Spam-Statistiken lesen, bevor sie zum Problem werden

Spamfilter sind der eine Teil der E-Mail-Kommunikation, den niemand beachtet, solange er funktioniert. E-Mails kommen an, Spam meistens nicht, und alles bleibt unsichtbar, bis eines Tages eine wichtige Nachricht im Spamordner landet oder ein Kunde sagt, er habe Ihre Antwort nie erhalten. Dann beheben Sie bereits einen Vorfall, statt einen Trend zu beobachten.

Spam-Statistiken kehren das um. Sie werden für jede Domain separat geführt, decken die letzten dreißig Tage ab und beantworten eine Frage, die Sie bei den meisten Anbietern nicht einmal stellen können: Was wird auf meiner Domain tatsächlich gefiltert, und arbeitet der Filter richtig?

Was die Spam-Statistiken tatsächlich zeigen

Für jede Domain erhalten Sie eine Zusammenfassung des Zeitraums und eine tägliche Zeitreihe. So sehen Sie sowohl den Verlauf als auch seine Veränderung.

Die letzten drei Kennzahlen verdienen Ihre Aufmerksamkeit, und fast niemand veröffentlicht sie. Spam-Statistiken, die nur zeigen, wie viel Spam blockiert wurde, sind Marketing. Statistiken, die zeigen, wie oft der Filter falsch lag, sind Diagnosewerkzeuge.

Zahlen, die auf Probleme hinweisen

Meistens bleiben diese Werte stabil und Sie können sie ignorieren. Bei drei Veränderungen sollten Sie handeln.

Zunehmende Fehlalarme. Wenn Benutzer regelmäßig legitime E-Mails aus dem Spamordner freigeben, ist der Filter für Ihren Nachrichtenverkehr falsch eingestellt. Häufig liegt es daran, dass ein Lieferant oder ein Newsletter, auf den Sie angewiesen sind, Merkmale mit Spam teilt. Dies ist der teuerste Fehler in der E-Mail-Kommunikation und zugleich derjenige, der am seltensten gemeldet wird, denn wer Ihr Angebot nie erhalten hat, weiß nicht, dass er sich beschweren sollte.

Sprunghaft steigendes Eingangsvolumen auf einer Domain. Ein plötzlicher Anstieg bei einer Domain, die normalerweise wenig Nachrichtenverkehr hat, bedeutet meist, dass eine Adresse gesammelt und in eine Liste aufgenommen wurde. Das ist nicht dringend, kündigt aber häufig eine Phase mit viel Störverkehr an. Bei einer Catch-all-Adresse kann es besonders laut werden.

Mehr von Benutzern gemeldeter Spam bei gleichbleibender Erkennung. Das bedeutet, dass Spam durchkommt und Ihre Benutzer manuell aufräumen. Der Filter versagt nicht auffällig, sondern unbemerkt. Die Kosten zeigen sich in der Aufmerksamkeit aller Beteiligten und nicht als Fehlermeldung.

Warum die Aufschlüsselung nach Domain wichtig ist

Zusammengefasste Spam-Statistiken für ein ganzes Konto verbergen genau das, was Sie sehen müssen.

Domains haben unterschiedlichen Nachrichtenverkehr. Eine öffentliche info@-Adresse auf einer Unternehmenswebsite erhält einen völlig anderen Mix als eine interne Domain, die sechs Personen nutzen. Ein Durchschnitt daraus beschreibt keine von beiden. Eine Spamquote von 40% ist bei der einen alarmierend und bei der anderen völlig normal.

Wenn Sie Domains für Kunden verwalten, macht dies den Unterschied zwischen einer hilfreichen Antwort und einem Schulterzucken. Fragt ein Kunde, warum eine Nachricht nicht angekommen ist, können Sie mit Spam-Statistiken pro Domain gezielt seine Domain im fraglichen Zeitraum betrachten, statt aus einem plattformweiten Durchschnitt Schlüsse zu ziehen, der nichts mit ihm zu tun hat.

Die Symbole verstehen

Die Liste der häufigsten Symbole zeigt, wie der Filter zu seinem Ergebnis gelangt. Jedes Symbol steht für eine ausgelöste Regel, etwa Authentifizierungsergebnisse, Reputationsprüfungen oder inhaltsbezogene Heuristiken, und die Anzahl gibt an, wie oft dies geschah. Die Bezeichnungen stammen von Rspamd, der zugrunde liegenden Filter-Engine.

