anti-spam-basics-fuer-versender-spf-dkim-dmarc-samuel-zeller-367977-unsplash

Spam? Gut oder Böse?

Spam-Mails gehören mittlerweile zum Alltag eines jeden Nutzers und Empfängers und in den meisten Fällen wird der Spam-Ordner nicht einmal mehr eines Blickes gewürdigt. Dabei kann es passieren, dass wichtige und legitime Mails aus Versehen als Spam eingestuft werden. Im weiteren Verlauf des Artikels wird sicher deutlicher, dass dies keinesfalls „Versehen“ oder „Zufall“ ist, sondern aus einer Menge an Gründen und Faktoren durch Algorithmen kalkuliert wird. So kann es passieren, dass Reservierungsbestätigungen oder die legitime Lotto-Gewinnbenachrichtigung nicht im Posteingang eintrifft – Millionengewinn verpasst, schade.
Falsch eingestufter Spam ist also nicht nur ärgerlich für Empfänger, sondern vor allem auch ein Problem für Absender. Der Kunde wird nicht erreicht, wichtige Nachrichten nicht übermittelt, Umsatz geht verloren, Vertrauen und Image wird beschädigt. Die direkten und undirekten Kosten für ein Unternehmen mit Spam-Problemen können enorm sein.

Im Folgenden schreibe ich über ein paar Basics im Bereich Anti-Spam-Maßnahmen für Versender. Ziel ist es, dass versandte Mails seltener fälschlicherweise als Spam erkannt werden.

Wie funktioniert Anti-Spam für Versender?

Wenn E-Mails beim Mailserver des Empfängers eintreffen, versucht dieser Server einzuschätzen, ob die Mail tatsächlich vom angegebenen Absender stammt und der Inhalt legitim und relevant für den Empfänger ist. Ein Großteil der technischen Anti-Spam-Maßnahmen betreffen die Validierung des Absenders im Schritt 1, hier gibt es viel Potential für Optimierung. Bei Schritt 2, dem Inhalt, gibt es eher ein paar formale und syntaktische Richtlinien.
Ich schreibe das How-To aus meiner Sicht als Webhosting-Kunde von All-Inkl. Bei anderen Webhostern sowie bei eigenen Root Servern können die nötigen Schritte abweichen. Schaut bitte in die FAQ/Hilfe eures Anbieters oder fragt hier in den Kommentaren, wenn ihr nicht weiter kommt. Für Root Server gibt es hier eine Anleitung, die recht ausführlich Hilfestellung gibt.

Überprüfung der Maßnahmen

anti-spam-basics-fuer-versender-spf-dkim-dmarc-gsuite-mx-check-toolboxEs ist unbedingt empfehlenswert wenn nicht sogar kritisch erforderlich, vor UND nach den folgenden Maßnahmen die Einstellungen zu überprüfen. Wie ist der aktuelle Zustand, wie sieht es danach aus? DNS-Änderungen sind für gewöhnlich innerhalb von Sekunden aktiv und extern sichtbar, kein Warten nötig.
Zum Testen eignen sich besonders die Online Tools MxToolBox und die GSuite Toolbox MX-Check. Prüft damit direkt nach jeder DNS Änderung nach – für gewöhnlich werden diese innerhalb von Sekunden übernommen und sind von extern sichtbar, ebenso die Resultate.
Nun aber zu den Maßnahmen:

#1 – SPF

SPF, Sender Policy Framework (Wikipedia, Standard), ist ein Standard zur Überprüfung des Absenders einer E-Mail und vermutlich der wichtigste Anti-Spam-Indikator. SPF ist eine TXT-Einstellung im DNS der Absender-Domain und leicht zu setzen. Etwas mehr Wissen erfordert unter Umständen das Generieren des TXT Eintrags. Hier muss beachtet werden, welche Mailserver und Maildienste für das Versenden der Mails benutzt werden. Wenn ich den Mailserver meines Webhosters nutze, jedoch Mails über die Googlemail Weboberfläche schicke (E-Mail über SMTP eingebunden), muss ich das im SPF-Eintrag beachten. Hierzu gibt es von fast allen Anbietern entsprechende Infos/Hilfeseiten, etwas googeln hilft hier schnell.
Ein beispielhafter SPF-Eintrag, der Google als Relay inkludiert, könnte so aussehen:
v=spf1 a mx include:_spf.google.com ~all
Kein ptr im SPF, wenn MX gesetzt ist, auch wenn das viele Generatoren immernoch machen. Überprüfung mit SPF Check der MXToolBox. Weitere Infos findet ihr bestimmt in der Hilfe eures Maildienstleisters/Hosters mit der Suche nach „SPF“.
anti-spam-basics-fuer-versender-spf-dkim-dmarc-spf-setup

