API zur Erkennung von Wegwerf-E-Mails: Fake-Anmeldungen stoppen

Jeder Fake-Account beginnt gleich: mit einem Postfach, das morgen nicht mehr existiert. Dienste für Wegwerf-E-Mails stellen Adressen bereit, die gerade lange genug leben, um einen Bestätigungslink anzuklicken — zehn Minuten, manchmal weniger — und danach verschwinden. Für ein SaaS-Unternehmen ist genau diese eine Adresse oft das Einfallstor für Free-Trial-Farming, Referral-Betrug, Promo-Missbrauch und Wegwerfkonten, die für Spam genutzt werden.

Eine API zur Erkennung von Wegwerf-E-Mails beantwortet im entscheidenden Moment — beim Signup — eine einfache Frage: Gehört diese Adresse zu einem Anbieter, der temporäre Postfächer ausgibt?

Warum Wegwerf-Adressen ein Betrugssignal sind

Eine Wegwerf-Adresse ist nicht automatisch bösartig. Datenschutzbewusste Nutzer greifen manchmal zu einer Burner-Mailbox, wenn sie einem Dienst noch nicht vertrauen. Das ist legitim. In der Masse ist das Muster aber kaum zu übersehen:

• Missbrauch von Free Trials. Eine Person, dreißig Testzugänge. Jeder Trial braucht eine neue Adresse, und Wegwerf-Anbieter liefern sie unbegrenzt nach.
• Referral- und Promo-Farming. Selbstempfehlungen funktionieren nur, wenn jeder „Freund“ eine eigene E-Mail-Adresse hat. Burner-Inboxen sind dafür die billigste Quelle.
• Missbrauch über Wegwerfkonten. Spam, Scraping und Belästigung laufen oft über Accounts, die nicht geschützt, sondern einfach ersetzt werden.
• Verfall von Mailinglisten. Wegwerf-Adressen bouncen oft schon nach wenigen Stunden hart zurück. Jede einzelne verschlechtert die Sender Reputation, ohne echten Wert zu liefern.

Der gemeinsame Nenner: Der Nutzer plant keine dauerhafte Beziehung. Ob das ein Grund zum Blockieren, Nachfragen oder nur zum Markieren ist, hängt von Ihrem Produkt ab — entscheiden können Sie aber nur, wenn Sie das Signal kennen.

Was eine Detection API tatsächlich prüft

Die Logik ist bewusst schlank, denn schlank bedeutet schnell:

• Domain extrahieren. Entscheidend ist nur der Teil nach dem @. Ein sauber gebauter Dienst gleicht Domains ab und speichert keine vollständigen E-Mail-Adressen — der lokale Teil ist personenbezogen und für diese Prüfung nicht nötig.
• Mit einer Disposable-Datenbank abgleichen. Zehntausende Domains von Temp-Mail-Anbietern, Burner-Diensten und rotierenden Alias-Netzwerken.
• Ergebnis zurückgeben. disposable: true oder false, dazu die gefundene Domain und ein Zeitstempel. Ein Call, ein Feld, auf das Ihre Anwendung reagieren kann.

Eine typische Integration sieht so aus:

bash curl "https://guarda.net/api/public/v2/email/newuser@mailinator.com?key=YOUR_API_KEY"

{ "status": "ok", "email": "newuser@mailinator.com", "domain": "mailinator.com", "disposable": true, "checked_at": "2026-08-23T12:00:00.000Z" }

Weil die Prüfung nur ein einzelner HTTP-Call ist, passt sie an fast jede Stelle: in den Handler des Signup-Formulars, in einen Checkout-Endpunkt, in ein Newsletter-Formular oder in einen Batch-Job zur nachträglichen Prüfung einer bestehenden Liste.

Das False-Positive-Problem, über das kaum jemand spricht

Der unbequeme Teil dieser Produktkategorie: Viele öffentliche Blocklists, auf die sich Erkennungssysteme stützen, sind unsauber. In mehreren verbreiteten Open-Source-Feeds landen legitime Freemail-Anbieter neben echten Wegwerf-Diensten. Wer solche Listen ungefiltert übernimmt, sagt irgendwann einem echten Kunden mit echtem Postfach, seine Adresse sei „disposable“ — und verliert ihn genau in dem Moment, in dem er sich anmelden wollte.