Sie müssen nicht alle Symbole lernen. Hilfreich ist es, zu erkennen, wenn ein Authentifizierungssymbol dominiert, denn das weist meist auf ein Absenderproblem statt auf ein Spamproblem hin. E-Mails ohne erfolgreiche SPF- oder DMARC-Abstimmung erhalten auch dann einen höheren Spamwert, wenn sie legitim sind. Die Lösung liegt dann nicht im Filter, sondern in den Einträgen der Absenderdomain. Unsere Anleitungen zum Einrichten von SPF und Konfigurieren von DMARC erklären diese Seite.

Das ist die häufigste Ursache für Fehlalarme, die Sie kennen sollten: ein Lieferant mit fehlerhafter eigener Authentifizierung. Ihre Spam-Statistiken zeigen dies durch inhaltsneutrale Regeln, die bei einem Ihnen bekannten Absender ausgelöst werden.

Darauf reagieren

Die verfügbaren Maßnahmen sind bewusst begrenzt, denn die meisten Spamprobleme lassen sich durch Anlernen statt durch Konfiguration lösen.

Sowohl das Melden von Spam als auch das Freigeben von Fehlalarmen liefern dem Filter Lernsignale. Wenn Sie dies zwei Wochen lang konsequent tun, verändern sich die Zahlen stärker als durch jede Einstellung. Sie können einen bestimmten Absender blockieren, wenn eine konkrete Quelle das Problem ist und Sie nicht warten möchten. Bei legitimen, aber unerwünschten E-Mails ist eine Filterregel, die sie ablegt, besser als die Markierung als Spam. Diese Markierung lehrt das System nämlich, einem Absender zu misstrauen, dessen Nachrichten andere Personen vielleicht erhalten möchten. Serverseitige Regeln werden unter Funktionsweise von E-Mail-Filtern erläutert und sind ab dem Pro-Tarif verfügbar.

Meist ist es falsch, nichts davon zu tun und anschließend den Filter für schlecht zu erklären. Spam-Statistiken sorgen dafür, dass die Entscheidung auf Informationen statt auf einem Bauchgefühl beruht.

Der typische Verlauf einer normalen Spamquote

Es gibt keinen universellen Wert. Anbieter, die einen nennen, beschreiben ihren eigenen Durchschnitt und nicht Ihre Domain. Entscheidend ist, Ihre eigenen Spam-Statistiken lange genug zu beobachten, um den normalen Verlauf zu kennen und Abweichungen erkennen zu können.

Eine Domain mit öffentlich bekannten Adressen, die etwa auf einer Website, einer Visitenkarte oder einem Firmenfahrzeug stehen, hat routinemäßig mehrheitlich als Spam eingestuften Eingangsverkehr. Quoten von mehr als der Hälfte sind dort nichts Ungewöhnliches. Eine Domain, die nur für interne Korrespondenz zwischen bekannten Parteien verwendet wird, sollte sehr wenig Spam sehen. Taucht dort plötzlich Spam auf, lohnt sich ein genauer Blick statt eines Schulterzuckens.

Die Zahl der freigegebenen Fehlalarme sollte bei jeder Domain nahe null bleiben. Durchgekommener Spam ist lästig, legitime E-Mails im Spamordner sind teuer, und beide Fälle sind nicht gleichwertig. Ein Filter, der alles abfangen soll, kostet Sie immer mehr als einer, der einige wenige Nachrichten durchlässt.

Am wichtigsten ist die Richtung der Entwicklung. Wenn sich eine sechs Monate lang stabile Quote plötzlich verändert, ist etwas geschehen. Anhand der Spam-Statistiken können Sie das Datum meist auf einen Tag genau eingrenzen.

Wenn ein Kunde sich beschwert

Wenn Sie Domains für andere verwalten, zahlt sich die Funktion hier aus. Ohne sie enthält das Gespräch über eine angeblich nie eingegangene E-Mail keinerlei Belege.

Die Abfolge ist kurz, und die Spam-Statistiken liefern alle nötigen Angaben. Betrachten Sie die Domain des Kunden in dem von ihm genannten Zeitraum. War das Eingangsvolumen normal und wurde nichts abgewiesen, ist die Nachricht vermutlich überhaupt nicht eingetroffen. Damit verlagert sich die Untersuchung von Ihrer Seite auf die des Absenders. Wurde sie als Spam erkannt, können Sie dies bestätigen, die Nachricht freigeben und anhand der Symbole erklären, warum der Filter so entschieden hat.

