Mail-Überlauf

Spammer nutzen immer häufiger frei erfundene Absenderadressen aus existierenden Domains. In der Folge verstopfen Rückläufer wie Fehlermeldungen von Mailservern die Postfächer der angeblichen Absender. Im Extremfall kann die Zahl der eintreffenden Rückläufer an einem Tag in die Hunderttausende gehen und den Mailserver lahmlegen.

Insbesondere die so genannte Catch-All-Funktion verursacht bei den Empfängern der ungebetenen Mails Probleme: Mails an ungültige Adressen einer Domain werden mit Catch-All nicht abgewiesen, sondern in das Admin- oder Postmaster-Postfach einsortiert. Da die Spammer zufällig generierte E-Mail-Adressen aus den betroffenen Domains verwenden, landen hier die meisten Rückläufer.

Die Spammer benutzen nicht ohne Grund tatsächlich bestehende Domains: Immer mehr Mailhosts checken beim Eingehen der Mail, ob die Domain existiert - wenn nicht, wird die Mail als Spam klassifiziert. Das Fälschen von Absenderadressen ist also eine Folge des ständigen Wettrüstens zwischen Spammern und Mailserverbetreibern.

Technisch ist gegen die unerbetenen Rückläufer fast nichts zu machen. Betroffene können lediglich die Catch-All-Funktion ihres Mail-Servers abschalten, sofern der Provider dies zulässt. Die Rückläufer werden dann zwar weiter an den Mailserver gemeldet, dieser verweigert jedoch die Annahme. Je nach Performance des Servers und dessen Anbindung ans Internet kann dies aber immer noch zu Lastproblemen führen.

Und so ertönt immer lauter der Ruf nach dem Staatsanwalt, der dem bunten Treiben Einhalt gebieten soll. Die Betroffenen können es kaum glauben, dass es nur wenige rechtliche Mittel gibt, den Spammern ihr Handwerk zu legen, selbst wenn diese namentlich bekannt sind. Dies liegt hauptsächlich daran, dass die Versender in den allermeisten Fällen ihr Unwesen in außereuropäischen Ländern treiben und so für die deutsche Justiz kaum greifbar sind. Aber auch bei Tätern in Deutschland offenbart die bestehende Rechtslage gravierende Regelungslücken.

Hier hilft allenfalls das Markenrecht, das in § 143 die „strafbare Kennzeichenrechtsverletzung“ verbietet. Danach ist es nicht erlaubt, eine eingetragene Marke oder ein Geschäftskennzeichen ohne Zustimmung des Inhabers im geschäftlichen Verkehr vorsätzlich in verwechslungsfähiger Art und Weise zu nutzen. Bei Verstoß droht eine Freiheitsstrafe bis zu drei Jahren, bei gewerblichem Handeln - in der Regel bei Spam anzunehmen - bis zu fünf Jahren. Die gängige Rechtssprechung geht davon aus, dass eine im geschäftlichen Verkehr verwendete Domain ein Unternehmenskennzeichen ist. Danach wäre die Verwendung der Adresse als Absenderangaben in Spam also eine strafbare Handlung.

Der Heise Zeitschriften Verlag hat im August 2003 bereits eine Strafanzeige gegen einen Spammer gestellt, der eine heise.de-Absenderadresse verwendet hat. Die Ermittlungen der Staatsanwaltschaft in diesem Verfahren dauern noch an.

Allerdings profitieren von der Regelung des § 143 MarkenG nur Unternehmen und gewerblich Tätige, nicht dagegen Nutzer privater Domains. Die Vorschriften des Strafgesetzbuches (StGB) helfen Privatkunden ebenfalls nicht. Beim Domainmissbrauch handelt es sich weder um Betrug noch um Computerbetrug, auch Urkundenfälschung liegt nicht vor.

In dem Fall, dass enorme Mengen an Spam-Mails verschickt werden und die Anzahl der Bounces durch unzustellbare Rückläufer so hoch ist, dass der Mailserver vorübergehend in die Knie geht, greift der eigentlich für Hacker-Angriffe konzipierte § 303 b StGB, die Computersabotage. Diese Vorschrift schützt allerdings wiederum nur essenzielle Infrastruktur von Unternehmen oder Behörden, nicht dagegen die Anlagen von Privatpersonen. Insoweit besteht ein dringender Handlungsbedarf des Gesetzgebers, die offensichtliche Regelungslücke im Interesse der privaten Internet-Nutzer möglichst bald zu schließen.

Betroffenen Privatleuten bleibt nur der Weg, den Spammer zivilrechtlich auf Unterlassung und Schadenersatz zu verklagen. Das Prozesskostenrisiko ist dabei hoch, die Beweislast liegt beim Kläger. Eine Klage ist auch nur dann aussichtsreich, wenn der Spammer bekannt ist und seinen Wohn- oder Geschäftssitz in Deutschland hat. Eine Postfachadresse etwa in Liechtenstein oder auf den Bahamas reicht bereits aus, um die Adressfälscher in Sicherheit zu bringen.

Um das Übel bei der Wurzel zu packen, müsste die Struktur der Mailserver neu organisiert werden. Grundsätzlich lässt der versendende Server die Eingabe beliebiger E-Mail-Adressen als Absender zu. Zwar haben gerade die großen deutschen Mailprovider dem einen Riegel vorgeschoben, indem sie prüfen, ob die gewählte Absenderadresse mit den Accountdaten des Kunden übereinstimmt. Beliebige Absenderadressen lassen sie generell nur bei Kunden zu, deren Identität sie zuvor geprüft haben, sodass sich Adressfälscher auf solchen Servern heftigen Ärger einhandeln würden. Aber das Internet bietet immer noch genug Schlupflöcher.

Das Problem liegt darin, dass sich SMTP-Server an beliebigen Stellen des Netzes aufsetzen lassen. Viele Spammer funktionieren also ihre Rechner zu Mailservern um und benutzen Dialup-Zugänge. Häufig benutzen sie obendrein einen Proxy, der es noch mehr erschwert, den Urheber einer Mail mit gefälschtem Absender ausfindig zu machen. Eine offenbar nicht mehr so verbreitete Taktik ist hingegen die Suche nach einem Server, der Mails ohne Authentifizierung entgegennimmt und als eigene weiterleitet. Solche Server landen schnell auf einschlägigen schwarzen Listen; Mails aus dieser Quelle werden dann grundsätzlich abgelehnt.

Einige Lösungsansätze gehen daher in die Richtung, Mails nur noch von authentifzierten Gegenstellen entgegenzunehmen, die Spam mit ihrer Policy ebenfalls wirksam unterbinden. Das Netz der teilnehmenden Mailserver müsste dabei aber nach außen abgeschottet werden. Das würde aber den enormen Vorteil des Internet, dass jeder Teilnehmer mit jedem kommunizieren kann, zunichte machen. Nutzer von außerhalb könnten keine Mails mehr an Empfänger innerhalb des geschützten Bereichs versenden. Ob ein spamfreies Netz diesen Preis wert ist, ist mehr als fraglich.

Der Spam mit all seinen negativen Begleiterscheinungen wird weitergehen, solange auch nur ein verschwindend geringer Anteil der Angeschriebenen die Angebote in den Spam-Mails nutzt, etwa durch Klicken auf einen Link. Selbst wenn nur jeder zehntausendste Adressat bestellt, sind das 100 erfolgreiche Geschäftsabschlüsse pro Million versandter Mails - da der Versand von Mails nahezu nichts kostet, lohnt das Geschäft also immer noch. (uma) (uma)