Jahr für Jahr in die Milliarden, die Verfügbarkeit des Mediums E-Mail ist bedroht.
Und die Spammer verdienen nicht schlecht: Zwar sind typische Rücklaufquoten winzig und jeder so gewonnene Kunde bringt meist nur zweistellige Einnahmen, aber bei Millionen von Spam-Mails, die sich mit sehr geringem Aufwand und nahezu kostenlos versenden lassen, ergeben sich erhebliche Beträge.
Neben dem kommerziellen Werbe-Spam kann EMail Viren, Würmer und andere Schädlinge verbreiten. Sie infizieren die Rechner von Privatanwendern und Arbeitsplatz-PCs in vielen Unternehmen. Die Angreifer fassen dann Tausende bis Hunderttausende dieser Rechner in so genannten Botnetzen zusammen, die sie nach Belieben fernsteuern, und schaffen damit ein riesiges Sicherheitsproblem. Dynamische Updates der Bot-Software erlauben es ihnen, die Rechner zur Verbreitung von Spam oder zu Angriffen auf andere Rechner zu verwenden oder die Anwender auszuspionieren. Große Teile des Spams werden heute nicht von Gelegenheitsspammern verteilt, sondern von Profis, die mit Kriminellen in einer regelrechten Untergrundwirtschaft verbunden sind, in der unter anderem Mailadressen, Listen von infizierten Rechnern und Kreditkartennummern gehandelt werden.

Juristische Fragen
In Deutschland und innerhalb der EU ist Spam mit kommerziellem Hintergrund verboten, international ist die Lage uneinheitlich. Da der überwiegende Teil des Spams aus dem Ausland kommt, ist den Spammern von Deutschland aus mit juristischen Mitteln kaum beizukommen. Dazu kommt, dass sie sich tarnen und der Ermittlungsaufwand damit erheblich ist. Daher muss jeder sich selbst schützen, etwa durch die gezielte Filterung von derartigen E-Mails. Dabei sind vor allem das Fernmeldegeheimnis und der Datenschutz zu beachten. Unternehmen, Behörden und Internet- Provider sollten daher vor Aufnahme der Filterung mit den Betroffenen klare Regelungen treffen, etwa in Form von Betriebsvereinbarungen, Dienstanweisungen oder Hinweisen in den AGB.
Spam ist auch eine Folge von schlecht gesicherten Systemen in Unternehmen und bei Privatanwendern. Erste Maßnahme gegen Spam ist also zu verhindern, dass eigene Systeme zur Verteilung von Spam missbraucht werden. Dies ist nicht nur hilfreich für die Allgemeinheit, sondern es verhindert auch, dass das infizierte eigene Netzwerk auf schwarzen Listen landet, die andere zum Filtern und Blockieren von E-Mails verwenden. Auch aus juristischer Sicht ist eine Absicherung erforderlich, da es insbesondere für Unternehmen gesetzliche Mindestanforderungen an die IT-Sicherheit gibt, deren Missachtung unter Umständen zu einer Haftung für die Verbreitung von Spam führen kann.

Maßnahmen gegen Spam
Es gibt einige Methoden, die eigene Mailadresse zu schützen oder zu verschleiern. Die Erfahrung zeigt jedoch, dass Spammer sie frum6;her oder später herausbekommen, sei es durch „Ernten” der (versehentlich) in einem öffentlichen Forum genutzten Adresse, durch Ausspähen von Adressbuchdaten oder Ähnliches.
Als einzig praktikable Lösung bleibt die Filterung der ankommenden E-Mails. Dazu gibt es eine ganze Reihe von Verfahren, die über die Jahre entwickelt und immer weiter verbessert und an die Tricks der Spammer angepasst wurden. Durch die Kombination mehrerer technischer Verfahren ist es heute möglich, das Spamproblem auf ein erträgliches Maß zu reduzieren, ohne dabei den Empfang erwünschter E-Mails über Gebühr zu gefährden.