Die Lösung ist keine kosmetische, sondern eine architektonische: eine Allowlist, die immer Vorrang hat. Verifizierte legitime Anbieter — große Freemail-Dienste, regionale Provider, ISPs, Universitäten — werden auf einer Allowlist geführt und gegen unabhängige Traffic-Rankings abgeglichen. Wenn ein Feed eine dieser Domains fälschlicherweise markiert, setzt sich die Allowlist durch. Gute Erkennung bedeutet nicht, möglichst viele Domains zu blockieren. Entscheidend ist, wie sicher man sagen kann, dass die erlaubten Domains wirklich legitim sind.

Genauso wichtig ist Aktualität. Temp-Mail-Betreiber rotieren Domains gerade deshalb, um statische Listen zu umgehen. Eine Datenbank, die Sie vor einem Monat heruntergeladen haben, ist an den relevanten Stellen bereits veraltet. Achten Sie auf Anbieter, die täglich mehrere Feeds synchronisieren und die Herkunft jedes Domain-Eintrags nachvollziehbar speichern — damit Sie prüfen können, warum ein Ergebnis zustande kam, nicht nur welches.

Integrieren, ohne Conversion zu beschädigen

Der schlechteste Einsatz einer Disposable-Prüfung ist ein harter Block bei jedem positiven Treffer mit einer Sackgasse für den Nutzer. Besser ist ein abgestuftes Vorgehen, von wenig bis mehr Reibung:

• Still markieren. Speichern Sie das Signal am Account und nutzen Sie es für spätere Entscheidungen — ein nicht verifiziertes Disposable-Konto bekommt zum Beispiel keinen Referral-Bonus.
• Challenge auslösen. Verlangen Sie eine E-Mail-Verifizierung, bevor ein Wert freigeschaltet wird, etwa Trial-Zugang, Promo-Code oder API-Key. Echte Nutzer erledigen das in Sekunden; Farmer brechen oft ab.
• Mit Erklärung blockieren. Harte Ablehnung sollte Fällen vorbehalten bleiben, in denen Wegwerf-Adressen praktisch nie legitim sind — Auszahlungen, Rechnungsstellung, B2B-Trials — und immer erklären, warum, inklusive Weg zum Support.

Und: Kombinieren Sie Signale. Eine Wegwerf-Adresse plus Datacenter-IP ist eine andere Lage als eine Wegwerf-Adresse über einen privaten Internetanschluss. Email Intelligence und IP Intelligence beantworten zwei Seiten derselben Frage. Deshalb gehören sie in denselben Entscheidungsfluss, nicht in getrennte Tools.

Was Erkennung nicht leisten kann

Klare Grenzen schützen vor falscher Sicherheit. Eine domainbasierte Prüfung erkennt nicht:

• Eigene Domains auf Disposable-Infrastruktur. Ein Burner-Dienst auf einer frischen, noch nirgends gelisteten Domain rutscht durch, bis er entdeckt wird. Das ist ein Wettrennen, kein gelöstes Problem.
• Gmail-ähnliche Aliase. name+anything@gmail.com und Varianten mit Punkten führen zum selben Postfach. Das ist ein Deduplizierungsproblem in Ihrer Datenbank, kein Detection-Problem.
• Entschlossene Menschen. Wer bereit ist, eine echte Domain zu registrieren und echte E-Mails zu empfangen, wird bestehen. Ziel ist nicht Perfektion, sondern den Aufwand für Missbrauch über seinen Nutzen zu heben.

Disposable Email Detection ist eine Schutzschicht. Zusammen mit IP-Threat-Signalen und vernünftigen Challenge-Flows entfernt sie die billigste und volumenstärkste Kategorie gefälschter Signups — die automatisierte. Und genau die macht in der Praxis meist den größten Teil des Problems aus.

Sie können jede Adresse sofort mit dem kostenlosen Disposable Email Checker auf guarda.net testen, ohne Account. Wenn Sie bereit sind, daraus Regeln abzuleiten, lässt sich die API direkt in Ihren Signup-Flow einbinden.