NEU Telekom E-Mail Engineering NEU - einzelfall
Hauptmenü:
NEU Telekom E-Mail Engineering NEU
Telekom E-Mail Engineering oder
„Kabarett kann man planen. Sowas hier muss einem geschenkt werden.“ 😂
Der Spam, der Spamfilter und die verbotene Beweisübermittlung
Eine fast wahre Geschichte aus dem deutschen digitalen Alltag – mit dem kleinen Schönheitsfehler, dass sie vollständig wahr ist.
Es begann eigentlich ganz harmlos. Wir bekamen Spam. Das ist im Internet ungefähr so außergewöhnlich wie Regen im November oder die Erkenntnis,
dass ein Drucker bevorzugt dann kein Papier mehr hat, wenn man dringend etwas ausdrucken möchte.
Nun gehören wir allerdings zu jener offenbar etwas sonderbaren Sorte Internetnutzer, die Spam nicht nur löschen, sondern gelegentlich wissen möchten, woher der Müll kommt und über welche Infrastruktur er verschickt wurde.
Also schaut man sich die technischen Daten einer solchen E-Mail an. Und siehe da: Eine E-Mail besteht nicht nur aus:
„HERZLICHEN GLÜCKWUNSCH!!! SIE HABEN 986.000 PFUND GEWONNEN!!!“
Dahinter befinden sich Header. Dort stehen Message-IDs, IP-Adressen, Versandserver, DKIM-Signaturen, Zeitstempel, Feedback-IDs und allerlei anderes Zeug, bei dessen Anblick normale Menschen verständlicherweise lieber den Fernseher einschalten.
Für Abuse-Teams sind genau diese Daten allerdings interessant. Denn wer Missbrauch eines Mailservers untersuchen soll, benötigt Informationen darüber, welcher Mailserver eigentlich missbraucht wurde.
Revolutionäres Konzept.
Dann kam Mailgun. Bei mehreren Spam-Mails fanden sich technische Hinweise auf Infrastruktur des Maildienstleisters Mailgun. Also meldeten wir den Vorgang dort. Mailgun wollte nicht etwa wissen:
„War die E-Mail wirklich doof?“ Auch die Frage: „Hat sie Ihnen emotional wehgetan?“ blieb aus. Stattdessen wollte das Abuse-Team technische Informationen. Vollständige Mailheader. Und zwar ausdrücklich im Nachrichtentext. Wir lieferten diese Daten.
Das Ergebnis war bemerkenswert unspektakulär: Mailgun untersuchte den Vorgang. Später teilte man uns mit: „The user was identified and proper measures were taken.“
Der betreffende Nutzer sei identifiziert worden und entsprechende Maßnahmen seien ergriffen worden. Gleichzeitig bat Mailgun darum, weitere derartige Fälle zu melden. Aha. Beweismittel → Abuse-Team → Untersuchung → Maßnahmen. Man könnte beinahe meinen, das System sei absichtlich so konstruiert worden. Und dann kam die Telekom. Wir bekamen weiteren Spam. Wir untersuchten ihn. Wir fanden wieder technische Zusammenhänge. Mailgun bat um weitere vollständige Header. Also verfassten wir eine E-Mail an das Abuse-Team und fügten die verlangten technischen Daten ein. Nun musste diese E-Mail nur noch verschickt werden. An dieser Stelle betrat die Deutsche Telekom die Bühne. Der Telekom-Mailserver untersuchte unsere Nachricht und stellte offenbar mit bemerkenswerter Präzision fest: Diese E-Mail enthält Spam! Das war vollkommen richtig. Schließlich schrieben wir gerade eine Abuse-Meldung über Spam. Daraufhin tat das Sicherheitssystem das, was ein Sicherheitssystem offenbar tun muss, wenn ein Kunde versucht, Spam an ein Spam-Abuse-Team zu melden: Es verhinderte den Versand. Fehler:
550 5.7.0 – Message considered as spam or virus, rejected
Damit war der Spammer zunächst erfolgreich vor unserer Beschwerde geschützt. Das muss man erst einmal hinbekommen. Die Polizei hätte da eine ähnliche Lösung Man stelle sich dasselbe Verfahren bei einem Banküberfall vor. Der Zeuge erscheint auf der Polizeiwache. Polizist:
„Können Sie den Täter beschreiben?“
Zeuge:
„Natürlich. Etwa 1,80 Meter groß, schwarze Jacke, auffällige—“
„Natürlich. Etwa 1,80 Meter groß, schwarze Jacke, auffällige—“
Datenschutzsystem:
