Bekämpfung von Backscatter-Spam auf Serverebene

Zusammenfassung

Diesen Monat hatte ich mit Backscatter-Spam zu tun, der einen der Mailserver betraf, die ich betreue. Als Server-Engineer sorge ich dafür, dass Server keinen Spam verschicken und eingehende E-Mails gefiltert werden. Trotz aller Mühe landete dieser Server immer wieder auf Blacklists, weil er Spam an iCloud, Office 365 und Google Gmail for Business (G Suite) schickte. Lies weiter, um zu erfahren, was die Ursache war und wie du das Problem löst.

Volltext

Das Problem

Der Server ist ein Postfix-Mailserver unter Debian GNU/Linux mit allen aktuellen Updates und Sicherheitspatches. Ihn nutzen legitime Kunden, die sich dafür korrekt authentifizieren müssen.

Kein Open Relay werden

Die Authentifizierung jedes einzelnen Benutzers ist eine wichtige Maßnahme gegen den Missbrauch eines Mailservers. Wird Spam verschickt, siehst du in den Logs des Mailservers, welcher Benutzer das Problem verursacht. Technisch gesprochen verhinderst du damit, dass der Server zum "Open Relay" wird. Postfix hat viele Einstellungen, um SMTP-Relaying per Zugriffskontrolle einzuschränken.

Ratenbegrenzung für (gehackte) Mailkonten

Wenn einzelne Benutzer den Server missbrauchen, hat meist ihr Computer einen Virus, oder ihr Passwort wurde abgefangen. Das kann passieren, wenn du deine E-Mails über ein unverschlüsseltes WiFi (ohne TLS/SSL) abrufst. Für solche Fälle ist es sinnvoll, die Zahl der E-Mails zu begrenzen, die ein einzelner Benutzer verschicken darf. Dazu kannst du einzelne Postfix-Konfigurationsparameter nutzen (wie smtpd_client_message_rate_limit, smtpd_client_connection_rate_limit und smtpd_client_recipient_rate_limit) oder eine Postfix-Firewall wie Postwfd einsetzen.

Der Server landet auf der Blacklist von "backscatterer.org"

Trotz aller Maßnahmen gegen Spam-Missbrauch stand der Server wegen Spam-Versands auf http://backscatter.org. Steht ein Server auf einer Blacklist, vertrauen ihm andere Server nicht mehr und halten alle seine Nachrichten für verdächtig. Dadurch können auch deine (legitimen) Nachrichten bei anderen Servern als Spam gelten (False Positives). Um zu verstehen, warum das passiert ist, musst du zuerst wissen, was Backscatter-Spam ist.

Was ist Backscatter-Spam?

Backscatter-Spam sind fehlerhaft automatisierte Unzustellbarkeitsmeldungen, die ein Mailserver verschickt, meist als Nebeneffekt eingehenden Spams.

Backscatter entsteht, wenn Spammer die Absenderadresse fälschen. Sie schicken eine Nachricht, von der sie erwarten, dass sie zurückgewiesen wird, und nehmen dafür die Adresse eines Fremden als Absender. Wird die Nachricht zurückgewiesen, schickt der Mailserver sie an den gefälschten Absender zurück... und liefert damit praktisch selbst Spam an diese Adresse.

Im einfachen Backscatter-Szenario wird eine Nachricht an den falschen Absender zurückgeschickt. Das lässt sich leicht lösen: Du konfigurierst den Server so, dass er keine Unzustellbarkeitsmeldungen verschickt, sondern stattdessen mit einem SMTP-Fehlercode antwortet.

Leider gibt es ein zweites (schwierigeres) Szenario, in dem dein Mailserver Backscatter-Spam verschickt. Das passiert, wenn jemand auf deinem Server sein Mailkonto so einrichtet, dass E-Mails an eine andere Adresse weitergeleitet werden. Der zweite Server hat vielleicht einen strengeren Spamfilter, der Nachrichten bei der Weiterleitung blockiert. Dein Mailserver meldet dem ursprünglichen Absender dann, dass die Weiterleitung fehlgeschlagen ist, und schon hast du Backscatter-Spam.

Das Weiterleitungsszenario ist viel schwerer zu lösen, denn den anderen Mailserver und seine Spamfilter-Einstellungen hast du womöglich nicht unter Kontrolle. Schlimmer noch: Oft liegt zwischen dem Annehmen und dem Weiterleiten der Nachricht eine Verzögerung, sodass du gar nicht auf die Antwort des anderen Servers warten kannst.

Backscatter-Spam verhindern

Backscatter-Spam verhinderst du nur dann komplett, wenn du auf dem ersten Mailserver ganz streng bist, schon beim Aufbau der SMTP-Verbindung. Das löst das schwierige "Weiterleitungsszenario", denn du bist sehr wählerisch, welche Nachrichten überhaupt weitergeleitet werden.

Spam blockieren, bevor er den Server erreicht

Am besten verhinderst du Backscatter-Spam, indem du ihn blockierst, bevor er in die (Kette von) Server(n) gelangt.

Traditionell setzen Server fortschrittliche Spamfilter wie SpamAssassin ein, die Nachrichten einzeln analysieren. Das belastet den Mailserver zusätzlich.

Viel einfacher ist es, sich für die erste Filterung den Absender anzusehen (zum Beispiel, ob er einen roten Hut trägt). Steht der Absender auf einer Blacklist? Benutzt er eine "normale" Mail-App, oder kommen die Nachrichten von einem Virus oder einer Malware? Du kannst vieles daran erkennen, welche "Sprache" der Absender spricht.

In Postfix legst du SMTP-Einschränkungen in der Konfigurationsdatei main.cf fest. Es gibt Prüfungen, mit denen sich Nachrichten blockieren lassen. Bei der Filterlogik arbeitest du am besten von "leicht nach schwer" und beginnst mit Dingen, die du prüfen kannst, ohne externe Server zu fragen. Das spart Netzwerkverkehr und Last. Nur wenn eine Nachricht alle Prüfungen besteht, wird sie zur Zustellung (oder Weiterleitung) zugelassen.

Bei der Zustellung kannst du zusätzlich aufwendigere (und benutzerspezifische) Spamfilter einsetzen, mit Tools wie SpamAssassin oder Bayes-Filterung. Wenn weniger offensichtliche Spam-Nachrichten durchkommen, können diese ressourcenhungrigen Filter viel effizienter arbeiten.

Fazit

Spam auf Serverebene zu bekämpfen ist ein hartes Spiel, denn Spammer werden beim Missbrauch von Mailserver-Mechanismen immer kreativer. Landet dein Server wegen Backscatter-Spam auf einer Blacklist, musst du dich vor Weiterleitungsszenarien in Acht nehmen. Behalte die Blacklists im Auge, um zu sehen, ob dein Server Ärger macht.

Blockiere Nachrichten mit Fehlercodes, statt sie an den Absender zurückzuschicken (Bouncing). Konfiguriere den Server mit einer strengen Zustellungsrichtlinie. Am besten verhinderst du Backscatter-Spam, indem du Nachrichten blockierst, bevor sie in den Mailserver gelangen. Jetzt weißt du, wie das geht.