Filterverfahren
Die Verfahren unterscheiden sich vor allem darin, welche Merkmale sie zur Filterung heranziehen. Da ist zuerst die IP-Adresse des Absenders, das einzige Datum, das der Spammer nicht ohne weiteres fälschen kann. White-und Blacklists können die „guten” und „schlechten” IP-Adressen erfassen, die sich zur Filterung nutzen lassen. Da Spammer aber in großem Stil fremde Rechner missbrauchen, können sie in sehr kurzen Abständen ihre IP-Adressen wechseln. Eine schnelle und automatisierte Reaktion und die Zusammenarbeit vieler Mailempfänger um6;ber zentrale Datenbanken mit IP-Adressen (so genannte DNSBLs) ist trotzdem erfolgversprechend, da von den meisten darin erfassten IP-Adressen stunden- oder tagelang Spam ausgeht. Vorteil der IP-basierten Verfahren ist vor allem, dass sie einfach und gum6;nstig zu implementieren sind und große Mengen an E-Mails schnell bewerten können.
Inhaltsbasierte Verfahren dagegen sind meist wesentlich aufwendiger, weil sie erhebliche Rechenzeit erfordern, dafum6;r ist aber die Qualität der Filterung oft besser. Man unterscheidet Verfahren, die mittels „handgefertigter” Muster (Heuristik) bekannte Spaminhalte erfassen, und statistische (wie das populäre Bayes-Verfahren), die laufend durch die Vorlage von E-Mails trainiert werden und selbständig typische Kennzeichen von Spam erlernen.
Die dem weltweiten Mailsystem zugrunde liegenden Protokolle erlauben – wie auch das klassische Postsystem – keine eindeutige Authentifizierung des Absenders; jeder kann unter beliebigem Namen EMails versenden. In letzter Zeit sind Verfahren wie SPF, SenderID und DomainKeys im Gespräch, die zumindest die Authentifizierung der Domain (in der Regel also der Firma oder des Internet-Provider) ermöglichen sollen. Da sie aber nicht frei von Nebenwirkungen sind und auch Spammer beliebig Domains registrieren können, sind diese Verfahren sehr umstritten. Erst in Verbindung mit Reputations-Verfahren, die etwas um6;ber die bisherige Verwendung dieser Domain zum Versand von Ham oder Spam aussagen, sind sie effektiv einsetzbar.

Policy
Jede Organisation sollte eine E-Mail-Policy entwickeln, die ihrem Sicherheitsbedürfnis, ihrem Umgang mit dem Medium E-Mail und dem vorhandenen technischen Wissen und der Kapazität der IT-Abteilung gerecht wird. Diese Policy wird in die allgemeine Sicherheitspolicy eingebunden. Neben Anweisungen an die Mitarbeiter, wie sie mit ihrer Mailadresse und empfangenem Spam umzugehen haben, enthält die Policy grundsätzliche Entscheidungen zum Betrieb von Antispam-Lösungen (eigene Entwicklung, Einkauf einer Softwarelösung oder externen Dienstleistung). Sie bildet die Grundlage fum6;r Betriebsvereinbarungen, AGB und Service-Level-Agreements.
Die Policy legt auch fest, an welcher Stelle die Filterung erfolgen soll. Grundsätzlich gibt es dabei die Unterscheidung zwischen der serverbasierten Filterung und der Filterung im Mailprogramm des Endanwenders. Wegen der riesigen Mengen an Spam und der besseren Administrierbarkeit ist die Filterung durch einen zentralen Server meist sinnvoller, als die Filterung allein dem Empfänger zu überlassen. Eine vielversprechende Alternative ist die Kombination aus zentraler Vorfilterung und weiterer Filterung beim Endanwender.
Vor allem bei der zentralen Filterung stellt sich immer die Frage, wie erkannter Spam zu handhaben ist. Praktische Alternativen sind hier die Nicht-Annahme oder die Markierung und Zustellung der E-Mail. Häufig unterscheidet man dabei drei Fälle: Sehr sicher als Spam erkannte E-Mails werden abgelehnt und sehr sicher als erwünscht erkannte E-Mails angenommen, alles dazwischen in einen speziellen Spam-Ordner oder ein Quarantänepostfach zugestellt.
Fum6;r größere Unternehmen und Internet-Provider gilt heutzutage, dass sie eventuell auch am Ausgang ihres Netzes einen Spamfilter einsetzen sollten, um Spam zu erkennen und zu blockieren, den die Rechner ihrer Mitarbeiter oder Kunden (meist ohne deren Wissen) versenden.

