PROLOG
Ich denke, es ist möglich, Spam zu stoppen. Und inhaltsbasierende Filter werden das Werkzeug dazu sein   Die Achillesferse aller Spammer ist ihre Botschaft   Es mag ihnen bisher gelungen sein, jede andere Hürde zu überwinden   Doch es ist und bleibt ihr Ziel, eine Botschaft zu vermitteln, wie immer sie auch lauten mag   Unser Ziel ist es, Software zu entwickeln, die die Botschaft des Spammers versteht   Dann hätte er keine Chance mehr
Paul Graham	A Plan for Spam

Sie interessieren Sich für die Ursachen und Folgen von Spam?

Unter Kultik+Politur finden Sie umfangreiche, nicht-technische FAQs zum Thema Spam. Neben aktuellen Zahlen zu dem durch die Spam-Plage verursachten wirtschaftlichen Schaden finden Sie dort auch ein Real-Audio-Clip des legendären Monty-Python-Sketches zum Thema Spam, Spam, Spam,...

Nach oben

Welche finanziellen Verluste verursacht Spam im Firmenalltag?

Viele Zeitgenossen sind der Meinung, eine Diskussion über derlei Pfennigbeträge sei Zeitvergeudung. Wir behaupten: die Spam-Plage kostet Sie 1-3% der Lohnsumme. Betrachten wir dazu einen Kleinbetrieb, bei dem 6 Personen einen gemeinsamen Internetanschluss für Kunden- und Lieferantenkontakte nutzen.

Da wäre zunächst Herr X, der die Kundenmailbox helpdesk@ihredomain.de betreut. Diese Mailadresse ist auf der Firmen-Homepage veröffentlicht, also ist z.Z. täglich mit etwa 30 Spam-Mails zu rechnen. Herr X ist nicht nur fix bei den Problemen der Kunden, er ist auch routiniert im Umgang mit Spam. Er lässt sich nicht ablenken, und riecht Spam bereits anhand der Dateigröße. Daher braucht Herr X zum Sichten und Löschen lediglich 30 sec pro Spam-Meldung - also 15 Minuten am Tag!

Mitarbeiter Helpdesk
täglicher Zeitverlust durch Spam	30 Spams * 30/3600 = ¼ Std
auf den 8-Stunden-Tag bezogen	¼ / 8 = 3,125%

Betrachten wir die weiteren Kollegen, deren Mailboxen allerdings nicht öffentlich bekannt sind. Dort schlagen jeweils nur 4 Spam-Mails am Tag auf. Allerding fehlt diesen Kollegen die Routine, anhand von Absender oder Betreff die Entscheidung zum Löschen treffen zu können:

• Frau A öffnet »Schufa-Eintrag« und wartet irritiert, weil zunächst garnichts zu sehen ist. Plötzlich poppt doch noch das dazugehörige Bild auf - Werbung für einen Sexclub
• Herr B öffnet »Weihnachten steht vor der Tür« und wartet, bis von dem völlig überlasteten Webserver des Anbieters weitere Bilder nachgeschoben werden. Er scrollt an vielen netten Geschenkideen vorbei nach ganz unten, und klickt dort auf REMOVE
• Frau C öffnet »Re:Ihre Entwürfe« - und findet Tips zur Geldanlage - gelöscht
• Herr D forwardet »Herbal Viagra« an Spamcop - dies freut uns, da so unsere Blacklist verbessert wird. Leider dürfen wir keine Spendenquittung ausstellen
• Frau E öffnet »Online Casino« - weil sie bei 'Absender' ihren eigenen Namen entdeckt hat. Sie glaubt, der Mailserver der Firma sei von Hackern geknackt worden, und wendet sich schriftlich an uns mit der Bitte um Stellungnahme. Wir schreiben ihr zurück, dies sei ein bekannter Trick, um die Sperr-Regeln eines Mailrelais zu umgehen - kein Grund zur Beunruhigung...

Fazit: jede Menge Ablenkung und z.T. unnötige Emotionen für Ihre Kollegen, bei denen im Durchschnitt 2 Minuten - bei Frau E wohl deutlich mehr - verloren gehen. Vier Störungen dieser Art am Tag bei fünf Personen, und Sie werden am Abend feststellen, dass Ihnen die Spam-Gang fast eine ¾ Stunde gestohlen hat!

