Spam- und Phishing-Schutz in MailGuard

Der Spam- und Phishing-Schutz bewertet jede eingehende Nachricht mit mehreren Prüfschichten und fasst das Ergebnis zu einem Score zusammen. Verdächtige Mails werden markiert oder blockiert, ohne dass legitime Post verloren geht.

Mehrstufige Erkennung

Mehrere Verfahren ergänzen sich, damit einzelne Schwächen nicht durchschlagen. Aktivierbar ist jeweils nur, was benötigt wird.

• Bayes-Filter für die statistische Inhaltsbewertung.
• Heuristik für auffällige Muster in Aufbau und Kopfzeilen.
• RBL-Checks gegen bekannte Versandquellen.
• Link-Reputation gegen bekannte Schadseiten.
• Absender-Authentifizierung mit SPF, DKIM, DMARC und ARC.

Schwellenwerte und Aktionen des Spamfilters je Richtlinie.

Schwellenwerte und Scoring

Zwei Schwellen steuern die Reaktion. Ab dem Mark-Score gilt eine E-Mail als verdächtig und wird gekennzeichnet, etwa über ein Betreff-Präfix, einen Header oder eine Umleitung. Ab dem Block-Score wird sie blockiert. Statt der Kennzeichnung lässt sich einstellen, dass eine markierte Nachricht direkt in die Quarantäne wandert. Details dazu auf der Seite Quarantäne.

Die Skala reicht von 0 bis 100. Der Mark-Score ist immer gesetzt, der Block-Score darf leer bleiben, dann wird nichts allein aufgrund der Bewertung blockiert. Für die Kennzeichnung gibt es zwei Schalter: die Kopfzeile X-Conbool-Flag: YES und das Betreff-Präfix. Voreingestellt ist [SPAM], der Text ist frei wählbar. Löst eine Regel ausdrücklich die Aktion Markieren aus, werden beide gesetzt, unabhängig von den Schaltern.

Eine neue Richtlinie startet mit Mark-Score 5 und ohne Block-Score. Beim Anlegen stehen drei Vorlagen bereit, deren Werte danach frei anpassbar bleiben.

• Basis markiert ab 8 und blockiert nicht anhand der Bewertung. Bewusst geräuscharm, mit nachsichtiger Auslegung der Absenderprüfung.
• Ausgewogen markiert ab 5, blockiert ab 15, schaltet die Quarantäne ein und rechnet Newsletter und Massenmail mit einem Zuschlag von 3 Punkten an.
• Streng markiert ab 3, blockiert ab 10 und legt markierte Nachrichten direkt in die Quarantäne statt sie zu kennzeichnen. Auffällige Kopfzeilen, verdächtige Links und nicht prüfbare verschlüsselte Anhänge gehen ebenfalls in die Quarantäne.

Die Zahlen sind ein Startpunkt, kein Naturgesetz. Der Weg zu passenden Werten führt über den Audit-Modus: erst beobachten, dann anhand echter Nachrichten justieren.

Richtlinien steuern Bewertung und Aktion je Mailfluss.

Eigene Regeln und Wörterbücher

Neben den Standard-Checks lassen sich eigene Wortlisten und Regex-Regeln hinterlegen. Wörterbücher bündeln Begriffe für Inhaltsregeln und stehen anschließend in jeder Richtlinie zur Verfügung. Der Geltungsbereich einer Regel umfasst wahlweise Betreff, Text und Anhänge.

Zusatz-Checks mit eigenen Wortlisten und Regex-Regeln.

Phishing und Link-Schutz

Gegen Phishing prüft der Link-Schutz alle URLs einer Nachricht. Drei Modi stehen bereit: Monitor markiert nur, Rewrite schreibt jede URL über eine Safe-Link-Adresse um, Block sperrt die E-Mail bei bösartigen Links. Bei aktiver Prüfung beim Klick werden Ziel, Weiterleitungen und Reputation erneut ausgewertet, auch wenn ein Link erst nach der Zustellung auf eine Schadseite umgeleitet wird. Verdächtige Links lassen sich entschärfen, Tracking-Parameter entfernen.

Der Header-Schutz erkennt Reply-To-Abweichungen, nicht passende From- und Reply-To-Domains, Display-Name-Spoofing und Homograph-Domains. Für die Authentifizierung stehen die Voreinstellungen Spec-konform, Ausgewogen und Nachsichtig bereit.

Weiterführend

Absenderseitige Fälschung wird über DMARC, SPF und DKIM zusätzlich eingedämmt. Ergänzend hilft der IP- und Absenderfilter, der Überblick unter MailGuard sowie die Lösungsseiten Spam-Filter für Unternehmen und Phishing-Schutz.