#2 – DKIM

DKIM, DomainKeys Identified Mail (Standard, Wikipedia), ist wie SPF ebenfalls ein Protokoll zur Überprüfung von eingehenden Mails und deren unverändertem Inhalt.
DKIM nutzt zur Überprüfung eine asymmetrische Verschlüsselungstechnik mit zwei Schlüsseln – einem privaten Schlüssel, der Mails unsichtbar angehängt wird und einem öffentlichen Schlüssel, abgelegt im DNS des Absenders. Somit kann der Empfänger-Mailserver die Schlüssel aus dem Absender DNS und der Mail-Signatur gegeneinander prüfen und validieren. Das Hinzufügen des privaten Schlüssels in den Mailserver, damit dieser unsichtbar alle ausgehenden Mails damit signiert, erfordert eine fortgeschrittene Anpassung des Mailservers bzw. Konfiguration des Mailers und übersteigt den Rahmen dieses Artikels. Für GMail-Nutzer hilft die Google DKIM Step-by-Step-Anleitung, ansonsten wieder beim Anbieter/Hoster in der Hilfe schauen bzw. Support fragen.
Der zweite Teil besteht aus einem TXT DNS Record, der zuvor generiert werden muss. Benötigt wird dafür die Domain und ein „Selektor“; eine beliebige Zeichenkette, z.B. „meindkim1“. Der Record sollte immer mit v=DKIM1;k=rsa;p= anfangen! Selbst wenn die Generatoren gerne einen der Parameter v oder k weglassen, oder diese als optional angeben, sollten beide gesetzt sein. Info: Beide Überprüfungs-Tools (MxToolBox und GSuite MX-Check) bestätigen einen validen DKIM übrigens nur mit Parametern v UND k, Warnungen falls einer fehlt. Die Überprüfung von DKIM erfordert dann ebenfalls Domain und Selektor und sollte anschließend positiv ausfallen:
anti-spam-basics-fuer-versender-spf-dkim-dmarc-dkim-check
Aber Achtung: Ausschließlich den DKIM DNS Eintrag zu setzen, ohne die Mails zu signieren, hat keine weiteren positiven Auswirkungen (meistens aber auch keine negativen) und ist daher nicht zu empfehlen.

#3 – DMARC

DMARC, Domain-based Message Authentication, Reporting, and Conformance (Standard, Wikipedia):Was wie die deutsche alte Währung klingt, ist eine Technologie zur Erweiterung von SPF und DKIM. Geliefert werden zusätzliche Informationen, wie der Empfängerserver mit geprüften Mails umgehen soll sowie die Möglichkeit von Reports der Überprüfungen. Auch hier ein DNS TXT Eintrag, der die Infos liefert. Zwei grundlegende Fragen müsst ihr euch stellen:
1. Wie sollen Mails behandelt werden, deren SPF/DKIM-Überprüfung fehlschlägt? Ignorieren / Spam / Abweisen.
2. Sollen Daten und fehlgeschlagene Überprüfungen als Reports verschickt werden und an welche Mail-Adresse?
Solltet ihr mit „Ignorieren“ dem Empfangsserver kein Verhalten vorschreiben wollen und auch keinerlei Reporting wünschen (v=DMARC1;p=none;), erfüllt DMARC keinen Zweck und hat auch keine weiteren Effekte auf den Mailempfang, kann also ausgelassen werden.
Restriktiveres Verhalten oder Reporting gewünscht? Dann wird einer der vielen existierenden Generatoren aus den gewählten Optionen einen einfachen bis recht komplexen TXT Record erstellen:
v=DMARC1; p=none; rua=mailto:admin@it-stack.de; ruf=mailto:admin@it-stack.de; fo=1;
Dieser Eintrag schickt Reportings an mich, wenn SPF oder DKIM fehlschlägt sowie generelle Reports, der Mailserver soll die Fehlschläge jedoch wie gewohnt behandeln, ich gebe kein strikteres Vorgehen vor.
anti-spam-basics-fuer-versender-spf-dkim-dmarc-check