Mitarbeiter technisch / kaufmännisch
täglicher Zeitverlust durch Spam	4 Spams * 120/3600 = 0.133 Std
auf den 8-Stunden-Tag bezogen	0.133 / 8 = 1,667%

Auf die 22 Arbeitstage eines Monats hochgerechnet summiert sich dies bei unserem Beispiel Kleinbetrieb auf 20 gestohlene Mannstunden. Sie können sich jetzt selbst ausrechnen, wieviel € Schaden die Spam-Gangs in Ihrer Firma monatlich anrichten.

Täglich aktualisierte Zahlen zu den von unseren Filtern abgefangenen Spam-Mails finden Sie in unseren Statistiken

Nach oben

Weshalb muss ich für Antispam-Filter extra zahlen?

Vertrieb:

Weil Ihre Firma durch gut gepflegte Mail-Filter Zeit und Geld spart - und dies nicht zu knapp!

Kunde:

Hm, ähm, ...

Vertrieb:

Weil unsere Mailserver 20x stärker belastet werden, wenn sie die Filterregeln mit abarbeiten, und wir dehalb anstatt eines Servers ein ganzes Rack...

Kunde:

Hm, ähm, ...

Vertrieb:

Verzeihung, ich hatte Ihre Frage wohl nicht richtig verstanden?
Sie wollten eigentlich erklärt haben, weshalb muenchner-freiheit.net
einmalig ein geiles Filterteil bastelt, um damit dann Monat für Monat
die Kunden abzuzocken - stimmt's?

Kunde:

Ja, so ähnlich, eh, genau - und die Spam-Mafia hält den Motor am laufen...

Vertrieb:

Darf ich Sie korrigieren: Sie zahlen Monat für Monat Ihren Obulus, und wir basteln für Sie Monat für Monat ein neues geiles Filterteil

Kunde:

Hm, ähm, ...

Vertrieb:

Zwischen den Spam-Gangs und den Entwicklern von Antispam-Filtern tobt ein Wettrüsten - es herrscht Kriegszustand. Das kennen Sie doch von Ihrem Virenscanner, dort läuft's ganz ähnlich...

Kunde:

Ah, jetzt verstehe ich!

Dass mittlerweile hocheffiziente Filtertechniken zur Verfügung stehen, hat sich selbstverständlich bis zu den Spam-Gangs herumgesprochen. Es ist naheliegend, selbst ein solches Filter zu installieren, um damit die eigenen Spam-Entwürfe soweit zu optimieren, dass sie später beim Empfänger-Filter grade noch akzeptiert werden.

Doch die Schwachstelle bei den Filtertechniken sind nicht die Filter selbst. Die Schwachstelle wäre eine Monokultur bei den Filterregeln. Spam-Filter funktionieren nur solange gut, wie sie gepflegt, und vor allem laufend durch eigene Filterregeln ergänzt werden. Jede über unsere Honigtöpfe frisch hereinkommende Spam-Meldung wird unverzüglich analysiert, und fließt so postwendend in das Filter-Regelwerk ein.

Das folgende Beispiel haben wir einer jener frohen Botschaften entnommen, nach der Sie, wie 999.999 andere Glückliche übrigens auch, eine Reise gewonnen haben:

Standard:

CONGRATULATIONS !!!

Mutation:

C0NGRATULAT10NS !!!

Standard: lt. Regelwerk kommt CONGRATULATIONS in normalen E-Mails weniger häufig vor, und schon gar nicht in Großbuchstaben - also ein Anzeichen für Spam.

Mutation: zweites und dreizehntes Zeichen vom Buchstaben O zur Zahl 0 mutiert, zwölftes Zeichen vom Buchstaben I zur Zahl 1. An dieser Schreibweise würde die bisher bewährte Regel scheitern, weil dieses seltsame C 0 NGRATULAT 10 NS möglicherweise auf DNS-Records oder auf eine chemische Substanz (Granulat?) hindeuten würde. Wohl irgendwelches abgehobenes Zeugs von EDV-Spezialisten oder Petrochemikern - also wahrscheinlich kein Spam.

