Artikel mit ‘spam’ getagged

Wenn Verbraucherschutz in Rufschädigung mündet

Montag, 28. September 2009

Eine obskure Firma namens Elda CBC Srl. mit Postanschrift in Rumänien treibt neues Unwesen mit bekannter Masche: Per Fax bekommen Firmen Adressbucheinträge zur Ergänzung vorgeschlagen – und wer diese ergänzt zurücksendet, bekommt die Rechnung von über 2.000 Euro präsentiert. So alt, so bekannt. Dennoch fallen immer noch Firmen darauf herein – schlimm genug.

Die fragliche Firma Elda hat nun bei einem meiner Kunden einen Webspace mit Domain geordert und dort den Zugriff auf das Branchenbuch ermöglicht, oder besser gesagt: Es zumindest versucht. Die Seite war nämlich völlig kaputt. Davon abgesehen gab es dort auch keine Eintragungsmöglichkeit – die Abzock-Falle beschränkte sich auf Faxe; im Web war nichts zu erkennen, was rechtlich zu beanstanden gewesen wäre.

Nun findet sich aber eine Website namens verbraucherabzocke.info im Netz, die es sich zum ehrenwerten Ziel gemacht hat, Informationen zu solchen Abzockern zu sammeln und zu veröffentlichen. Da sich die Macher der Seite offensichtlich wiederholt den Aggressionen der Abzocker ausgesetzt gesehen haben, wird diese per anonymem Offshore-Hosting betrieben, sprich: Inhaber der Domain ist nur ein Treuhänder; die Server stehen in irgendeinem Land, in dem es nach Eigenaussage des Hosting-Betreibers praktisch keine Rechtsverfolgung gibt.

Eben jene Macher von verbraucherabzocke.info betätigen sich nun offensichtlich als Detektive: Als seien diese Informationen irgendwie geheim, wird auf der Seite „aufgedeckt“, auf welcher IP-Adresse die böse Website betrieben wird, und man kommt darüber auf den Serverbetreiber (meinen Kunden), den Betreiber des Rechenzentrums und letzten Endes – auf meinen Namen. In fett und rot, und mit vollständiger Adresse. Unter dem Titel „Wer steckt dahinter?“. Nun ist natürlich die technische Verfolgung dieser Kette nicht falsch, auch wenn das auch jeder andere mit profundem Internetwissen hinbekommen hätte. Suggiert wird allerdings durch den Titel des betreffenden Abschnitts der Website und nicht zuletzt durch die besonders hervorgehobene Schreibweise meines Namens, man habe hier gewissermaßen den „Hintermann“ der Elda CBC Srl. aufdecken können (ganz so, als wenn ich mich zuvor irgendwie versteckt hätte). Das ist natürlich grundfalsch. Als technischer Betreiber kann ich ungefähr soviel für die Machenschaften der Elda CBC Srl. wie ein Mobilfunkbetreiber etwas dafür kann, dass sich ein Bankräuber per Handy mit seinem Komplizen verständigt – nämlich genau gar nichts.

Um kurz vorzugreifen: Selbstverständlich heiße ich die Aktivitäten jener Firma Elda keinesfalls für gut – im Gegenteil. Und ich unterstütze grundsätzlich auch jedes Anliegen des Verbraucherschutzes, solchen Firmen das Handwerk zu legen. Allerdings ist eine öffentliche Anprangerung unter Suggerierung falscher Tatsachen dann doch nochmal ein anderes Kaliber.

Nach Rücksprache mit meinem Kunden, bei dem jene Firma Domain und Webspace erworben hatte, entschied jener sich dazu, bis zur Klärung der Rechtslage die Domain vorübergehend zu deaktivieren. Ein mutiger Schritt, denn immerhin ist er seinem Kunden gegenüber vertraglich zur Leistungserbringung verpflichtet, und ich betone nochmal: Im Web hat die Firma meiner Ansicht nach keine Rechtsverletzung begangen. Dass die Firma Elda über ganz andere Kanäle betrügerische Dinge per Fax durchführt, entzieht sich nicht nur unserer Kenntnis, sondern auch unserer Verantwortung und unserer Einflussnahme.

Nun kommt es, wie es kommen muss: Geschädigte stoßen auf die fragliche Internetseite und ziehen genau die Schlüsse, die dort implizit nahegelegt werden, wenngleich nicht explizit ausformuliert. So trudelte dann heute ein Einschreiben eines Geschädigten bei mir ein: „Mein“ Vertragsangebot wird angefochten; ich werde beschuldigt, den Geschädigten „planmäßig, vorsätzlich und arglistig über den wahren und [vom Geschädigten] erwarteten Inhalt […] getäuscht“ zu haben. Angemessene Worte – aber an den falschen Adressaten. Zu weit ging es mir aber dann, als ich lesen musste, dass der Geschädigte „meine Vorgehensweise nebst Unterlagen an die Zentrale zur Bekämpfung unlauteren Wettbewerbs weitergeleitet habe“. Meine Hand griff zum Hörer.

Die freundliche Dame, die ich am Telefon hatte, gab unumwunden zu, dieses Schreiben an mich adressiert zu haben, „weil das ja so im Internet steht, dass Sie dahinterstehen“. Ich musste mich bemühen, die Fassung zu wahren. Was bringt Leute bloß dazu, einfach alles zu glauben, was im Netz steht – noch zudem, wenn es auf einer Seite steht, die sich geradezu damit brüstet, kein Impressum zu haben, weil sie nicht in Deutschland gehostet würde und damit nicht dem Teledienstgesetz unterläge?

