Posteingang löschen [GELÖST]

[OD-Bavaria]

Ah ja, und weil da die Reseller-Kunden in ihrem Endkundenmenü an den Spam-Einstellungen herumstellen und damit alles wieder durcheinander bringen können?

[OD-Bavaria]

Damit die Lösung von Fizzi funktioniert, muss man sie ggf. an seine eigenen Gegenenheiten anpassen.

Sollte es ein Rspamd System sein werden die Mails i.d.R. (über KeyHelp beim E-Mail-Account einstellbar) nicht mehr mit ***SPAM*** markiert, sondern nutzen den X-SPAM Tag im Header, dieser steht dann bei Spam auf Yes (Könnt Ihr über die Emailkopfzeilen nachvollziehen).

Zusätzlich müssen die Weiterleitungen über KeyHelp-UI deaktiviert werden, sonst greifen diese früher, bevor Sieve überhaupt die Chance hat.

Dann muss die Weiterleitungsregel noch ergänzt werden.

=> Nun sollte es eigentlich funktionieren.

Ja, so schaut es aus. Habe den richtigen Thread dazu auch gefunden. Das testen wir mal! DANKE!

cu....OD

[OD-Bavaria]

Servus,

ich verstehe schon dass das ein Aergerniss ist... was spricht den dagegen den Spam dann erst mal in den Spam Ordner verschieben zu lassen (per Skript, per Webmail, oder Erweiterte Einstellungen bei der Mail Adresse des Kunden in seinem Kundenmenue) und dann beim Kunden (per Skript, per Webmail, oder Erweiterte Einstellungen bei der Mail Adresse des Kunden in seinem Kundenmenue) den Spam Ordner regelmaessig leeren zu lassen?

Es gibt eigentlich jede Menge Moeglichkeiten das abzubilden was Du suchst...

Screenshot From 2026-10-30 16-35-46.png

Hallo Fezzi,

Du missverstehst das Problem. Die Weiterleitung des Spam geht dann auf unser Konto und unsere Domain verliert immer mehr an Reputaion. Um das geht es.

cu....OD

[Fezzi]

Also was jetzt?

A: Eure Server IP versendet Spam weil dieser von Kunden weitergeleitet wird?

oder

B: Euer Server empfaengt Spam von Kunden die eine Weiterleitung auf ihr Postfach gemacht haben?

Bei A hast Du ja Moeglichkeiten einzugreifen...

Bei B ist es ja echt egal, der Spam landet ja im Postfach des Kunden... und wenn der wieder weiterleitet, dann Loesung A

Oder verstehe ich da immer noch nicht was Sache ist?

[OD-Bavaria]

Also was jetzt?

A: Eure Server IP versendet Spam weil dieser von Kunden weitergeleitet wird?

oder

B: Euer Server empfaengt Spam von Kunden die eine Weiterleitung auf ihr Postfach gemacht haben?

Bei A hast Du ja Moeglichkeiten einzugreifen...

Bei B ist es ja echt egal, der Spam landet ja im Postfach des Kunden... und wenn der wieder weiterleitet, dann Loesung A

Oder verstehe ich da immer noch nicht was Sache ist?

Hallo Fezzi,

Natürlich A. und wie es ausschaut, sind die Möglichkeiten, hier einzugreifen sehr begrenzt und nicht einfach zu lösen. Wir werden jetzt mal den Thread viewtopic.php?t=14476 abarbeiten, dann sehen wir weiter. Uns fehlt nur grade die Zeit dazu.


cu....OD

[Fezzi]

Hier mal eine knappe Zusammenfassung von Loesungsansaetzen mit Hilfe von einer KI:

Wie Du ja schon festgestellt hast....

Wenn Kunden-Postfächer E-Mails an externe Adressen (z. B. `@gmail.com`) weiterleiten, nimmt Postfix eingehende E-Mails entgegen und leitet sie sofort weiter. Ist die ursprüngliche Nachricht Spam, verschickt dein eigener Server diesen Spam im Namen des Kunden weiter. Das beschädigt die Reputations-IP deines Servers und führt schnell zu Blacklist-Einträgen bei Microsoft, Google & Co.

