Ausschluß von Google

[Sven Rautenberg]

Moin!

ich habe gerade folgende Mail von Google bekommen:

Das ist die Behauptung in der Mail. Aber in den Headern findest du mindestens eine, wenn nicht mehrere Zeilen, die mit "Received" beginnen.

Die oberste Zeile ist die, die dein zuständiger Mailserver beim Empfang der Mail dort reingeschrieben hat. Nach unten folgend haben sich alle weiteren Mailserver eingetragen, die die Mail durchgeleitet haben.

Die Frage, ob eine Mail eine Fälschung ist, ermittelt man also dadurch, dass man den niedrigsten vertrauenswürdigen Received-Eintrag anschaut und die Angaben dort mit den Behauptungen in der Mail abgleicht. Das bedeutet im Zweifel, dass nur die oberste Received-Zeile relevant ist (alle darunter können gefälscht sein) - es sei denn, man weiß und sieht in jeder Mail, dass der eigene Provider dort grundsätzlich mehr als eine Zeile einträgt, weil die Mail intern noch weitergeleitet wird. Nur dann sind auch tiefere Zeilen noch relevant.

Mal konkret an das Beispiel:

Received: from gmail.com (c950d076.bhz.virtua.com.br [201.80.208.118] (may be forged)) for [e-mail]; Tue, 19 Jun 2007 18:34:37 +0200

Die Mail behauptet, von "gmail.com" zu kommen. Das ist die Angabe, die der Sender angegeben hat. In Klammern dahinter steht der tatsächliche Reverse-DNS-Name und die tatsächliche IP des Senders). Und wenn man sich den DNS-Namen mal anguckt, fällt auf: Buchstaben+Zahlen in der ersten Komponente, insgesamt fünf Domainlevels, die Top-Level-Domain ist ".com.br", also eine kommerzielle Domain aus Brasilien - insgesamt sieht dieser DNS-Name extrem so aus, wie ganz viele automatisch generierte Namen von Dialup-Internetzugängen (Modem, DSL, etc.).

Und allein schon die Diskrepanz von Behauptung (nämlich "gmail.com") und Fakt ("irgendwas.com.br") sollte klarmachen: Diese Mail ist mit hoher Wahrscheinlichkeit gefälscht. Wäre sie echt, würde nicht ".com.br" als Name erscheinen, sondern wirklich eine der Google-Domains.

Wobei anzumerken ist, dass administrative, "echte" Mails von Google von den bekannten "google.tld"-Domains (z.B. "google.com") versandt werden, nicht von gmail-Accounts (die ja bekanntlich als Freemaildienst der Öffentlichkeit zur Verfügung stehen). Insofern ist also auch die Behauptung "gmail.com" völlig schwachsinnig.

- Sven Rautenberg