we870.netcup.net als Postausgangsserver -> Spam

    Hallo,


    ich verwende we870.netcup.net als Postausgangsserver. Also als smarthost, relayhost, oder wie man immer das auch nennt.
    Die Emails meiner Domain werden also von we870.netcup.net versendet.


    Leider werden diese bei vielen Empfängern als Spam markiert.


    Ist das normal?


    Mach ich was falsch oder sind die Postausgangsserver von netcup üblicherweise halt einfach auf diversen Spamlisten?



    Ich versende Mails natürlich nicht direkt von meinem privaten Anschluss, da dieser eine dynamische IP hat. Das dürfte bei vielen Posteingängen direkt die Alarmglocken klingeln lassen. Genau dafür ist aber doch eigentlich ein Relay beim Provider da!? Ziemlich sinnlos, wenn dieses ebenfalls Mails versendet, die als Spam erkannt werden.



    Grüße
    der hede

    Moin hede


    Die entscheidenden Fragen sind:
    Weshalb werden die Mails als SPAM erkannt?
    Werden die Mails abgelehnt oder nur als SPAM markiert?


    Ohne diese Information läßt sich nicht sagen, was die Ursache ist und was Du dagegen tun kannst.


    Die meisten SPAM-Filter sollten im Header der Mail Informationen darüber mitliefern.
    Bei den Freemailern bekommst die Infos meistens über die Webseite.


    Mordor

    Abgelehnt würde ich nicht sagen, denn zu mir kommt nichts zurück. Der entfernte Mailserver nimmt sie an. Das wiederum macht mir die Analyse etwas schwer, denn an die entsprechenden Daten komme ich schlecht ran.


    Daher ja auch die Frage an andere hier, ob wer anderes hier ähnliches bei genutzten relayhosts von netcup beobachtet, das Verhalten also normal ist, oder ob es generell eher weniger Probleme damit gibt.


    Die Analyse wird noch dadurch erschwert, dass besagte Provider die Informationen, wie sie auf das Ergebnis "Spam" kommen, nicht an die Kunden weitergeben. Oder kann hier wer was mit Cisco X-IronPort-Anti-Spam-Result-Zeilen oder welchen von GMX anfangen? Die von Cisco sollen wohl verschlüsselt sein, nix zu machen, die von GMX auch? Ich denke schon... (also base64 decodiert ohne Beschwerde, aber dann isses halt noch immer verschlüsselt)


    X-GMX-Antispam: 6 ((SPAM: 1));
    Detail=5D7Q89H36p5cypUi/P63nGItt22unyzdbdefZBXZSm9luYMXPbsXyCCtKkc4fL0EcI9Sn
    W7TyL0Xg230bs365ExzebBSqKyYB6z9qFY3k6SZClSsl0P/F4Yhks/s0vx0HJcgu+SiCyBA6yRuK
    +yP33zKDO4ovBpkkR90J05T9LptGT8nTRDUxQ4PN3S1xuEIJh/dfIVIBe30rTc0qbbVhlvZbDdAE
    P6PVFfhY5MhL50wD9F57jQvxw==V1;


    Leider hab ich noch keinen mit Spamassasin gefunden, der false positives hat. Oder dessen Nutzer sind einfach technisch begabter.
    Tja, der proprietäre M*st mal wieder...


    Ich muss bei Zeiten mal sehen, ob mir mein DSL-Provider den Versand einer fremden Domain zulässt. Vielleicht gehts damit ja besser.

    @sim: MultiRBL.valli.org - Results of the query 46.38.232.112 liefert auch eine nette Übersicht. Funktioniert bei rbl-check.org die Emailbenachrichtung?


    hede, wie versendest du diese Mail und was für einen Inhalt haben diese? Läuft da vielleicht ein kaputtes Skript? Könntest du bitte auch mal die Header posten, wenn die Mail von einem Spamassassin entgegengenommen wird?
    Da we870.netcup.net( 46.38.232.112) wohl auf keiner Blackliste steht, muss es ja am Inhalt liegen.

    "Security is like an onion - the more you dig in the more you want to cry"

    2 Mal editiert, zuletzt von vmk ()

    Moin

    Zitat von hede

    Abgelehnt würde ich nicht sagen, denn zu mir kommt nichts zurück. Der entfernte Mailserver nimmt sie an. Das wiederum macht mir die Analyse etwas schwer, denn an die entsprechenden Daten komme ich schlecht ran.