Kosten von Spam und Antispam-Maßnahmen
Unmittelbare Kosten werden durch Traffic, die Nutzung der Mailserver-und Storage-Infrastruktur sowie das zusätzliche Personal für die Bearbeitung von Missbrauchsfällen (Abuse-Management) und die Administration verursacht.
Die mittelbaren Kosten setzen sich zusammen aus dem Produktivitätsverlust der Mailempfänger aufgrund der Zeitverschwendung durch den Umgang mit Spam, den Kosten durch die eingeschränkte oder nicht vorhandene Erreichbarkeit und Verfügbarkeit und den Kosten für die Reparatur beschädigter oder überlasteter Systeme.
Hinzu kommen sonstige Kosten. Dazu gehören Verluste durch Imageschaden, z.B. wegen des unwissentlichen eigenen Versands von Spam und Viren aufgrund einer Virenverseuchung, und die Kosten für Werbung und Marketing, um den Imageschaden wieder auszugleichen. Ebenfalls dazu gehören die Kosten, die durch den Wettbewerbsdruck entstehen.

Einkauf oder Eigenleistung?
Bei allen Spamschutzmaßnahmen hat man heute die Wahl zwischen dem Kauf einer fertigen Software und dem Einsatz einer Eigenentwicklung oder der Nutzung von Open Source-Software. Neben den Anschaffungskosten sind die Wartungskosten bzw. die Kosten für einen Service-und Supportvertrag zu berücksichtigen.
Die entscheidende Fragestellung ist dabei nicht „Open Source oder kommerzielle Software?”, sondern „Einkauf oder Eigenleistung?”. Die richtige Entscheidung kann z. B. anhand der Verfügbarkeit von qualifizierten Mitarbeitern im Unternehmen, der Größenordnung des Systems, dem angestrebten SLA (Service Level Agreement) und vorherigen Erfahrungen mit IT-Produkten getroffen werden.
Am Markt ist heute eine große Bandbreite von Antispam-Produkten zu haben. Darunter finden sich fertig konfigurierte Blackbox-Lösungen, die man vor einen bestehenden Mailserver setzen kann, ebenso wie Softwarelösungen, die auf bestehenden Mailservern installiert werden. Häufig werden diese Produkte auch in Kombination mit klassischer Mailsoftware, Virenschutzlösungen oder Firewalls angeboten. Typische Blackbox-oder softwarebasierte Komplettlösungen sind zu Preisen von 5.000 € bis 10.000 € pro 500-Nutzer-Lizenz pro Jahr erhältlich. Im Normalfall ist der Service und Support in diesen Preisen inbegriffen. Der Administrationsaufwand bei Produkten mit Servicevertrag ist in der Regel nicht sehr hoch und durch die gegebenen Update-und Supportmöglichkeiten wenig zeitaufwendig. Ein 500-Nutzer-System kann mit maximal einer halben, wenig qualifizierten Stelle betreut werden. Eigenentwicklungen bewirken andere Kostenfaktoren. Die Installation und Integration in das bestehende System erfordert einen viel höheren Kenntnisstand des Administrators, ist zeitaufwendiger und häufig komplizierter. Updates, Wartung und Support werden in der Regel durch einen angestellten Administrator erledigt. Dabei entstehen höhere Personalkosten. Zur Einrichtung und dauernden Betreuung und Optimierung eines 500-Nutzer-Systems ist mindestens eine halbe hoch qualifizierte Stelle zu rechnen. Unter Umständen ist auch eine Vollzeitstelle notwendig.

Spam ist kein Problem, das sich ausschließlich mit juristischen Mitteln lösen lässt, denn es handelt sich um ein internationales Phänomen, dem mit einer überwiegend nationalen Rechtsprechung und Gesetzgebung kaum beizukommen ist.
Bei der Entwicklung von technischen Maßnahmen zur Vermeidung und vor allem zur Filterung von Spam gab es in den letzten Jahren große Fortschritte. Dadurch steht heute eine beachtliche „Werkzeugkiste” an Maßnahmen zur Verfügung, die sich an lokale Gegebenheiten und Anforderungen anpassen lässt. Der Einsatz von Filtern auf dem Stand der heutigen Technik kann das Problem so weit eingrenzen, dass einzelne Mitarbeiter oder Kunden nicht mehr wesentlich beeinträchtigt werden. Trotzdem bleibt Spam ein enormer Kostenfaktor und ein ständiges Sicherheitsproblem für jede Organisation.



Quelle und weitere Informationen: Studie “Antispam - Strategien - Unerwünschte E-Mails erkennen und abwehren” - BSI Bundesamt fum6;r Sicherheit in der Informationstechnik, www.bsi.bund.de oder Bundesanzeiger-Verlag, ISBN 3-89817-496-4.