Da KeyHelp auf **Postfix** und **Amavis / Rspamd** (bzw. SpamAssassin) aufbaut, lässt sich dieses Problem sehr wahrscheinlich (individuelle settings nicht beruecksichtigt) mit folgenden Maßnahmen verhindern:

---

1. Ausgehenden Spam-Filter für Weiterleitungen erzwingen (Amavis / Rspamd)

Standardmäßig prüfen manche Mailserver-Konfigurationen E-Mails vor einer lokalen Weiterleitung nicht streng genug auf Spam.

* **Bei Rspamd (neuere KeyHelp-Installationen):**
Stelle sicher, dass Rspamd auch ausgehende/weitergeleitete Nachrichten scannt. Prüfe in der Rspamd-Konfiguration (`/etc/rspamd/override.d/actions.conf`), dass Nachrichten ab einem bestimmten Threshold (z. B. Score 6.0) rigoros abgelehnt (`reject`) oder verworfen werden, bevor Postfix sie per Relay/Weiterleitung rausschickt.
* **Bei Amavis / SpamAssassin (ältere Setup-Strukturen):**
Stelle sicher, dass der Spam-Score für den Abbruch/Reject niedrig genug angesetzt ist. Wenn eine E-Mail als Spam klassifiziert wird, darf sie nicht in die Weiterleitungs-Queue gelangen.

---

2. SRS (Sender Rewriting Scheme) aktivieren

Wenn E-Mails weitergeleitet werden, bleibt der ursprüngliche Absender (z. B. `spammer@domain.com`) erhalten. Der empfangende Provider (z. B. Gmail) führt eine **SPF-Prüfung** durch. Da deine Server-IP nicht im SPF-Record von `domain.com` steht, schlägt SPF fehl und deine Server-IP wird negativ gewertet.

* Aktiviere **Postsrsd** (SRS) auf dem Server.
* SRS schreibt den Envelope-Sender bei Weiterleitungen so um, dass er deine eigene Domain verwendet (z. B. `SRS0=xxxx=YY=spammer.com=user@deineserverdomain.de`). Dadurch greift dein eigener SPF-Record und die Mails werden beim Ziel-Provider nicht fälschlicherweise wegen SPF-Verletzungen geblockt.

---

3. Postfix Rate-Limiting für ausgehende Mails aktivieren

Um zu verhindern, dass ein kompromittiertes Konto oder eine Spam-Schleife deinen Server flutet, begrenze die maximale Anzahl ausgehender Mails pro Postfach/Stunde.

In der `/etc/postfix/main.cf` bzw. über Erweiterungen wie `policyd-rate-limit` oder `anvil` kannst du Limits für Schwellenwerte definieren:

```postfix
# Beispiel-Limitierung in Postfix
smtpd_client_message_rate_limit = 100

```

---

Verifizierung der Maßnahmen

1. Sende eine Test-Spam-Mail (z. B. mit dem GTUBE-Teststring) an ein Kunden-Postfach mit aktiver externer Weiterleitung.
2. Prüfe die Logdatei `/var/log/mail.log`:
* **Erfolgreich:** Postfix/Rspamd blockiert die E-Mail direkt mit `554 5.7.1 Spam rejected` oder verwirft sie lokal, ohne eine ausgehende SMTP-Verbindung zum Ziel-Server aufzubauen.

[xmpl]

Schön wäre, wenn bei der Option "Zurückweisen von E-Mails, die DKIM-Prüfungen nicht bestehen" unterschieden werden könnte, ob nur die DKIM-Prüfung nicht bestanden wird (also die vorhandene DKIM-Signatur ist ungültig), oder gar kein DKIM-Signatur vorhanden ist. E-Mails ohne DKIM-Signatur sind noch sehr häufig, und würde ich gerne weiter annehmen, bei fehlgeschlagener Signatur aber immer zurückweisen.

[otto58]

Wenn ich bei https://www.learndmarc.com/ "Spoof my email" teste, wird der "gespoofte" DKIM-Test für sich allein problemlos bestanden. Das Problem wird erst bei DMARC erkannt.
D.h. nicht bestandene DKIM-Prüfungen weisen auf schlechte Administratoren oder schlechte Hacker hin. Gute Hacker bestehen den Test.

"Zurückweisen von E-Mails, die SPF-Prüfungen nicht bestehen" deckt für mich die Problematik ausreichend ab.