War diese Öffnung ein E-Mail-Scanner? So unterscheiden Sie eine Prüfung von einem Leser

Wenn Sie Ihre eigenen Öffnungen prüfen wollen, statt zu raten, teilen Sie das Dokument als Tracking-Link: kostenlos starten. Jede Sitzung zeigt dann, ob eine Seite gelesen wurde und wie lange – das erste Anzeichen unten.

Warum öffnet ein Scanner Ihren Link vor dem Empfänger? Er prüft Links bei der Zustellung

Ein Scanner öffnet Ihren Link zuerst, weil das Prüfen von Links seine Aufgabe ist. Firmenpost läuft durch eine Sicherheitsschicht, die sich jede URL in einer eingehenden Nachricht auf Phishing und Schadsoftware ansieht. Um eine Seite zu beurteilen, fordert die Schicht sie an, und für alles, was Anfragen zählt, sieht das wie eine Öffnung aus. Microsoft nennt den Zeitpunkt in seiner Dokumentation zu Safe Links, der Linkprüfung in Defender for Office 365:

“As long as Safe Links protection is turned on, URLs are scanned prior to message delivery, regardless of whether the URLs are rewritten or not. If rewriting is enabled, links are scanned on click.”

Daraus folgen zwei Zeitpunkte. Die erste Prüfung geschieht, bevor die Nachricht ankommt, die Öffnung kann also Sekunden nach dem Absenden eintreffen, während Ihr Empfänger die E-Mail noch nicht gesehen hat. Die zweite geschieht, wenn der Empfänger auf einen umgeschriebenen Link klickt, eine Prüfung kann also kurz vor einem echten Besuch liegen. Mimecast beschreibt dieselbe Aufgabe auf seiner Seite zur E-Mail-Sicherheit, ein Schutz, der “scans every email, attachment and URL” (jede E-Mail, jeden Anhang und jede URL prüft), mit “on-click protection” (englisches Original; sinngemäß: Schutz beim Klick). Wir zitieren Microsoft ausführlich, weil seine Dokumentation den Zeitpunkt in klaren Worten nennt.

Chat-Apps können eine dritte Quelle hinzufügen: Eine App, die zu einem eingefügten Link eine Vorschaukarte zeigt, muss den Link abrufen, um sie zu bauen. Das ist kein Mail-Scanner, kann aber eine ähnliche Spur hinterlassen, und die User-Agent-Liste von PDFTrackr nennt mehrere Link-Vorschauen.

Anzeichen 1: Es wurde nie eine Seite gelesen. Das stärkste der drei

Das stärkste Anzeichen ist eine Sitzung, in der der Link geöffnet und nie eine Seite erfasst wurde. Ein Scanner fordert den Link an und beurteilt, was zurückkommt; er hat keinen Grund, auf Seite drei Ihres Angebots zu verweilen. PDFTrackr markiert eine Sitzung, die geöffnet wurde und keine Seite erfasst hat, es sei denn, der Besuch hat eine von drei Spuren hinterlassen: das Abschlusssignal des Viewers mit mindestens zehn Sekunden beim Verlassen, ein Dokument, das im Browser fertig geladen wurde, oder eine E-Mail, die in die E-Mail-Abfrage des Links eingetippt wurde. Ein Abschlusssignal unter zehn Sekunden zählt nicht. Ohne eine dieser Spuren reicht die fehlende Seite, um die Sitzung aus Ihren Zahlen herauszuhalten.

Es ist auch mit Abstand der häufigste Grund. Von den 1.561 in unseren Daten markierten Sitzungen trugen 1.521 diese Markierung. Wie groß der markierte Anteil insgesamt ist und wie er sich nach der E-Mail-Domain des Absenders aufteilt, wird gemessen unter wie viele Dokumentöffnungen Bots oder Scanner sind.

Diese drei Spuren machen aus dem Anzeichen ein schwächeres: Die Sitzung wird erfasst, aber nicht allein deshalb ausgeschlossen. Ein geladenes Dokument zeigt, dass die Datei einen Browser erreicht hat. Eine eingetippte E-Mail zeigt, dass jemand ein Formular ausgefüllt hat, auch wenn jeder eine Adresse eintippen kann. Eine einzelne Seite, die weniger als eine Sekunde angezeigt wurde, ist verdächtig, passt aber auch zu einem Menschen, der aus Versehen geklickt hat; auch sie wird erfasst und nicht allein deshalb als automatisiert behandelt.