#4 – Blacklists

Es gibt eine Vielzahl von professionell betriebenen Anti-Spam-Listen, also Blacklists, die von Mailservern zur weiteren Überprüfung abgefragt werden können. Ob mein Mailserver auf einer Blacklist steht, kann ich beispielsweise mit der MxToolBox Blacklist Suche herausfinden. Gebt hier eure Domain ein und eine Auswertung von über 100 Blackslists wird eventuelle Funde aufzeigen. Solltet euer Mailserver nicht die IP eurer Domain teilen oder weitere in das Mailing involvierten MX-Server-IPs bekannt sein, diese am besten auch noch testen.
Eure Domain/IP ist in einer Blacklist gefunden worden? Das ist unpraktisch, kann aber mal passieren. Geblacklistet werden für gewöhnlich ganze Server. Auf einem Shared Server, wie das bei Webhosting fast immer der Fall ist, sind, je nach Vertrag, 20 bis 100 weitere Kunden untergebracht. Die Chance, dass ein anderer Kunde für das Blacklisting verantwortlich ist, ist hoch.
Was tun? Auf der Betreiberseite der Blacklist gibt es meistens Suchen/Informationsportale, in denen Blacklist-Kandidaten, teilweise mit mehr Details und Begründung, gesucht werden können. Ich empfehle zwei Recherchen: Suche nach der Domain und nach der/den IPs.
So kann es sein, dass die IP-Adresse des Servers in mehreren Einträgen gefunden wird (Reportfunde bei Spamhaus ZEN: Link1, Link2, in welchen wiederum eure Domain nicht erwähnt wird), für die Domain jedoch kein Eintrag vorhanden ist. Das sind weitere Hinweise darauf, dass nicht ihr, sondern ein anderer Kunde des Servers Schuld hat.
Unabhängig von diesen Recherchen könnt ihr vermutlich wenig gegen das Blacklisting tun. Manche Betreiber bieten Unblock Formulare an, andere nicht. Informiert auf jeden Fall euren Webhoster/Mailing-Anbieter mit allen herausgefundenen Informationen über das Blacklisting – dieser hat für gewöhnlich andere Optionen und kann direkt selbst in die Behandlung der Problemursache, also gegen entsprechende Kunden, vorgehen.
anti-spam-basics-fuer-versender-spf-dkim-dmarc-blacklist-check

#5 – User Trust

Desweiteren hilft es, sich zusätzlich Trust über den User/Empfänger zu holen – beispielsweise durch das Hinzufügen eurer Absenderadresse zu den Kontakten, das Markieren der Nachrichten als „Wichtig“ oder Versehen mit Sternchen/Markern (je nach Client heißt das anders), den Absender „Nie als Spam markieren“ (ebenfalls je Client anders) und mehr. Alles, was man mit einer Mail oder einem Absender bei dem jeweiligen Anbieter des Empfängers tun kann, dass letztlich einen positiven Effekt hat. Die Anbieter speichern solche Informationen (wie oft wurde eine Mail mit Inhalt X positiv behandelt, wie oft der Absender usw.) und behandeln Mails dieses Absenders zukünftig besser. Diese Maßnahme kann man bis zu einer gewissen Anzahl mit den eigenen Mitarbeitern starten – Mails an ihre private Mailadresse schicken, bestenfalls bei unterschiedlichen Anbietern, und die Mails von ihnen „positiv behandeln“ lassen.

Amazon hat schon lange eine Größe erreicht, die sich ohne Hilfe schwer überblicken lässt. Dutzende Anbieter für ein Produkt, ständig wechselnde Preise, neu vs. gebraucht, ständig wechselnde Angebote praktisch im Minutentakt. 400 Seiten voller reduzierter Artikel – keine Suchfunktion, nur unflexible vordefinierte Filter, keine große Hilfe. Amazon möchte nicht, dass wir die preislich günstigen Angebote nach dem durchsuchen, was wir gerade brauchen?
Der Amazon Assistent ist ebenfalls ein Lacher; eine Nullnummer, mit praktisch keinen sinnvollen Funktionen. Einzig ein Einstiegstor für Amazon, das auch noch euer Surfverhalten beobachten und auswerten muss, um zu funktionieren.

