Rechtliche Situation beim Spamblocken

[andy.steffens]

Hallo zusammen,

ich habe eine Frage bezüglich der rechtlichen Situation beim Blocken von Spammails.

Folgende Situation:
Ich habe 2 Postfixserver die Mails für verschiedene Domains entgegen nehmen, diese aber auf einen Mailaccount bei einem großen dt. Provider weiterleiten.
In den Maillogs fand ich nun folgendes:

host mailin.großerdtprovider.tld[xxx.xxx.xxx.xxx] said:
550 Blocked by policy: mail contains SPAM (in reply to end of DATA command))

Die Mails sind Spam, aber darf der Provider das so einfach.
Auf anderen Mailservern tagge ich nur, weil ich in Erinnerung hab, dass man Mails nicht einfach blocken und löschen darf, wenn der Empfänger stimmt.

Auf Anfrage kam folgende Antwort:

wir verwenden verschiedene globale
Abwehrmechanismen, die wir aus
Sicherheitsgründen nicht im Detail
erläutern möchten. U.a. werden auch
RBLs verwendet.

Google und Forumssuche brachten nicht viel, ausser dass das eigentlich eine Problem zwichen Fernmeldegeheimniss und Telekommunikationsgesetz ist.
Weiß da einer genaueres ?

Vielen dank!
Andy

[Joe User]

Bis zum DATA darf die Mail abgelehnt, aber nicht gelöscht, werden. Ab dem DATA (Body) muss die Mail, auch Spam und Schadcode, zugestellt werden. Daher darf beispielsweise Spamassassin ausschlesslich zum Taggen verwendet werden, da Spamassassin die vollständige Mail benötigt.

[aquajo]

Bis zum DATA darf die Mail abgelehnt, aber nicht gelöscht, werden. Ab dem DATA (Body) muss die Mail, auch Spam und Schadcode, zugestellt werden.

Warum bis DATA nicht bis zum Finalen OK?

Ich kenne das so:

- Löschen nur mit EXPLIZITER Zustimmung des Nutzers (Edit: Also nicht nur: ja ich will den Spamfilter, sondern ja ich will das E-Mails die der SPAM-Filter verdächtig findet gelöscht werden. + Belehrung über Gefahr von False Positives)
- Body-Scans (Also z.B. Spamassassin) auch nur wenn der Nutzer zugestimmt hat
- Reject ist immer Problemlos (weil der Absender davon erfährt, bzw. die E-Mail nicht in den eigenen Einflussbereich übergeben wurde)
- Taggen im Header auch kein Problem, beim Betreff-Umschreiben o.Ä. wieder Zustimmung des Nutzers notwendig
- Viren darf man bei den meisten Richtern Filtern (Recht auf Selbstschutz oder so)

[Joe User]

Warum bis DATA nicht bis zum Finalen OK?

Weil dann der Body bereits vollständig auf dem Zielsystem gespeichert ist und wenn es nur im RAM ist.

- Löschen nur mit EXPLIZITER Zustimmung des Nutzers (Edit: Also nicht nur: ja ich will den Spamfilter, sondern ja ich will das E-Mails die der SPAM-Filter verdächtig findet gelöscht werden. + Belehrung über Gefahr von False Positives)

Dem Löschen muss auch der Versender zustimmen, ergo ist das Löschen von Mails tabu.

- Body-Scans (Also z.B. Spamassassin) auch nur wenn der Nutzer zugestimmt hat

ACK.

- Reject ist immer Problemlos (weil der Absender davon erfährt, bzw. die E-Mail nicht in den eigenen Einflussbereich übergeben wurde)

ACK.

- Taggen im Header auch kein Problem, beim Betreff-Umschreiben o.Ä. wieder Zustimmung des Nutzers notwendig

ACK.

- Viren darf man bei den meisten Richtern Filtern (Recht auf Selbstschutz oder so)

VIrus = Body = Zustellpflicht

[aquajo]

Warum bis DATA nicht bis zum Finalen OK?

Weil dann der Body bereits vollständig auf dem Zielsystem gespeichert ist und wenn es nur im RAM ist.

hmm, komische Argumentation der Juristen(?)
Hast du da evtl. ne Quelle?