Fazit: wir als Netzwerkbetreiber müssen täglich beträchtlichen Zeitaufwand in die Pflege der Filterregeln stecken, und Sie sehen - nichts!

Nach oben

Irgendwie ist mir bei dem Gedanken unwohl, dass da einer meine gesamte E-Mail aufmacht und mitliest...

Jetzt mal langsam: durchgelesen und analysiert wird Ihre E-Mail nicht von einer lebenden Person, sondern von einem Mailserver. Jeder andere Mailserver muss Ihre E-Mails ebenfalls aufmachen, um deren Mail-Header zu analysieren, und daraus die richtigen Schlüsse zur Weiterleitung der E-Mail in Richtung Empfänger zu ziehen.

Unsere Mailserver-Filter gehen lediglich noch einen Schritt weiter: sie analysieren den Inhalt mit dem Ziel, Ihnen auf Basis dieses Inhaltes eine Zusatzinformation mitzuliefern, nämlich einen Ratingwert: ist das Spam, und wenn ja, wie stark?

Wir sind keine 08/15-Webdesignerglitsche, die nebenbei einen auf Provider macht. Wir sind ein öffentlich lizenzierter Telekommunikationsanbieter, der unter der ständigen Kontrolle durch die Regulierungsbehörde für Telekommunikation und Post steht. Dieser Status führt zwangsläufig zur regelmäßigen Überprüfung unserer Sicherheitskonzepte und unserer Datenschutzmaßnahmen durch Beauftragte der Regulierungsbehörde.

Nach oben

Wo liegt die Durchlaufzeit beim SpamVerdampfer®?

Dies hängt stark von der Größe der E-Mail und der momentanen Auslastung des Servers ab. Für die üblichen Alltagsmails beträgt die Durchlaufzeit um die 5 sec.

Nach oben

Weshalb soll ich mir meine E-Mails zensieren und wegnehmen lassen?

Unser SpamVerdampfer® nimmt Ihnen keine einzige E-Mail weg. Sie bekommen Ihren Spam vollständig und unzensiert. Wir bringen lediglich einen Rating-Wert an. Es interessiert uns in keinster Weise, ob Sie unseren Rating-Wert in irgendeiner Form in Ihrem Mailclient nutzen oder nicht. Selbstverständlich steht es Ihnen frei, diesen Rating-Wert einfach zu ignorieren, weil Sie vielleicht Spaß daran haben, jeden Spam lückenlos und genüsslich von der ersten bis zur letzten Zeile durchzulesen.

In diesem Zusammenhang könnte man sich zum Beispiel überlegen, wie die sogenannten Web-Bugs gehandhabt werden sollten. Also diese fiesen, kleinen, 1x1-Pixel-Bildchen, die dem Webserver des Spammers verraten, dass soeben der Empfänger mit der Seriennummer 08154711 sein Exemplar geöffnet hat. Bingo, schon ist Ihre E-Mailadresse verifiziert und mit Status=aktiv klassifiziert worden...

Würden wir nun sicherheitshalber alle HTML-Mails in TXT konvertieren, dann wird es sicherlich Kunden geben, die den damit einhergehenden Verlust von Abbildungen sympathischer junger Damen als Zensur betrachten werden.

Damit sei nicht gesagt, dass wir HTML-Mails nicht in TXT umwandeln könnten. Wir könnten dies sogar mit 3 Schärfegraden:

• immer
• nur bei Spam
• nur bei Spam mit hohem Rating

Wir wollen damit nur sagen, dass im Standardfall die Voreinstellungen stets so sind, dass keine Zensur stattfindet und keine E-Mail zurückgehalten wird.

Allerdings gibt es die berühmte Ausnahme, die die Regel bestätigt: E-Mails mit virenverseuchten Attachments, die sich nicht desinfizieren lassen, werden aus technischen Gründen nur ohne die beanstandeten Attachments ausgeliefert.

Nach oben

Wie hoch ist die Trefferquote beim SpamVerdampfer®?

