Was ist Greylisting und wie funktioniert es?

Dieser Artikel erläutert Greylisting als Methode zur Bekämpfung von E-Mail-Spam. Er behandelt weder die FATF- noch die maltesische/südafrikanische Finanz-Grauliste, die denselben Begriff für ein anderes regulatorisches Konzept verwendet.

Greylisting blockiert einen erheblichen Teil des üblichen Spams ohne komplexe Inhaltsfilter, Sperrlisten oder kostenpflichtige Dienste. Es nutzt dazu einen einzigen Verhaltensunterschied zwischen echten Mailservern und Spam-Botnetzen aus: Legitime Server versuchen es erneut, wenn sie vorübergehend abgewiesen werden. RFC 5321Während die meisten Spam-Botnetze zum nächsten Ziel übergehen, basiert Greylisting genau auf diesem Wiederholungsverhalten.

Was ist Greylisting?

Greylisting liegt im Spektrum der Spamfilterung zwischen Whitelisting (immer akzeptieren) und Blacklisting (immer ablehnen), daher der Name „Greylisting“. Es handelt sich um eine Anti-Spam-Technik, die auf dem empfangenden Mailserver implementiert wird. Wenn sich ein neuer Absender zum ersten Mal verbindet, verweigert der Server vorübergehend die Annahme der Nachricht mit einem 4xx-SMTP-Fehler und fordert den Absender auf, es später erneut zu versuchen. Evan Harris stellte die Technik 2003 in einem Whitepaper vor, das bis heute als Standardwerk für die Funktionsweise der ursprünglichen Implementierung gilt.

Die Bezeichnung verdeutlicht die Position des Verfahrens zwischen den beiden bekannteren Ansätzen. Absender auf der Whitelist werden immer akzeptiert; Absender auf der Blacklist werden immer abgelehnt. Absender auf der Greylist werden unter bestimmten Bedingungen akzeptiert; bestehen sie den Wiederholungstest, wird die Nachricht zugestellt.

Greylisting erfordert keine Konfiguration seitens des Absenders. Es findet vollständig serverseitig statt und ist für den menschlichen Absender unsichtbar. Die meisten Nutzer bemerken Greylisting erst, wenn ihre erste Nachricht an einen neuen Kontakt ohne ersichtlichen Grund einige Minuten bis zu einer Stunde verzögert ankommt.

Wie funktioniert Greylisting?

Alle Greylisting-Systeme folgen dem gleichen universellen 4-stufigen Prozess, der auf einer Datenstruktur namens „Triplett“ basiert (einer Kombination aus drei Informationen, die jeden eingehenden Nachrichtenversuch eindeutig identifizieren).

Schritt 1: Der Mailserver empfängt die Verbindung

Ein sendender Mailserver (der MTA, Mail Transfer Agent) verbindet sich über SMTP mit dem empfangenden Mailserver. Der Absender übermittelt drei Informationen: die IP-Adresse des Absenders, die E-Mail-Adresse des Absenders und die E-Mail-Adresse des Empfängers.

Diese drei Werte bilden das Tripel. Der empfangende Server verwendet dieses Tripel, um festzustellen, ob er diese exakte Sender-Empfänger-IP-Kombination bereits zuvor gesehen hat.

Schritt 2: Der Server prüft das Triplett anhand seiner Grauliste.

Der empfangende Server prüft seine Greylist-Datenbank auf das eingehende Triplett. Wenn das Triplett bereits bekannt ist und der vorherige Zustellversuch erfolgreich war, wird die Nachricht direkt zugestellt, wodurch der Absender zu diesem Zeitpunkt effektiv auf der Whitelist steht.

Wenn das Drillingspaar noch nicht gesehen wurde, geht der Server zu Schritt 3 über.

Schritt 3: Der Server antwortet mit einem temporären 4xx-Fehler.

Bei unbekannten Nachrichtentripeln sendet der empfangende Server eine 4xx-SMTP-Antwort, typischerweise 451 4.7.1 „Bitte versuchen Sie es später erneut“. Dies signalisiert dem sendenden Server, dass die Nachricht nicht akzeptiert wurde, die Ablehnung jedoch nur vorübergehend ist. Der Absender wird gebeten, es erneut zu versuchen.

Der empfangende Server speichert das Triplett mit einem Zeitstempel in seiner Greylist-Datenbank. Es gilt nun ein minimales Wiederholungsfenster (üblicherweise einige Minuten). Jeder Wiederholungsversuch vor Ablauf dieses Fensters schlägt erneut fehl.