    Bei gmx kann man im Webfrontend sehen, warum eine Mail als SPAM eingestuft wurde.


    Du kannst mir gerne mal eine Testmail zuschicken (E-Mail kommt per PM). Ich schau mir das dann mal an.


    Mordor

    vmk: Laut deinem Test steht er ja eben doch auf einigen Listen. Naja, zwei von 234 ist nicht viel, würde aber eine Ablehnung von denen erklären, die besagte zwei Listen nutzen.


    Nunugut, gehen wir mal nicht davon aus, dass es das ist.


    Es wäre schön, wenn ich passende Spamassassin-Daten hätte. Aber leider sind die einzigen, über die ich an solche Daten kommen könnte (also SA-Nutzer sind) nicht betroffen. Und die, die betroffenen sind, kann bzw. möchte ich nicht nach solchen Daten fragen, da belasse ich es jetzt einfach mal beim Status Quo.


    Danke an alle, die sich beteiligt haben.


    Aber scheinbar liegt es bei mir, wenn andere mit besagtem Postausgangsserver von netcup keine Probleme haben. Kolab bastelt da vielleicht ein wenig viele Received-Zeilen in den Header, auch wenn das ja eigentlich kein Grund sein kann. Als ob Spammer durch viele Received-Header auffallen würden... ansonsten fällt mir da nichts auf.


    Grüße
    hede


    PS: Habs, nachdem nach diversen "kein spam"-Markierungen sich gmx die letzten Tage nicht mehr beschwer hat, jetzt doch nochmal geschafft:
    (hatte zuvor die getaggten Testmails gelöscht und dabei übersehen, dass man sich den Spamstatus im Webinterface übersetzen lassen kann)


    ################################################
    Return-Path: <[zensiert]@der-he.de>
    Delivered-To: GMX delivery to [zensiert]@quantentunnel.de
    Received: (qmail invoked by alias); 01 Oct 2012 09:42:04 -0000
    Received: from we870.netcup.net (EHLO we870.netcup.net) [46.38.232.112]
    by mx0.gmx.net (mx058) with SMTP; 01 Oct 2012 11:42:04 +0200
    Received: from [zensiert].der-he.de (ip-[zensiert].unitymediagroup.de [[zensiert]])
    (using TLSv1 with cipher DHE-RSA-AES256-SHA (256/256 bits))
    (No client certificate requested)
    by we870.netcup.net (Postfix) with ESMTPSA id A15B5BD217A6
    for <[zensiert]@quantentunnel.de>; Mon, 1 Oct 2012 11:42:04 +0200 (CEST)
    Received: from localhost (localhost [127.0.0.1])
    by [zensiert].der-he.de (Postfix) with ESMTP id 91F35D9D9
    for <[zensiert]@quantentunnel.de>; Mon, 1 Oct 2012 11:44:51 +0200 (CEST)
    Received: from [zensiert].der-he.de ([127.0.0.1])
    by localhost ([zensiert].der-he.de [127.0.0.1]) (amavisd-new, port 10024)
    with ESMTP id FVWzrOwgZIEG for <[zensiert]@quantentunnel.de>;
    Mon, 1 Oct 2012 11:44:51 +0200 (CEST)
    Received: from localhost (localhost [127.0.0.1])
    by [zensiert].der-he.de (Postfix) with ESMTP id E2DF7D9CA
    for <[zensiert]@quantentunnel.de>; Mon, 1 Oct 2012 11:44:50 +0200 (CEST)
    Received: from [zensiert] (unknown [192.168.[zensiert]])
    by [zensiert].der-he.de (Postfix) with ESMTPSA id 989DBD9C1
    for <[zensiert]@quantentunnel.de>; Mon, 1 Oct 2012 11:44:49 +0200 (CEST)
    Date: Mon, 1 Oct 2012 11:42:00 +0200
    From: hede <[zensiert]@der-he.de>
    To: [zensiert]@quantentunnel.de
    Subject: *** GMX Spamverdacht *** Treffen
    Message-ID: <20121001114200.631831ab@[zensiert]>
    Organization: der-he.de
    X-Mailer: Claws Mail 3.8.0 (GTK+ 2.24.10; x86_64-pc-linux-gnu)
    Mime-Version: 1.0
    Content-Type: text/plain; charset=US-ASCII
    Content-Transfer-Encoding: 7bit
    X-GMX-Antivirus: 0 (no virus found)
    X-GMX-Antispam: 6 ((SPAM: 1));
    Detail=5D7Q89H36p5cypUi/P63nJr6vphVwkgPDDSvgaytq6rfGjji84OCNjfdcJCcnqMqaHxQJ
    uvubuQNdUoHL0iMMQI33X2E0k7Is0lWfvw62fxmJLIIFOD0rmYid36xWDejnqPAJRK/Xwg/EhaNb
    KD05ZcrtsCfwgb0BKactzuXPOlhl7Cv3mqrZcBu2FLoczi2k771yQMzT/uQqhxs0V5f3PMTqOkJ4
    LikYAOk1e/aENY=V1;