Worauf Sie in jedem Tracker achten sollten: eine Sitzung mit einer Öffnung und sonst nichts. Keine Seiten, keine Zeit. Wenn Ihr Tool nur Öffnungen meldet, können Sie dieses Anzeichen überhaupt nicht sehen.

Anzeichen 2: Der User-Agent des Besuchers gibt sich zu erkennen. Selten, und allein genug

Jede Browseranfrage trägt einen User-Agent, eine kurze Zeichenkette, die sagt, welche Software sie gestellt hat. Manche automatisierten Besucher sagen es darin, mit Wörtern wie bot, crawler, spider, preview, fetch, scan oder headless, oder mit dem Namen einer Link-Vorschau. PDFTrackr markiert eine Sitzung, deren User-Agent eines dieser Wörter enthält, und eine Sitzung ganz ohne User-Agent, allein deshalb.

In unserem Zeitraum trugen 51 der 1.561 markierten Sitzungen einen User-Agent, der Automatisierung nannte. Ein Scanner, der einen gewöhnlichen Browser-User-Agent angibt, hinterlässt für dieses Anzeichen nichts, was sich erkennen ließe.

Eine Grenze sollte man offen nennen. PDFTrackr prüft nicht, ob eine Anfrage aus einem Cloud- oder Rechenzentrumsnetz kam, ein Scanner, der eine Seite anzeigt und sich als normaler Browser ausgibt, kann also als Mensch durchgehen. Manche Tools prüfen das Netz; eines wird weiter unten beschrieben.

Anzeichen 3: Die Öffnung kam, bevor jemand die E-Mail gelesen haben konnte

Eine Öffnung Sekunden nach dem Absenden, bevor die Nachricht plausibel gelesen sein konnte, deutet auf eine Prüfung statt auf einen Leser. Ebenso eine Häufung leerer Öffnungen in derselben Minute. Dieses Anzeichen beurteilen Sie selbst: Der Klassifikator von PDFTrackr nutzt den Zeitpunkt nicht, weil ein schneller Leser und ein Scanner in derselben Minute ankommen können.

Schnelle echte Öffnungen kommen vor. In unseren Daten zum Öffnungszeitpunkt hatte ein Viertel der geöffneten Links die erste echte Öffnung innerhalb von etwa 24 Minuten nach Erstellung des Links, wobei Sitzungen in den ersten 10 Minuten bereits als Prüfung des eigenen Links durch den Absender weggelassen sind. Die Zahlen und die Methode stehen unter wann Menschen ein Dokument öffnen, das Sie senden. Behandeln Sie eine schnelle Öffnung als Frage und sehen Sie dann nach, ob eine Seite gelesen wurde.

Die Prüfung beim Klick fügt ein weiteres Muster hinzu. Ein Empfänger hinter Safe Links mit aktiviertem Umschreiben kann eine Prüfung und einen echten Besuch im Abstand von Augenblicken erzeugen. Eine kurze leere Sitzung, gefolgt von einer, die mehrere Seiten liest, ist dieses Muster, und nach der zweiten Sitzung sollten Sie handeln.

Was keines dieser Anzeichen kann: beweisen, dass eine einzelne Sitzung ein Mensch war

Kein Anzeichen und keine Kombination davon beweist, was eine Sitzung war. Jedes ist ein Signal, kein Beweis, und die Grenzen gelten in beide Richtungen.

• „Ohne Interaktion“ schließt Menschen ein. Wer den Link öffnet und geht, bevor Seite eins geladen ist, sieht genauso aus wie ein Scanner und wird genauso markiert.
• Ein Scanner kann wie ein Leser aussehen. Einer, der Seiten aus einem gewöhnlich wirkenden Browser in einem Netz anzeigt, das wir nicht prüfen, geht als Mensch durch.
• Die Echtzeit-E-Mail kann bei einem Scanner auslösen. Die Öffnungs-E-Mail von PDFTrackr Pro geht raus, wenn der Link geöffnet wird, bevor es irgendein Lesen gibt, sie filtert also nur nach User-Agent, und ein Scanner, der sich als Browser ausgibt, kann sie trotzdem auslösen.
• Das Dashboard gibt Ihnen eine Zahl. Es zeigt, wie viele Aufrufe ausgeschlossen wurden, keine Liste der Sitzungen hinter dieser Zahl.
• Wir haben den Klassifikator nicht bewertet. Wir veröffentlichen, was er markiert hat, nicht wie oft er richtig liegt.

Was Bestand hat, ist das Leseverhalten. Eine Sitzung mit mehreren Seiten und echter Zeit darauf ist das stärkste dieser Anzeichen, dass ein Mensch da war. Ob eine bestimmte Art von Link das überhaupt melden kann, steht in wie Sie sehen, ob jemand einen gesendeten Link geöffnet hat.

