Gmail und die Punkte: Komfortfunktion oder Sicherheitsrisiko?

Heute gibt es mal etwas Theoretisches. Trotzdem finde ich, dass du das wissen solltest, wenn du Gmail nutzt: Bei privaten Adressen mit @gmail.com spielen Punkte im Nutzernamen schlicht keine Rolle. mustermann.test@gmail.com und mustermanntest@gmail.com sind für Google ein und dieselbe Mailadresse.

Das klingt erst einmal wie eine nette Randnotiz. Ist es auch, zumindest meistens. Denn die Punkt-Regel hat ein paar echte Vorteile, aber eben auch Nebenwirkungen, über die kaum jemand spricht. Ich erkläre dir, was genau dahintersteckt, wo die Regel nicht gilt und worauf du als Nutzer und als Betreiber einer Website achten solltest.

🔍 Was Gmail mit den Punkten in deiner Adresse macht

Google behandelt Punkte im Teil vor dem @ einer privaten Gmail-Adresse als bedeutungslos. Beim Zustellen werden sie einfach ignoriert. Dasselbe gilt für Groß- und Kleinschreibung. Die folgenden drei Schreibweisen landen deshalb alle im selben Posteingang:

mustermann.test@gmail.com
Muster.manntest@gmail.com
mustermanntest@gmail.com

Für Gmail sind das keine drei Adressen, sondern drei Schreibweisen von mustermanntest@gmail.com. Du kannst die Punkte also setzen, wie du lustig bist. Am Ziel ändert das nichts.

Ein kleines Detail am Rande: Wer in Deutschland schon länger dabei ist, hat vielleicht noch eine Adresse mit @googlemail.com. Aus markenrechtlichen Gründen musste Google hierzulande bis 2012 diese Domain verwenden. Beide Domains führen zum selben Konto, und die Punkt-Regel gilt dort genauso.

🚫 Punkte sind kein Alias-Trick für neue Konten

Vielleicht denkst du jetzt: Super, dann registriere ich mir einfach muster.mann.test@gmail.com als zweites Konto. Leider nein! Google lässt das nicht zu. Existiert mustermanntest@gmail.com bereits, meldet Google jede Punktvariante bei der Registrierung als vergeben.

Es entstehen also keine getrennten Postfächer. Die gepunktete Adresse ist kein eigenes Konto, sondern nur eine andere Schreibweise deines bestehenden Kontos. Genau das ist der Kern des Ganzen und gleichzeitig der Grund, warum einige der Risiken weiter unten überhaupt entstehen.

🤔 Warum macht Google das überhaupt?

Die Idee dahinter ist eigentlich vernünftig. Menschen schreiben Adressen gern unterschiedlich. Der eine tippt max.mustermann, die andere maxmustermann, und am Telefon geht der Punkt sowieso gern verloren. Indem Google die Punkte ignoriert, kommt die Mail trotzdem an.

Außerdem verhindert die Regel, dass jemand ein Konto mit fast identischer Schreibweise anlegt. Ohne sie könnte sich ein Dritter max.mustermann@gmail.com holen, während du maxmustermann@gmail.com nutzt. Für Betrüger wäre das ein gefundenes Fressen.

🏢 Wo die Gmail-Punkte-Regel nicht gilt

Jetzt kommt der wichtigste Teil, und ich möchte ihn bewusst deutlich formulieren: Die Punkt-Regel gilt für private Adressen mit @gmail.com (und @googlemail.com). Sie lässt sich nicht pauschal auf andere Adressen übertragen.

