Sieve-Filter, alle eingehenden Mails (außer die von 2 Adressen) als "unzustellbar" beantworten - geht das?

Das kannst du, solltest du aber nicht. Das Problem, das dadurch entsteht, nennt sich "Backscatter". Zu dem Zeitpunkt der Ablehnung hat der Mailserver die Mail schon angenommen, kann sie also nicht mehr so ablehnen, dass er keine Antwort schicken muss. Wenn Mails direkt bei der Einlieferung abgelehnt werden, schickt der einliefernde Mailserver die Fehlermeldung zum Absender. Im Gegensatz zu dem muss der Netcup-Mailserver auf bestimmte Informationen in der Mail vertrauen, die gefälscht sein können, und dann geht die Fehlermeldung möglicherweise (Normalfall bei Spam) an unbeteiligte fremde Adressen. Das gleiche gilt für Abwesenheitsnachrichten und andere Autoresponder: sieht wie eine gute Idee aus, ist es aber nicht.

Netcup hat leider keine White-/Blacklist, die vor der Annahme der Email greift. Dir bleibt also nur das Wegsortieren oder Löschen, aber davon bekommt der Absender nichts mit. Vielleicht reicht das ja.

Dem Problem mit den Backscattern kann (wird) doch mit SPF und DKIM Validierung ein Riegel vorgeschoben? Ein gefälschter Absender wird frühzeitig wegsortiert, noch bevor der Mailserver die Nachricht dem Benutzer zuzustellen versucht oder per Autoresponder geantwortet wird. 🙂

Quote from dodeka

Dem Problem mit den Backscattern kann (wird) doch mit SPF und DKIM Validierung ein Riegel vorgeschoben? Ein gefälschter Absender wird frühzeitig wegsortiert, noch bevor der Mailserver die Nachricht dem Benutzer zuzustellen versucht oder per Autoresponder geantwortet wird.

Die Bounce Adresse kann sich sowohl vom From Header, als auch vom SMTP From Header unterscheiden, so kann SPF umgangen werden.

DKIM beweist erstmal nichts, ohne den entsprechenden DMARC Eintrag, und schützt damit nicht vor gefälschtem Backscatter.

Spammer verwenden bevorzugt Adressen, die nicht durch diese Maßnahmen geschützt sind. Die sollte man trotzdem nicht so belästigen. Mails, auch Fehlermails und andere automatische Antworten, verschickt man nur an Adressen, die man kennt oder verifiziert hat. Wenn man eine Email ablehnen will, dann tut man das, bevor man sie angenommen hat. Nach dem SMTP Dialog ist sie das Problem des Empfängers.

Wenn sich das so liest, als wäre das eine Frage von Nettigkeit: Nein, dabei geht es darum, ob man über Netcup auch morgen noch Email verschicken kann, ohne in Spamfiltern zu landen. Backscatter landet auch in Spamfallen.

Quote from H6G

DKIM beweist erstmal nichts, ohne den entsprechenden DMARC Eintrag, und schützt damit nicht vor gefälschtem Backscatter.

Selbstverständlich validiert DKIM die Absenderdomäne über ein Signaturverfahren. Stimmt die Signatur nicht, sortiert mein Mailserver die Nachricht aus. Mit DMARC kann der Domaininhaber mitteilen, was mit der Nachricht im Fall eines DKIM Fehlschlages passieren soll und dass er über wirksame und fehlgeschlagene Signaturprüfungen informiert werden möchte. Diesen Wünschen kann sich der Admin des empfangenden Mailservers annehmen oder auch nicht.

Quote from dodeka

Selbstverständlich validiert DKIM die Absenderdomäne über ein Signaturverfahren.

Ich kann für die Abenserdomain example.net eine gültige DKIM Signatur mit der Signaturdomain gappsmtp.com aufbringen. DKIM validiert nicht die Abenderdomain.

Edit: steht sogar im RFC drinne:

Quote

DKIM separates the question of the identity

of the Signer of the message from the purported author of the

message.

Quote from H6G

Ich kann für die Abenserdomain example.net eine gültige DKIM Signatur mit der Signaturdomain gappsmtp.com aufbringen.

Ehrlich gesagt, verstehe ich nicht, was du damit meinst. Der von dir beschriebene Weg wird aber scheitern, solange du keinen Zugriff auf die DNS-Verwaltung der Domain und/oder den Key-Server hast.

Quote from H6G

Edit: steht sogar im RFC drinne:

Zitat

DKIM separates the question of the identity

of the Signer of the message from the purported author of the

message.

Display More

Auch hier verstehe ich deinen Einwand nicht. Das Zitat hast du außerdem aus seinem Kontext getrennt.

Quote

DomainKeys Identified Mail (DKIM) permits a person, role, or organization that owns the signing domain to claim some responsibility for a message by associating the domain with the message. This can be an author's organization, an operational relay, or one of their agents. DKIM separates the question of the identity of the Signer of the message from the purported author of the message. Assertion of responsibility is validated through a cryptographic signature and by querying the Signer's domain directly to retrieve the appropriate public key. Message transit from author to recipient is through relays that typically make no substantive change to the message content and thus preserve the DKIM signature.

https://www.omgwiki.org/dido/doku.php?id=dido:public:ra:xapend:xapend.b_stds:tech:ietf:6376

Quote from NaN

Spammer verwenden bevorzugt Adressen, die nicht durch diese Maßnahmen geschützt sind.

Sofern der Empfangende Mailserver SPF und DKIM Prüfungen umsetzt, werden solche Mails entweder auf Systemebene verworfen oder die Verarbeitung bis zur Klärung gestoppt. Mein Mailserver schiebt beispielsweise Nachrichten ohne SPF und DKIM in Quarantäne. Da antwortet auch kein Autoresponder. 😀

Quote from dodeka

Auch hier verstehe ich deinen Einwand nicht. Das Zitat hast du außerdem aus seinem Kontext getrennt.

