfähig, weil sie als unzumutbare Belästigung gelten. Das gilt besonders für Mails, die nicht nur informieren, sondern aktiv Dienstleistungen bewerben.

    📌 Warum Werbemails ohne Zustimmung verboten sind

    1. § 7 Abs. 2 Nr. 3 UWG – Unzumutbare Belästigung

    Das Gesetz gegen den unlauteren Wettbewerb (UWG) sagt eindeutig:

    Zitat

    Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist eine unzumutbare Belästigung.

    Das bedeutet:
    Wenn der Empfänger nicht aktiv zugestimmt hat (z. B. per Double-Opt-In), ist die Mail rechtswidrig.

    2. Werbung ist mehr als nur „Info“

    Sobald eine E-Mail auch nur mittelbar auf den Absatz einer Dienstleistung abzielt, gilt sie als Werbung.
    Dazu zählen u. a.:

    • Hinweise wie „du kannst mich buchen“
    • Angebote
    • Preislisten
    • Links zu Landingpages
    • Aufforderungen zur Kontaktaufnahme für Dienstleistungen

    Selbst wenn die Mail informativ wirkt, reicht ein einziger werblicher Satz, um sie zur Werbung zu machen.

    3. Double-Opt-In ist Pflicht

    Eine Einwilligung muss:

    • freiwillig,
    • informiert,
    • nachweisbar
    • und vor Versand erfolgt sein.

    Der rechtssichere Standard ist das Double-Opt-In-Verfahren.

    Ohne DOI kann der Absender die Einwilligung nicht beweisen – und ist damit abmahnbar.

    4. DSGVO: Verarbeitung personenbezogener Daten

    E-Mail-Werbung betrifft personenbezogene Daten.
    Daher greift zusätzlich die DSGVO, insbesondere:

    • Art. 6 Abs. 1 lit. a DSGVO – Einwilligung als Rechtsgrundlage
    • Art. 7 DSGVO – Bedingungen für die Einwilligung
    • Art. 21 DSGVO – Widerspruchsrecht gegen Direktwerbung

    Wichtig:
    Ohne Einwilligung fehlt die Rechtsgrundlage für die Datenverarbeitung → ebenfalls abmahnfähig.

    5. Rechtsprechung bestätigt das immer wieder

    Der BGH hat mehrfach entschieden, dass:

    • jede unverlangte Werbe-E-Mail rechtswidrig ist
    • selbst einmalige Zusendungen abmahnfähig sind
    • auch Bestandskunden nur unter engen Voraussetzungen Werbung erhalten dürfen (Stichwort: „Bestandskundenausnahme“ nach § 7 Abs. 3 UWG)

    📌 Konsequenzen bei Verstößen

    • Abmahnungen durch Wettbewerber oder Verbraucherschutzverbände
    • Unterlassungserklärungen
    • Schadensersatzforderungen
    • Bußgelder nach DSGVO (theoretisch bis 20 Mio. € oder 4 % Umsatz)
    • Imageschäden

    📌 Kurzfazit

    Werbemails ohne vorherige ausdrückliche Einwilligung (Double-Opt-In) sind:

    • rechtswidrig
    • abmahnfähig
    • datenschutzrechtlich problematisch
    • wettbewerbsrechtlich verboten

    Sobald eine Mail auch nur ansatzweise Werbung enthält („du kannst mich buchen“), fällt sie unter § 7 UWG und darf nicht ohne Einwilligung versendet werden.

    Zitat von drmenzelit

    Das habe ich letztens in Mattermost gepostet und dazu stehe ich, ich bin als Dienstleisterin unterwegs und nicht als private Administratorin meiner eigenen Websites:

    Die Diskussion über die "Infomail" regt mich richtig auf. Es scheint so, dass einige den rechtlichen Rahmen unserer Tätigkeit nicht kennen oder einfach ignorieren. So entsteht kein faires Wettbewerb.

    On point. Das Internet ist nun kein rechtsfreier Raum.

    Ja.

