Was bedeutet eine VPS-Abuse-Beschwerde?

Was eine VPS-Abuse-Beschwerde tatsächlich ist

Eine VPS-Abuse-Beschwerde ist ein Bericht über Netzwerkverkehr, der von Ihrer IP-Adresse ausging. Der Bericht wird an den für diesen IP-Adressblock veröffentlichten Abuse-Kontakt gesendet. Ihr Hoster leitet ihn anschließend mit einer Frist zur Antwort an Sie weiter. Der veröffentlichte Kontakt gehört dem Unternehmen, dem der Adressraum zugewiesen ist. Deshalb liest den Bericht über Ihren Server fast nie zuerst Sie selbst. Ihr Hoster ordnet die IP-Adresse und den Zeitstempel Ihrem Konto zu und leitet den Bericht weiter.

Die Benachrichtigung ist kein Beweis dafür, dass Sie absichtlich gehandelt haben. Eine IP-Adresse ist das einzige Identifikationsmerkmal, über das der Melder verfügt. Eine kompromittierte Anwendung, die um 03:00 Spam versendet, erzeugt denselben Bericht wie eine Person, die um 03:00 Spam versendet. Deshalb ist die Antwort der entscheidende Teil. Sie sollen angeben, was die Quelle war und welche Änderungen Sie vorgenommen haben.

Wer den Bericht sendet und wie er Ihren Host erreicht

Jeder öffentliche IP-Adressblock ist bei einem regionalen Internetregister (RIR) registriert: RIPE NCC, ARIN, APNIC, LACNIC oder AFRINIC. In jedem Registereintrag ist ein Abuse-Kontakt veröffentlicht. An diese Adresse werden die Berichte gesendet. Sie können denselben Eintrag lesen wie der Absender:

whois 203.0.113.10 | grep -iE 'netname|descr|abuse'

RIPE-Einträge enthalten ein abuse-c:-Rollenobjekt mit einer abuse-mailbox:-Zeile. ARIN-Einträge enthalten OrgAbuseEmail:. Die dort veröffentlichte Adresse erhält die Beschwerde. Deshalb erreicht ein Bericht über Ihren Server Ihren Host und nicht Ihr Postfach.

Der Bericht wird normalerweise von einer Maschine erstellt. Vier Arten decken fast alle Fälle ab, mit denen Sie zu tun haben werden:

• Automatisierte Scanner und Honeypots. Eine Maschine protokolliert einen Verbindungsversuch von Ihrer IP-Adresse und erstellt einen Bericht mit dem angehängten Log-Auszug.
• Feedback Loops (FBL), die von Mailbox-Anbietern betrieben werden. Ein Empfänger klickt auf die Schaltfläche für Junk-Mail, und eine Kopie der Nachricht wird im ARF-Format (abuse reporting format) zurückgesendet. Dieses strukturierte Mail-Format ist für die maschinelle Auswertung ausgelegt.
• Urheberrechtsagenturen. Sie überwachen Torrent-Schwärme oder durchsuchen öffentliche URLs. Anschließend senden sie eine DMCA-Mitteilung (digital millennium copyright act), in der eine Datei, Ihre IP-Adresse und ein Zeitstempel in UTC genannt werden.
• Betreiber von Blocklisten und Netzwerkadministratoren. Sie senden eine kurze Mail mit den beanstandeten Zeilen aus ihren eigenen Logs.

Da die meisten ersten Berichte automatisch erstellt werden, bringt eine argumentative Antwort nichts. Eine Tatsache ist entscheidend: Was lief, und wann wurde es beendet?

Warum enthält die Benachrichtigung eine Frist

Auch Ihr Host ist ein Mieter. Sein Adressraum liegt hinter übergeordneten Carriern und ist in Reputationsdatenbanken erfasst, die von anderen Betreibern geführt werden. Unbeantwortete Meldungen verschlechtern die Bewertung des gesamten Blocks und nicht nur Ihrer einzelnen Adresse. Die Frist in der Benachrichtigung ist daher ein weitergereichter Handlungsdruck. Beachten Sie das in der Benachrichtigung angegebene Zeitfenster und behandeln Sie es als verbindlich.

Wenn ein unbeantworteter Vorgang Konsequenzen hat, handelt es sich meist um eine Nullroute. Dabei wird der Netzwerkverkehr zu dieser einzelnen IP upstream verworfen. Alternativ kann die Instanz suspendiert werden. Der Auslöser ist normalerweise das Ausbleiben einer Antwort und nicht das ursprüngliche Ereignis. Welche Maßnahmen ein bestimmter Host ergreift und wann sie erfolgen, ist in dessen Richtlinie und in der Benachrichtigung selbst festgelegt. Nur diese beiden Dokumente sind als Beleg maßgeblich. Richten Sie sich daher nicht danach, was ein Forum über die zulässigen Maßnahmen eines Providers behauptet.