Das ist nicht aus dem Kontext gerissen - Signing Domain muss nicht mit der Absenderdomain übereinstimmen.

Quote from dodeka

Ehrlich gesagt, verstehe ich nicht, was du damit meinst. Der von dir beschriebene Weg wird aber scheitern, solange du keinen Zugriff auf die DNS-Verwaltung der Domain und/oder den Key-Server hast.

Ich kann dort jede Signing Domain eingeben, die ich möchte - selbstverständlich auch eine Domain, für die ich Zugriff zur DNS-Verwaltung habe.

Hier einmal ein Beispiel von einer echten Mail:

Return-Path: <mail@h6g.de>
Delivered-To: ******
Received: from lambda.h6g-server.net
    by lambda.h6g-server.net with LMTP
    id mNxkDv1pT2dApA8Ackk3ow
    (envelope-from <mail@h6g.de>)
    for <******>; Tue, 03 Dec 2024 20:28:45 +0000
Received: from mail-ed1-x535.google.com (mail-ed1-x535.google.com [IPv6:2a00:1450:4864:20::535])
    by lambda.h6g-server.net (Postfix) with ESMTPS id A81D380338
    for <******>; Tue,  3 Dec 2024 20:28:42 +0000 (UTC)
ARC-Authentication-Results: i=1;
    lambda.h6g-server.net;
    dkim=pass header.d=h6g-de.20230601.gappssmtp.com header.s=20230601 header.b="Ts/HkODx";
    dmarc=none;
    spf=pass (lambda.h6g-server.net: domain of mail@h6g.de designates 2a00:1450:4864:20::535 as permitted sender) smtp.mailfrom=mail@h6g.de
Received: by mail-ed1-x535.google.com with SMTP id 4fb4d7f45d1cf-5d0c098c870so322143a12.1
        for <******>; Tue, 03 Dec 2024 12:28:42 -0800 (PST)
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed;
        d=h6g-de.20230601.gappssmtp.com; s=20230601; t=1733257714; x=1733862514; darn=******;
        h=content-transfer-encoding:subject:from:to:content-language
         :user-agent:mime-version:date:message-id:from:to:cc:subject:date
         :message-id:reply-to;
        bh=tUcmPKCWwFcvuGNvp7M+An4wU1gC3l4Br6h9LkHoqzc=;
        b=Ts/HkODxj56NrPqyNUZox1tzNjCxqkNpCW+Lgyea9fU7cbQ9k+y4ii/gCrEsEYS69p
         2WGesX6BaRIAHkx/L5N/MIG5UEBM4NCm133r1Upm98cnJWncvL2eKJ8cXIbpZ2x7sf78
         r7XtOBqp72/7ee1TA6/xig1iAgoyEGzC3pgoU0AvkC1tl2zEgH6XN+gn83sicxuPHoh7
         Jf076TjQlN0S/2cZ8iQhSxzgrFWceTPygOcnzbkdL+IV7M16jqr32xO3uR+r/Rz+zy/a
         w0wLazxkADCetZMfB8DBUdMNnV2R75QQh4bob+EakgKatYiOqkfRnX4TI4VjApJktgMQ
         ePvg==
Message-ID: <19b28ee0-9e17-40e3-b4d0-460187e4fe2b@h6g.de>
Date: Tue, 3 Dec 2024 21:28:32 +0100
MIME-Version: 1.0
User-Agent: Mozilla Thunderbird
Content-Language: en-US
To: <******>
From: <mail@h6g.de>

Die DKIM Signatur beweist nur, dass Google diese E-Mail verschickt hat.

Es beweist nicht, dass h6g.de eine legitime Absenderdomain ist.

Und genau so wie Google diese E-Mail in Namen von gappsmtp.com signiert, kann dort auch jede andere Domain herhalten. Absender ist in jedem Fall h6g.de.

Ich könnte zusätzlich noch mit h6g.de signieren, muss ich aber nicht. Die DKIM Signatur ist in jedem Fall gültig und scheitert offensichtlich nicht.

Quote from dodeka

Mein Mailserver schiebt beispielsweise Nachrichten ohne SPF und DKIM in Quarantäne.

Den Luxus, gültige Mail von echten Menschen einfach nicht lesen zu müssen, haben nicht viele. Glückwunsch.

@H6G

Wahrscheinlich reden wir aneinander vorbei. Du benutzt Google Workspace, hast dort deine TLD angebunden und signierst bei jedem Versand die Mails mit einer gültigen DKIM-Signatur über die Google-Server.

Was du nicht kannst, ist Nachrichten mit der Adresse info@netcup.de über Google Workspace zu versenden. Selbst wenn das aus irgendwelchen Gründen funktionieren sollte, hättest du trotzdem keine gültige DKIM-Signatur. 😀

Quote from NaN

Den Luxus, gültige Mail von echten Menschen einfach nicht lesen zu müssen, haben nicht viele. Glückwunsch.

Ich bin wahrlich kein Freund von zu komplex geratenen Protokollen, und E-Mail ist leider durch SPF, DKIM und DMARC deutlich komplizierter geworden. Ich kann aber auch verstehen, dass das eine Antwort auf die unzähligen Spam- und Phishing-Versuche darstellen kann. Sich der Weiterentwicklung zu verschließen, ist aus meiner Sicht dann sinnlos, wenn es sich um weltweit etablierte Standards in der IT handelt.

In meiner Mail-Quarantäne landeten bisher übrigens ausschließlich Spammer und Phishing-Versuche