Kampf gegen Spam: Verizon wählt falschen Weg

In den USA kommen die meisten Spam-E-Mails aus dem Netz des Interproviders Verizon, der vor allem einen Internetzugang für private Haushalte anbietet. Das Spamproblem von Verizon liegt daran, dass von Botnetzen übernommene Zombie-PCs fleißig Spam verschicken, ohne dass ihre Besitzer das überhaupt wissen.

Jetzt geht Verizon endlich gegen die Spamflut vor und macht das, was zahlreiche andere Provider in den USA schon lange tun: Verizon sperrt ausgehende TCP-Verbindungen an Port 25. Einzige Ausnahme ist der offizielle SMTP-Server von Verizon, den jeder Verizon-Kunde nur dann nutzen kann, wenn er sich dort mit Benutzerkennung und Password anmeldet.

Auch wenn das Botnetz-Programm die Zugangsdaten ausspioniert, nutzt das wenig. Der SMTP-Server erkennt, wenn ein Kunde übermäßig viele E-Mails verschickt. Den Schwellenwert kann man getrost auf 10.000 E-Mails pro Tag setzen. Spam lohnt sich nur, wenn man pro Tag viele Millionen E-Mails versendet.

Auf den ersten Blick ist das eine tolle Sache. Auf den zweiten Blick jedoch tun sich Probleme auf. Zunächst einmal muss man Portsperren und Portverlangsamungen nach dem Teergrubenprinzip sehr kritisch betrachten. Ein Internetprovider sollte keine Entscheidung darüber treffen, wer mit wem über welches Protokoll kommuniziert. Das geht den Zugangsprovider schlicht und ergreifend nichts an.

Darüber hinaus ist eine Sperre von Port 25 nicht besonders effektiv. Viele Benutzer wählen absichtlich keinen E-Mail-Service des Zugangsproviders, damit sie den Zugangsprovider wechseln können, ohne ihre E-Mail-Adresse zu verlieren. Um die SMTP-Server von E-Mail-Diensten zu erreichen, bedienen sich die Anwender einfach eines Relays auf einem anderen Port und hebeln so die Sperre aus.

Wie man sich leicht denken kann, haben die Programmierer der Botnetz-Programme diesen Trick auch schon herausgefunden. Der einzige Effekt der Portsperre ist, dass es schwieriger wird, seinen E-Mail-Dienst zu konfigurieren. Das Spamproblem bekommt man so nicht in den Griff.

In Europa ist eine Sperre von Port 25 nicht üblich. Die Provider haben offensichtlich die gegen null tendierende Wirkung dieser Maßnahme überblickt. Doch auch in Deutschland schränken die Provider die Kommunikation ihrer Kunden ein. KabelBW rechtfertigt in seinen FAQ die grundsätzliche Sperre der relevanten NetBIOS- und SMB/CIFS-Ports. Das sei einfach zu unsicher.

Dazu lässt sich nur sagen: Erstens stimmt das mindestens seit Windows XP nicht mehr. Richtig konfiguriert mit signierter Konfiguration und Verschlüsselung ist SMB-Filesharing auch über das Internet eine sichere Sache. Man muss allerdings zugeben, dass die Standardeinstellungen sicherheitstechnisch tatsächlich nicht zu rechtfertigen sind.

Zweitens hat KabelBW kein Recht, mir vorzuschreiben, welche Kommunikation ich als sicher ansehe und welche nicht. Wenn ich mit Freunden, die ihre SMB-Kommunikation ebenfalls im Griff haben, Dateien über Netzwerklaufwerke austauschen möchte, dann geht das KabelBW nichts an.

Noch einen Schritt weiter geht T-Mobile. Öffnet man mit seinem Browser eine URL, nachdem man sich mit seinen neuen HSPA-Stick per UMTS ins T-Mobile-Netz gewählt hat, dann erscheint eine Seite, die einen „Service“ anbietet, alle Bilder zu komprimieren, um Bandbreite zu sparen. Das geht eindeutig zu weit. Wenn ich eine URL anfordere, darf mein Provider nicht die Antwort des Servers abfangen und durch eine eigene ersetzen, auch nicht in „guter Absicht“.

Spam kann man auch anders bekämpfen. Beispielsweise, indem Internetprovider ihre SMTP-Server in einer Whitelist registrieren. Einen Zugang bekommt man nur mit Username und Password. Standardmäßig werden 10.000 E-Mails pro Tag erlaubt. Wer mehr will, muss nachweisen, ein seriöser Opt-In-Versender zu sein. So kann jeder Betreiber für sich entscheiden, dass er nur noch E-Mails von Servern auf der Whitelist annimmt.

Das hat viele Vorteile: Jeder könnte weiterhin private E-Mail-Server betreiben, die einen Server der Whitelist als Smarthost nutzen. Portsperren und andere Einschränkungen wären nicht notwendig. Außerdem wäre das Verfahren auch noch effektiv. Durchsetzen wird es sich natürlich nicht. Dazu müssten sich die Provider ja weltweit absprechen und koordinieren, anstatt in Einzelaktionen Portsperren zu implementieren, die nichts bringen.