Spamfilter Funktionsweise

Inhalt
 

Der Spamfilter analysiert den Inhalt Ihrer E-Mail und sucht hier nach typischen Spam-Mustern. Durch den Einsatz von KI sind es inzwischen hier weniger einzelne Signalworte als der Gesamtkontext, der zählt.

• Übertriebene werbliche Formulierungen und Versprechungen: "100% kostenlos", "Komplett gratis", "Exklusiv nur für Sie" - solche und ähnliche Formulierungen können bei entsprechender Häufung und im Gesamtkontext als Spam-Anzeichen gewertet werden. 
• Künstliche Dringlichkeit: "Nur heute", "Handeln Sie sofort", "Überprüfen Sie dringend", "Ihr Konto wird gesperrt" - E-Mails, in denen versucht wird, Druck auf den Empfänger auszuüben, werden leicht geblockt.
• Betrugsmuster / Ähnlichkeit zu Spam-Kampagnen: Spam-Filter prüfen anhand von Vergleichsmails, ob es sich um eine typische "seriöse" E-Mail handelt, sondern Ähnlichkeiten zu (ggf. auch ganz aktuellen) Spam-E-Mails aufweist. 
• Austauschbare Texte / mangelnde Individualität: Tatsächlich werten (KI-basierte) Spam-Filter zunehmend auch solche Texte als Spam-Indiz, die für sie generisch, standardisiert, austauschbar wirken. Muster von Kampagnen, deren Texte sich sehr ähneln, lassen sich schnell erkennen - und als Spam-Indiz werten.

Schreibweise

• Unnatürliche Wiederholung von Satzzeichen: Unnötige Zeichenwiederholung (Bspw.: !!!, ???, $$$) lassen die Spam-Wahrscheinlichkeit steigen.
• Großbuchstaben: Passagen, die nur in Großbuchstaben geschrieben oder durch Leerzeichen gesperrt sind, können als Spamkriterium gewertet werden, z.B. "GRATIS", "SOFORT ANMELDEN".
• Sich vielfach wiederholende Textpassagen: Wenn im Text eine Textpassage, wie z. B. "Hier klicken" mehrmals in der E-Mail auftaucht, kann der Spamfilter aktiv werden.

Link-Analyse

• Sehr viele Links: Bei einer unnatürlichen Häufigung von Links (bspw. mehr Links als Fließtext), reagieren viele Spam-Filter.
• Zieldomain der Links: Wo führen die Links hin? Alter, Reputation, Blacklist-Einträge und Weiterleitungen fließen bei der Analyse mit ein. 
• Abweichungen zwischen angezeigtem und tatsächlichem Ziel: Wird im Text bspw. die Domain www.beispiel.de angezeigt - verlinkt wird aber zu einer ganz anderen Domain, dann ist dies ein starkes Signal für Spam.

Aufbau und Struktur

• Versteckter Text: Sehr kleiner Text oder bspw. weißer Text auf weißem Grund - diese Inhalte sind für den Empfänger kaum sichtbar. Dies dient  in der Regel nicht der Übermittlung eines seriösen Inhalts und erhöht daher die Spam-Einschätzung.
• Unsichtbare Links: Gleiches gilt für Links, die für den Leser nicht sichtbar sind - bspw. durch die Farbgebung oder die Größe. 
• Viel Bild, wenig Text: Um Spamtexte zu verschleiern, wurden früher Spam-Nachrichten häufig in einem Bild "versteckt", das der Spam-Filter nicht auslesen konnte. Bilder dienen in der Regel der visuellen Unterstützung des E-Mail-Textes. Kippt dieses Verhältnis unnatürlich zu Lasten des Textes, gilt dies als Spam-Merkmal.

Vertrauenswürdigkeit des Absenders

• Autorisierung der IP-Adresse für den Versand mit dieser Absenderdomain: in den SPF-Records zu jeder Domain ist hinterlegt, von welchen IP-Adressen/Servern aus mit dieser Absenderadresse Mails versandt werden dürfen. Fehlen SPF-Records oder sind dort die IP-Adressen/Server des Versenders nicht hinterlegt, gilt das als mangelnde Autorisierung des Versenders - die Mail wird abgelehnt.
• Verschlüsselung / Signatur der Mail: Durch eine DKIM-Verschlüsselung einer Mail wird sichergestellt, dass diese nicht manipuliert wird. Die E-Mail an sich erhält hierbei einen privaten DKIM-Schlüssel - der dazu passende öffentliche Schlüssel ist für die Absenderdomain hinterlegt. Nur, wenn die Schlüssel zusammenpassen, ist die E-Mail in Ordnung.
• DMARC-Eintrag: Mit diesem Eintrag legt die Absenderdomain fest, wie der Empfänger verfahren soll, wenn SPF-Records oder DKIM nicht korrekt sind. Viele Empfangsserver setzen diesen Eintrag voraus, um die Mail anzunehmen.
• Reputation des Absenders: Für die Absenderdomain wird überprüft, ob sie evt. bereits auf gängigen Blacklists eingetragen ist, hohe Beschwerderaten bzw. viele Spam-Meldungen aufzuweisen hat. Um zu vermeiden, dass Spammer die Absenderdomain einfach beliebig wechseln, wird eine sehr junge Domain bzw. der Versand vieler Mails direkt nach Registrierung abgestraft.

Empfänger und Empfängerverhalten

• Viele unzustellbare Mails: Erhält ein Provider viele unzustellbare Mails vom gleichen Absender, kann er davon ausgehen, dass die Mail nicht an aktive Kunden gesandt wird, deren Adresse in der Regel bekannt sein sollte. Nach einer gewissen Anzahl solcher Mails, werden weitere Mails dann häufig als Spam abgelehnt.
• Öffnungen / Antworten / Weiterleitungen: All dies wird als positives Zeichen gewertet und senkt die Spam-Einschätzung. Auch das Verschieben von (fälschlich aussortierten) Spam-Mails in den normalen Posteingang ist ein gutes Zeichen. Hier setzt der Spam-Filter auf die Schwarmintelligenz.
• Spam-Meldungen / schnelles bzw. ungelesenen Löschen / Blockieren es Absenders: machen dies viele Empfänger, dann springen Spam-Filter häufig an und blockieren weitere E-Mails dieses Absenders.