Wenn Provider Spammer schützen

Seit Frühling 2007 untersagt die Schweizer Gesetzgebung den Versand von Spam. Im Bundesgesetz über den unlauteren Wettbewerb (UWG) sind verschiedene Abwehrmassnahmen gegen Spam enthalten, dazu schreibt das Fernmeldegesetz (FMG) fest, welche Massnahmen die Provider gegen Spammer ergreifen müssen.

Seither hat das Problem von Schweizer Spam massiv abgenommen – vorbei die Zeiten, als in Foren monatelang über Swissairbesteck und Sockenmails eines notorischen Zürcher Spamversenders diskutiert wurde.

Immerhin sind heute auch die meisten Spamfilter soweit, dass der milliardenfach versandte internationale Spam einem kaum mehr Zeit stiehlt. Ein paar Lottogewinne, Geldtransfers und Schnäbimedis pro Monat sind verkraftbar.

Mühsam wird es hingegen, wenn man den zuständigen Providern brav Schweizer Spammer meldet – und diese nichts tun.

Noch schlimmer ist es, wenn sie das falsche tun.

Zur Erklärung: Die meisten Abteilungen der Provider, die sich mit Spam und Hacking befassen, erreicht man unter abuse@providername.ch. Da ich in der Vergangenheit von Spammern bedroht wurde, deren Mails ich via Abuse Desk gemeldet hatte, erwähne ich jeweils in der Meldung klar, dass meine Daten keinesfalls an den Spammer weitergegeben werden dürfen.

Zum konkreten Fall: Letzte Woche kam ein klassisches Spam eines Schweizer Onlinehändlers rein, dass an die info@-Adressen vermutlich aller ch-Domains versandt wurde. Ich habe eine klassische Spammer-Falle bei einer meiner Domains: Wenn dort ein Mail hingelangt, muss es zu 100% ein Spam sein, denn die Adresse ist niemandem bekannt und die info@-Adresse als reine Spamtrap in Betrieb.

Der verwendete Mailserver steht wie so oft irgendwo im Ausland, die Website liegt aber bei einem der grossen Schweizer Hosting Provider. Ich habe das Spam also dem Betreiber des Mailservers und dem Hoster wie immer samt Mailheadern gemeldet und darum gebeten, anonym zu bleiben.

Nun muss man noch anfügen: Es gibt seit Jahren eine Faustregel, die besagt, nie die automatischen Austragungslinks in den Mails zu benützen, da der Spammer ansonsten die Existenz der Mailadresse gratis und franko bestätigt bekommt.

Was tat der grosse Schweizer Provider und Hoster des Spammers? – Er klickte auf den Austragungslink und die Sache schien für ihn erledigt zu sein. Damit hatte der Spammer Gewissheit, dass meine Mailadresse existiert – Merci viumau. Das geht noch weiter als die meisten doofen Standardantworten, man werde die Sache prüfen und den Kunden im Wiederholungsfall vielleicht dann mal sperren. So bekommt man CH-Spam nie in den Griff.

Ich hörte stundenlang nichts mehr – keine automatische Antwort, keine Eingangsbestätigung mit ein paar erklärenden Worten. Ich hakte also nach.

Ein “System Administrator” X. meldete sich mit einer haarsträubenden Antwort in holprigem Deutsch: “Wir leiten Kunden Beschwerden betreffend Ihres Hostings weiter. Es ist dann Ihnen überlassen darauf zu reagieren.”

Wie bitte? Wozu gibt es dann Allgemeine Geschäftsbedingungen, das FMG und ein UWG?

