Kopfzeilen¶

Um die folgenden Beispiele nachvollziehen zu können, sollte man zuerst in seinem E-Mail-Programm die Anzeige aller Kopfzeilen ("Header") aktivieren. Gerade die für den hier beschriebenen Zweck wichtigen Zeilen sind nämlich standardmäßig meist ausgeblendet. Jede Header-Zeile besteht aus dem Bezeichner, einem Doppelpunkt, und dem Inhalt des Headers, der den Rest der Zeile einnimmt. Ein Header kann sich auch über mehrere Zeilen erstrecken. In diesem Fall müssen die Folgezeilen mit einem Leerzeichen beginnen. Eine leere Zeile markiert das Ende des Header-Bereichs und den Beginn der eigentlichen Mail.

Grundsätzlich kann man die Kopfzeilen in zwei Gruppen unterteilen:

• Jene, die vom Absender generiert werden: Das sind eigentlich fast alle, inkl. der standardmäßig angezeigten From:, To:, Subject:, Date:, usw. Da der Absender die Erstellung kontrolliert, sind diese Header nicht vertrauenswürdig und können bei der Suche nach dem Ursprung einer Spammail getrost vergessen werden.

• Solche, die "unterwegs" von den Mailservern eingetragen werden, über die diese Mail gelaufen ist. In der Hauptsache sind das die Received:-Zeilen, anhand derer man den Verlauf der Zustellung nachvollziehen kann. Jede Zwischenstation ("Relay"), über die eine Mail geleitet wird, muss mindestens so eine Received:-Zeile eintragen, und zwar immer am Anfang der Mail. Alles, was oberhalb der ältesten (nicht gefälschten) Received:-Zeile steht, ist also vertrauenswürdig, alles darunter nicht.

Envelope-Adressen¶

Verwirrung herrscht manchmal auch über die Beziehung der From:- und To:-Header zur Auslieferung der Mail. Es gibt nämlich keine. Diese sind eher vergleichbar mit einem traditionellen Briefkopf. Relevant für den Briefträger ist aber die Adresse, die auf dem Umschlag steht, und auch bei der elektronischen Post gibt es so eine Art Umschlag, auf englisch Envelope genannt.

Die Nennung der Envelope-Adressen ist im SMTP-Protokoll vorgeschrieben und geschieht über die Befehle MAIL FROM: und RCPT TO:. (Näheres im Artikel Mailserver testen.) Seriöse E-Mail-Clients sorgen natürlich dafür, dass die Adressen auf dem Envelope und im Header übereinstimmen, aber diese Übereinstimmung wird auf der Serverseite im Allgemeinen nicht erzwungen. Den Envelope-Absender kann man übrigens ebenfalls problemlos fälschen. Nur der Envelope-Adressat muss natürlich korrekt sein, damit die E-Mail am Bestimmungsort ankommt. Manche Mail-Server notieren abweichende Envelope- und Header-Adressen, indem sie der Mail einen Envelope-To:- respektive Return-Path:-Header hinzufügen. (Return-Path: bezeichnet die Adresse, wohin Fehlermeldungen geschickt werden können, welches der Envelope-Absender ist.)

Received:-Zeilen¶

Wie oben schon erwähnt, muss man die Received:-Zeilen lesen, um die Herkunft einer E-Mail zu ermitteln. Diese sehen z.B. so aus (E-Mailadressen und persönliche Daten verfremdet):

Return-Path: <system @ ubuntuusers.de>
Received: from punkrock.otze ([unix socket])
 by punkrock (Cyrus v2.1.18-IPv6-Debian-2.1.18-5.1) with LMTP; Tue, 30 Dec 2008 21:56:09 +0100
Received: from localhost (localhost [127.0.0.1])
 by punkrock.otze (Postfix) with ESMTP id 8442B33F41
 for <otzenpunk@localhost>; Tue, 30 Dec 2008 21:56:09 +0100 (CET)
Received: from punkrock.otze ([127.0.0.1])
 by localhost (punkrock.otze [127.0.0.1]) (amavisd-new, port 10024)
 with ESMTP id VaEx9k10wxvZ for <otzenpunk@localhost>;
 Tue, 30 Dec 2008 21:56:06 +0100 (CET)
Received: from pop.1und1.de (localhost [127.0.0.1])
 by punkrock.otze (Postfix) with ESMTP id 4A89133F40
 for <otzenpunk@localhost>; Tue, 30 Dec 2008 21:56:06 +0100 (CET)
Delivery-Date: Tue, 30 Dec 2008 21:51:48 +0100
Received: from eshu.ubuntu-eu.org (eshu.ubuntu-eu.org [88.191.92.57])
 by mx.kundenserver.de (node=mxeu22) with ESMTP (Nemesis)
 id 0MKr6C-1LHlZ53hyx-000hdT for otzenpunk@example.com; Tue, 30 Dec 2008 21:51:48 +0100
Received: from dongo.ubuntu-eu.org ([213.95.41.16])
 by eshu.ubuntu-eu.org with esmtp (Exim 4.69)
 (envelope-from <system @ ubuntuusers.de>)
 id 1LHlZ5-0000D5-HK
 for otzenpunk@example.com; Tue, 30 Dec 2008 21:51:47 +0100

Da ein Mailserver seine Received:-Zeile immer an den Anfang der Mail schreibt, geben diese zusammen genommen den Verlauf der Mail rückwärts wieder:

• Die Mail wurde auf dongo.ubuntu-eu.org erstellt und von dort am 30. Dezember um 21:51 Uhr auf eshu.ubuntu-eu.org eingeliefert.

