E-Mail-Marketing: Kampf gegen Spam

Von Stefan Mey

Anfang Juni ging ein Schrecken durch die E-Mail-Marketing-Szene. Was war passiert? Dabei war es eigentlich nur eine Petitesse. United Internet, der wichtigste deutsche E-Mail-Konzern, hatte ­lediglich eine kleine Änderung bei seinen Antispam-Regularien vorgenommen. Diese Änderung sollte das Fälschen von Absenderadressen unmöglich machen und damit Spammern das Geschäft vermiesen, versetzte aber auch die legale Netzwirtschaft in Aufregung. Denn eine Asymmetrie von angezeigter und tatsächlicher E-Mail-Adresse entsteht manchmal auch im legalen Newsletter-Business und bei Weiterleitungen echter, nicht gefälschter Mails. Beim Thema Spam sind also ganze Branchen in einer unfreiwilligen Schicksalsgemeinschaft miteinander verbunden.

"Spam sind meist alle E-Mails, die ohne Einwilligung des Nutzers zugesandt werden und einen kommerziellen oder auch nur vorgetäuscht privaten Hintergrund haben", erklärt Ivo Ivanov, der sich beim Branchenverband Eco mit dem Phänomen beschäftigt.

Bei etwa jeder zweiten Mail handelt es sich um Spam. Seit Jahren sinkt der Anteil am Mail-Gesamtaufkommen. Es gibt allerdings widersprüchliche Aussagen, ob dies eine Trendwende ist. Laut jährlichem Spam-Bericht des IT-Security-Spezialisten Kaspersky sank der Anteil von 67 Prozent im Jahr 2014 auf 55 im Folgejahr. In den ersten drei Monaten des Jahres 2016 nahm er allerdings wieder leicht zu. Beim Wettbewerber Symantec war der Spam-Anteil Mitte 2015 erstmals auf unter 50 Prozent gesunken, heute liegt er wieder bei etwa 53 Prozent. Eine deutlich klarere Tendenz registrierte United Internet. Auf den E-Mail-Accounts von GMX und Web.de wurde in absoluten Zahlen eine Verdopplung registriert, von täglich durchschnittlich 50 Millionen auf mehr als 106 Mil­lionen Spam-Mails im Jahr 2015. Das ­Aufkommen des gesamten normalen E-Mail-Verkehrs stieg in dem Zeitraum hingegen nur minimal um 7,5 Prozent.

Auch wenn die Zahlen abweichen, sind sich doch alle darüber einig, dass die Professionalität des Spams seit Jahren steigt. Beim "Spoofing" etwa, einer Sonderform des Phishings, bei dem mit täuschend echten E-Mails und mit gefälschten Absenderadressen die Preisgabe von Kunden- und Zugangsdaten erreicht werden soll, entsprächen Grafik und Wording der E-Mails oft dem Original, sagt Sebastian Koje, Leiter des Mail-Security Teams von United Internet.

Wie die Szene genau organisiert ist, lässt sich nur bedingt sagen, meint Christian Funk, Leiter des deutschen Forschungs- und Analyse-Teams bei Kaspersky Lab. "Während man sehr gut nachvollziehen kann, aus welchen Ländern Spam-Mails abgeschickt werden, so bleibt man hinsichtlich der Antwort auf die Frage, wo die Akteure tatsächlich sitzen, im Dunkeln." Diese Untergrundökonomie sei gänzlich global ausgerichtet, die einzelnen Aufgaben des Adresssammelns und Versands, meist über Botnetze sowie Auftraggeber und Mittelsmänner, sind über die ganze Welt verstreut.

E-Mail-Anbieter sind die natürlichen Gegenspieler der Spammer. Deren Arbeit kostet Unternehmen wie United Internet viel Geld, meint Sebastian Koye: "Für einen E-Mail-Anbieter ist Spam-Bekämpfung einer der zentralen Faktoren. Wir investieren deswegen stark in die Sicherheit, um die riesige Menge an täglichen Mails sauber von Spam zu trennen, sodass bei unseren Nutzern möglichst wenig Schaden und Verwirrung entsteht."