Die Treffergenauigkeit beim SpamVerdampfer® liegt in der von uns empfohlenen Standard-Einstellung (Schwellenwert 5) bei 98.6% (Werte gemessen)

Trefferquote SpamVerdampfer®	Anzahl	Score=5
Gesamtzahl	100.000	100.00%
Richtig erkannt	98.570	98.57%
Nicht als Spam erkannt	1.380	1.38%
Versehentlich als Spam ausgesondert	50	0.05%

Am interessantesten ist die letzte Zeile - die sogenannten »false positives«. Dahinter steckt folgendes: würden Sie alle als Spam ausgesonderten E-Mails unbesehen von Ihrem Mail-Client löschen lassen, dann würde eine von 2000 Mails versehentlich nie gelesen werden. Je nach Höhe der Spam-Quote in Ihrer Mailbox wäre das Risiko unterschiedlich. Bei 50% Spam-Anteil würde jede 1000ste Nutzmail verloren gehen, bei 90% Spam-Anteil jede 200ste. Kritker behaupten nun, dass genau dies vielleicht ein wichtiger Auftrag gewesen sein könnte...

Für uns klingt dies allerdings nicht allzu überzeugend. Hängt ein wichtiger Auftrag wirklich von der Zustellung einer einzigen E-Mail ab? - Und: sehen wichtige Aufträge graphisch ähnlich aus wie Spam-Mails oder Newsletter?

Im übrigen: da Sie die Entscheidungsschwelle selbst an Ihrem Mail-Client einstellen, läßt sich diese jederzeit beliebig verschieben. Für den Schwellenwert 8 sehen Sie das Ergebnis in der folgenden Tabelle (Werte geschätzt):

Trefferquote SpamVerdampfer®	Anzahl	Score=8
Gesamtzahl	100.000	100.00%
Richtig erkannt	95.000	95.00%
Nicht als Spam erkannt	4.999	4.999%
Versehentlich als Spam ausgesondert	1	0.001%

Nach oben

Nach welchen Kriterien entscheidet SpamVerdampfer®?

Basis unseres SpamVerdampfers® ist ein teils automatisch, teils manuell gepflegtes Regelwerk von z.Z. etwa 800 Kriterien. Vereinfacht ausgedrückt wird jedes einzelne Kriterium durch eine positive oder negative Punktzahl bewertet, je nachdem, ob ein bestimmtes Kriterium für oder gegen Spam spricht. Nach Auswertung aller Regeln ergibt sich ein Rating-Wert, den der Kunde bzw. dessen Mail-Client im Header jeder E-Mail abfragen und, darauf basierend, sinnvolle Entscheidungen treffen kann.

Das Regelwerk setzt sich im wesentlichen aus folgenden Klassen zusammen:

Header-Analyse

In den Mailheadern finden sich Anzeichen, die bei Spam gehäuft auftreten

• Empfänger namentlich nicht genannt
• seitenlange Empfängerlisten
• Uhrzeit, Datum oder Zeitzone völlig daneben
• Absender mit Zahlen im Namen (tanja1984@gmx.com)
• Mailserver des Absender ist ein Einwahlkonto (dyn. IP-Nummer)
• Massenprovider als angeblicher Absender
  (aol.com, msn.com, yahoo.com)
• der Versuch, schlampige Mailrelais-Regeln zu untergraben
  (Absendername = Empfängername)

Text-Analyse

Der Betreff weist typische Merkmale auf

• ins Auge fallende Hieroglyphen (!?!?!?!?)
• beginnt mit Wörtern wie Free oder Congratulations
• nicht im Sichtfeld dargestellte Kennung nach vielen Leerzeichen
  (Hi, it's Yasmine!                                                     3534296)

Der Text weist typische Merkmale auf

• fehlende Anrede, oder kein Name in der Anrede (Dear customer)
• charakteristische Schlüsselwörter
  (Viagra, adult, penis, credit, weight problems)
• charakteristische Zeichenfolgen ($$$, XXX)
• charakteristische Textmerkmale
  (ganze Sätze in Großbuchstaben, plakativer HTML-Text)
• charakteristische Ausdrucksweisen (Bill 1618, click below)
• charakteristische Merkmale (Taste - click here)

Honigtöpfe

Honigtöpfe sind präparierte Mailboxen, deren einziger Zweck es ist, von den Harvestern der Spam-Gangs entdeckt, und in deren Listen aufgenommen zu werden. Besonders eignen sich langjährige, in den Archiven verschiedener Diskussionsforen "gereifte" Mailboxen, die aber seit Jahren nicht mehr aktiv benutzt werden. Oder Mailadressen, die in offiziellen Domain-Datenbanken registriert sind. In Honigtöpfen sammelt sich Spam in hoher Konzentration: stündlich 5 Proben je Mailbox sind keinesfalls übertrieben. Dieses mehrmals täglich entnommene Spamkonzentrat ist wertvoller Rohstoff für automatische E-Mail-Sperrlisten.