Schritt 4: Der legitime Absender versucht es erneut; die Nachricht wird akzeptiert

Jeder korrekt konfigurierte Mailserver befolgt das Standard-Wiederholungsprotokoll von SMTP. Nach Ablauf der konfigurierten Wartezeit (üblicherweise 5 bis 60 Minuten, manchmal länger) versucht der Absender die Verbindung mit demselben Triplett erneut herzustellen.

Diesmal erkennt der empfangende Server das Tripel, akzeptiert die Nachricht und fügt den Absender seiner Whitelist hinzu. Alle zukünftigen Nachrichten mit demselben Tripel oder einer übereinstimmenden Absender-/IP-Kombination werden sofort zugestellt, ohne erneut das Greylisting-Verfahren durchlaufen zu müssen.

Spam-Botnetze überspringen diesen Schritt oft komplett: Sie versuchen es nicht erneut, sondern gehen einfach zum nächsten Ziel auf ihrer Liste über. Dieser einfache Verhaltensunterschied hilft Greylisting dabei, einen Großteil des üblichen Spams zu blockieren, ohne den Nachrichteninhalt zu prüfen.

Greylisting vs. Whitelisting vs. Blacklisting

Alle drei Techniken steuern, welche Nachrichten im Posteingang landen, basieren aber auf grundlegend unterschiedlichen Prinzipien. Die meisten modernen Mailserver kombinieren alle drei: Whitelisting für bekannte Absender, Blacklisting für bekannte Betrüger und Greylisting für alle anderen Absender.

Keine dieser drei Methoden funktioniert allein gut. E-Mail-Filter das alle drei kombiniert, zusammen mit Inhaltsbewertungstools wie SpamAssassin, gibt den empfangenden Servern mehrere unabhängige Signale zur Auswertung, anstatt sich auf eine einzige Prüfung zu verlassen.

Vor- und Nachteile der Graulisten-Methode

Ältere Spam-Tools scheiterten oft am Wiederholungstest, doch viele moderne Spam-Systeme versuchen es mittlerweile wie legitime Mailserver. Das bedeutet, dass Greylisting zwar immer noch einfachen Spam reduzieren kann, aber auch die Zustellung von Erstnachrichten echter Absender verzögern kann.

Vorteile:

• Geringe Rechenkosten: Das Ablehnen einer Verbindung mit einem 4xx-Fehler beansprucht deutlich weniger Serverressourcen als Inhaltsprüfung, KI-Klassifizierung oder Blocklistenabfragen. Eine Greylist-Datenbank bleibt im Vergleich zu einem Inhaltsfilterkorpus klein.
• Keine Senderkonfiguration erforderlich: Die Absender müssen nichts anders machen. Sie senden wie gewohnt, und der empfangende Server kümmert sich um den gesamten Prozess. Vergleichen Sie dies mit SPF, DKIM und DMARC, die eine DNS-Konfiguration auf Absenderseite erfordern, bevor sie überhaupt funktionieren.
• Wirksam gegen einfache Spam-Botnetze: Viele Botnetze verzichten vollständig auf Wiederholungsversuche, um den Durchsatz beim Senden an möglichst viele Ziele zu maximieren. Greylisting fängt den Großteil dieses einfachen Spams unbemerkt ab, ohne dass eine Inhaltsprüfung erforderlich ist.

Nachteile:

• Verzögerungen bei der ersten Nachricht: Jeder neue Absender muss beim ersten E-Mail-Versand an einen Empfänger mit einer Verzögerung rechnen. Bei zeitkritischen Mitteilungen, wie beispielsweise Vertriebsanfragen, Personalbeschaffung oder wichtigen Benachrichtigungen, kann diese Verzögerung relevant sein.
• Raffinierter Spam versucht es jetzt erneut: Viele moderne Spam-Botnetze versuchen mittlerweile, Nachrichten wie legitime Mailserver erneut zuzustellen. Daher fängt Greylisting heute weniger Spam ab als noch vor einigen Jahren. Es eignet sich heute am besten als zusätzliche Schutzebene, nicht mehr als primäre Anti-Spam-Lösung.
• Sensibilität von Transaktions-E-Mails: Passwortzurücksetzungen, Bestätigungslinks und Zwei-Faktor-Codes sind naturgemäß zeitkritisch. Eine Verzögerung von 30 Minuten durch die Greylisting-Funktion kann den Benutzerfluss unterbrechen, selbst wenn die E-Mail schließlich eintrifft, da der Benutzer bis dahin oft bereits aufgegeben oder einen neuen Code angefordert hat.