„STOP! Personenbezogene Daten!“
„STOP! Personenbezogene Daten!“
Polizist:
„Haben Sie vielleicht ein Foto?“
„Haben Sie vielleicht ein Foto?“
Zeuge:
„Ja, sogar ein Video.“
„Ja, sogar ein Video.“
Sicherheitssystem:
„Übermittlung verweigert. Auf dem Video wurde ein Bankräuber erkannt.“
„Übermittlung verweigert. Auf dem Video wurde ein Bankräuber erkannt.“
Polizist:
„Aber genau deshalb möchten wir das Video haben.“
„Aber genau deshalb möchten wir das Video haben.“
Sicherheitssystem:
„Eben. Es enthält einen Bankräuber.“
„Eben. Es enthält einen Bankräuber.“
Zeuge:
„Wie soll ich Ihnen denn jetzt die Beweise geben?“
„Wie soll ich Ihnen denn jetzt die Beweise geben?“
Technische Fachabteilung:
„Packen Sie den Bankräuber bitte in eine ZIP-Datei.“
„Packen Sie den Bankräuber bitte in eine ZIP-Datei.“
Willkommen in der digitalen Welt.
Die Telekom erklärt uns die Telekom Natürlich fragten wir nach. Der Kundenservice erklärte uns schließlich, dass ausgehende Nachrichten automatisiert auf Viren, Schadsoftware und Spam geprüft würden. Dabei spiele es keine Rolle, ob eine Nachricht neu verfasst oder lediglich weitergeleitet werde. Werde sie als Spam erkannt, könne der Versand blockiert werden. Genau das sei in unserem Fall geschehen. Das war immerhin eine klare Antwort. Sie beantwortete nur leider nicht unser Problem. Denn wir wollten den Spam nicht an Tante Erna weiterleiten. Wir wollten technische Beweisdaten an eine Abuse-Stelle schicken, die ausdrücklich darum gebeten hatte. Also versuchten wir zu erklären, dass es möglicherweise einen kleinen semantischen Unterschied gibt zwischen:
„Ich verschicke Spam.“ und: „Ich dokumentiere Spam für die Stelle, die den Spammer untersuchen soll.“
Das führte zu längerem Schriftverkehr.
Irgendwann schlugen wir halb im Scherz vor, dass sich vielleicht einmal Abuse-Team, Spamfilter-Verantwortliche und Kundenservice gemeinsam an einen Tisch setzen und einander vorstellen sollten. Manchmal sollte man vorsichtig sein mit dem, was man sich wünscht. Auftritt: E-Mail Engineering Denn tatsächlich meldete sich schließlich das E-Mail Engineering der Deutschen Telekom AG. Jetzt, so dachten wir, kommt die technische Lösung. Und tatsächlich erklärte uns die Fachabteilung zunächst etwas ausgesprochen Interessantes:
Eine Spam- oder Phishing-Mail könne zunächst zugestellt werden und schon wenige Minuten später nicht mehr weitergeleitet werden, weil der Inhalt inzwischen als schädlich klassifiziert worden sei. Das ist technisch durchaus nachvollziehbar.
Dann kam die Lösung:
„Falls Sie die E-Mail weiterleiten möchten, speichern Sie bitte den Quelltext ab, packen ihn in eine ZIP-Datei und versenden Sie diese als Anhang zu Ihrer Weiterleitung.“
Da saßen wir nun. Das externe Abuse-Team sagt: „Bitte schicken Sie uns die vollständigen Header im Nachrichtentext.“ Die Telekom sagt: „Packen Sie sie in eine ZIP-Datei.“ Das Abuse-Team: „Nicht als Anhang.“ Telekom: „ZIP.“ Abuse-Team: „Wir müssen die Daten auswerten.“ Telekom: „ZIP.“ Kunde: „Aber—“ Telekom: „Haben Sie ZIP schon ausprobiert?“ Andere Provider machten etwas völlig Verrücktes : Zwischendurch hatten wir nämlich eine geradezu waghalsige Idee: Wir verschickten eine solche Abuse-Meldung über einen anderen E-Mail-Anbieter. Und dann geschah etwas, womit niemand rechnen konnte. Die E-Mail wurde… zugestellt. Keine Sirenen. Kein Bundeswehreinsatz. Kein Mann im Schutzanzug erschien vor unserem Haus. Der Mailserver transportierte die Nachricht einfach zum vorgesehenen Empfänger. Noch erstaunlicher: Das Abuse-Team konnte anschließend mit den übermittelten Informationen arbeiten. Bei Mailgun führte eine solche Meldung sogar zu der bereits erwähnten Rückmeldung, dass ein Nutzer identifiziert und Maßnahmen ergriffen worden seien.
