Welche Lösung zur Authentifizierung eines Mailabsenders sich im Kampf gegen Spam auch durchsetzen wird: Der Einsatz von SPF, SenderID, DomainKeys oder Identified Internet Mail bedeutet vor allem auch eines -- den Beginn eines groß angelegten Umbaus des lieb gewonnenen E-Mail-Systems, hieß es beim Workshop der Federal Trade Commission (FTC) zum Thema E-Mail-Authentifizierung. Insgesamt neun Diskussionsrunden mit über 50 Experten und Unternehmensvertretern hat die US-Behörde geladen, um sich einen Überblick über die weiter wachsende Zahl von Lösungsansätzen zu verschaffen. Spam sei kein Problem, dessen Lösung staatlicher Regulierung zugänglich sei. "Wir setzen unsere Hoffnungen vielmehr auf den Markt", sagte FTC-Vorsitzende Deborah Platt Majoras zum Auftakt.

Der tut sich allerdings schwer bei der Suche nach gemeinsamen Lösungen. Aus einer einheitlichen Lösung zur Senderauthentifizierung auf Basis von IP-Adressen ist nach dem Patentstreit um SenderID erst einmal nichts geworden. Microsofts Übernahme der von SPF verwendeten "Mailfrom"-Adresse zusätzlich zur so genannten Purported Responsible Address (PRA), der Sender From-Adresse, die Microsoft für die Authentifizierung verwendet, könnte nun zusätzliche Probleme mit bereits weiter verbreiteten SPF-Anwendungen mit sich bringen. Daniel Quinlan, Vizepräsident der Apache Foundation, betonte bei der FTC noch einmal: "Ich empfehle allen, SPF-Einträge für ihre Domains zu verwenden und auf keinen Fall PRA-Einträge."

Quinlan lieferte sich mit dem Microsoft-Vertreter David Kaefer noch einmal eine heftige Auseinandersetzung über Microsofts Lizenz-Gebaren. "Wenn Microsoft all die frei verfügbaren Dinge lizenzieren müsste, die es in seine eigenen Software einbaut, würde man die Frage der Sublizenzierung sicher auch anders sehen", sagte Quinlan. Das Misstrauen, das Apache gegenüber dem Konzern hege, sei angesichts der bisherigen Microsoft-Politik gerechtfertigt; dem hielt Kaefer entgegen, indem er auf Zugeständnisse bei der Lizenz hinwies. Scott Bradner, bei der Internet Engineering Task Force (IETF) mit den Fragen rund um den Zankapfel Patente betraut, kritisierte Microsoft vor allem dafür, dass die vorgelegte Lizenz unverständlich gewesen sei. "Microsoft hat sich da keinen Gefallen getan", betonte Bradner. "Wenn Sie wieder mal eine Lizenz schreiben, dann doch bitte so, dass die Geeks sie auch verstehen." Dass der SenderID-Streit aber auf einem Verständnisproblem beruhe, wies Quinlan weit von sich. SPF-Entwickler Meng Wenig Wong sagte schließlich gegenüber heise online, er gehe davon aus, dass praktisch niemand außer Microsoft das zum Patent angemeldete PRA einsetzen werde.

Tatsächlich setzen allerdings gerade große Provider wie AOL erst einmal auf mehrere Pferde. "Wir sind dabei, Tests mit allen verschiedenen Authentifizierungstechnologien zu machen", sagte Carl Hutzler, Direktor Anti-Spam Operations bei AOL. Seit dem Sommer arbeitet man mit SPF-Classic, ab Ende 2004 will man auch eingehende Mail auf SPF-Einträge checken. Auch SenderID ist im Test, allerdings nur in Teilen und mit Vorsicht bezüglich von PRA. SPF-Einträge bieten dagegen laut Aussagen von Teilnehmern aus den USA eine große Zahl von US-Providern. AOL werde außerdem auch DomainKeys ab Anfang 2005 testen und damit auch ein Key-basiertes Modell erproben.

Trotz gewisser Auswirkungen auf die Last der Server durch das Rechnen mit den im Header mitversandten Schlüsseln seien die cyptobasierten Lösungen leichter zu implementieren, meinte Scott Brown, CTO von Cold Spark. "Wenn wir über einen Server statt eine Million E-Mails pro Stunde noch 800.000 versenden können, reicht uns das immer noch aus." Bei einen Test, welchen Einfluss die Cryptovarianten auf die Geschwindigkeit haben, schnitt Ciscos Identified Internet Mail übrigens etwas besser ab. DomainKeys ist allerdings bei der Implementierung etwas weiter als der Nachzügler Cisco. Mehrere große Unternehmen, darunter die British Telecom, implementieren DomainKeys in Kürze, sagte Miles Libbey, Anti-Spam Manager von Yahoo.

Robert Sanders von Earthlink dämpfte in Washington allerdings die Euphorie über die verschiedenen Lösungen. Nicht nur sei es aus der Sicht kleinerer Anbieter vorzuziehen, wenn man nicht eine lange Reihe verschiedener Lösungen testen müsse. "Wir müssen uns auch mal die Frage stellen, warum tun wir das eigentlich alles. Bekommen wir eine, wenigstens kleine Erleichterung, für Probleme wie Phishing oder ähnliches?" Bei SPF, so fürchtet er, kommt der Löwenanteil der sauber mit SPF-Rekords versehenen E-Mails bereits jetzt von Spammern. Beim Provider GoDaddy zählt man bislang 14 Prozent Spam-Mails bei per SPF geprüften Adressen.

Die Frage nach der Nachhaltigkeit der Lösungen stellt sich beinahe noch mehr beim dritten prinzipiellen Lösungsansatz, den Reputationdiensten, wie sie mit CSV (Client SMTP Validation) vorgeschlagen werden. Sowohl Authentifizierungs- als auch Reputationdienste, meinte Sanders, könnten sich gerade für kleinere Unternehmen auch zum Bumerang entwickeln. Für sie wird es immer schwieriger, allen neuen Anforderungen gerecht zu werden. Und wo der Nutzer in der neuen komplizierten E-Mail-Welt bleibt, darüber machte man sich in Washington erst einmal noch wenig Gedanken

Quelle: heise.de