    Ich bin kein Profi und hatte die Werbung in dem zitierten Mailausschnitt übersehen und diese Mail selbst nicht erhalten.

    Insofern ist die Kritik am diesbezüglichen Inhalt der Mail meiner Meinung nach durchaus auch gerechtfertigt und dies ist wohl auch bereits angekommen.

    Ich sage mal:

    "Wer noch keinen Fehler begangen hat werfe den ersten Stein"

    Deine Bedenken 1. und 2. teile ich aber nicht:

    Zitat von webbie07

    Bedenken:

    1. Es dürfte ein aktiver Scan sein, dem zugestimmt werden muss. So etwas kann nicht passiv geschehen, da aktiv nach einer betroffenen XML Datei gesucht wird.
    2. Selbst wenn die XML-Datei aufgerufen werden kann, ist sie immer noch nicht öffentlich, da der "gemeine" Wald- und Wiesen-Nutzer diese Datei grundsätzlich nicht sieht.
      Möglicherweise ist diese Aktion ähnlich zu der, wenn dein Nachbar die Tür offen lässt und du sein Haus ungefragt betrittst, nur um mal zu sehen, was dort alles zu herumsteht. Dieses wäre, wohlgemerkt auch ohne böse Absichten, sagen wir mal so, nicht kompatibel mit dem StGB.
    3. Möglicherweise weitere Verstöße gegen andere Gesetzgebungen. Who knows.

    Freut euch auf die nächsten Mails. Werden den Datenschutz betreffen. Die KI-Mail-Bomben werden schon vorbereitet. Ein Anwalt mit Sitz in Portugal fängt scheinbar gerade damit an und bietet Dienstleistungen wohlfeil per Alarm-Mail, was nicht alles hinsichtlich der Datenschutzerklärung alles verbessert werden muss. 🫣


    Das wäre die Folgevariante zur Diskussion, in der ich versucht habe, die geäußerte Kritik umzusetzen.

    Zitat von kitepascal

    Das wäre die Folgevariante zur Diskussion, in der ich versucht habe, die geäußerte Kritik umzusetzen.

    Vielleicht noch einmal mit dem Rechtsrahmen beschäftigen, in welchem wir Dienstleister uns bewegen dürfen und was vielleicht nicht so gut ist.
    Dr. Menzel hat einen sehr aufschlussreichen Post erstellt:

    Beitrag

    RE: Abmahnung wegen Mail bezüglich vorhandener Sicherheitslücke und vorherigem XML-Dateiscan

    Das habe ich letztens in Mattermost gepostet und dazu stehe ich, ich bin als Dienstleisterin unterwegs und nicht als private Administratorin meiner eigenen Websites:

    Die Diskussion über die "Infomail" regt mich richtig auf. Es scheint so, dass einige den rechtlichen Rahmen unserer Tätigkeit nicht kennen oder einfach ignorieren. So entsteht kein faires Wettbewerb.

    Wenn jemand mir eine "Infomail" schickt, die ich nicht zugestimmt habe, landet sie im Spam. Wenn es ganz doll nervig ist, melde ich sie…
    drmenzelit
    22. Juni 2026 um 18:01
    Zitat von kitepascal

    Das wäre die Folgevariante zur Diskussion, in der ich versucht habe, die geäußerte Kritik umzusetzen.

    Tja,

    auch wenn ich mir, als möglichem Betroffenen damit keinen Gefallen tue – die Mail ist mir einfach zu lang. Die würde ich nie weiter lesen, als bis zum zweiten Satz und sie dann in den Papierkorb schicken. Wenn ich das nicht aufgrund des Betreffs schon ungeöffnet gemacht habe.

    In der heutigen Zeit glaube ich einfach niemandem mehr, dass er ehrlich und ohne Hintergedanken unterwegs ist.

    Zitat von bemerkenswelt

    ..... – die Mail ist mir einfach zu lang. Die würde ich nie weiter lesen, als bis zum zweiten Satz und sie dann in den Papierkorb schicken.