Später meldeten wir weitere verdächtige Nachrichten auch anderen zuständigen Stellen. Bei Newfold/Bluehost beispielsweise wurde unsere Abuse-Meldung mitsamt technischen Headern und Originalnachricht über das vorgesehene Abuse-Verfahren angenommen.
Wir behaupten ausdrücklich nicht, dass jede Meldung automatisch einen Missbrauch beweist oder dass jeder Betreiber einer betroffenen Webseite selbst der Spammer sein muss. Ein Account oder eine Webseite kann schließlich auch kompromittiert oder anderweitig missbraucht worden sein.
Genau deshalb meldet man den Vorgang ja dem zuständigen Abuse-Team zur Untersuchung.
Man liefert die Spuren. Die Fachleute untersuchen sie. Eigentlich überschaubar. Das Beweismittelkühlschrank-Prinzip Inzwischen sammeln wir verdächtige Nachrichten gewissermaßen in unserem digitalen Beweismittelkühlschrank. Dort liegen Header, Message-IDs, ersandserver, DKIM-Signaturen und andere technische Spuren fein säuberlich nebeneinander. Bei Bedarf nimmt man eine Probe heraus und übergibt sie dem zuständigen Abuse-Team. Nur beim Telekom-Mailausgang sollte man offenbar vorher fragen, ob das Beweismittel eine geeignete Verpackung trägt. Vielleicht braucht unser Kühlschrank deshalb künftig verschiedene Schubladen: Gemüsefach: normale E-Mails. Gefrierfach: Spam. Obere Ablage: vollständige Header. Sonderfach Telekom: Beweismittel bitte ausschließlich ZIP-verpackt. Daneben könnte ein kleiner Hinweis hängen: „Der Inhalt dieses Kühlschranks dient der Spam-Bekämpfung. Bitte nicht vor der Untersuchung vernichten.“ Und die Moral von der Geschichte?
Spamfilter sind notwendig. Natürlich sind sie das.
Niemand verlangt von der Telekom, ihre Kunden schutzlos mit Spam, Phishing oder Schadsoftware zu bombardieren. Aber ein Sicherheitssystem sollte irgendwann vielleicht die bemerkenswerte technische Innovation beherrschen, zwischen einem Spammer und einem Kunden zu unterscheiden, der eine dokumentierte Abuse-Meldung an eine zuständige Abuse-Stelle sendet. Denn andernfalls entsteht eine Situation von geradezu vollendeter Schönheit: Der Spammer kann uns seine Nachricht schicken. Wir können sie empfangen. Wir können sie untersuchen. Das Abuse-Team möchte die technischen Beweise haben. Wir können die Beweise nur nicht über unseren Telekom-Mailausgang dorthin schicken, weil darin Spam erkannt wurde. Der Spamfilter hat also seine Aufgabe erfüllt. Der Spam war erkannt.
Die Abuse-Meldung war verhindert. Und irgendwo im Internet sitzt möglicherweise ein Spammer und weiß gar nicht, wie hervorragend er von deutscher Sicherheitstechnik unterstützt wird. Man könnte diese Geschichte für eine kabarettistische Übertreibung halten.
Leider besitzen wir den Schriftverkehr. Und deshalb gilt wieder einmal:
Kabarett kann man planen. Sowas hier muss einem geschenkt werden.
Hinweis zur Einordnung: Dieser Beitrag beschreibt unseren dokumentierten Schriftverkehr und unsere eigenen Erfahrungen. Die satirischen Dialoge und Vergleiche sind selbstverständlich überspitzt. Die zitierten technischen Aussagen der Telekom und die beschriebenen Rückmeldungen der Abuse-Stellen werden davon getrennt wiedergegeben.