- Löschen nur mit EXPLIZITER Zustimmung des Nutzers (Edit: Also nicht nur: ja ich will den Spamfilter, sondern ja ich will das E-Mails die der SPAM-Filter verdächtig findet gelöscht werden. + Belehrung über Gefahr von False Positives)

Dem Löschen muss auch der Versender zustimmen, ergo ist das Löschen von Mails tabu.

Warum soll bei E-Mails der Absender zustimmen müssen?
Ich darf doch als User E-Mails nach beliebigen Kriterien löschen, oder auch meine (Snail-Mail) Post ungelesen in den Aktenvernichter werfen?

Warum soll der Admin den Nutzer nicht das anlegen des Filter "Wenn X-SPAM: Yes DANN Tonne" automatisieren dürfen?

- Viren darf man bei den meisten Richtern Filtern (Recht auf Selbstschutz oder so)

VIrus = Body = Zustellpflicht

Zumindest bei Firmen MTAs gilt das wohl nicht (selbst wenn private Nutzung erlaubt ist), bei Interesse suche ich gerne die Quelle davon.

[Joe User]

Warum bis DATA nicht bis zum Finalen OK?

Weil dann der Body bereits vollständig auf dem Zielsystem gespeichert ist und wenn es nur im RAM ist.

hmm, komische Argumentation der Juristen(?)
Hast du da evtl. ne Quelle?

Die Argumentation stammt aus einem Verfahren (länger her, IIRC Ausland), welches primär auf Grund der Argumentation gewonnen wurde. (Nicht nur) Ich würde genauso argumentieren wenn es um meine Mail(s) ginge...

- Löschen nur mit EXPLIZITER Zustimmung des Nutzers (Edit: Also nicht nur: ja ich will den Spamfilter, sondern ja ich will das E-Mails die der SPAM-Filter verdächtig findet gelöscht werden. + Belehrung über Gefahr von False Positives)

Dem Löschen muss auch der Versender zustimmen, ergo ist das Löschen von Mails tabu.

Warum soll bei E-Mails der Absender zustimmen müssen?
Ich darf doch als User E-Mails nach beliebigen Kriterien löschen, oder auch meine (Snail-Mail) Post ungelesen in den Aktenvernichter werfen?

Warum soll der Admin den Nutzer nicht das anlegen des Filter "Wenn X-SPAM: Yes DANN Tonne" automatisieren dürfen?

Der Empfänger darf die Post jederzeit entsorgen, aber nicht der Briefträger, auch nicht im Auftrag. Der Briefträger darf lediglich das Zustellen der Post verweigern, bevor er sie transportiert.

- Viren darf man bei den meisten Richtern Filtern (Recht auf Selbstschutz oder so)

VIrus = Body = Zustellpflicht

Zumindest bei Firmen MTAs gilt das wohl nicht (selbst wenn private Nutzung erlaubt ist), bei Interesse suche ich gerne die Quelle davon.

Da spielen auch andere Rechte/Pflichen eine zusätzliche/höhere Rolle...

[aquajo]

(Blocken nur bis DATA)

Die Argumentation stammt aus einem Verfahren (länger her, IIRC Ausland), welches primär auf Grund der Argumentation gewonnen wurde. (Nicht nur) Ich würde genauso argumentieren wenn es um meine Mail(s) ginge...

Ich würde nach dem RFC argumentieren, und als Vergleich heranziehen, dass ein brief den der Postbote in den Briefkasten schiebt (Die Daten nach Data) und danach wieder rauszieht (nicht erfolgreich, da Fehlermeldung) auch wohl als nicht zugestellt gelten würde.

Aber vor Gericht und auf hoher See :)

(E-Mail-Löschen)

Der Empfänger darf die Post jederzeit entsorgen, aber nicht der Briefträger, auch nicht im Auftrag. Der Briefträger darf lediglich das Zustellen der Post verweigern, bevor er sie transportiert.

Wäre bei expliziten Auftrag das nicht eher mit einer Sekretärin vergleichbar, die den Chef auch die Faber/SKL usw. vorenthält?