Automatische Weißlisten

Hier werden ausschliesslich nicht beanstandete E-Mailadressen ausgewertet. In einer verschlüsselten, nur vom Programm lesbaren Liste wird laufend für jede neue, bisher unbekannte E-Mailadresse ein Zähler angelegt. Erscheint eine bereits angelegte E-Mailadresse später erneut, dann wird deren Zähler hochgezählt. Je höher der Zählerstand, umso höher der Vertrauensbonus.

Würde später einmal eine Adresse aus diesem Bestand durch die normalen Filterkriterien als Spammer gebrandmarkt, so wird dieses vorläufige Urteil unter Berücksichtigung der Zahl der angesammelten "Vertrauenspunkte" revidiert - und diese E-Mail ausnahmsweise ohne Spam-Kennung zugestellt. Allerdings wird bei einer solchen Kulanzaktion das Guthabenkonto belastet, so dass ein Teil der angesammelten Bonuspunkte verfällt.

Automatische Schwarzlisten

Hier wird das Spam-Konzentrat aus den Honigtöpfen ausgewertet. Wer einmal in eine solche Schwarzliste geraten ist, der steht vorläufig unter Dauerarrest. Wie lange ein Übeltäter auf der Liste geführt wird, hängt von dessen weiterem Wohlverhalten ab. Fällt der Kandidat innerhalb einer bestimmten Zeitspanne nicht erneut unangenehm auf, dann wird der Eintrag automatisch gelöscht. Anmerkung: in einer Schwarzliste verzeichnet zu sein bedeutet bei unserer Technologie noch kein K.O.-Kriterium. Eine ansonsten saubere E-Mail mit einem einzelnen Schwarzlisten-Eintrag wird nicht als Spam gebrandmarkt.

Manuelle Weißlisten

Hier werden hauptsächlich auf Kundenwunsch in erster Linie Newsletter und ähnliche Periodika eingetragen, die von den automatischen Filtern als Spam disqualifiziert werden - aber offensichtlich, zumindest in den Augen unseres Kunden, kein Spam sind. Danach fragt z.B. Ihr Arzt oder Apotheker...

Manuelle Schwarzlisten

Dies sind manuell erstellte Listen, z.B. von notorischen Dauerspammern

Nach oben

Und wenn ein Spammer seine Texte als Bilder verschickt?

Macht nix - das Drumherum ist noch immer verräterisch genug. Der Betreff ist nach wie vor Text, genauso wie die Tasten CLICK HERE oder REMOVE - das reicht...

Und gleich noch so ein Spammer-Trick, der Ihnen vielleicht schon mal aufgefallen ist: mitten im Text HTML-Kommentare einflechten, also VIAG<!--zwiebel-->RA. Wieder Fehlanzeige: nach Sichtung und Bewertung des HTML-Mantels werden alle HTML-Elemente vor der Textanalyse entfernt.

Nach oben

Wie werden Spam-Regeln in der Praxis getestet?

Think positive! - Für den Entwickler von Filterregeln hat die kontinuierlich wachsende Bombardierung mit Spam und Viren aller Art einen höchst erfreulichen Nebeneffekt. Ist eine neue Testregel oder ein geändertes Kriterium eingebunden, dann reicht es gerade mal für eine Kaffeepause. Meist kommt währenddessen bereits wieder neuer Spam rein, so dass die Filterwirkung direkt am realen Objekt nahezu in Echtzeit beobachtet werden kann.

Nach oben

Das Thema interessiert mich - wo finde ich Literatur?