Outbound-Spam: Warum sendet mein VPS E-Mails, die ich nicht gesendet habe?

Der Bericht besagt, dass Ihre IP-Adresse E-Mails an eine Spam-Falle zugestellt hat oder dass Empfänger Ihre E-Mails als Spam markiert haben. In den meisten Fällen gibt es vier Ursachen: eine Webanwendung mit einem Mailformular ohne Rate-Limit, ein offengelegtes SMTP-Zugangsdatenpaar, das jetzt von jemand anderem verwendet wird, ein Mailserver, der für nicht dafür vorgesehene Hosts Relay-Dienste bereitstellt, oder ein gestohlener Login für eine Newsletter-Anwendung. Beginnen Sie mit der Queue, weil ein kompromittierter Absender dort normalerweise sichtbar ist:

sudo postqueue -p | tail -n 20
sudo postqueue -p | grep -c '^[0-9A-F]'

Eine Queue mit Tausenden von Nachrichten an Adressen, die Sie nicht erkennen, bedeutet, dass der Server E-Mails versendet. Ermitteln Sie als Nächstes, wer sich authentifiziert hat:

sudo grep -o 'sasl_username=[^ ]*' /var/log/mail.log | sort | uniq -c | sort -rn | head

Ein Konto mit einer deutlich höheren Anzahl als die anderen enthält das offengelegte Zugangsdatenpaar. Wenn /var/log/mail.log nicht vorhanden ist, ist rsyslog nicht installiert und dieselben Zeilen stehen stattdessen im Journal: sudo journalctl -t postfix --since '2 days ago'.

Wenn sich niemand authentifiziert hat, ist der Absender ein lokaler Prozess. Prüfen Sie die Relay-Regeln und die offenen Verbindungen:

sudo postconf -n | grep -E 'mynetworks|inet_interfaces|relay'
sudo ss -tnp state established '( dport = :25 )'

Ein unverändertes Debian- oder Ubuntu-Postfix stellt Fremden keine Relay-Dienste bereit. Es wird zu einem Open Relay, wenn mynetworks manuell auf ein gesamtes Hosting-Subnetz erweitert wird, weil dadurch jeder andere Mandant in diesem Subnetz als vertrauenswürdig eingestuft wird und E-Mails über Ihren Server senden darf. Jede Verbindung zu Port 25, die einem Prozess gehört, der nicht Ihr Mailserver ist, stammt von einem Script, das eigenständig E-Mails versendet. Genau das geschieht normalerweise bei einer kompromittierten PHP-Anwendung.

Stoppen Sie den Versand, bevor Sie die Ursache untersuchen, und sichern Sie die Beweise:

sudo systemctl stop postfix
sudo tar czf /root/mailqueue.tgz -C /var/spool postfix

sudo postsuper -d ALL leert die Queue und zerstört außerdem den Nachweis darüber, was versendet wurde. Erstellen Sie daher zuerst die Kopie. Rotieren Sie anschließend alle Zugangsdaten, die die Anwendung verwendet, aktualisieren Sie die Anwendung und suchen Sie nach Dateien oder Änderungen, die der Angreifer hinterlassen hat. Ein Spam-Vorfall und eine Kompromittierung sind meistens dasselbe Ereignis. Arbeiten Sie daher die Wiederherstellungsschritte für einen gehackten VPS durch, statt nur die Queue zu leeren.

Port-Scans und Brute-Force-Angriffe: Wie ein kompromittierter Container aussieht

Dieser Bericht enthält Zeilen aus den Logs eines anderen Betreibers. Sie sehen so aus:

sshd[2841]: Invalid user admin from 203.0.113.10 port 51992

Die Ursache ist fast immer ein Dienst, von dem Sie angenommen haben, dass er durch die Firewall geschützt ist. Docker ist häufig der Auslöser. Das Veröffentlichen eines Ports mit -p 6379:6379 schreibt Regeln in die Chains DOCKER-USER und nat. Diese werden vor den ufw-Regeln ausgewertet. Deshalb blockiert ufw deny 6379 den Zugriff nicht, und die Datenbank beantwortet Anfragen aus dem gesamten Internet.

sudo ss -ltnp
sudo iptables -S DOCKER-USER
docker ps

Alles in ss -ltnp, das an 0.0.0.0 oder [::] gebunden ist, lauscht auf der öffentlichen Adresse. Veröffentlichen Sie den Dienst stattdessen an der Loopback-Adresse, also -p 127.0.0.1:6379:6379, wenn nur der Host darauf zugreifen muss. Wo eine Datenbank grundsätzlich betrieben werden sollte, ist eine separate Entscheidung. Der Betrieb der Datenbank in Docker oder auf dem Host beschreibt diesen Zielkonflikt.

