SPAM kommt trotz eingestelltem Emailfilter durch

[lesaw]

Hallo,
unter meinem Arcor-Account habe ich in den Einstellungen eine Filterregel für den Wortlaut "Ich mochte dich wirklich" hinterlegt. Emails mit diesem Inhalt sollen verworfen werden.
Das funktioniert aber leider nicht.
Ich habe die Qelldaten von zwei dieser Emails beigefügt. Meine Emailadresse habe ich darin durch "xxxx@arcor.de" ersetzt.
Zusätzlich habe ich einen Screenshot meiner Filtereinstellungen beigefügt.
Um einer Rückfrage vorzubeugen:
bei beiden Emails habe ich die kompletten Quelldaten kopiert und in beiden Emails sehe ich sowohl direkt in meinen Arcor Emails, als auch nach einem Abruf der Email über Outlook, den im Filter eingestellten Text.
Noch eins: Einträge in der Blacklist im Breich SPAM helfen mir nicht weiter, das sich die Absenderadresse in jeder empfangenen Email ändert.
Was kann ich noch machen, um diese Spammails direkt auf dem Arcor/Vodafone Server zu verwerfen, damit meine Emailprogramme diese erst gar nicht abholen?

[Gelöschter User]

Hallo, ich habe die Filterregel noch etwas erweitert und hoffe damit ggf. "unschuldige" eMails nicht in den Spam zu schieben.

[dlawso]

Sehr schön!  Danke !

Habe jetzt mal entsprechende Filterregeln erstellt,mal abwarten.

Was mir bei der Gelegenheit aufgefallen ist; Ich krieg den Spam an 3 verschiedene von meinen @Arcor Adressen,da scheints ja wohl mal ein grösseres Datenleck gegeben zu haben.Super......gab ja bisher Adressen die ich nur SEHR selten verwendet habe,die waren praktisch Spamfrei,andere jedoch nicht.Scheint jetzt auch keine Rolle zu spielen.

[lesaw]

@StPnt 
Leider wird das so nicht richtig funktionieren.
Hier ein Screenshot einer SPAM Mail, die ich kürzlich erhalten habe:

Da steht im X-VRC-SPAM-STATUS eben nicht : "0,21"
Und was ich absolut nicht möchte, ist im Nebel herumzustochern und irgendeinen Filter auf eine blosse Vermutung hin zu setzten.
Wer setzt denn den X-VRC-SPAM-STATUS?
Und für was steht der Status 0,21?
Solange die Bedeutung hiervon nicht klar ist, lasse ich die Finger davon.
Viele dieser Emails bestehen aus zumindest zwei Parts: einem "plain/text" Part und einem "plain/html" part.
Im "plain/text" Part steht z.B. die Phrase "Ich mochte dich wirklich" im Klartext. Im "plain/html" Part. ist dieser Text dann durch ansonsten nutzlose Scripts zerstückelt.
Vodafone hat mir bis jetzt nicht beantwortet, in welchen Part der Filter "Textteil" denn jetzt hineinschaut, oder ob der Textfilter bei diesen SPAM Mails überhaupt funktioniert. Denn weder auf  "Ich mochte dich wirklich" im "plain/text" Part, noch auf z.B.  "mysexdating" hat der Filter reagiert.
Ich hoffe mal, dass Vodafone jetzt so langsam in die Puschen kommt.

[Gelöschter User]

@lesaw 

Dann such mal in den Quelldaten den Text "http"  siehe Bild  und falls vorhanden, dann den Text analog wie im Bild rot markiert  für deine Filterregel benutzen.

Ich habe allerdings nur noch eMails mit reinem BASE64 Inhalt bekommen, da ist http nicht mehr zu finden

"mysexdating..."  wurde  schon durch 869422920/ ersetzt.

Alternativ kann man auch die Namen    ("VON ")   "Lilly, Sophie  etc " einzeln durch Filterregeln gleich "verwerfen" dann sieht man sie überhaupt nicht mehr. Blöd nur wenn man eine Lilly (die auch so versendet)  kennt. 

