e-Mail-Postfächer zu 99% spamfrei? Strategien, Methoden, Wirksamkeit

Um Spam zu bekämpfen und zuverlässig abzublocken, lohnt es sich zuerst zu analysieren, woher Spam heutzutage kommt und wo die Ursachen liegen:

Aus den Ursachen und Quellen des Spams kann man nun eine Strategie ableiten, die möglichst jede einzelne Ursache aufgreift und mit ihr fertig werden sollte. Im normalen Mailserverbetrieb ohne technische Tricks :-) stehen folgende Ansatzmöglichkeiten zur Verfügung:

Schauen wir uns die einzelnen Bereiche näher an.

Body- und Headerchecks filtern nach einzelnen Wörtern (zu unsicher!), Textpassagen (passabel) oder über Regular-Expression-Ausdrücke auch gegen bestimmte Pattern (z.B. Attachements mit doppelter Dateiendung). Diese Checks sind eigentlich umständlich und unflexibel, da Spam-Mails einzeln aufgenommen werden müssen, was eine permanente Pflege bedeutet. Sie helfen aber ungemein gegen wiederkehrerende penetrante Spammer, die es schaffen alle anderen Schutzßmaßnahmen zu unterlaufen und die wir so manuell blocken können.

Am flexibelsten und erfolgversprechensten ist die Beurteilung einzelner Mails nach einer Summe von Merkmalen, die für oder gegen Spam sprechen. Aus ihnen läßt sich die Wahrscheinlichkeit errechnen, ob die geprüfte e-Mail normal oder Spam ist.

Anders als bei Body- und Headerchecks läßt sich so auch Spam erkennen, der zum ersten mail auftritt und darum in manuellen Filtern noch nicht aufgenommen sein kann.

Für die Beurteilung der Mails stehen uns viele, viele Kriterien zur Verfügung:

Die Beurteilung einer solchen Mail kostet natürlich Rechenzeit und ist aufwendig, darum versuchen wir später möglichst wenige e-Mails bis zur Prüfung durch SpamAssassin durchzulassen.

Dieses Beispiel wurde völlig zweifelsfrei als Spam erkannt (Score dieser Mail: 13.0, Kill-Score: 5.1...). Auch wenn der Text der Nachricht base64-codiert ist (und darum Body- und Headerfilter nicht greifen konnten!) hat SpamAssassin diese Mail decodiert und geprüft – die Auflistung zeigt, welche verdächtigen Prüfungen auf diese e-Mail alles zutrafen: Falsches Maildatum, außerordentlich viel HTML, große Schriften, kein HTML-Title, keine ASCII-Version und ein paar „böse Wörter“...

Das zweite Beispiel zeigt eine in den letzten Monaten neue aufgekommene Masche der Spammer: Sie garnieren den Text zufällig mit ungültigen schließenden HTML-Tags. Diese werden in der Darstellung einfach ausgeblendet, so daß das davor und danach stehende Wort zusammengesetzt sichtbar wird. Textfilter, die nach diesen Wörtern („Viagra“) suchen, laufen also ins Leere. Zudem varrieren damit die einzelnen Mails sehr stark, was die Überprüfung durch eine „fuzzy checksum“ erschwert oder unmöglich macht.

Darüber hinaus hat SpamAssassin noch eine ganze Reihe weiterer Spam-Merkmale entdeckt.

Viren- und Spamkiller bringen heute meist eine eigene kleine SMTP-Engine mit, so daß sie sich recht einfach in beliebige bestehende Mailserver integrieren lassen. Einzige Voraussetzung ist, daß man dem Mailserver beibringen können muß, alle e-Mails an einen „Relayhost“ weiterzuleiten. Das kann ein völiig eigenständiger Rechner sein, bei dem AmaVis & Co auf Port 25 lauschen, das kann aber auch „localhost“ sein und dort oft auf Port 10024.

Eine geprüfte und für okay befundene e-Mail kann dann wahlweise an einen zweiten Mailserver weitergereicht werden – sozusagen als eine Kette – oder aber beim ursprünglichen Mailserver auf einem eigens dafür reservietren Port („localhost:10025) wieder eingespielt werden, damit dieser die e-Mail in die Postfächer zuestellt.

