Sicherheitslücke in sehr vielen regulären Ausdrücken

[kungschu]

Hallo.

  
$absender = preg_replace( "/[^a-z0-9 !?:;,.\/_\-=+@#$&\*\(\)]/im", "", $_POST['absenderemail'] );  

Wieso wird $absender im Header später noch richtig ausgegeben, wenn doch das @-Symbol als Zeichen in der Funktion angegeben ist?

MfG, Kungschu.