    Das kann ich nachvollziehen. kitepascal Vielleicht solltest Du einfach nur formulieren. "Es gibt eine gefährliche Sicherheitslücke in der Erweiterung XYZ, die bereits aktiv genutzt wird. Genaue Informationen finden Sie auf meiner Website unter der URL ...."

    Freundliche Grüße aus Wächtersbach, Rolf Dautrich

    ... und ich musste Kunden erklären, warum solche Emails bzgl ihrer Seite Quark sind, weil ich die Lücken sofort nach Bekanntmachung durch Erweiterungshersteller bereits bereinigt/beseitigt hatte. Hat mein "Ansehen" natürlich gesteigert. Trotzdem hätte ich mir die Zeit gerne gespart, irgendwie. Leg da gar keinen Wert drauf, sondern machs und geh ins Bett.

    Wenn ich sehe, was KI-Bots generell anrichten, z.B. das Auffinden von Installationen durch vermutlich Datenbanken von Let's Encrypt bzw. SSL-Zertifikaten, was vorher nicht so verschärft stattfand, sondern eher ein Zufall war; und dann laut riesiger werdenden AccessLogs rücksichtsloses Abgrasen dieser vollkommen unwichtigen Domains, auch Dateien, die zuvor keine Suchmaschine interessierte, dann finde ich, es sind gesetzliche Regelungen extra für solche Fälle nötig. Alleine damit die Betreiber der Bots von vornherein wissen, dass sie illegal agieren; also schon wegen des allerortens ressourcenfressenden Agierens und deren Folgen.

    Bei Newsletters hat das auch geklappt. Zwar bekommt man immer noch unerwünschte, aber weitaus weniger als das vor klar ausgesprochenen Regelungen der Fall war.

    Ich folge der Diskussion ein wenig aus (Schweizer) Distanz und bin über die Diskussion dezent irritiert.

    Natürlich könnte ich angesäuert reagieren, wenn Kunden solche E-Mails erhalten. Aber unter dem Strich sind es ja MEINE Kunden. Die kennen mich und wissen, was sie an mir haben. Fakt ist: Ich hatte diesmal Pech. In 15 Jahren hatte ich, trotz sehr zeitnahen Updatens aller Seiten, zum ersten Mal gehackte Websites. Und ja, das hat dann auch Fragen gegeben, auch wegen Pascals Mail. Doch keiner meiner Kunden ist deswegen gegangen. Wie gesagt, sie wissen, was sie an mir haben, weil ich mich um sie kümmere.

    Aus Sicht der Community ist und bleibt es enorm wünschenswert, dass all die Joomlaner da draussen, die nicht in einem Netzwerk organisiert sind und mit viel Halbwissen ihre Joomla-Seite mehr schlecht als recht pflegen, rechtzeitig informiert werden, wenn so etwas wie die JCE-Lücke passiert. Es ist im Sinne der ganzen Community, dass das Beste CMS der Welt(!) nicht plötzlich als das meistgehackte dasteht. Und ja: Persönlich finde ich die mehrere 10'000 Mails von Pascal auch nicht nur unproblematisch. Dennoch frage ich mich: Wird hier nicht am Ende doch eine Stellvertreterdiskussion geführt, weil einer das macht und mit Name und Gesicht hinsteht?

    Angreifer machen genau dasselbe, sie grasen im grossen Stil Dateien ab und greifen dann an. Gegen die können wir nichts tun: Selbst wenn so einer Spuren hinterlässt: Die Forensik und dann die Rechtsprechung stehen schulterzuckend daneben. Sie haben nicht die Ressourcen, um die Angreifer zu finden, geschweige denn zu verurteilen. Und vor diesem Hintergrund finde ich es persönlich dann schon etwas seltsam, auf einem rumzuhacken, der - ja - eine Grenze teilweise überschreitet, am Ende aber trotzdem vielen Leuten hilft, rechtzeitig zu reagieren.

    Für mich hat sich die Sache gelohnt. Ich habe dank Pascals E-Mail vier neue Kunden, die vorher ihre Website selber bewirtschaftet haben, durch die Mails aufmerksam wurden und sich dann einen Partner in der Nähe gesucht haben.