• Google Workspace und eigene Domains: Bei Adressen wie name@techniverse.net können Punkte sehr wohl relevant sein. Laut Google-Hilfe musst du Adressen von Arbeits-, Schul- oder Organisationskonten genau so angeben, wie sie angelegt wurden. Ob max.mustermann@firma.de und maxmustermann@firma.de beim selben Menschen ankommen, hängt von der Konfiguration ab, zum Beispiel von eingerichteten Aliasen.
• Andere Mailanbieter: Bei GMX, Web.de, Outlook.com oder deinem eigenen Mailserver gilt die Gmail-Logik nicht automatisch. Dort sind max.mustermann und maxmustermann in der Regel zwei verschiedene Adressen, die zwei verschiedenen Menschen gehören können.
• MX bei Google heißt nicht Gmail-Regel: Nur weil eine Domain ihre Mails über Google empfängt, darfst du die Punkte dort nicht einfach wegstreichen.

Kurz gesagt: Punkte werden bei privatem @gmail.com ignoriert. Bei eigener Domain oder Workspace sind sie möglicherweise relevant. Wer diese Unterscheidung im Kopf behält, liegt schon mal richtig.

👍 Die praktischen Vorteile

• Weniger Ärger bei Tippfehlern rund um den Punkt: Ob jemand deine Adresse mit oder ohne Punkt eingibt, ist egal. Die Mail kommt an.
• Schutz vor Doppelgängern: Niemand kann eine Punktvariante deiner Gmail-Adresse als täuschend ähnliches Konto registrieren.
• Freie Schreibweise: Du kannst deine Adresse so schreiben, wie sie am besten lesbar ist, etwa max.mustermann statt maxmustermann.

Bonus: Plus-Adressen für Filter und Tests

Deutlich nützlicher als die Punkte finde ich persönlich die Plus-Adressierung. Alles, was du hinter einem + anhängst, wird ebenfalls an dein normales Postfach zugestellt:

mustermanntest+newsletter@gmail.com
mustermanntest+onlineshop@gmail.com
mustermanntest+test1@gmail.com

Anders als bei den Punkten bleibt der Zusatz hinter dem Plus in der Empfängeradresse sichtbar. Damit kannst du in Gmail einen Filter anlegen, der zum Beispiel alles an mustermanntest+newsletter@gmail.com automatisch mit einem Label versieht oder direkt archiviert. Und wenn plötzlich Spam an +onlineshop eintrudelt, weißt du auch gleich, wer deine Adresse weitergegeben hat. Praktisch, oder?

⚠️ Nachteile und Risiken der Punkt-Regel

So weit, so komfortabel. Die Regel hat aber auch Schattenseiten. Manche davon entstehen nicht durch Gmail selbst, sondern erst durch das Zusammenspiel mit anderen Diensten.

1. Fehlgeleitete Mails durch Tippfehler

Die Punkte selbst schicken keine Mail ins falsche Postfach. Fehlt aber eine Ziffer oder ein Buchstabe, sieht das anders aus. Gemeint war vielleicht mustermann.43@gmail.com, eingegeben wurde mustermann@gmail.com. Existiert diese Adresse, landet die Nachricht bei einer völlig fremden Person. Das liegt nicht am Punkt, sondern am Tippfehler. In der Praxis wird beides aber gern in einen Topf geworfen.

2. Datenschutz- und Sicherheitsrisiken

Hier wird es spannend. Viele Online-Dienste halten mustermanntest@gmail.com und mustermann.test@gmail.com für zwei unterschiedliche Kunden. Gmail stellt beide aber demselben Menschen zu. Genau diese Lücke zwischen zwei Systemen lässt sich ausnutzen.

Ein bekanntes Beispiel hat der Entwickler James Fisher 2018 beschrieben: Ein Betrüger registriert sich bei einem Streamingdienst mit einer gepunkteten Variante einer fremden Gmail-Adresse und hinterlegt eine Karte, die nicht funktioniert. Der Dienst schickt daraufhin eine Mail „Bitte aktualisiere deine Zahlungsdaten“ an die gepunktete Adresse. Die landet beim echten Besitzer. Der hält die Mail für echt, denn sie ist ja auch echt, und hinterlegt seine Karte. Im Konto des Betrügers. Der IT-Sicherheitsexperte Bruce Schneier nannte das treffend ein Beispiel dafür, wie zwei Systeme ohne eigene Schwachstelle zusammen eine Sicherheitslücke ergeben.