[Joe User]

(Blocken nur bis DATA)

Die Argumentation stammt aus einem Verfahren (länger her, IIRC Ausland), welches primär auf Grund der Argumentation gewonnen wurde. (Nicht nur) Ich würde genauso argumentieren wenn es um meine Mail(s) ginge...

Ich würde nach dem RFC argumentieren, und als Vergleich heranziehen, dass ein brief den der Postbote in den Briefkasten schiebt (Die Daten nach Data) und danach wieder rauszieht (nicht erfolgreich, da Fehlermeldung) auch wohl als nicht zugestellt gelten würde.

Wer darf denn gemäss RFC nach dem DATA noch einen 550 verursachen? 450 ja, aber 550?

Aber vor Gericht und auf hoher See :)

ACK ;)

(E-Mail-Löschen)

Der Empfänger darf die Post jederzeit entsorgen, aber nicht der Briefträger, auch nicht im Auftrag. Der Briefträger darf lediglich das Zustellen der Post verweigern, bevor er sie transportiert.

Wäre bei expliziten Auftrag das nicht eher mit einer Sekretärin vergleichbar, die den Chef auch die Faber/SKL usw. vorenthält?

Sekretärin = Spamassassin/Procmail/etc.
Nun zaubere nicht auch noch die Praktikatin oder den Hausmeister hervor ;)

[aquajo]

*lach*
Also der Hausmeister holt morgens die Post, die er dem Praktikanten zum sortieren gibt...

Ich würde 'mal als Zusammenfassung sagen: es gibt einige Möglichkeiten in .de bei der SPAM-Bekämpfung für Dritte (auf einem Mailserver der nur für den Admin läuft kann der ja tun & lassen was er will) wo die Rechtslage relativ eindeutig ist, und einige wo man nen guten Anwalt fragen sollte. (Bzw. wenn man Risikoscheuer ist gleich die Finger von lassen)

[Joe User]

So sieht es aus, im Zweifel -> Finger weg!

[tomotom]

So sieht es aus, im Zweifel -> Finger weg!

Ist denn der policy-weightd einer der tatsächlich von sich aus die Finger wegläßt. In der Empfehlung von Joe User http://www.rootforum.org/forum/viewtopic.php?t=46643 wird er aus rechlichen Gründen empfohlen. Wähere man mit diesem was die von ihm abgelehnten Mail angeht aus dem Schneider?

Wenn ich es richtig verstanden habe lehnt er es ab Mail aus bestimmten Gründen anzunhemen, so dass davon auszugehen ist, dass de Sender über die Ablehnung informiert wird.

[Joe User]

Wähere man mit diesem was die von ihm abgelehnten Mail angeht aus dem Schneider?

Ja, da die Mail vor dem DATA abgelehnt wird.

Wenn ich es richtig verstanden habe lehnt er es ab Mail aus bestimmten Gründen anzunhemen, so dass davon auszugehen ist, dass de Sender über die Ablehnung informiert wird.

Der sendende Mailserver bekommt eine Fehlermeldung fürs Log. Was er aus der Fehlermeldung macht, ist sein Problem.

[sledge0303]

dass davon auszugehen ist, dass de Sender über die Ablehnung informiert wird.

Nö, woher soll der Mailserver wissen das 'er' den Absender informieren soll/muss? Der Server macht nur das was man ihm auch sagt!

[tomotom]

Der sendende Mailserver bekommt eine Fehlermeldung fürs Log. ..

Und das ist rechtskomform bzw. ok? Die Mail verschwindet doch so auch und evt. weiß noch nicht einmal der Admin etwas davon.

[Joe User]

Und das ist rechtskomform bzw. ok?

Ja, vollkommen.

[alarenal]

Bekommt der sendende Mailsever eine Fehlermeldung bei abgelehntem Transfer, hat dieser ja den Ball. Jeder "normale" Server reagiert darauf indem er den Sender per Mail benachrichtigt. Wenn er das nicht tut, liegt das im Einfluss- und Verantwortungsbereich des zuständigen Admins.

[dodolin]

Wer darf denn gemäss RFC nach dem DATA noch einen 550 verursachen? 450 ja, aber 550?

Jeder. Ist sogar in RFC 2821 explizit vorgesehen, siehe z.B. Abschnitt 4.2.5 Reply Codes After DATA and the Subsequent <CRLF>.<CRLF>.