    Das Grundbedürfnis, möglichst viele aus der Community rechtzeitig über kritische Zwischenfälle zu informieren, bleibt. Mir wäre es auch sympatischer, wenn das irgendwie aus Joomla selber käme. Aber unter dem Strich ist es mir lieber, es tuts einer so - als gar keiner. Es wäre wirklich schade, wenn Joomla wegen einer uninformierte Community in Verruf geraten würde. Der Schaden durch diese Sicherheitslücken ist auch so schon immens.

    Könnte man nicht alle User hier im Forum direkt über die Mailadresse anschreiben die jeder im Forum angegeben hat? Es ist doch möglich dann eine Warnung aus dem Forum an alles zu versenden mit Link zum Threat. Bin auch nicht jede Sekunde hier online und würde dann aber reagieren können.

    Sorry, dicke Finger auf Smartphone. Jetzt mal ohne Schreibfehler. Wenn man in seinen Benutzereinstellungen hier im Forum die Zusendung von Infos zu Sicherheitslücken anhaken könnte, dürfte es doch möglich sein dazu proaktiv eine Info aus dem Forum per Mail zu bekommen?

    Einstellungen und Privatsphäre: Benachrichtigungen

    Zitat von web2use.ch

    Das Grundbedürfnis, möglichst viele aus der Community rechtzeitig über kritische Zwischenfälle zu informieren, bleibt. Mir wäre es auch sympatischer, wenn das irgendwie aus Joomla selber käme. Aber unter dem Strich ist es mir lieber, es tuts einer so - als gar keiner. Es wäre wirklich schade, wenn Joomla wegen einer uninformierte Community in Verruf geraten würde. Der Schaden durch diese Sicherheitslücken ist auch so schon immens.

    Das Projekt selbst wird eine solche Informationinfrastruktur nicht leisten können - wir reden hier schnell über eine 6-stellige Installationszahl und entsprechend viele Mails.

    Wir diskutieren aktuell aber, ob wir analog zur "es gibt ein Update für einen Joomla Core"-Mail eine "es gibt ein Update für eine Erweiterung"-Mail in den Core integrieren. Der Aufwand ist gering und aufgrund des dezentralen Versands skaliert das beliebig. Nach meinem Bauchgefühl gibt es da aber die große Gefahr, dass man als Nutzer schnell "abstumpft" und die Mails ignoriert oder abschaltet. Wir bräuchten also wohl eine Infrastruktur, in der besonderes relevante Updates gesammelt werden, damit Seiten diese Updates herunterladen, auswerten und auf dieser Basis Mails versenden können.

    Zitat von SniperSister

    Wir bräuchten also wohl eine Infrastruktur, in der besonderes relevante Updates gesammelt werden, damit Seiten diese Updates herunterladen, auswerten und auf dieser Basis Mails versenden können.

    Mehr oder weniger genau das, was HTProtect macht - samt der eigenen Mini-WAF zum sofortigen Schutz, unabhängig von eventuell vorhandenen oder eben nicht vorhandenen providerseitigen Firewall-Regeln.

    Bei einer (sinnvollen) Core-Neuerung dieser Art hätte man das Problem, dass nur die aktuelle Generation versorgt wird und nicht die ~ 45 %(?) Joomla 3s, was für den umgesetzten Ansatz in Form einer allgemeinkompatiblen Erweiterung spricht.

    Zitat von kitepascal

    was für den umgesetzten Ansatz in Form einer allgemeinkompatiblen Erweiterung spricht

    Wer EOL Software mit EOL Erweiterungen auf Basis einer EOL PHP Version betreiben möchte, kann gerne auf das Plugin zurückgreifen.

    Wer allerdings ohne das entsprechende Bewusstsein für die Relevanz von Security Updates hat und daher nach einer solchen Erweiterung sucht ist nur sehr bedingt die Zielgruppe einer integrierten und von Haus aus aktiven Core Funktion.