Das Telefonat verlief freundlich, aber im Ergebnis nicht in meinem Sinne. Zwar konnte ich – so glaube ich – einigermaßen meine Rolle in dieser Angelegenheit vermitteln; darauf, mir ebenso schriftlich wie das zuvor verschickte Einschreiben nun aber auch mitzuteilen, dass man nun doch keine Anschuldigungen gegen mich hätte, keine Forderungen gegen mich geltend machen würde und last but not least auch die Wettbewerbszentrale darüber informieren würde, dass es sich hierbei um eine Falschinformation handelt, wollte sie sich dann aber doch nicht einlassen – dafür könne sie die Situation nicht gut genug einschätzen; sie habe letztlich nur deshalb dieses Schreiben an mich gesendet, weil ihr Anwalt ihr gesagt habe, dass sie das tun solle. Au weia.

Nun, so einfach lasse ich das nicht auf mir sitzen. Wer sich von mir Verständnis und Kooperation erhofft, erreicht das mit einer kurzen Mail oder einem simplen Anruf viel einfacher, als mich mit rechtlichen Schritten und hohen Forderungen zu bedrohen. Aus diesem Grund habe ich nun eine schriftliche Stellungnahme angefordert und dafür eine entsprechende Frist gesetzt. Insbesondere gegen Anschwärzungen bei der Wettbewerbszentrale aufgrund anonymer Beschuldigungen habe ich dann doch was einzuwenden. Wo bleibt eigentlich der gesunde Menschenverstand? Es tut mir ja sehr leid, wenn die nette Frau vor einer Antwort auf mein Schreiben erst nochmal ihren Anwalt konsultieren will (der dafür dann ja sicherlich auch wieder eine Rechnung schreiben wird), aber das hätte nun wirklich von Anfang bis Ende alles nicht sein müssen.

qmail und Greylisting: Implementierung

Dienstag, 05. Mai 2009

Auf unseren internen System evaluieren wir derzeit den Einsatz von Greylisting mittels qmail. Am Beginn der Suche stand hier zunächst, einen geeigneten Patch zu finden. Genauer gesagt sind es gleich mehrere. Um das Ergebnis vorwegzunehmen: Die finale Struktur sieht wie folgt aus …

  1. qmail-smtpd wird derart gepatcht, dass es bin/qmail-envelope-scanner aufruft. Der Patch hierfür ist klein und überschaubar und agnostisch, was den eigentlichen die Header beurteilenden Vorgang betrifft. Er sorgt lediglich dafür, dass der Exitcode von qmail-envelope-scanner ausgewertet wird und dementsprechend qmail-smtpd dann einen temporären oder permanenten Fehler zurückliefert. Einen Autor für diesen Patch habe ich nicht finden können; Jeremy Kusnetz hat offensichtlich die „beste“ Version aus verschiedenen Schnipseln zusammengesetzt, die auf der Mailingliste herumgingen.
  2. Der eigentliche qmail-envelope-scanner stammt von Martin Dempsey. Martin hatte zunächst local_scan als Greylisting-Erweiterung für Exim entwickelt. Als Standalone-Tool war es aber nicht weit davon entfernt, auch von qmail aus genutzt zu werden. Der qmail-envelope-scanner ist nur ein Wrapper (33 Zeilen) um das eigentliche local_scan herum.

Die aus meiner Sicht praktikabelste Zusammenstellung der Patches stammt schließlich von Bill Shupp. Wer hier weiter nach unten scrollt, findet dort den Abschnitt „EXPERIMENTAL: greylisting patch“. Er fasst die beiden obigen Patches zusammen mit einem Patch für das Makefile von netqmail-1.05 zusammen.

Bei uns waren noch zwei Änderungen nötig, die jedoch spezifisch für das von uns eingesetzte CentOS sind:

  • Der Verweis auf /usr/lib/libmysqlclient.a im Makefile muss auf /usr/lib/mysql/libmysqlclient.a geändert werden, da die Bibliotheken bei CentOS in diesem Unterverzeichnis liegen.
  • In conf-cc muss noch ein „-lssl“ ergänzt werden, da die libmysqlclient bei CentOS mit SSL-Support kompiliert wurde und sich von daher nicht benutzen lässt, wenn nicht auch gleichzeitig gegen die OpenSSL-Library gelinkt wird.

Ansonsten müssen nur noch Bills Anweisungen befolgt werden: Es sollte ein periodischer Job eingerichtet werden, der veraltete Einträge aus der Datenbank entfernt werden, und es muss eine Tabelle für die Daten angelegt werden.

Die Konfiguration kann in dieser Version sehr praktisch – Dank an Joshua Megerman – durch Umgebungsvariablen geregelt werden, für die ich empfehlen würde, sie in /service/qmail-smtpd/run unterzubringen. Bei dieser Gelegenheit würde ich auch die Expire-Werte anpassen, da mir ein erstes Akzeptieren eines Tripels erst 55 Minuten nach dem ersten Zustellversuch doch reichlich spät erscheint:

export MYSQLHOST="..."
export MYSQLUSER="..."
export MYSQLPASS="..."
export MYSQLDB="..."
# minutes until email is accepted
export BLOCK_EXPIRE="5"
# minutes until record expires
export RECORD_EXPIRE="500"
# days until record expires after accepting email
export RECORD_EXPIRE_GOOD="36"
export LOCAL_SCAN_DEBUG="1"

(Hier würde sich empfehlen, die Zugangsdaten zu MySQL in einem separaten Shellscript auszulagern, das dann sowohl vom rund-Script als auch vom Aufräumjob eingebunden wird. Ich hab’s nicht so gern, wenn Daten auf zig Orte verstreut werden.)

Erstes Ergebnis: Nur rund 1,5 Prozent aller Zustellversuche werden wiederholt. Es ist also davon ausgehen, dass die restlichen 98,5 Prozent in erster Linie Spammer sein werden. Wir bleiben dran.


Impressum