Nach demselben Muster sind Fake-Registrierungen, Passwort-Reset-Mails oder Zahlungsaufforderungen denkbar, die eigentlich zu einem fremden Vorgang gehören und trotzdem in deinem Posteingang auftauchen.

3. Schlechte Erkennung durch Websites

Manche Websites normalisieren Gmail-Adressen korrekt, viele andere nicht. Das führt zu doppelten Konten, Problemen beim Login („Dieses Konto existiert nicht“, obwohl du dich sicher registriert hast) oder zu uneinheitlichen Kundendaten. Wer sich einmal mit Punkt und einmal ohne registriert, hat bei solchen Diensten plötzlich zwei Konten, aber nur ein Postfach.

4. Verwechslungsgefahr im Alltag

Für Menschen sehen max.mustermann@gmail.com und maxmustermann@gmail.com wie zwei unterschiedliche Adressen aus. Im Support, bei Rechnungen, Einladungen oder bei manueller Dateneingabe kann das zu Missverständnissen führen. Spätestens wenn jemand am Telefon fragt „Mit oder ohne Punkt?“, darfst du entspannt „Egal!“ sagen. Zumindest bei Gmail.

5. Plus-Adressen werden nicht überall akzeptiert

Die Plus-Adressierung ist praktisch, aber nicht jedes Registrierungsformular kommt damit klar. Manche lehnen das + als ungültiges Zeichen ab, obwohl es nach dem Mail-Standard erlaubt ist. Andere schneiden den Zusatz ab oder verschlucken sich spätestens beim Login daran. Hier hilft nur ausprobieren.

🛠️ Was du als Betreiber einer Website beachten solltest

Wenn du selbst einen Dienst mit Benutzerkonten betreibst, lohnt sich ein Blick auf deine Registrierung. Ein bewährter Ansatz ist, für den Vergleich einen normalisierten Schlüssel zu erzeugen und die Originaleingabe trotzdem zu speichern. Hier ein kleines Beispiel in Python:

def normalize_email(address: str) -> str:
    """Vergleichsschlüssel für eine E-Mail-Adresse erzeugen."""
    local, _, domain = address.strip().rpartition("@")
    domain = domain.lower()

    if domain in ("gmail.com", "googlemail.com"):
        local = local.split("+", 1)[0]   # Plus-Tag entfernen
        local = local.replace(".", "")   # Punkte ignorieren
        local = local.lower()
        domain = "gmail.com"

    return f"{local}@{domain}"


tests = [
    "mustermann.test@gmail.com",
    "Muster.manntest@gmail.com",
    "mustermanntest+newsletter@gmail.com",
    "mustermanntest@googlemail.com",
    "max.mustermann@techniverse.net",
    "maxmustermann@techniverse.net",
]

for t in tests:
    print(f"{t:40} -> {normalize_email(t)}")

Das Ergebnis sieht so aus:

mustermann.test@gmail.com                -> mustermanntest@gmail.com
Muster.manntest@gmail.com                -> mustermanntest@gmail.com
mustermanntest+newsletter@gmail.com      -> mustermanntest@gmail.com
mustermanntest@googlemail.com            -> mustermanntest@gmail.com
max.mustermann@techniverse.net           -> max.mustermann@techniverse.net
maxmustermann@techniverse.net            -> maxmustermann@techniverse.net

Die vier Gmail-Varianten ergeben denselben Schlüssel. Die beiden Adressen mit eigener Domain bleiben bewusst unangetastet, denn dort können Punkte eine echte Bedeutung haben. Auch die Groß- und Kleinschreibung lasse ich bei fremden Domains in Ruhe: Laut Mail-Standard darf der Teil vor dem @ theoretisch zwischen Groß- und Kleinbuchstaben unterscheiden, auch wenn das in der Praxis kaum ein Mailserver tut.