Aber nicht verzagen! Es gibt Hilfe, mit der man auf Amazon richtig clever shoppen kann. Angebote durchsuchen, Preise überwachen, Benachrichtigungen und eine Menge an Daten zu jedem Produkt. keepa.com ist ein Anbieter für besagte Funktionen rund um Amazon. Auf der Webseite können alle Deals mit flexiblen Filtern, Kategorien und Suchfunktion durchsucht werden – praktisch, wenn der Einkauf sofort oder sehr zeitnah erfolgen soll. Einfach mal stöbern und mit den Filtern spielen:
amazon-deals-preise-überwachen-clever-shoppen-mit-keepa.com-deals-search

Ist der Wunsch etwas konkreter und mehr Zeit vorhanden, empfiehlt sich die Preisbeobachtung mit Benachrichtigung. Auch hier kann der Weg über keepa.com erfolgen, wobei ich hier direkt die Browser-Erweiterung empfehle. Diese baut alle wichtigen Keepa Funktionen direkt in die Amazon Seite ein. Als Vorbereitung dienen der Preisgraph und der „Data“ Tab. All die Informationen können helfen, zu bestimmen, welcher Preisabfall zeitnah geschehen könnte und welcher Preis dabei mindestens erreicht wird:
amazon-deals-preise-überwachen-clever-shoppen-mit-keepa.com-graph

Nun kann mit diesen Informationen sehr einfach ein Preisalarm gesetzt werden. Dies geht entweder als Gast, ohne Account – die Einstellungen sind dann lokal nur für den PC und bis zum nächsten Cache-Clean. Oder man registriert sich bei Keepa, ist ja kein großer Deal (:D sorry, der musste sein)… Anschließend können für diesen Preisalarm unterschiedlichste Benachrichtigungen gesetzt werden:
amazon-deals-preise-überwachen-clever-shoppen-mit-keepa.com-trackamazon-deals-preise-überwachen-clever-shoppen-mit-keepa.com-notifications

Wem das nicht reicht, es gibt auch noch einen Facebook Chat Bot, der auf Wunsch Preisinformationen und Angebote vorbeischickt, Produktfinder und Top-Listen. Praktischerweise lassen sich auch ganze Amazon Wunschlisten importieren und direkt mit Preisalarmen versehen. Für neueste Updates und Tricks kann ein Blick in die Community nicht schaden. All das wird möglich dadurch, dass Keepa über 460.000.000 Produkte auf 12 Amazon-Länder-Seiten durchsucht… irre! Auf Anfrage lässt sich diese gewaltige Datenbank über eine API anzapfen und verarbeiten.

Beeindrucken, Lesezeichen, ab jetzt cleverer Amazon shoppen!

Kurz gesagt:
google-bildersuche-direktlink-button-wiederherstellen-doneGoogle hat vor wenigen Tagen die Bildersuche überarbeitet und dabei vor allem eine größere Änderung vorgenommen: Der bisher existierende „Bild ansehen“ Button wurde entfernt, der direkt das gefundene Bild aufrufen konnte. Jetzt muss der Suchende über „Besuchen“ auf die Webseite gehen und das Bild selbst suchen und die Bild-URL kopieren. Das hat Vorteile für Bild(rechte)inhaber und die Fairness, jedoch Nachteile für die Usability und unerfahrene Benutzer. Hintergrund ist die Einigung mit Getty Images in einem Rechtsstreit.
Die Einschätzung, ob man das jetzt so lässt, obliegt jedem selbst.

(Chrome) Bessere Empfehlung:
Ich habe soeben eine neue Extension namens „Make Google Images Great Again“ (Chrome) gefunden, dass nicht nur den „Bild ansehen“ Button wiederherstellt, sondern auch ein „Ähnliche Bilder“ Button ergänzt. Somit lassen sich leicht identische oder ähnliche Bilder mit der Google Bilderssuche finden:
google-bildersuche-direktlink-button-wiederherstellen-neu

(Chrome+FF+GM) Alte Empfehlung:
Wer jedoch den „Bild ansehen“ Button wiederhaben möchte, kann dank des Github Projekts „Make Google Image Search Great Again!“ einfach die folgenden Browser Plugins installieren:
Google Search „View Image“ Button für Google Chrome
Google Search „View Image“ Button für Mozilla Firefox
Greasemonkey/Tampermonkey Skript
Und schon ist alles wieder wie früher.