Weiter: “(…) Dem Kunden räumen wir eine Frist von zwei Wochen ein um uns ein ausführliches Statement zuzustellen. Wir entscheiden darauf, ob wir die Beziehung zum Kunden beenden oder nicht. Zudem beurteilen wir das Versenden von SPAM und Spamvertizing gleich. (…)”

Ich hakte nach. X schrieb: “Leider ist es für uns enorm schwierig den Entscheid ob SPAM oder nicht SPAM zu fällen. Wegen dem Kunden heute sind mir drei Reklamationen in sechs Monaten bekannt. Der Kunde versendet seinen Newsletter gemäss seinen Angaben an sehr viele Adressen. Daher ist die Beschwerdezahl zu gering, dass wir den Vertrag beenden würden. Zudem versendet der Kunde seinen Newsletter nicht über unsere Infrastruktur. Nur die Webseite ist bei uns in Betrieb. Der Kunde würde sein Geschäft aufgrund unserer Kündigung wohl auch nicht aufgeben.”

Aha, interessant. Oben stand noch “wir behandeln SPAM und Spamvertizing gleich”, jetzt das Gegenteil. Fazit des Mails für uns Spam-Empfänger: Lieber behält die Firma einen dubiosen Kunden als ein Zeichen gegen Schweizer Spammer zu setzen!

Wenn sogar einer der grossen im Hostinggeschäft so lasch handelt: gute Nacht.

Zudem schien der Herr Administrator plötzlich die eigenen AGB nicht mehr zu kennen, die er wenige Minuten zuvor noch kannte. Aber eben, jetzt wäre Arbeit angesagt gewesen. Und das kann anstrengend sein. Die meisten Hoster-AGB (auch die seiner Firma) sagen klar aus, dass auch Spams untersagt sind, die beim Hoster gehostete Seiten bewerben. Ausserdem sagt ja allein schon das Vorhandensein weiterer Reklamationen, dass da was nicht stimmen kann.

Ich war mir plötzlich nicht mehr sicher, ob ich tatsächlich mit dem Abuse Desk eines grossen Schweizer Providers verbunden war oder mit einem Feldwaldwiesenprovider aus der Provinz.

Doch ich hakte wieder nach. Antwort: “Solange wir keine Beweise für ein rechtswidriges Verhalten haben, können wir eine Webseite nicht einfach abschalten. Das müsste ein Gericht entscheiden. Wir haben uns vertraglich zu einer Dienstleitung verpflichtet.”

Auch hier scheint Herr X. die Bedingungen seines Arbeitgebers nicht zu kennen: Laut den AGB kann bei Verstössen gegen dieselben die Dienstleistung jederzeit sistiert werden.

Das Unternehmen des Spammers ist mir völlig egal – als Antispam-Aktivist seit der Urzeit des Internets liegt mir einfach daran, dass zumindest die Schweizer Provider Spammer rigoros ausschliessen. Ich hatte dem Hoster hinlänglich erklärt, dass die verwendete Adresse zu 100% auf ein Spam hinweist. Ausserdem gibt der Provider ja selbst zu, dass es sich offenbar um einen Wiederholungstäter handelt. (Ob er mir diese Info überhaupt geben darf, steht noch auf einem anderen Blatt geschrieben.)

Immerhin erreichte mich wenig später diese Nachricht: “Ich habe das mit meinem Vorgesetzten nochmal abgeklärt. Wir können auch früher sperren. Wir verlangen nun vom Kunden die komplette Offenlegung der Herkunft der E-Mail-Adressen in seinem Verteiler.”

Vier Tage später war das Hosting des Spammers immer noch in Betrieb. [Edit: Nach einer Woche wurde ihm gekündigt, siehe 1. Kommentar weiter unten.]

Natürlich kann ein Spammer seine Website irgendwohin schieben und fröhlich weitermachen, wenn ihn ein Provider rauskickt – aber immerhin macht man ihm das Leben so schwer wie nur möglich und zeigt ihm, dass sein Verhalten fragwürdig ist.

Ich hoffe, dass es in naher Zukunft zu einer Professionalisierung der Abuse Desks bei Schweizer Hostern und Telcos kommt – und Schweizer Spam möglichst zur Chefsache erklärt und schnell geahndet wird.

Mit der einzigen Sprache, die Spammer verstehen: Dem fristlosen Rauswurf.