[Postfixbuch-users] rechtsverdreherfrage spamabwehr

[Ralf Petry]

hy,
in zusammenhang mit der cdu-email-affäre in brandenburg sassen mein chef
und ich heute mal wieder grübelnd über dem rechtsproblem der spamabwehr.

vielleicht liest ja jemand mit, der hier kompetent ist...

lange vorrede zur erklärung, kurze fragen am ende:
der zweig des unternehmens in dem ich arbeite, ist eine gemeinnützige
gmbh. private nutzung des internets ist per dienstvereinbarung nicht
erlaubt.
die nutzer erhalten spam auf ihre adressen.
mein mailserver steht nicht in the wild, sondern in einem lan, die mails
werden bei 1und1 abgeholt (fetchmail) und von postfix verarbeitet.
sie durchlaufen i.d.r. einen content-filter (amavisd-new), "dort" (naja)
werden sie auf viren geprüft und auf spam kontrolliert.
bislang war es so, dass ich die erkannten spams nur gekennzeichnet habe,
aber an die nutzer weitergeleitet habe. die nutzer konnten per regelwerk
alle mails, die mit der entsprechenden kennzeichnung in das lokale
outlook kamen (ja, leider outlook), in einen extra ordner schieben.
das auf den clients im einsatz befindliche antiviren programm (gdata avk
2006) sperrt gerne mal die gesamte outlook.pst, wenn es meint, eine
infizierte mail isolieren/löschen zu müssen.
testhalber habe ich zwischendurch mal folgende massnahmen ergriffen: um
die erkennungsrate zu steigern, habe ich bayes trainiert, dafür habe ich
per always_bcc in postfix main.cf eine kopie aller mails an ein
bestimmtes postfach geleitet - die massnahme war erstens nicht so
effektiv (wahrscheinlich wurden unterschiedliche bayes-db genutzt) und
zweitens natürlich rechtlich schwierig - schliesslich konnte die
zuständige person mails anderer personen lesen (mal abgesehen davon,
dass root das sowieso kann).
weil nutzer sich beschwert haben und spam erst gar nicht in ihrem
emailclient haben wollten, habe ich in amavisd-new folgendes
ausprobiert:
die kill-aktion läuft nicht mit D_PASS sondern mit D_DISCARD,
@spam_quarantine_to ist eine speziell eingerichtete mailbox. jetzt
erhält der benutzer als spam erkannte spam nicht mehr - false positives
können aber aus der mailbox dem eigentlichen empfänger zugestellt
werden, weil die mail ja nicht gelöscht wurde.
laut zeitungsbericht haben die benutzer das recht, alle mails zu
erhalten (oder hat der mailadmin die pflicht, alle mails zu zu
stellen?). ich bin natürlich nicht daran interessiert, die clientsysteme
durch den ganzen spamdreck willentlich der gefahr aus zu setzen,
kompromittiert zu werden.

hier die fragen:
ausgehend von der rechtsform und der dienstvereinbarung: müssen alle
mails dem endbenutzer zu gestellt werden? muss der auch viren- und
sonstwie verkeimte mails erhalten (können)? (muss ich also einen anderen
mailclient oder ein anderes antivirenprogramm benutzen, damit die
pst-datei nicht immer hops geht, wenn gdata zuschlägt?
(dann dürften eigentlich alle spam-abwehr-massnahmen ohnehin für
den ..... sein).
mache ich mich strafbar, wenn ich eine qurantäne-mailbox auf
false-positives untersuche?
ist meine einzige möglichkeit zwischen fernhalten von spam vom client
und benutzerorientiertes zugreifen auf spam/false positives vielleicht
die einrichtung von imap-ordnern, inklusive einem spamordner, der aber
nur über ein webinterface vom benutzer verwaltet werden kann, aber nicht
in outlook abonniert wird? (ich meine gesehen zu haben, dass maya
mailguard so was kann).

danke für alle hilfreichen antworten. sorry für die komplexität.
42.
viele grüsse, ralf.