So prüfen Sie, ob Ihr eigener Server gerade scannt:

sudo ss -tnp state syn-sent

Viele halboffene Verbindungen zu zahlreichen unterschiedlichen Zielen weisen auf einen laufenden ausgehenden Scan hin. Ein Kernel-Log, das sich mit nf_conntrack: table full, dropping packet füllt, zeigt dasselbe aus einem anderen Blickwinkel: Etwas öffnet deutlich mehr Verbindungen, als dieser Server normalerweise öffnen müsste.

Ersetzen Sie einen kompromittierten Container, anstatt ihn zu bereinigen. Sie können nicht nachweisen, was darin sonst noch geändert wurde. Erstellen Sie ihn daher aus einem vertrauenswürdigen Image neu, stellen Sie nur vertrauenswürdige Daten wieder her und wechseln Sie die Schlüssel, über die der Container verfügte.

Urheberrechtsmeldungen: Welche Datei wurde tatsächlich abgerufen?

Eine DMCA-Meldung nennt eine URL oder einen Torrent-Info-Hash, Ihre IP-Adresse und einen Zeitstempel in UTC. Fast alle Fälle haben eine von zwei Ursachen: ein Verzeichnis, das der Webserver öffentlich mit darin enthaltenen Mediendateien auflistet, oder ein Torrent-Client, der nach Abschluss des Downloads weiterhin Daten verteilt.

Gleichen Sie den Zeitstempel mit dem Access-Log ab. Das kombinierte nginx-Logformat enthält den Status in Feld 9 und den Anfragepfad in Feld 7:

sudo grep '14/Aug/2026:03' /var/log/nginx/access.log | awk '{print $9, $7}' | sort | uniq -c | sort -rn | head

Bevor Sie daraus schließen, dass nichts ausgeliefert wurde, prüfen Sie die Uhrzeit. Die Meldung verwendet UTC, während Ihre Logs die Zeitzone des Servers verwenden. Eine Abweichung von einigen Stunden führt dazu, dass Sie im falschen Zeitraum suchen und fälschlicherweise melden, dass kein Treffer vorliegt:

timedatectl
sudo timedatectl set-timezone UTC

Beheben Sie anschließend die Ursache. Entfernen oder beschränken Sie den Zugriff auf die Datei, deaktivieren Sie die Verzeichnisauflistung mit autoindex off; im nginx-Location-Block und binden Sie den Torrent-Client an ein Interface, das nicht öffentlich erreichbar ist. Antworten Sie mit dem Dateinamen, der Änderung und dem Zeitpunkt, zu dem Sie sie vorgenommen haben. Wenn Sie der Ansicht sind, dass die Forderung selbst unberechtigt ist, handelt es sich um eine rechtliche Frage zwischen Ihnen und dem Absender. In der Meldung ist angegeben, wie Sie sie anfechten können. Ihr Hoster entscheidet nicht darüber. Ein Ticket, in dem Sie die Berechtigung der Forderung bestreiten, bleibt daher ohne Ergebnis.

Blocklist-Einträge: Warum funktioniert der Versand ausgehender E-Mails nicht mehr?

Dieser Fall tritt häufig auf, ohne dass Sie überhaupt eine E-Mail erhalten. Der Versand ausgehender E-Mails wird einfach nicht mehr akzeptiert. Die Bounce-Nachricht enthält den Grund:

554 5.7.1 Service unavailable; Client host [203.0.113.10] blocked using zen.spamhaus.org

Prüfen Sie einen Eintrag, indem Sie die vier Oktette der IP-Adresse umkehren und die Zone der jeweiligen Liste abfragen:

dig +short 10.113.0.203.zen.spamhaus.org

Eine leere Antwort bedeutet, dass Ihre Adresse dort nicht gelistet ist. Eine Antwort im Bereich 127.0.0.x bedeutet, dass sie gelistet ist. Das letzte Oktett gibt an, welche Unterliste den Treffer verursacht hat. Eine Antwort im Bereich 127.255.255.x bedeutet, dass die Abfrage abgewiesen und nicht beantwortet wurde. Ursache ist meist, dass die Abfrage über einen großen öffentlichen Resolver gesendet wurde, den der kostenlose Dienst nicht bedient. Führen Sie die Abfrage erneut über den Resolver des Servers aus, um ein verlässliches Ergebnis zu erhalten.

