Gelbe Tonne für Mail-Abfall

Der wahre Absender

Bessere Trefferquoten und weniger Falschmeldungen versprechen Methoden, die den wahren Absender einer E-Mail herauszufinden versuchen. Zwar fälscht der Spammer die meisten oder alle Header der Werbe-Mail, doch durchläuft sie auf dem Weg von ihm in Ihre eigene Mailbox mehrere bekannte Mail-Server. Jeder davon fügt mindestens einen weiteren Header hinzu, über den der Spammer keine Kontrolle mehr hat. Sie hingegen wissen, welche zusätzlichen Header normalerweise ergänzt werden. Mit dieser Information lässt sich herausfinden, von welcher IP-Adresse eine beliebige Mail kommt.

Bei der Absender-IP einer Spam-Mail handelt es sich entweder um einen Computer des Spammers selbst oder um einen von ihm missbrauchten Rechner, typischerweise um ein unsicheres (und gehacktes) Windows-System oder einen unzureichend abgesicherten Mail-Server.

Mehrere Organisationen rund um die Welt widmen sich der Aufgabe, derart problematische IP-Adressen zu dokumentieren. Diese "Black Lists" (schwarzen Listen) publizieren sie in einer leicht und automatisch abfragbaren Form. Manche Black Lists enthalten ausschließlich unsichere Mailserver. Andere führen nur IP-Adressen an, die unmittelbar Spammern gehören. Manche listen IP-Adressen, von denen angeblich jetzt gerade im Augenblick Spam versandt wird – nicht verifiziert, nicht zuverlässig, aber aktuell. Durch Kombination verschiedener Black Lists stimmt man seine Spam-Abwehr individuell ab.

Eine detaillierte Beschreibung der Installation würde diesen Übersichtsartikel sprengen. Ein Beispiel für eine Konfigurationsdatei finden Sie z. B. unter [5]. Mit etwas weniger Bastelei geht es, wenn Sie das beliebte Anti-Spam-Tool SpamAssassin [6,7] installieren. Achtung: Beide Ansätze funktionieren nur, wenn Sie Ihre Mail auf die klassische Weise holen (Abbildung 2). Soll Ihr Mail-Programm die E-Mail direkt vom Provider abrufen, muss es die Black Lists selbstständig abfragen – und das kann momentan noch keiner der verbreiteten MUAs.

Statistische Spam-Filter

Eine sehr interessante Entwicklung auf dem Anti-Spam-Markt sind die so genannten Bayes'schen Filter. Dabei handelt es sich um einfache Statistiken.

Sie beginnen die Arbeit an solch einem Filter, indem Sie ein paar Mails explizit und manuell als "Spam" oder "Nicht-Spam" bezeichnen. Das Filterprogramm berechnet für jedes enthaltene Wort dieser Mails eine Wahrscheinlichkeit, mit der es zu einer Spam-Mail gehört. Beispielsweise besitzt ein Allerweltswort wie "habe" wohl keine besonders hohe Aussagekraft hinsichtlich der Frage "Spam oder nicht?" Ein Wort wie "kaufen" könnte da schon interessanter sein.

Kommt nun eine neue Mail an, wird für jedes enthaltene Wort geprüft, ob es eher für oder gegen Spam spricht. Die Ergebnisse rechnet das Filterprogramm zusammen und teilt Ihnen seine Vermutung mit. Hat es Recht – gut! Irrt es sich einmal, teilen Sie ihm das mit. Der Filter bezieht die Wörter aus der neu klassifizierten Mail direkt in seinen Wortvorrat mit ein und berücksichtigt sie für zukünftige Nachrichten. Je länger Sie den Filter verwenden, desto besser wird er.

Aktuelle Mozilla-Versionen enthalten im Mail-Client einen eingebauten Bayes'schen Filter. Aktivieren Sie ihn in einem "Mail & Newsgroups"-Fenster unter Tools / Junk Mail Controls bzw. Tools / Junk Mail - Filterung... (Abbildung 3). Nun wartet zunächst eine Aufgabe auf Sie: Jede angekommene Spam-Mail muss mit dem Mülleimer-Button in der Werkzeugleiste (oder dem Menüpunkt Tools / Mark Selected Messages as Junk bzw. Tools / Gewählte Nachrichten als Junk markieren) als solche ausgezeichnet werden. Sie erhält dann ein Papierkorb-Symbol.

Abbildung 3: Statistische Filter in Mozilla

Doch schon bald beginnt der Filter, das gleiche zu tun: Neu ankommende Mails erhalten in vielen Fällen ein Mülleimer-Symbol bzw. werden in den angegebenen Ordner wegsortiert (Abbildung 4). Wichtig ist nur, dass Sie Mozilla etwaige Fehler mitteilen, indem Sie zum Beispiel fälschlich als Spam gekennzeichnete Nachrichten über Gewählte Nachrichten als Junk-frei markieren oder den Mülleimer-Button von ihrem Makel reinwaschen. Nur so kann das System lernen.

Abbildung 4: Nach einer Lernphase klassifiziert Mozilla Mails automatisch

Statistische Filter funktionieren erstaunlich gut. Für mehrsprachige Anwender halten sie jedoch einen großen Stolperstrick bereit: Sie neigen dazu, Sprachen zu unterscheiden. Der typische Deutsche wird sehr viele deutschsprachige Privat-Mails erhalten, hingegen nur wenig englische. Umgekehrt achten nur wenige Spammer auf die Muttersprache ihrer Opfer – die meiste E-Mail-Werbung ist daher in Englisch geschrieben. Es besteht die Gefahr, dass ein statistischer Spam-Filter englische Mails als Spam einordnet, deutsche als Nicht-Spam.

Statistische Filter sollten aus diesem Grund niemals die Erlaubnis erhalten, Mails zu löschen. Für sie wie für alle anderen gilt: Sehen Sie die als Spam markierten Mails grundsätzlich noch einmal durch, bevor Sie sie ins Nirwana schicken. Erst wenn Sie nach mehreren Wochen oder Monaten mit der Arbeit des Filters zufrieden sind und keine echten Mails verloren haben, lassen Sie den Spam sofort löschen. Dann haben Sie einen wichtigen Etappensieg im Kampf gegen das elektronische Ungeziefer gewonnen.