Greylisting

Was ist Greylisting bei E-Mails?

Greylisting ist eine Anti-Spam-Technik, bei der Mailserver Nachrichten von unbekannten Absendern beim ersten Zustellversuch vorübergehend ablehnen. Legitime Mailserver versuchen die Zustellung nach einer kurzen Verzögerung erneut, viele Spam- oder Schadsysteme dagegen nicht. Dieses Verhalten erlaubt es Greylisting, große Mengen unerwünschter E-Mails auszufiltern, ohne auf Inhaltsanalyse oder Blocklisten angewiesen zu sein.

Die Methode beruht auf der Beobachtung, dass die meisten Spam-Bots Nachrichten so schnell wie möglich zustellen wollen und sich nicht an die üblichen SMTP-Wiederholungsregeln halten. Korrekt konfigurierte Mailserver wiederholen die Zustellung dagegen gemäß dem SMTP-Standard, wodurch sich legitimer und verdächtiger Datenverkehr leicht unterscheiden lässt.

So funktioniert Greylisting

Setzt ein empfangender Mailserver Greylisting ein, prüft er drei zentrale Merkmale jeder eingehenden Verbindung:

• Die sendende IP-Adresse
• Die E-Mail-Adresse des Absenders
• Die E-Mail-Adresse des Empfängers

Diese Kombination, das sogenannte Triplet, wird in der Greylist-Datenbank des Servers gespeichert. Ist das Triplet noch nicht bekannt, gibt der Server einen vorübergehenden Fehler zurück, typischerweise mit dem Code 451 4.7.1. Das signalisiert dem sendenden Server, es später erneut zu versuchen. Wird die Nachricht nach der festgelegten Verzögerung (oft zwischen 1 und 10 Minuten) erneut gesendet, nimmt der empfangende Server sie an und setzt das Triplet auf eine Whitelist, damit künftige Zustellungen schneller erfolgen.

Da die meisten Spam-Tools auf Wiederholungsversuche verzichten, filtert die vorübergehende Ablehnung einen Großteil der unerwünschten E-Mails wirksam aus. Bekannte und vertrauenswürdige Absender erreichen mit der Zeit eine normale Zustellung, während nicht vertrauenswürdige Quellen weiterhin geprüft werden.

Vorteile und Nachteile von Greylisting

Greylisting bietet eine schlanke, wirksame Schutzschicht gegen Spam, ohne auf Blocklisten Dritter oder aggressive Filterung angewiesen zu sein. Es eignet sich besonders für kleine und mittelgroße Organisationen, die eine zusätzliche Schutzmaßnahme mit geringem Wartungsaufwand suchen.

Zentrale Vorteile:

• Blockiert viele Spam- und Phishing-Nachrichten automatisch
• Erfordert keine Analyse des Nachrichteninhalts und keine komplexen Regeln
• Reduziert die Serverlast im Vergleich zu ressourcenintensiven Filtern
• Erhöht die Genauigkeit in Kombination mit SPF, DKIM und DMARC

Greylisting bringt allerdings auch Nachteile mit sich:

• Anfängliche Zustellverzögerungen bei Absendern, die zum ersten Mal senden
• Erhöhter Wiederholungsverkehr, wenn viele neue Verbindungen gleichzeitig eingehen
• Begrenzte Wirksamkeit gegen fortgeschrittene Spam-Systeme, die inzwischen eine eigene Wiederholungslogik enthalten

Die meisten Organisationen optimieren Greylisting, indem sie die Wiederholungsfenster anpassen, vertrauenswürdige Absender auf eine Whitelist setzen oder es mit Realtime-Blackhole-Listen (RBLs) kombinieren, damit verifizierter Datenverkehr schneller angenommen wird.

Greylisting und DMARCeye

DMARCeye ergänzt Greylisting durch Transparenz darüber, welche Absender und IP-Adressen Nachrichten unter Ihrer Domain zustellen. Während Greylisting die erste Spam-Welle abwehrt, stellt DMARCeye sicher, dass nach erfolgreichen Wiederholungsversuchen nur authentifizierte Quellen durchkommen.

Die Analysen der Plattform verknüpfen SPF-, DKIM- und DMARC-Daten mit Zustellergebnissen und helfen so, legitime Absender zu identifizieren, die von Greylisting-Verzögerungen betroffen sind. Mit diesen Erkenntnissen lässt sich der Mailfluss feinjustieren, sodass Sicherheitsteams eine hohe Filtergenauigkeit halten, ohne geschäftskritische Kommunikation zu stören.

Registrieren Sie sich für die kostenlose Testversion von DMARCeye und schützen Sie Ihre E-Mail-Domain.

Um mehr über DMARC und verwandte Begriffe zu erfahren, besuchen Sie das DMARCeye-Glossar.