Kapitel 07 Mail-Transport & Abwehr Admin: #pSpam

SpamGuard, Smart Greylisting, DNSBL, FTRL-ML & ClamAV Antivirus

Die mehrstufige Eingangs-Pipeline kombiniert Protokoll-Vorprüfungen (SPF, DKIM, DMARC, FCrDNS, DNSBL, Smart Greylisting) mit struktureller MIME-Heuristik, einem selbstlernenden Online-FTRL-Klassifikator (pro Mandant über Benutzer-Verschiebungen in/aus Junk trainiert) und optionalem ClamAV-Echtzeit-Virenscan.

Praxis-Tipp & Architektur-Hinweis

Keine Angst vor E-Mail-Verlust durch Fehlalarme: Alles zwischen JunkThreshold (4,5) und RejectThreshold (9,0) wird niemals gelöscht, sondern sauber mit Header X-Spam-Status versehen im Junk-Ordner zugestellt. Mit dem interaktiven Spam-Analyzer (#pSpam) kannst du jede .eml-Nachricht jederzeit nachrechnen.

Entscheidungsstufen der Eingangs-Pipeline

Benutzer trainieren das FTRL-Modell automatisch im Alltag, indem sie falsch einsortierte Mails in oder aus 'Spam' verschieben.

Referenz / Konfiguration

Score < 4.5                  -> Zustellung in Posteingang (Ham)
4.5 <= Score < 9.0           -> Zustellung in Ordner "Spam / Junk" (kein Datenverlust)
Score >= 9.0                 -> Direkte SMTP-Ablehnung mit 550 5.7.1
ClamAV Signatur-Treffer      -> Sofortige SMTP-Ablehnung mit 554 5.7.0 Malware rejected

Einstellungen, Standardwerte & Best Practices

Einstellung / Ort	Funktion	Standardwert	Best Practice im Betrieb
`JunkThreshold & RejectThreshold (#pSpam)`	Ab JunkThreshold landet eine E-Mail im Junk-Ordner; ab RejectThreshold wird sie bereits im SMTP-Dialog mit 550 5.7.1 abgewiesen.	`Junk: 4.5 · Reject: 9.0`	4,5 / 9,0 ist die ideale Balance. Senke RejectThreshold niemals unter 7,5, damit legitime Newsletter mit unsauberem HTML höchstens im Junk landen.
`SubjectPrefix ([SPAM])`	Stellt erkannten Junk-Nachrichten optional ein sichtbares Präfix im Betreff voran (hilfreich für reine POP3- oder einfache Weiterleitungs-Ziele).	`Deaktiviert (Ordner-Routing)`	Bei IMAP, Webmail und Mobile Push ausgeschaltet lassen, da E-Mails sauber im Junk-Ordner liegen und der Originalbetreff beim Verschieben in den Posteingang sauber bleibt.
`Smart Greylisting (GreylistingEnabled)`	Bittet unbekannte Kombinationen aus Sender-Netz (/24 bzw. /64), Absender und Empfänger beim allerersten Kontakt um einen kurzen Wiederholungsversuch (451).	`Aktiv · 240 s Wartezeit`	Unbedingt aktiviert lassen! Blockiert über 85 % aller Einweg-Spam-Bots vor dem Datentransfer, während SPF/DKIM-verifizierte Absender sofort ohne Wartezeit passieren.
`DNSBL-Zonen & DnsblScore`	Prüft die einliefernde Server-IP gegen Echtzeit-Sperrlisten. Ein Treffer addiert DnsblScore auf den Gesamt-Spamwert statt blind hart abzulehnen.	`zen.spamhaus.org, bl.spamcop.net (3.5)`	Wichtig bei Spamhaus: Dein Server muss einen eigenen rekursiven Resolver (z. B. lokales Unbound/Windows-DNS) nutzen, keinen offenen DNS wie 8.8.8.8 oder 1.1.1.1!
`ClamAV Antivirus (TCP INSTREAM)`	Streamt eingehende E-Mails speicherschonend an einen lokalen oder im Netzwerk erreichbaren clamd-Dienst und weist Viren/Trojaner mit 554 ab.	`Deaktiviert · 127.0.0.1:3310`	Bei aktiviertem clamd über den 1-Klick-Button im Cockpit sowohl PING als auch den harmlosen EICAR-Signatur-Selbsttest ausführen.