Ob du das Plus-Tag beim Vergleich entfernst, ist übrigens eine bewusste Entscheidung. Für die Erkennung von Mehrfachkonten ist es sinnvoll. Manche Nutzer verwenden Plus-Adressen aber gerade deshalb, um für einen Dienst eine eigene Adresse zu haben. Überleg dir also, was du mit dem Vergleich erreichen willst.

• Berücksichtige bei Login und Kontozuordnung die Regeln des jeweiligen Maildienstes, statt eine Regel für alle anzuwenden.
• Normalisiere private Gmail-Adressen für Vergleiche ohne Punkte, aber speichere die originale Eingabe, wenn sie für Kontakt, Einwilligung, Support oder Audit relevant ist.
• Bestätige neue Adressen per Double-Opt-in, bevor du Zahlungs- oder Kontomails dorthin schickst. Damit läuft der Streaming-Trick von oben ins Leere.
• Stütze Passwort-Reset- und Zahlungsprozesse nie allein auf eine ähnlich aussehende E-Mail-Adresse.
• Lehne das Pluszeichen in Formularen nicht ab. Es ist ein gültiges Zeichen.

🛡️ Was du als Gmail-Nutzer tun kannst

Als Nutzer kannst du an der Punkt-Regel nichts ändern. Du kannst aber verhindern, dass sie dir auf die Füße fällt:

• Wenn du eine Mail zu einem Konto bekommst, das du nie angelegt hast, klick nicht auf die Links darin und gib keine Daten ein.
• Schau dir an, an welche Schreibweise die Mail adressiert ist. Eine fremde Punktvariante deiner Adresse ist ein deutliches Warnsignal.
• Logge dich bei Diensten immer direkt über die bekannte Website oder App ein, statt über einen Link in einer Mail.
• Nutze Plus-Adressen für Newsletter und Shops, damit du Filter setzen kannst und Datenweitergaben schneller erkennst.
• Verwende bei deinen eigenen Registrierungen immer dieselbe Schreibweise. Das erspart dir doppelte Konten.

📚 Quellen und weiterführende Links

• Google Gmail-Hilfe: Punkte in Gmail-Adressen
• James Fisher: The dots do matter – how to scam a Gmail user (englisch)
• Gatefy: Scams exploiting „dots don’t matter“ in Gmail (englisch)
• n-tv, 04.07.2025: Den Punkt bei Gmail-Adressen kann man sich sparen

💡 Mein Fazit

Die Punkt-Regel bei Gmail ist weder ein Geheimtrick noch eine Sicherheitslücke an sich. Sie ist eine Komfortfunktion, die im Alltag meistens einfach hilft. Problematisch wird es erst, wenn andere Dienste sie nicht kennen und zwei Schreibweisen für zwei verschiedene Menschen halten.

Für dich heißt das: Unerwartete Mails kritisch prüfen, Plus-Adressen gezielt nutzen und im Kopf behalten, dass die Regel nur für @gmail.com gilt. Und falls du selbst eine Anwendung mit Benutzerkonten betreibst, weißt du jetzt, warum sich ein zweiter Blick auf deine Registrierung lohnt. Ich hoffe, der kleine Ausflug in die Theorie hat dir gefallen!

👥 Techniverse Community

Lust auf Austausch rund um Matrix, Selfhosting und andere smarte IT-Lösungen?
In der Techniverse Community triffst du Gleichgesinnte, kannst Fragen stellen oder einfach nerdigen Talk genießen. 🚀

👉 Jetzt der Gruppe auf Matrix beitreten
~ Direkte Raumadresse: #community:techniverse.net

👉 Für lockere Gespräche abseits der Kernthemen komm in den Talkraum
~ Direkte Raumadresse: #talk:techniverse.net

Wir freuen uns, wenn du dabei bist!