AmaViS ist eigentlich als Virenkiller gestartet, er zerlegt e-Mail und Attachements in alle Einzelteile und gibt sie einem normalen Desktop-Virenkiller zur Prüfung. AmaViS integriert aber auch wunderbar und sehr performant SpamAssassin, so daß amavisd-new heute erste Wahl für die Einbindung von SpamAssassin sein sollte – virengeprüfte e-Mails sind dabei ein nettes, willkommenes Abfallprodukt.

(Grafik steht unter Copyright – mit freundlicher Genehmigung entnommen aus „Das Postfix-Buch“, Open Source Press)

Ich möchte Ihnen eine kleine Statistik eines unserer Mailservers vorstellen, bei dem wir beispielhaft den Februar 2004 ausgewertet haben um zu sehen, welche Methode wieviele Spam-Mails blockte.

Von 2.576.257 Mails wurden 1.040.492 Mails als Spam enttarnt und geblockt (40%). Von diesen 1.040.492 Spams wurden entfielen auf die einzelnen Stufen:

Das Interessante dabei ist, daß Stufe 1 und 2 vor der Übertragung der eigentlichen e-Mail ansetzen, sich also rein auf die Angaben des SMTP-Dialogs beziehen. Fällt dort die Entscheidung die e-Mail gar nicht annehmen zu wollen, wird die eigentliche e-Mail gar nicht mehr übertragen – das spart immens Traffic.

Nur Stufe 3 und 4 setzen nach der erfolgten Übertragung der e-Mail an, da wir dort ja den Inhalt der e-Mail beurteilen müssen.

Eine kluge Kombination dieser vier Stufen sorgt dafür, daß wir möglichst wenig Traffickosten haben und zugleich möglichst wenig e-Mails aufwendig durch Textfilter oder SpamAssassin prüfen müssen – das spart Resourcen! Über 80% konnten wir bereits vorher abblocken .

Leider ist es für Privatanwender kaum möglich gegen Spammer vorzugehen, selbst wenn ihre Identität bekannt sein sollte. Rechtliche Ansatzpunkte ergeben sich defacto bislang nur aus dem Wettberwerbsrecht und stehen damit nur Konkurrenten des Spammers oder Verbraucherschutzvereinen offen.

Der Einsatz von Spam-Schutzmaßnahmen ist für Postmaster überraschend schwierig – oder gefährlich.

Spam wird zu oft noch „duldsam ertragen“. Die Konfirguration eines Mailservers, der Spam wirksam herausfiltert, erfordert etwas Übung und Aufwand. Problematisch ist es dabei den Spagat hinzukriegen, daß eben nur Spam und nicht auch normale e-Mails herausgefiltert werden. Zudem fehlt im betrieblichen Streß oft genug Man-Power um diese zusätzliche Aufgabe zu bewältigen.

Schaut man sich an, welche Kosten durch Spam verursacht werden, sieht die Rechnung jedoch schnell anders aus. Die Kosten für einen externen Consultant o.ä. sind „Peanuts“ :-) gegenüber den eingesparten betrieblichen Kosten.

Wir möchten Postmaster und andere IT-Verantwortliche dazu ermuntern, sich des Spam-Problems fachmännisch anzunehmen und Schutzmaßnahmen dagegen aufzubauen – wie man sieht erfordert es weder viel Aufwand, noch vieler Kosten um einen „Grundschutz“ zu gewährleisten. Die ersten 80% Schutz sind am einfachsten...

Natürlich stehen auch wir mit Rat & Tat zur Seite und können Mailserver professionell, routiniert und schnell remote administrieren, updaten, erweitern und prüfen. Zudem haben wir über unser eigenes Rechenzentrum in Berlin die Möglichkeit ganze Maildomains über unsere Server zu relayen von Spam zu befreien, bevor wir Sie gesäubert an den Kunden weiterreichen. Gerne stehen wir für individuelle Anfragen, Beratund und Consulting zur Verfügung:

Heinlein & Partner Linux Consulting

Von uns stammt das Buch „Das Postfix-Buch – Sichere Mailserver mit Linux“, das früher bei SuSE Press und jetzt in der 2. Auflage bei Open Source Press erschienen ist:

Wir führen bundesweit Schulungen über den Betrieb sicherer e-Mail-Server auf der Basis von Postfix durch: