{"id":893,"date":"2026-04-24T15:41:03","date_gmt":"2026-04-24T13:41:03","guid":{"rendered":"https:\/\/konstantin.filtschew.de\/blog\/?p=893"},"modified":"2026-04-24T15:41:05","modified_gmt":"2026-04-24T13:41:05","slug":"google-groups-spam-in-rspamd-blockieren-mit-einer-einzigen-regel","status":"publish","type":"post","link":"https:\/\/konstantin.filtschew.de\/blog\/2026\/04\/24\/google-groups-spam-in-rspamd-blockieren-mit-einer-einzigen-regel\/","title":{"rendered":"Google-Groups-Spam in Rspamd blockieren \u2013 mit einer einzigen Regel"},"content":{"rendered":"\n

Spammer sind kreativ. Und einer ihrer aktuell beliebtesten Tricks: Google Groups als kostenlosen Relay missbrauchen. Gruppe erstellen, Opfer einladen, Werbem\u00fcll, Phishing und Betrugsmaschen durch Googles eigene Infrastruktur schicken \u2013 fertig. Weil die Mails direkt von Google-Servern kommen, bestehen SPF-, DKIM- und DMARC-Pr\u00fcfungen anstandslos. Die meisten Filter r\u00fchren sich nicht. Wenn du keine legitimen Google-Groups-Mails auf deinem Mailserver erwartest, kannst du den ganzen Spa\u00df mit einer einzigen kleinen Rspamd-Regel stoppen.<\/p>\n\n\n\n

Warum Google-Groups-Spam so schwer zu fassen ist<\/h2>\n\n\n\n

Eine typische Spam-Welle \u00fcber Google Groups kommt von einem mail-*.google.com<\/code>-Server mit g\u00fcltiger Authentifizierung. Der Envelope-Sender sieht ungef\u00e4hr so aus: ad7+bncBCE4JP6LW4MBBZHTUXHQMGQEYI5O3BY@irgendeine-domain.tld<\/code> \u2013 und der From:<\/code>-Header zeigt auf eine unverd\u00e4chtige Adresse auf derselben Domain. Standardregeln wie DBL_SPAM<\/code> oder BAYES_SPAM<\/code> erwischen vielleicht einen Teil davon, aber Spammer rotieren ihre Domains so schnell, dass sie unter dem kombinierten Score-Schwellenwert bleiben.<\/p>\n\n\n\n

Das verl\u00e4ssliche Signal ist der X-Google-Group-Id<\/code>-Header. Google f\u00fcgt ihn jeder Nachricht hinzu, die \u00fcber eine Google Group l\u00e4uft \u2013 und du kannst ihn nicht per normalem SMTP f\u00e4lschen. Die Nachricht muss tats\u00e4chlich durch die Google-Groups-Infrastruktur gelaufen sein.<\/p>\n\n\n\n

Hier sind die relevanten Header aus einer echten Spam-Nachricht, die \u00fcber Google Groups zugestellt wurde:<\/p>\n\n\n\n

From: TechTrends Haushalt <techtrends@bn.hethbeauty.de>\nSubject: Ich dachte, mein K\u00fchlschrank ist sauber. Dann landete meine Familie\n         in der Notaufnahme\nPrecedence: list\nMailing-list: list ad7@bn.hethbeauty.de; contact ad7+owners@bn.hethbeauty.de\nList-ID: <ad7.bn.hethbeauty.de>\nX-Google-Group-Id: 1059602057684\nList-Post: <https:\/\/groups.google.com\/a\/bn.hethbeauty.de\/group\/ad7\/post>,\n           <mailto:ad7@bn.hethbeauty.de><\/code><\/pre>\n\n\n\n
Der Rspamd-Score f\u00fcr diese Nachricht lag bei 14,61 \u2013 knapp unter dem Reject-Schwellenwert von 15,00. Ein kleiner Schubs hat gereicht, um sie durchzulassen. Den stopfen wir jetzt.<\/p>\n\n\n\n
Die Lua-Regel<\/h2>\n\n\n\n
Lege eine neue lokale Lua-Datei an, damit du die mitgelieferten Rspamd-Regeln nicht anfasst:<\/p>\n\n\n\n
root@server $ vim \/etc\/rspamd\/lua.local.d\/google_groups.lua<\/code><\/pre>\n\n\n\n
Und dann rein damit:<\/p>\n\n\n\n
lua<\/p>\n\n\n\n
rspamd_config:register_symbol({\n  name = 'GOOGLE_GROUPS_SENDER',\n  score = 15.0,\n  description = 'Mail sent via Google Groups',\n  group = 'blocklist',\n  callback = function(task)\n    if task:get_header('X-Google-Group-Id') then\n      return true\n    end\n    return false\n  end\n})<\/code><\/pre>\n\n\n\n
Die Regel registriert ein neues Symbol GOOGLE_GROUPS_SENDER<\/code>. Sobald der Callback true<\/code> zur\u00fcckgibt \u2013 also immer dann, wenn der Header vorhanden ist \u2013 wird das Symbol ausgel\u00f6st und sein Score zur Nachricht addiert.<\/p>\n\n\n\n
Beim Score hast du die Wahl, wie hart du durchgreifen willst:<\/p>\n\n\n\n