550 Blocked by policy: mail contains SPAM (in reply to end of DATA command))

Die Mails sind Spam, aber darf der Provider das so einfach.
Auf anderen Mailservern tagge ich nur, weil ich in Erinnerung hab, dass man Mails nicht einfach blocken und löschen darf, wenn der Empfänger stimmt.

Klar, annehmen und still löschen ist ein no-no. Nun sollte man aber die Definition beachten: Eine Mail ist erst angenommen, wenn nach dem DATA ein 250er kommt. Kommt ein 4er oder 5er Fehler, ist die Mail nicht angenommen, ergo verbleibt sie im Zuständigkeitsbereich des sendenden Servers. Da die Mail erst gar nicht angenommen wurde, kann sie auch gar nicht "gelöscht" werden. Ich sehe hier keine Probleme. Außer in der praktischen Umsetzung wie hier, bei Mailweiterleitungen, das ist ganz übel, da hier Collateral Spam erzeugt wird.

[Joe User]

Wer darf denn gemäss RFC nach dem DATA noch einen 550 verursachen? 450 ja, aber 550?

Jeder. Ist sogar in RFC 2821 explizit vorgesehen, siehe z.B. Abschnitt 4.2.5 Reply Codes After DATA and the Subsequent <CRLF>.<CRLF>.

Danke für die Aufklärung. Somit sind einige meiner Argumente in Rauch aufgegangen und ich entschudige mich für die dadurch entstandenen Verwirrungen.

[rootsvr]

Wer darf denn gemäss RFC nach dem DATA noch einen 550 verursachen? 450 ja, aber 550?

Jeder. Ist sogar in RFC 2821 explizit vorgesehen, siehe z.B. Abschnitt 4.2.5 Reply Codes After DATA and the Subsequent <CRLF>.<CRLF>.

550 Blocked by policy: mail contains SPAM (in reply to end of DATA command))

Die Mails sind Spam, aber darf der Provider das so einfach.
Auf anderen Mailservern tagge ich nur, weil ich in Erinnerung hab, dass man Mails nicht einfach blocken und löschen darf, wenn der Empfänger stimmt.

Klar, annehmen und still löschen ist ein no-no. Nun sollte man aber die Definition beachten: Eine Mail ist erst angenommen, wenn nach dem DATA ein 250er kommt. Kommt ein 4er oder 5er Fehler, ist die Mail nicht angenommen, ergo verbleibt sie im Zuständigkeitsbereich des sendenden Servers. Da die Mail erst gar nicht angenommen wurde, kann sie auch gar nicht "gelöscht" werden. Ich sehe hier keine Probleme. Außer in der praktischen Umsetzung wie hier, bei Mailweiterleitungen, das ist ganz übel, da hier Collateral Spam erzeugt wird.

So würde ich das auch sehen. bekommt der Sender ein 250 OK muß die Mail den Empfänger erreichen (es sei denn man ist Hotmail), kommt ein 5XX ist das rechtlich ok..

Sehr bedenklich finde ich allerdings das dein Server Spam versendet..

[andy.steffens]

Hi,

vielen Dank erstmal für die vielen Antworten.
Ich stehe in Kontakt mit dem Provider und wir diskutieren, wie man das lösen könnte.

Meine Server versenden keinen Spam, sondern leiten Spam nur weiter. :)

Das Problem ist halt, dass meine Server die Mail annehmen, ich jage sie durch Spamassassin und Clamav und leite Sie dann weiter.

Der Provider meines Kunden, dem auch die Server gehören, blockt dann die Mail,
nicht weil die Server auf einer Blacklist stehe, sondern weil der Mailversender auf einer steht, oder der body Spam ist.

Damit ist diese abgelehnte Mail, wenn ich die letzten Aussagen hier korrekt verstanden hab, mein Problem bzw. meines Servers.
Mein Kunde sagt, er vertraue dem Provider, dass dieser nur 150% Spammails ablehnt und so nix weiter zu tun wäre, aber ganz zufriedenstellend finde ich das nicht.

Mal um ein paar Zahlen zu nennen.
Von ca. 250 Mails, die weitergeleitet werden werden so 20 abgelehnt.

Andreas