Download section
Da es zu erwarten ist, dass diese Erweiterungen auch irgendwann aus den Stores entfernt werden, habe ich sie vorsichtshalber auf meinem Server abgelegt:
MakeGoogleImagesGreatAgain_0.2.0.crx (Version 0.2.0, 28.02.2018)
„View Image“ Button als .crx Chrome Extension (Version 1.3, 23.02.2018)
„View Image“ Button als .xpi Firefox Add-On (Version 1.3, 23.02.2018)
„View Image“ Button als .js Greasemonkey/Tampermonkey Skript (Version 1.3, 23.02.2018)

1und1 Webhosting

In meinem Blog kann man es an vielen Posts erkennen: Ich bin eigentlich Fan vom Webhoster All-Inklusive und dort seit über einem Jahrzehnt sehr zufrieden. Man muss aber dazusagen, dass sich an den Features, dem Design, dem Backend und auch allgemein wenig verändert hat – All-Inklusive fährt wohl das „never change a running system“ Prinzip. In der heutigen Zeit, in der Konkurrenz in Massen aus dem Boden sprießt und binnen kürzester Zeit stark aufblühen kann, ein riskantes Unterfangen.
Vor All-Inklusive hatte ich auch mal ein 1und1 Webspace, damals (so um 2009 rum) noch für ganz statische HTML Seiten, fancy erstellt mit Microsoft Frontpage … das waren Zeiten 😀 Das 1und1 Webhosting war damals schon recht funktional und modern vom Design her:
1und1 Webhosting 1und1-webhosting-test-2018-history-2009
Damals waren Stabilität und Support allerdings mein Grund zu wechseln. Ich wollte mal schauen, was 1und1 in der Zeit so gemacht hat, wie sich das Webhosting dort entwickelt hat und wie es meinen aktuellen Needs entsprechen würde.

Weiterlesen

In manchen Fällen kann es hilfreich sein, die Audiowiedergabe bestimmter Tabs oder Domains zu manuell oder auch automatisch zu blocken. Automatisch startende Werbung, unerwünschte Soundeffects oder Ähnliches. 3 Möglichkeiten möchte ich euch hier zeigen:

Manuell: Kontextmenüeintrag

chrome-audiowiedergabe-blocken-tab-kontexteintragDas ist kein Geheimnis: Chrome hat im Rechtsklick-Kontextmenü der Tabs die Möglichkeit, diese stummzuschalten:
Per Klick auf den Menüpunkt lässt sich zwischen Stummschalten und Audiowiedergabe wechseln.

Besser wäre es natürlich, wenn man dafür nicht zwei Klicks (Rechtsklick und Linksklick) sondern nur einen Klick bräuchte:

Manuell: One-Click Lösung

chrome-audiowiedergabe-blocken-tab-single-click-resultWenn Chrome in einem Tab Audio wiedergibt, wird dies durch ein kleines Lautsprechericon im Tab angezeigt:
Es ist auch möglich, per einfachen Linksklick auf dieses Icon den Tab stummzuschalten.
Dazu muss vorher allerdings eine Chrome-Einstellung aktiviert werden, die ihr über folgende „URL“ erhaltet:
chrome-audiowiedergabe-blocken-tab-single-clickchrome://flags/#enable-tab-audio-muting
(Ihr müsst die URL kopieren und selbstständig in eure Adressleiste einfügen)

Nun möchte man vielleicht nicht nur einen Tab muten, oder es nicht immer manuell per Klick machen, sondern eine ganze Domain generell und automatisch stummschalten.

Automatisch: Alle Tabs einer Domain stummschalten

chrome-audiowiedergabe-blocken-domain-settingGanz neu, mit Chrome Version 62, kommt eine Einstellung namens „Sound content setting“, welche die Steuerung von Audiowiedergabe auf Domainebene ermöglicht. Nach dem Aktivieren der Funktion und einem Chrome Neustart, könnt ihr im Protokoll-Infobutton (links von der Adresszeile) nun „Ton“ aktivieren oder deaktivieren.
Einmal z.B. auf Youtube eingestellt, sind alle Tabs, auch zukünftige, stummgeschaltet.
Folgende Einstellung muss dafür aktiviert werden:
chrome://flags/#sound-content-setting
Bitte den Text in die Adresszeile kopieren. Wenn dann die Einstellung nicht direkt hervorgehoben wird, prüft bitte, ob ihr Chrome 62 installiert habt.