Wie beschreiben andere Tracking-Tools den Umgang mit Scannern? Zwei, die es dokumentieren

Wir haben die Hilfeseiten zweier Dokument-Tools gelesen, die ihren Umgang mit Scannern beschreiben, und zitieren beide wörtlich. Das Hilfecenter von HummingDeck, gelesen am 30. Okt. 2026, sagt: “HummingDeck checks request and network signals for likely automation. Known bot traffic is excluded from standard Analytics, Pipeline, Captured Leads, account metrics, and view notifications. If a likely automated session later produces real in-view interaction, it can be treated as human activity. Bot filtering reduces noise, but it cannot identify every automated request or prove that every remaining session came from an interested person.” (englisches Original; sinngemäß: Laut Hilfecenter prüft HummingDeck Anfrage- und Netzwerksignale auf wahrscheinliche Automatisierung und schließt bekannten Bot-Traffic aus Analytics, Pipeline, Captured Leads, Account-Kennzahlen und Aufrufbenachrichtigungen aus. Zeigt eine wahrscheinlich automatisierte Sitzung später echte Interaktion im Dokument, kann sie als menschliche Aktivität gewertet werden. Die Bot-Filterung verringert das Rauschen, kann aber nicht jede automatisierte Anfrage erkennen oder belegen, dass jede verbleibende Sitzung von einer interessierten Person stammt.) Seine Hilfeseite zur Aktivität, gelesen am 30. Okt. 2026, ergänzt, dass man “enable Show bot sessions when you need to investigate a suspicious instant open” kann (englisches Original; sinngemäß: „Show bot sessions“ einschalten, wenn man eine verdächtige sofortige Öffnung untersuchen muss). Keine der beiden Seiten nennt, so wie wir sie gelesen haben, einen Plan, und die Seite zur Filterung veröffentlicht keinen Anteil entfernter Sitzungen.

Beim Umgang mit Scannern selbst beschreiben die Seiten von HummingDeck mehr, als wir bieten: eine Prüfung des Netzes, bekannter Bot-Traffic, der aus den Aufrufbenachrichtigungen herausgehalten wird, und gefilterte Sitzungen, die man öffnen kann. PDFTrackr hat keine Netzwerkebene, seine Öffnungs-E-Mail filtert nur nach User-Agent, und sein Dashboard gibt eine Zahl der ausgeschlossenen Aufrufe.

Das Hilfecenter von Qwilr, gelesen am 22. Okt. 2026, ist offen über die Grenze: “Currently, Qwilr does not support IP address blocklisting. While we monitor these instances, it may not always be possible to suppress these automated triggers.” (englisches Original; sinngemäß: Qwilr unterstützt derzeit keine Sperrlisten für IP-Adressen; man beobachte solche Fälle, könne diese automatisierten Auslöser aber nicht immer unterdrücken.) Welchen Anteil seiner Benachrichtigungen das betrifft, sagt es nicht.

Wann Pro die richtige Wahl wird

Alles oben läuft mit kostenlosem PDF-Tracking: der Klassifikator, die ausgeschlossenen Sitzungen, das Lesen pro Seite, das einen Leser von einer Prüfung unterscheidet. Öffnungen erreichen kostenlose Konten an Tagen mit Aktivität in einer täglichen Zusammenfassung.

Pro ändert, wann und wie Sie es erfahren. Die Öffnungs-E-Mail kommt in dem Moment, in dem der Link geöffnet wird, mit der oben beschriebenen Grenze beim User-Agent. Nach dem Ende des Besuchs folgt der Lesebericht, bewertet anhand der ganzen Sitzung, mit einer Zeile pro Leser: gelesene Seiten, verbrachte Zeit, die Seite, auf der aufgehört wurde. Eine Sitzung, die der Klassifikator markiert, bekommt keinen Bericht, die Prüfung auf Scanner ist also erledigt, bevor die E-Mail Sie erreicht. Wechseln Sie zu Pro, wenn Sie mehrere Interessenten pro Woche anschreiben und die Seiten jedes Lesers noch am Tag des Lesens in Ihrem Postfach haben wollen, statt jede Sitzung zu öffnen, um zu entscheiden, ob es ein Scanner war. Sehen Sie, was Pro enthält, oder öffnen Sie das Live-Demo-Dashboard, um Sitzungen pro Seite an Beispieldaten zu sehen.

Weiterlesen: wie kostenloses PDF-Tracking funktioniert.