[ckcologne]

Vielen Dank!  Tipp war (bis jetzt) erfolgreich. Seit Anlage des Spam-Filters keine neuen "Angebote" der netten "Damen" im Posteingang, dafür 6 im Spam-Ordner.

Hatte übrigens diese Mails an zwei meiner Alias-Adressen. Die habe ich dann beim Anlegen des Filters auch entsprechend beide angegeben.

[Willi1973Wacker]

Hallo Booboos,

der Header ist eine reine Textdatei. Deshalb verstehe ich nicht, das man die Einträge hinter Received: nicht nach dem +split Zusatz in der eingenen Mailadresse durchsuchen kann. Jeder Editor schaft das.

Alles andere führt meiner Meinung nicht zum Erfolg, weil sich andere Einträge ständig ändern.

Wir sollten auch Acor/Vodafon ständig Druck machen, damit die sich dieser Sache verstärkt annehmen.

Gruß Wilfried

[Gelöschter User]

@Willi1973Wacker 

Das Problem ist, es können ja für x-beliebige User auch erwünschte eMails mit  +split@arcor.de ankommen.

'ne  einigermaßen gute Idee habe ich auch nicht, das Problem allgemein in den Griff zu bekommen.

Brutal aber wirkungsvoll:    (ich habe heute keine einzige eMail erhalten)

[Willi1973Wacker]

Hallo Booboos,

ich weiß, irgend einen Kompromiss muss ich machen. Mich ärgert nur, daß dieser blöde +split Filter nicht funktioniert. Weißt du eigentlich wie viel Mädchennamen es gibt :-). Wie alle docktern am Filter herum und Vodafon macht die Augen zu.

Wilfried

[Gelöschter User]

hallo @Willi1973Wacker 

die Namen die im letzten Post  (Bild) enthalten sind momentan alle die mir bekannten.

Aber die Versender der Mails sind bestimmt noch findig.

Ich habe ja auch den Verdacht, dass die im Forum unterwegs sind, der Wechsel von Html/Text auf BASE64 war doch auffällig.

[StPnt]

@lesaw  eine änliche Spam Mail hatte ich auch. Siehe Spoiler. (Du hast nur ein Teil davon gezeigt)

Bei mir war diese schon automatisch als SPAM erkannt. Schau mal den nächsten Schlüssel an "X-VRSPAM-STATE: spam". Hier steht eindeutig "spam".

Du kannst auch den anderen Schlüssel benutzen: "X-VR-SPAM-STATE: 1".

"1" - wird definitive Spam bedeuten, "0" - nein.

Der Schlüssel "X-VRC-SPAM-STATUS: 0,21,gggr..." wird auf den nächsten Zeilen  erleutert:

X-VRSPAM-STATE: legit
X-VR-SPAM-STATE: 0
X-VR-SPAM-SCORE: 21

Für mich "X-VR-SPAM-SCORE: 21" den Wert 21 ist schon verdächtig.

Deswegen meine Entscheidung "0,21" als Spam auszufiltern ist begründet. (für mich)

Mindestens, bis es sich wieder beruhigt.

Meine Meinung nach, diese Schlüssel werden von dem Mailserver (evtl. Spam Engine) von Vodafone gesetzt.

Mehr anzeigen

Und noch was:

ich habe bemerkt, dass bei jedem die Codierung der SPam Mail anders:  beim mir Base64, bei anderen 8bit usw.

das deutet, dass der spamer wusste es, wer mit welcher Codierung arbeitet.

Für mich gibt es dafür nur eine logische Erklährung - es deutet alles für ein sehr größen Datenleck bei Vodafone!

P.S. alles, was ich hier geschildert habe - ist nur meine Vermutung.

P.P.S. meine Lösung ist für mich hilfreich, das bedeutet nicht, dass es euch auch 100% hilft.

Danke für euren Verständnis.