So wird aus einem defensiven Austausch innerhalb weniger Minuten ein sachliches Gespräch. Es schützt Sie auch vor dem gegenteiligen Fehler: anzunehmen, der Filter sei schuld, und einen Nachmittag lang etwas anzupassen, das korrekt funktionierte.

Spam-Statistiken pro Domain machen dies erst möglich. Ein kontoweiter Durchschnitt sagt einem Kunden nichts über seine eigene Domain, und das weiß er.

Abgewiesen oder abgelegt

Zwei Kennzahlen sehen ähnlich aus, bedeuten aber ganz unterschiedliche Dinge. Wer sie verwechselt, zieht den falschen Schluss.

Erkannter Spam bezeichnet E-Mails, die angenommen und anschließend als Spam eingestuft wurden. Sie existieren, liegen in einem Ordner und können wiederhergestellt werden. Abgewiesener Spam bezeichnet E-Mails, die während des SMTP-Dialogs abgelehnt und gar nicht erst angenommen wurden. Auf Ihrer Seite existieren sie nirgends und können nicht freigegeben werden, weil nichts zum Freigeben vorhanden ist.

Eine Abweisung erfolgt bei den eindeutigsten Fällen, etwa bei bekannt problematischen Quellen, fehlerhaft aufgebauten Nachrichten oder Absendern mit so schwerwiegenden Authentifizierungsfehlern, dass eine Annahme fahrlässig wäre. Der Vorteil besteht darin, dass eine abgewiesene Nachricht auf der Absenderseite einen Fehler erzeugt. Ein davon betroffener legitimer Absender erfährt also sofort davon, statt anzunehmen, die E-Mail sei angekommen.

Genau das sollten Sie Personen erklären, die sich wegen falscher Abweisungen sorgen. Eine zu Unrecht abgewiesene Nachricht informiert den Absender über den Fehlschlag. Bei einer zu Unrecht abgelegten Nachricht erfährt niemand etwas. Deshalb sollten Sie die Anzahl der freigegebenen Fehlalarme beobachten und nicht die Zahl der Abweisungen.

Was die Zahlen nicht zeigen

Spam-Statistiken beschreiben ausschließlich eingehende E-Mails auf Ihren Domains. Zwei Fragen können sie daher nicht beantworten.

Beide sollten ausdrücklich genannt werden, denn die Annahme, sie seien abgedeckt, führt Menschen meist an die falsche Stelle.

Sie zeigen nicht, wie Ihre ausgehenden E-Mails anderswo behandelt werden. Ob Ihre Nachrichten in den Posteingängen anderer Personen landen, ist eine separate Frage, die DMARC-Berichte und Bounce-Daten beantworten. Mehr dazu finden Sie unter DMARC-Berichte lesen.

Außerdem erklären sie keine einzelne Nachricht. Die Zusammenfassung ist aggregiert und enthält Anzahlen, Quoten sowie die im Zeitraum am häufigsten ausgelösten Regeln. Bei einer bestimmten verschwundenen Nachricht steckt die Antwort in deren Headern und nicht in den Statistiken. Die Statistiken zeigen nur, ob auf der Domain überhaupt ein Nachrichtenverkehr dieses Musters zu sehen war.

Für ihren eigentlichen Zweck, also Veränderungen zu erkennen und bei Nachfragen Belege zu haben, liefern sie schnell eine Antwort. Als Diagnosewerkzeug für eine einzelne E-Mail werden sie Sie enttäuschen.

Eine sinnvolle Routine

Niemand wird dies jede Woche prüfen, und das sollte auch nicht nötig sein.

Sehen Sie einmal im Monat nach und prüfen Sie zuerst die Fehlalarme statt der hervorgehobenen Zahl blockierter Nachrichten. Kontrollieren Sie die Domains mit Kundenverkehr vor den internen Domains. Liegen die Fehlalarme bei null und bleibt der von Benutzern gemeldete Spam stabil, schließen Sie den Tab. Das System funktioniert.

Der andere passende Zeitpunkt ist der Moment, in dem jemand eine Nachricht vermisst, noch bevor Sie annehmen, dass sie nie gesendet wurde. Spam-Statistiken zeigen Ihnen innerhalb einer Minute, ob die Domain den Nachrichtenverkehr überhaupt gesehen hat. So wird aus einem Streitpunkt eine Tatsache.