Wie United Internet genau filtert, sei natürlich Firmengeheimnis, die grobe Struktur sehe jedoch folgendermassen aus: Ein Teil des besonders offensichtlichen Spams wird gar nicht erst angenommen, weil diese beispielsweise von IP-Adressen gesendet werden, die bereits wegen Spam-Versand aufgefallen sind und deswegen auf Blacklists stehen. Bei den restlichen wird versucht, anhand der Metadaten die Spreu vom Weizen zu trennen: "Wir können ausserdem erkennen, ob sich möglicherweise Schadsoftware in den Anhängen befindet, und es gibt verschiedene Autorisierungsverfahren, mit denen sich vorgebliche Versender als die korrekten ausweisen können." Zudem helfen die Endnutzer der E-Mails auch mit, indem sie Mails manuell als Spam markieren und damit persönliche Spam-Filter trainieren.

Ein anderer Schicksalsgenosse beim Thema Spam ist die legale Netzwirtschaft, die befürchten muss, dass eine eigentlich legitime Mail dann doch von Spamfiltern abgefangen wird.

Im deutschen Raum hat sich die Branche eine Art Comfort Zone für den Mailversand eingerichtet, das Whitelist-Projekt Certified Sender Alliance (CSA) unter dem Dach des Internetverbands Eco. Wer dort gelistet ist, muss im Regelfall die Spam-Filter der beteiligten E-Mail-Anbieter nicht durchlaufen. Zuvor gibt es durch die CSA ein "E-Mail-Qualitäts-Auditing". "Es wird etwa geschaut, wie die verwendeten Adressdaten generiert wurden, ob ein Double-opt-in-Verfahren Standard ist und wie die Versendestruktur aussieht", erzählt Ivo Ivanov, Geschäftsbereichsleiter Professional Services beim Eco. Zielgruppe sind Unternehmen, die
E-Mail-Marketing inhouse abwickeln und die spezialisierten E-Mail-Serviceprovider. Etwa 80 Pro-
zent der kommerziellen E-Mails laufen über die CSA, meint Ivanov.

Mit GMX und Web.de sind die beiden grössten deutschen E-Mail-Anbieter, und auch das kleinere Freenet ist dabei. In der Teilnehmerliste fehlt aktuell allerdings T-Online und das immer wichtiger werdende Google-Produkt Gmail. E-Mail-Marketing bleibt deswegen immer ein Risikospiel, ein Kampf mit Spam-Algorithmen.

Das Thema ist sehr viel komplexer geworden, meint Nico Zorn vom Email Marketing Blog. Insgesamt funktioniere E-Mail-Marketing aber noch sehr gut. Die von ihm mitgegründete Agentur Saphiron hat Test-Accounts, über die mehrere Hunderte Newsletter abonniert sind. Der Anteil falsch positiver Spam-Markierungen sei sehr überschaubar, auch wenn das für das betroffene Unternehmen natürlich dramatisch sein könne.

Auf die Frage, inwiefern das Spam- und Antispam-Wettrüsten E-Mail-Marketing beeinträchtige, antwortet Nikolaus von Graeve, Geschäftsführer von Rabbit Emarketing entschieden: "Überhaupt nicht." Die Spam-Wahrscheinlichkeit einer E-Mail könne sehr gut vorhergesagt werden. "Wenn ich eine wirklich saubere Permission des Empfängers habe, die richtige Mail zum richtigen Zeitpunkt versende und die wesentlichen Spam-Checks vorher mache, geht die Wahrscheinlichkeit gegen null, dass meine Mail als Spam klassifiziert wird." Im Mittelpunkt stehe die echte Einwilligung der Nutzer und Inhalte, die die Empfänger wirklich lesen wollen. Das schütze einen auch vor dem manuellen Teil des Filterungsprozesses: der Möglichkeit von Nutzern, eine E-Mail als Spam zu markieren, auch wenn sie eigentlich dem legalen E-Mail-Marketing entstammt.

Auch er meint, dass die grossen E-Mail-Anbieter mittlerweile einen guten Job bei der Detektion von Spam machen, vieles Schlechte werde von vornherein gefiltert. Und er kommt sogar zu einem provokativen Schluss: "Das Problem von E-Mail-Marketing ist weniger, dass E-Mails fehlklassifiziert werden, sondern dass zu wenig Spam klassifiziert wird. Denn darunter leiden unter Umständen die wirklich guten und wichtigen Botschaften."