• eshu.ubuntu-eu.org hat die dann weitergeleitet an mx.kundenserver.de, den Posteingangsserver des Providers.

• Von dort erhält ihn der Postfix auf punkrock.otze. (In Klammern ist als Quelle localhost [127.0.0.1] angegeben. Der Grund dafür ist, dass die Mail via Fetchmail abgeholt wurde, welcher auf dem Localhost läuft. Postfix hat also gemerkt, dass die Mail nicht wirklich von eshu.ubuntu-eu.org eingeliefert wurde.

• Die restlichen Received:-Zeilen stammen auch alle vom selben Rechner, weil die Mail dort ein bisschen umhergeschoben wurde. Von Postfix zur Filtersoftware Amavis, wieder zurück zu Postfix und schlussendlich zum IMAP-Server Cyrus.

• Der Envelope-Absender lautet <system @ ubuntuusers.de>.

Die Mail hatte also ihren Ursprung auf dongo.ubuntu-eu.org.

Return-Path: <poultice9 @ bugs.debian.org>
Received: from punkrock.otze ([unix socket])
 by punkrock (Cyrus v2.1.18-IPv6-Debian-2.1.18-5.1) with LMTP; Mon, 27 Oct 2008 11:30:09 +0100
Received: from localhost (localhost [127.0.0.1])
 by punkrock.otze (Postfix) with ESMTP id 69B3A33F3D
 for <otzenpunk@localhost>; Mon, 27 Oct 2008 11:30:09 +0100 (CET)
Received: from punkrock.otze ([127.0.0.1])
 by localhost (punkrock.otze [127.0.0.1]) (amavisd-new, port 10024)
 with ESMTP id gzNqf3Jt+FA2 for <otzenpunk@localhost>;
 Mon, 27 Oct 2008 11:30:09 +0100 (CET)
Received: from pop.1und1.de (localhost [127.0.0.1])
 by punkrock.otze (Postfix) with ESMTP id E376233F30
 for <otzenpunk@localhost>; Mon, 27 Oct 2008 11:30:08 +0100 (CET)
Delivery-Date: Mon, 27 Oct 2008 11:25:28 +0100
Received: from mail.geodezia.hu (mail.geodezia.hu [62.77.225.150])
 by mx.kundenserver.de (node=mxeu2) with ESMTP (Nemesis)
 id 0MKpdM-1KuPHh08sd-000Zjm for otzenpunk@example.com; Mon, 27 Oct 2008 11:25:27 +0100
Received: from [62.77.225.150] by bugs.debian.org; Mon, 27 Oct 2008 11:25:27 +0100

Beschwerde einreichen¶

Manchmal kann es sinnvoll sein, Spam an geeigneter Stelle zu melden. Wenn ein gecrackter Server zum Versenden genutzt wurde, sind die Betreiber vielleicht sogar dankbar darüber, wenn man sie auf das Problem aufmerksam macht. Seriöse Provider dulden auch keine Spammer unter ihren Kunden und gehen dagegen vor, wenn man sie benachrichtigt.

Auf der anderen Seite möchte man aber natürlich nicht den Spammer mit der Nase darauf stoßen, dass die eigene Mailadresse nicht nur gültig ist, sondern auch regelmäßig gelesen wird. Außerdem hat man im Allgemeinen auch nicht unbegrenzt Zeit für so was, es sei denn, man möchte die Beschäftigung mit Spam zum neuen Hobby machen.

Folgende Richtlinien könnten dabei nützlich sein:

• Immer an den Provider wenden, nicht direkt an den Server-Betreiber. Letzterer ist entweder selber der Spammer oder oft nicht mal in der Lage, das Anliegen überhaupt zu verstehen bzw. das Problem zu beheben. Besonders Merkbefreite machen dann auch gerne mal den Überbringer der schlechten Nachricht für ihren Inhalt verantwortlich und drohen mit Strafanzeigen oder bepöbeln einen in ihrem Blog.

• Welcher Provider zuständig ist, erfährt man durch eine whois-Abfrage nach der IP-Adresse. (Paket whois oder unter Gnome: "System -> Systemverwaltung -> Netzwerkdiagnose -> Whois§)

• Abuse.net bietet eine große Datenbank an Beschwerde-Adressen von Providern (wenn diese Information nicht sowieso schon in der Whois-Abfrage drin stand).

• Manche Provider kümmern sich gerne um Abuse-Meldungen, weil sie ihren Laden sauber halten wollen, bei anderen stößt man dagegen auf taube Ohren, weil sie von jedem Geld nehmen. In so einem Fall kann man dann auch nichts weiter machen. Zu welcher Gruppe ein Provider gehört, lässt sich meist nicht ohne aufwändige Recherche feststellen. Grob gesagt ist es aber so, dass Beschwerden an deutsche Provider oder solche aus dem EU-Ausland sich oftmals lohnen, während man sich bei Spam aus Fernost den Aufwand von vornherein sparen kann. Ausnahmen bestätigen natürlich die Regel.

• Verkehrssprache ist englisch. Deutschsprachige Mails an ausländische Provider (abgesehen natürlich von Österreich und der Schweiz) wandern verständlicherweise direkt nach "/dev/null".

• Wer jemanden beschuldigt, Spam zu versenden, muss das auch beweisen können. Also bei der Beschwerde immer den kompletten Header mitschicken und anhand dessen detailliert darlegen, wie man dazu kommt, den Übeltäter ausgerechnet unter den Kunden dieses Providers zu vermuten. Außerdem unbedingt höflich bleiben und erstmal davon ausgehen, dass der Providerkontakt ebenfalls an einer Aufklärung interessiert ist und diese Aktivitäten ebenfalls unterbinden möchte.

Links¶