Im November vergangenen Jahres war es mal wieder soweit: "Emotet", die berüchtigte Banktrojaner-Familie, startete ihre jüngste Spam-E-Mail-Kampagne. Darin setzen die Cyberkriminellen auf schädliche Word- und PDF-Anhänge, die als Rechnungen, Zahlungsbenachrichtigungen, Bankkontenwarnungen usw. getarnt sind und von scheinbar legalen Organisationen stammen. Anstelle von Anhängen enthalten die Spam-E-Mails allerdings schädliche Links.

Meldungen wie diese sorgen regelmäßig für Unruhe und zeigen vor allem eines: Spam ist weiterhin eines der größten Security-Probleme im Netz. Im ersten Quartal 2018 registrierten die beiden größten deutschen E-Mail-Anbieter WEB.DE und GMX einen starken Spam-Anstieg um rund 50 Prozent im Vergleich zum Vorjahr. Damit liegt das Spam-Volumen aktuell bei über einer Milliarde Mails pro Woche. Künstliche Intelligenz zur Bekämpfung dieser unerwünschten Nachrichten wird angesichts dieser Zahlen immer wichtiger – und ist bei den E-Mail-Portalen sowie dem Vermarkter United Internet Media (UIM) gelebte Praxis. Das tatsächliche Spam-Aufkommen liegt sogar noch höher, wird aber durch Techniken wie beispielsweise "Negativ-Listing" eingedämmt. Viele Millionen Nachrichten werden täglich erst gar nicht in die E-Mail-Systeme von WEB.DE und GMX hinein gelassen, weil sie etwa von IP-Adressen kommen, die auf einer Liste mit unerwünschten Versendern stehen.

"Das E-Mail-Volumen, das in Deutschland verschickt wird, steigt stetig an. Alleine 2018 wurden nach unseren Berechnungen rund 848 Milliarden Mails versandt und empfangen, das waren 10 Prozent mehr als im Jahr zuvor. Aus diesem Grund haben wir frühzeitig in intelligente Technologie investiert, die uns bei der Spam-Erkennung unterstützt", sagt GMX E-Mail-Sicherheits-Experte Christian Schäfer-Lorenz. Die Technologie untersucht dabei eingehende Nachrichten auf bestimmte Metadaten, scannt auf mögliche Phishing-Links oder erkennt verdächtige Absender, die von den Sicherheitsspezialisten der E-Mail-Portale vorgegeben werden. Auffällige Nachrichten werden dann automatisch als Spam markiert und in den entsprechenden Ordner verschoben oder direkt bei der Einlieferung abgelehnt.  
 
Die Nutzer der insgesamt 33 Millionen Postfächer von WEB.DE und GMX erziehen per Machine Learning das System, wie man es auch bei einem Haustier macht – durch positives und negatives Feedback. Immer dann, wenn ein User eine E-Mail in den "Unerwünscht"-Ordner verschiebt, trainiert er dabei die KI des Systems darauf, künftig E-Mails mit ähnlichen Attributen (Absender IP, eventuell erhaltene Links etc.) ebenfalls auszufiltern.
 
Wenn die KI nicht weiter weiß, greift das menschliche Spam-Team ein
Das Ganze ist allerdings immer ein Hase- und Igel-Spiel, weil natürlich auch die Cyber-Kriminellen zunehmend auf KI setzen. Ein Bespiel aus der Praxis: Normale Phishing-Nachrichten, die Nutzer dazu bringen sollen, auf Links zu klicken, hinter denen sich Malware verbirgt, haben eine Erfolgsquote von fünf bis zehn Prozent. Bei Spear-Phishing, also individuell auf den Empfänger zugeschnittene, betrügerische Nachrichten, liegt die Quote hingegen schon bei 40 Prozent. Die Crux: Die Erstellung dieser E-Mails geschieht meist immer noch manuell und dauert jeweils zirka zehn Minuten. Doch schon vor mehr als zwei Jahren haben Forscher der Sicherheitsfirma ZeroFOX eine Software präsentiert, die täuschend echt wirkende Nachrichten generiert. Bei einem Experiment auf Twitter fiel jeder dritte Nutzer auf diesen automatisierten Online-Angriff herein.
 
In der Praxis kann man sich also nicht allein auf KI verlassen, benötigt wird eine Steuerung und Überwachung von echten IT-Experten. WEB.DE und GMX haben dafür ein Team aus Security-Spezialisten. Sie merzen den E-Mail-Müll aus.
 
Systematische Spam-Abwehr durch Mensch und Maschine
Das Team entwickelt dazu ständig einen Katalog von Kriterien weiter, anhand dessen Mensch und Maschine Schad-Mails erkennen und ausfiltern können, bevor der Kunde auf den Link klickt. Dazu gehören klassische Merkmale wie "Wo kommt die E-Mail her?", "Ist der Absender auf einer schwarzen Liste?", "Empfangen wir besonders viele E-Mails aus diesem IP-Bereich" und dergleichen mehr.

Das Prinzip: Muster erkennen und Querverbindungen herstellen – etwa, ob es neulich einen größeren Hack bei einem Anbieter gab, bei dem viele E-Mail-Adressen abhandengekommen sind. Um den Spam genauer zu analysieren, arbeiten die Spam Cops zudem mit so genannten Spam Traps, also Köder-E-Mail-Konten, mit denen man möglichst viele verschiedene Spam E-Mails einfangen kann. Diese Nachrichten werden dann genauer untersucht, etwa auf die URLs der Phishing-Links und die Absender – entsprechend werden sie auf die Negativ-Liste gesetzt. "Geht es um die systematische Spam-Abwehr, arbeiten Mensch und Maschine idealerweise Hand in Hand. So entstehen besonders smarte Services", sagt Sicherheitsexperte Christian Schäfer-Lorenz.

Zum dritten Teil der Serie geht es hier.