Einführung von Rudolf Sponsel, Erlangen, von der Gesellschaft für Allgemeine und Integrative Psychotherapie vom März 2002: Das Bayes'sche Theorem

Anmerkung: Der Bayes'sche Ansatz gibt die Wahrscheinlichkeit an, ob ein Kandidat zur Gruppe der gesuchten Merkmalsträger gehört unter der Bedingung, daß der Kandidat ein Kriterium erfüllt und er willkürlich aus der Population herausgegriffen wird. Geht zurück auf den Theologen, presbyterianischen Pfarrer, und Hobbymathematiker Thomas Bayes (1702-1761 - Tunbridge Wells, UK), der sein Theorem aus den Axiomen der mathematischen Wahrscheinlichkeitstheorie entwickelt hat

Eine umfassende 17-seitige Einführung zu Antispam-Maßnahmen jeglicher Art bietet ein Manuskript des australischen Distributed Systems Technology Centre (DSTC) vom September 2002 mit dem Titel Technical Solutions for Controlling Spam

Natürlich darf der absolute Shooting Star nicht fehlen: Paul Grahams innerhalb von kürzester Zeit zu Weltruhm gelangtes Thesenpapier über Bayes'sche Filter und Wahrscheinlichkeitsanalysen mit demTitel: A Plan for Spam vom August 2002.

Insider-Termin zum Vormerken: am 17.01.2003 findet im Media Lab des berühmten »Massachusetts Institute of Technology« die erste Spam Conference statt, zu der alle Hacker eingeladen sind, die sich mit Antispam-Technologien beschäftigen.

Nach oben

Kann ich Ihre Filter auch ohne Funkanschluss nutzen?

Selbst wenn Ihr Mailserver nicht innerhalb unseres Münchner Funknetzes steht, sondern extern z.B. bei einem anderen Provider untergebracht ist, können wir Ihnen mit unseren Mailfilterprodukten SpamVerdampfer® und VirEinfrierer® eine Steigerung der Lebensqualität bieten. Voraussetzung ist, dass unter Ihrer Domain ein eigener (auch virtueller) Mailserver eingerichtet ist, und dass Sie Zugriff auf die Konfigurationsdaten des Primary-DNS-Servers Ihrer Domain haben. Dort müssen die MX-Records geändert werden, damit die Umleitung - oder besser die Durchleitung - durch unsere Filter-Mailserver wirksam wird.

Der Wermutstropfen bei diesem Ansatz: jeder Mail-Traffic fällt doppelt an - zuerst rein in unser Netz, und nach erfolgter Filterung wieder raus zu Ihrem Mailserver. Daher müssen wir bei externen Kunden die doppelten Preise in Rechnung stellen. Entscheidend für die Eingruppierung in intern oder extern ist stets der Standort Ihres Mailservers - und nicht etwa, ob Sie Funknetzkunde sind oder nicht.

Nach oben

Kann ich Ihre Antispam-Maßnahmen vorab testen?

Gerne - wir schenken Ihnen ein einwöchiges unverbindliches Probeabo. Kommt im Verlauf der Probezeit kein Vertrag zu Stande, dann läuft das Probeabo am achten Kalendertag um 12:00 Uhr mittags automatisch aus.

Wir brauchen lediglich den Domainnamen, für den das Probeabo eingerichtet werden soll. Nutzen Sie ohnehin unsere Mailserver, dann können wir die Filter innerhalb von wenigen Minuten für Sie aktivieren.

Betreiben Sie dagegen Ihre eigenen Mailserver, dann können wir zwar unsere Konfiguration kurzfristig aktivieren, es bedarf in diesem Fall aber noch einer Änderung Ihrer DNS-Server, die Sie selbst ausführen müssen. Die Vorgehensweise ist in unseren Mailserver-FAQs Schritt für Schritt beschrieben.

Für das Probeabo spielt es übrigens keine Rolle, ob Ihre Server in unserem Funknetz oder im Netz eines anderen Providers stehen. Sie müssen lediglich Zugriff auf die DNS-Konfiguration der gewünschten Domain haben.

Eine Bitte: informieren Sie Ihre Nutzer unbedingt vorab von dieser Maßnahme, am besten unter Hinweis auf diese Seite. Der Mensch ist ein Gewohnheitstier, und reagiert auf nicht nachvollziehbare Eingriffe in den Mailverkehr erstaunlich heftig...

Nach oben