Whitelist wenn MAIL FROM anders ist als HEADER FROM

[Frank05]

Hallo,

heute wurden zwei Mails unserer Kunden wegen Spam-Verdacht abgewiesen, obwohl sie auf der Whitelist stehen. In beiden Fällen unterscheidet sich MAIL FROM von HEADER FROM. Es sieht so aus, als ob die Whitelist nur MAIL FROM heranzieht, denn nur die HEADER-FROM-Adresse steht in der Whitelist. Kann ich das ändern?

In einem der Fälle kann ich problemlos auch die MAIL-FROM-Domäne in die Whitelist aufnehmen, weil sie dem Kunden gehört. Im zweiten Fall geht das nicht, denn MAIL-FROM ist xxx@sendgrid.net, während HEADER-FROM accountspayable@meinkunde.com ist. meinkunde.com steht in der Whitelist und hat auch Domänen-Vertrauenspunkte, wird aber anscheinend nicht geprüft.

Was kann ich tun?

Grüße
Frank

 

[SBW]

Guten Abend Frank,
hast du den Regel bzw. Score bei der Richtlinie so hoch gesetzt, dass eine Abweichung von MAIL FROM zu HEADER FROM zu einer Ablehnung führt. Mutig... weil heutzutage dies bei fast jeder 5. E-Mail eigentlich zu trifft.
Oder gibt es noch weitere Treffer durch z.B. Cyren? Eine Ablehnung von E-Mails sollte meiner Meinung nach mindesten immer durch zwei unterschiedliche Kriterien erfolgen (z.B. DNSBL und Cyren).


Grüße,
Daniel

 

[Frank05]

Hallo Daniel,

es gab noch weitere Treffer. Cyren hat die Mails als Spam eingestuft, was aber in beiden Fällen ein False Positive war.

Der Punkt ist aber ein anderer: Da die Zahl unser Stammkunden überschaubar ist, sind diese bei uns in einer Whitelist-Regel eingetragen. Diese Regel wird aber anscheinend nur gegen MAIL-FROM geprüft, aber nicht gegen HEADER-FROM. Und wenn MAIL-FROM eben sendgrid ist, greift meine Whitelist nicht.

Grüße
Frank

 

[SBW]

Guten Abend Frank,

[font=Tahoma, Verdana, Arial, sans-serif]es gab noch weitere Treffer. Cyren hat die Mails als Spam eingestuft, was aber in beiden Fällen ein False Positive war.[/font]

 Okay. In diesen Fall würde ich immer das Problem beheben (lassen) und nicht einen Workaround dafür bauen. Ich würde heute niemanden mehr ohne weiteres Vertrauen. Dazu ist die Lage inzwischen zu dynamisch und die Angriffsvektoren komplex bzw. vielfältig. Zumal der Absender auch entsprechend auf das Problem durch NDR hingewiesen wird.

Es gibt in der Nachrichtenverfolgung die Möglichkeit, die vermeidliche Spam E-Mail an Cyren zu melden. Leider funktioniert das mehr oder weniger recht. Zumal man auch keine Rückmeldung erhält, wenn die Anfrage beantwortet oder abgelehnt wurde.

Wir sind inzwischen übergegangen für jeden Vorfall ein Support Ticket bei NSP zu eröffnen. Weil je nach Absender wir nicht die Zeit haben 2-3 Tag auf Cyren zu warten und nochmals Test E-Mails zu verschicken.  Neulich wurden sogar E-Mails von Finanzministerium blockiert.... 


Gruß,
Daniel