Offtopic: Chrome leise, restlicher Sound laut

Hängt nicht direkt mit Stummschalten zusammen aber ich höre öfter, dass manche diese System-Funktion noch nicht kennen:
Windows ermöglicht über einen Lautstärkemixer, die Lautstärke einzelner Programme getrennt voneinander zu verstellen:
chrome-audiowiedergabe-blocken-windows-mixer
Ihr findet diesen z.B. bei Windows 10 über das Kontextmenü eures System-Lautstärke-Icons -> „Lautstärkemixer öffnen“. Hier könnt ihr zum Beispiel Chrome insgesamt etwas leiser schrauben, Systemsounds runter, das Softphone aber auf Maximum. Das kann in manchen Situationen sehr hilfreich sein.

Kennt ihr das nicht auch: Im Chrome 15 Tabs offen und der Arbeitsspeicher meckert? Chrome als Grundprozess braucht RAM, jede Erweiterung und jeder Tab ebenfalls. So sind 2-5GB RAM-Verbrauch für Chrome keine Seltenheit bei Power-Usern.

The Great Suspender (nur für Chrome) hilft aus! Die Chrome Erweiterung kann die Speicherbelastung selten benutzter Tabs zu verringern und somit die Performance von Chrome sowie dem PC signifikant steigern. Dafür friert die Erweiterung unbenutzte Tabs ein – also wenn ein Tab eine gewisse Zeit (wählbar sind 20 Sekunden bis 3 Tage) nicht aufgerufen wurde. Die Tabs werden reaktiviert, wenn sie wieder aufgerufen werden, entweder automatisch beim Aufruf oder per Klick.
chrome-the-great-suspender-friert-tabs-ein-freeze-freeze

Solange der Tab eingefroren ist, wird von ihm kein Arbeitsspeicher und keine CPU Leistung benötigt und man kann sich wieder auf die Tabs konzentrieren, die gerade wichtig sind. Die Extension achtet auf Wunsch auch auf spezielle Tabs, die beispielsweise Formulare, Videos/Audios enthalten oder ob das Hostgerät gerade ohne Internet oder auf Akku läuft. So kann der Freeze in ungünstigen Situationen verhindert werden.
chrome-the-great-suspender-friert-tabs-ein-freeze-settings-optionen

Eingefrorene Tabs sind daran zu erkennen, dass Schrift und Favicon leicht ausgegraut sind. Die Tabs sind aber immernoch in der Tableiste vorhanden. Somit könnt ihr beispielsweise eine gewohnte Ordnung beibehalten und seht direkt, welche Tabs ihr offent habt, wenn auch inaktiv. Wenn ihr lieber inaktive Tabs komplett aus der Tableiste entfernen wollt, um wirklich „aufzuräumen“, empfiehlt euch Manox aus den Kommentaren eher Tab Wrangler. Dort werden Tabs entfernt und stehen euch per Klick auf das Extension-Symbol als einfache Textliste wieder zur Verfügung.
chrome-the-great-suspender-more-tabs

Ich habe die Extension auf jeden Fall schon lieben gelernt, da mein Arbeits-PC, der sonst immer über 88% RAM rumkriecht, dank eingefrorener Tabs wieder 65-75% RAM-Auslastung zeigt und spürpar schneller geworden ist.
Multitasking soll eh nur ein Mythos sein… 😉

Mein Umzug sorgt gerade dafür, dass der Blog pausiert werden muss. Damit sich hier aber kein Staub legt, mal zwischendurch eine Kleinigkeit:

Chrome hat recht brauchbare Developer Tools verbaut, die sich mit F12 aufrufen lassen. Console, DOM, Netzwerk, vieles kann hier untersucht werden. Der Netzwerktab zeigt alle Anfragen beim Seitenaufruf sowie deren unterschiedliche Verarbeitungsphasen in übersichtlichen Farben:
chrome-developer-toolbar-always-on-tab-network-analyse
Weiterlesen