Was tun, wenn Ihre E-Mails auf der Greylist landen?

Greylisting ist für korrekt konfigurierte Mailserver in der Regel kein Problem, in manchen Fällen ist es jedoch ratsam, dies zu überprüfen. Ein Eintrag in der Greylist bedeutet nicht, dass Sie auf einer Blacklist stehen; es bedeutet lediglich, dass der empfangende Server Sie noch nicht kennt und überprüfen möchte, ob Ihr Mailserver die Zustellversuche korrekt durchführt.

• Stellen Sie sicher, dass Ihr Mailserver die Wiederholungsversuche ordnungsgemäß durchführt: Seriöse E-Mail-Dienstleister wie SendGrid, Mailgun, Postmark und AWS SES führen SMTP-Wiederholungsversuche automatisch durch, ohne dass Sie etwas tun müssen. Selbstgehostete Mailserver sollten gemäß RFC 5321 explizit so konfiguriert werden, dass sie 4xx-Antworten erneut senden.
• Prüfen Sie die Zustellungsprotokolle auf 4xx-Fehlermeldungen: Achten Sie auf Formulierungen wie „Bitte versuchen Sie es später erneut“, „auf der Grauliste“ oder „Bitte versuchen Sie es erneut“. Dies sind spezifische Signale dafür, dass Ihre Nachricht einer Graulistenprüfung unterzogen wurde und dass der Standard-Wiederholungsprozess das Problem ohne weitere Maßnahmen beheben sollte.
• Überprüfen Sie die Absenderreputation, wenn es bei denselben Empfängern wiederholt zu Verzögerungen kommt: Anhaltende Probleme mit der Graulisteneinstufung bestimmter Domains könnten auf ein umfassenderes Problem hinweisen. Reputation des E-Mail-Absenders Problem. Wenn dieselben Server Ihre Nachrichten immer wieder auf die Greylist setzen, selbst nachdem Wiederholungsversuche erfolgreich waren, lohnt es sich, dieses Muster zusammen mit Ihren allgemeinen Sendepraktiken zu untersuchen.
• Pflegen Sie saubere Listen und eine starke Authentifizierung für den Versand großer Mengen: Greylisting beeinflusst Ihre gesamte Absenderreputation. Saubere Listen und korrekt konfigurierte SPF-, DKIM- und DMARC-Protokolle verringern die Wahrscheinlichkeit, dass sekundäre Zustellbarkeitsprobleme die durch Greylisting bedingten Verzögerungen noch verstärken. Validierung der E-Mail-Liste Entfernt ungültige und risikoreiche Adressen, die zu Reputationsproblemen beitragen, die durch Greylisting allein nicht behoben werden können.

Wo Greylisting heute seinen Platz hat

Greylisting ist eine elegante und kostengünstige Anti-Spam-Technik, die einen grundlegenden Verhaltensunterschied zwischen legitimen Mailservern und Spam-Botnetzen ausnutzt. Sie ist zwar kein Allheilmittel, aber dennoch eine sinnvolle Ergänzung in einem mehrschichtigen Sicherheitskonzept, insbesondere weil die Implementierung und Wartung für empfangende Server sehr kostengünstig ist.

Der vierstufige Mechanismus (Empfang, Prüfung des Tripletts, Ablehnung mit einer 4xx-Fehlermeldung und Annahme beim Wiederholungsversuch) ist für die meisten Sender und Empfänger unsichtbar. Der wichtigste sichtbare Effekt, sofern er überhaupt bemerkt wird, ist eine Verzögerung der ersten Nachricht zwischen neuen Sender-Empfänger-Paaren.

Greylisting schützt Empfänger, aber auch Absender spielen eine wichtige Rolle. Saubere E-Mail-Listen, starke Authentifizierung und eine gute Absenderreputation verringern das Risiko, dass Greylisting zu einem wiederkehrenden Problem wird. Falls Ihre Domain häufig auf Greylisting stößt oder Probleme mit der Zustellbarkeit auftreten, sollten Sie zunächst die Grundlagen beachten (Authentifizierung, Listenpflege und regelmäßiger Versand), um zu vermeiden, dass Ihre E-Mails im Spam-Ordner landen. So stellen Sie sicher, dass jede Spamfilterebene zu Ihrem Vorteil und nicht zu Ihrem Nachteil arbeitet.