Authentifizierung - Der heilige Gral gegen Spam?

10.05.2011: Im Kampf gegen Spam werden insbesondere von den großen Providern neue Technologien entwickelt, die leider zwei Dinge gemeinsam haben: Sie dämmen das Ausmaß von Spam-Mails kaum merkbar ein, machen jedoch das Leben von Unternehmen, die gesetz-konformes (und erwünschtes) E-Mail-Marketing betreiben, zunehmend schwerer.

Besonders ärgerlich ist dabei, dass wieder mal viele große Provider ihr eigenes Süppchen kochen - und durch das Fehlen von allgemein und breit akzeptierten Standards dafür sorgen, dass das eigentliche Ziel - die Reduzierung des Mail-Mülls - verfehlt wird.

Das Ziel der Authentifizierungs-Maßnahmen ist eigentlich simpel: Es soll verhindert werden, dass ein Spammer den Absender fälscht und damit im Namen eines (meist vertrauenswürdig erscheinenden) Absenders seine Mails verschickt. Durch technische Maßnahmen soll nun sichergestellt werden, dass ein Absender auch tatsächlich der wahre Absender einer Mail ist - und zum Versand auch legitimiert ist. Auf diese Weise würde sich Ham (erwünscht) von Spam (unerwünscht) leicht unterscheiden lassen.

Dafür gibt es derzeit drei verschiedene Verfahren:

Sender-ID: Wird vor allem von Microsoft (Hotmail bzw. Live Mail) eingesetzt. Dabei wird im DNS-Eintrag einer Domain hinterlegt, welche IP-Adressen Mails verschicken dürfen. Ein Mail-Server, der ein Mail von max.mustermann@firma.at empfängt, sieht also bei der Domain firma.at nach, welche Rechner überhaupt Mails verschicken dürfen - und vergleicht diese Liste mit der IP-Adresse, von der er das Mail erhalten hat. Wenn das Mail von einem nicht-legitimierten Rechner verschickt wurde, wird es als Spam erkannt.

Der Nachteil: Auch Spammer können Server betreiben und dort Sender-IDs hinterlegen -- ganz wie legitime Mail-Versender auch. Wenn die Spammer irgendwo im tiefsten Usbekistan oder in Süd-Burundi sitzen, nützt es herzlich wenig zu wissen, wem der Server gehört...

Sender Policy Framework (SPF): Funktioniert ähnlich wie die Sender-ID: Auch hier wird im DNS ein Code hinterlegt, der zur Prüfung der Legitimation verwendet wird.

Der Nachteil: Dieses Verfahren wird derzeit nur von AOL und Google eingesetzt - wird aber von anderen Big Players nicht unterstützt; Allerdings ist auch Spam-Assassin mit an Bord, der Mails mit SPF-Eintrag mit einem großen Bonus bewertet. Spam-Assassin gehört weltweit zu den bekanntesten Spam-Filtern.

Ein weiterer Nachteil entsteht jedoch beim Weiterleiten: Wenn max.mustermann@firma.at das Mail an einen Bekannten weiterleitet, sieht dann der Mail-Server des Bekannten im DNS nach - und entdeckt, dass firma.at ja nicht zum Versand der Original-Mail berechtigt ist -- und das legitime (und erwünschte!) Mail landet im Spam-Ordner oder wird gelöscht.

DomainKeys: Die E-Mail wird mit einer digitalen Signatur versehen, die der empfangende Server anhand des öffentlichen Schlüssels, der im DNS der Domäne verfügbar ist, verifizieren kann.

Der Nachteil: Dieses Verfahren wird derzeit nur von Yahoo! verwendet. Allerdings kann DomainKeys immerhin verbuchen, dass es im Mai 2007 als RFC-Norm veröffentlich wurde (übrigens auch mit der Unterstützung von Microsoft und AOL).

Unser Fazit: Status unbefriedigend

Natürlich sind alle Verfahren, die wirkungsvoll den täglichen Spam-Wahnsinn einzudämmen helfen, sehr zu begrüßen. Aber solange die Big Players es nicht schaffen, sich gemeinsam an einen Tisch zu setzen und gemeinsame Standards zu etablieren (die auch von allen unterstützt werden!), werden Spammer unbeschadet weiter ihre Viagra-und-co Mails verschicken, während legitime E-Mail Marketer zunehmend unberechtigt im Spam-Filter landen.