    Treffen morgen 11 Uhr.
    ################################################


    Der Spam-Wert übersetzt sich laut Webinterface zu:
    "GMX Spamschutz Textmuster-Profiler: Der Inhalt dieser E-Mail entspricht Ihrem Spam-Profil. "


    Ein Spam-Wert von 6 durch den Satz "Treffen morgen 11 Uhr."?
    Nungut, ich würde jetzt mal sagen, das liegt weder an mir noch an netcup, sondern an GMX. Erklärt aber nicht, weshalb ganz andere Mails an ganz andere Empfänger ebenfalls als Spam erkannt werden.


    (PPS: Ja, hab am Ende etwas unnötig zensiert, aber ist ja auch egal, was interessieren hier meine lokalen Rechnernamen oder die IP meines Heimanschlusses mit dynamischer IP...)

    hede, der Mailserver steht auf keiner relevanten Liste. Gerade als SA-Nutzer weiß man doch um die Wertigkeit eines Eintrags auf einer RBL-Liste.


    Zitat

    Kolab bastelt da vielleicht ein wenig viele Received-Zeilen in den Header, auch wenn das ja eigentlich kein Grund sein kann. Als ob Spammer durch viele Received-Header auffallen würden


    Zusätzliche Headerzeilen wie Received dürfen absolut keinen Einfluss auf das Rating haben, denn diese sind bei Spam/Viren oft komplett gefälscht.


    Zitat

    Kolab bastelt da vielleicht ein wenig viele Received-Zeilen in den Header, auch wenn das ja eigentlich kein Grund sein kann.


    Zum Rating kannst du nur die IP-Adresse deines direktem Gegenüber in die Wertung mit einbeziehen.


    Ich habe jetzt mal selbst eine Email nach gmx hin und wieder zurück geschickt - Es ist nichts im Spam gelandet. Mein SA bewertete meine Email so:

    Code
    X-Spam-Report: No, hits=-2.1 required=9.0 autolearn=ham version=3.3.2 BAYES_20=-0.001,FREEMAIL_FROM=0.001,RCVD_IN_DNSWL_BLOCKED=0.001,RP_MATCHES_RCVD=-2.144


    Zitat

    (PPS: Ja, hab am Ende etwas unnötig zensiert, aber ist ja auch egal, was interessieren hier meine lokalen Rechnernamen oder die IP meines Heimanschlusses mit dynamischer IP...)


    Wieso überlässt du diese Arbeit nicht deinem Mailserver?


    Zitat

    "GMX Spamschutz Textmuster-Profiler: Der Inhalt dieser E-Mail entspricht Ihrem Spam-Profil. " [...]
    Nungut, ich würde jetzt mal sagen, das liegt weder an mir noch an netcup, sondern an GMX. Erklärt aber nicht, weshalb ganz andere Mails an ganz andere Empfänger ebenfalls als Spam erkannt werden.


    Weil der Benutzer solche Mails in der Vergangenheit als Spam markiert hat. Es kann auch am Nutzer liegen ;) Guck dir mal genau das Webinterface von gmx an. Bei mir liegt der Löschen-Button direkt neben dem Spam-Button. Der Spam-Button ist schön rotes Symbol, so ähnliche wie in anderen Anwendungen das Symbol für Löschen. Der Löschen-Button daneben ist für mich nur schwer erkennbar, weil der durchsichtig und in der gleichen Farbe wie die restliche Webseite ist. Aber eigentlich ist es doch auch total egal, auf was ich klicke - Die Mail ist weg und belegt nicht weiteren Speicherplatz.


    (update)
    PS: Viele Benutzer handhaben Mails so wie z.B. Excel/Powerpoint/Word - Erst das Dokument aka Mail zumachen und dann aus der Ordnerübersicht rauslöschen. Mehrere auf einmal löscht man auch nicht, man klickt sich brav einzeln durch.

    "Security is like an onion - the more you dig in the more you want to cry"