Wir nutzen zahlreiche Technologien, um E-Mail-Spam zu erkennen. Dabei werden alle Teile einer Nachricht analysiert: Kopfzeilen, Text, Bilder und Links. Zuallererst nehmen unsere E-Mail-Produkte jedoch das Feld \u201eVon\u201c unter die Lupe. Wenn diese Adresse eine Dom\u00e4ne enth\u00e4lt, die bereits auf unserer Sperrliste steht, ist der Fall klar. Spammer wissen, wie das funktioniert. Deshalb registrieren sie Dom\u00e4nen wie am Flie\u00dfband und schaffen es sogar, dass E-Mails aus derselben Kampagne von v\u00f6llig unterschiedlichen Adressen kommen. Handarbeit ist dabei l\u00e4ngst pass\u00e9. Der Prozess ist automatisiert. Die Algorithmen der Angreifer k\u00f6nnen innerhalb weniger Minuten unz\u00e4hlige Dom\u00e4nen registrieren. Nat\u00fcrlich braucht jede Dom\u00e4ne einen eigenen Namen. Sich f\u00fcr jede Dom\u00e4ne einen extra Namen auszudenken, w\u00e4re eine Menge Arbeit. Deshalb setzen die Spammer Algorithmen zur Dom\u00e4nen-Generierung (DGA) ein, die massenhaft \u00e4hnliche Namen mit geringf\u00fcgigen Abweichungen ausspucken. Als Basis dienen Datum und Uhrzeit, pseudozuf\u00e4llige Zahlen und \u00e4hnliches.<\/p>\n
Um solche Mailings zu blockieren, m\u00fcssen wir aber nicht jede Adresse einzeln auf unsere Sperrliste setzen. Das Zauberwort hei\u00dft auch hier Automatisierung. Unsere E-Mail-L\u00f6sungen enthalten schon l\u00e4nger eine Technologie, die DGA-Dom\u00e4nen erkennt und mit einer einzigen Regel eine ganze Gruppe blockiert. Wir diese Technologie funktioniert, erkl\u00e4ren wir gleich.<\/p>\n
Sobald eine unserer Technologien eine E-Mail als Spam einstuft, wird die Absenderadresse genauer durchleuchtet. Wenn bestimmte Kriterien erf\u00fcllt sind, wird die Dom\u00e4ne in unsere Datenbank f\u00fcr \u201eschlechte\u201c Dom\u00e4nen aufgenommen. Wir haben eine Auswahl von Klassifikatoren entwickelt, die diese Dom\u00e4nen auf \u00c4hnlichkeiten hin vergleicht, sie zu Clustern zusammenfasst und eine kurze, umfassende Regel erstellt, die den gesamten Cluster blockiert. Unsere E-Mail-Schutzl\u00f6sungen erhalten diese Regel zusammen mit einem Update. Ab diesem Zeitpunkt werden alle E-Mails von Adressen mit einer Dom\u00e4ne, die dieser Regel entspricht, blockiert. Auch dann, wenn diese Dom\u00e4nen bisher noch nicht in Spam-Kampagnen aufgetaucht sind.<\/p>\n
In der Praxis sieht das so aus: Angenommen, der Klassifikator erkennt in unserer Sammlung \u201eschlechter\u201c Dom\u00e4nen mehrere \u00e4hnlich aussehende Domains:<\/p>\n