Die Entfernung aus der Liste erfolgt auf der Website des Listenbetreibers, nicht über Ihren Hoster. Sie ist nur dauerhaft, wenn die Ursache vorher behoben wurde. Andernfalls führt die Falle, die Ihren Server gelistet hat, dazu, dass er bereits bei der nächsten Nachricht erneut gelistet wird. Zwei weitere Punkte entscheiden darüber, ob der E-Mail-Versand anschließend funktioniert. Ihr PTR-Record, also der Reverse-DNS-Name der IP-Adresse, wird von Ihrem Hoster verwaltet. Bitten Sie ihn, einen Eintrag zu setzen, der auf dieselbe Adresse zurückauflöst, und verwenden Sie diesen Namen als HELO. Eine IP-Adresse, die von einem früheren Kunden wiederverwendet wurde, kann außerdem eine Vorgeschichte haben, die Sie nicht verursacht haben. Fragen Sie danach, bevor Sie eine Woche mit der Änderung von DNS-Einträgen verbringen. Die korrekte Einrichtung der SPF-Records (Sender Policy Framework) und DKIM-Records (DomainKeys Identified Mail) sowie der darauf abgestimmten DMARC-Richtlinie wird vollständig in der Anleitung zum Betrieb eines eigenen Mailservers mit Mailcow beschrieben.

Relay-Infrastruktur, bei der Abuse-Mails zum Betrieb gehören

Wenn Sie einen Tor-Exit-Node, ein öffentliches VPN oder einen Proxy für andere Personen betreiben, sind Beschwerden über Datenverkehr, den Sie nicht selbst erzeugt haben, ein normaler Betriebsaufwand. Wichtig ist, dass der Server erkennbar als Relay und nicht als kompromittierter Server auftritt. Setzen Sie einen aussagekräftigen Reverse-DNS-Namen, stellen Sie auf Port 80 eine kurze Hinweisseite bereit, die den Zweck der Adresse erklärt, beantworten Sie Abuse-Mails schnell mit derselben Erklärung und nutzen Sie die vom jeweiligen Programm angebotenen Richtlinien, um Ports mit besonders vielen Meldungen zu sperren. Betreiben Sie den Dienst unter einer eigenen IP-Adresse, idealerweise auch in einer eigenen Instanz. Dadurch legt eine Nullroute für diese Adresse nicht gleichzeitig Ihre Webanwendung lahm. Fragen Sie vor dem Start bei Ihrem Hoster nach. Welche Nutzung zulässig ist, unterscheidet sich je nach Unternehmen und manchmal auch je nach IP-Block. Diese Frage sollten Sie an den Hoster richten und nicht in einem Foren-Thread stellen. Einen Tor-Exit-Node auf einem VPS betreiben beschreibt die Exit-Policy und die Hinweisseite ausführlich.

So beantworten Sie das Ticket, damit es geschlossen wird

• Veröffentlichen Sie eine Kontaktadresse, die eine Person liest. RFC 2142 legt fest, dass abuse@ und postmaster@ unter Ihrer Domain die Adressen sind, die Meldende zuerst ausprobieren. Hosten Sie dieses Postfach an einem anderen Ort als auf dem Server, den es schützt. Eine suspendierte Instanz kann die Benachrichtigung über ihre Suspendierung nicht zustellen.
• Bewahren Sie Logs lange genug auf, um überhaupt antworten zu können. Ein Bericht über Netzwerkverkehr von vor zwölf Tagen lässt sich nicht beantworten, wenn das Log nach sieben Tagen rotiert wurde. Prüfen Sie journalctl --disk-usage, setzen Sie MaxRetentionSec=90d in /etc/systemd/journald.conf und führen Sie anschließend sudo systemctl restart systemd-journald aus. Web- und Mail-Logs rotieren nach einem eigenen Zeitplan unter /etc/logrotate.d/.
• Betreiben Sie den Server mit UTC. Dann entspricht ein Zeitstempel in einem Bericht ohne Umrechnung einem Zeitstempel in Ihren Logs.
• Trennen Sie Systeme, die Beschwerden verursachen, von Systemen, die Sie nicht verlieren dürfen. Betreiben Sie Mail unter einer Adresse, die Webanwendung unter einer anderen und Relay-Dienste auf einer eigenen Instanz. Eine Maßnahme gegen eine IP-Adresse betrifft alles, was sich dahinter befindet.
• Antworten Sie innerhalb der Frist, auch wenn die Untersuchung noch nicht abgeschlossen ist. Eine Zwischenantwort mit einem darin genannten Zeitpunkt ist für die erste Runde eine vollständige Antwort.

Eine erste Antwort, mit der sich die meisten Tickets schließen lassen, ist kurz und konkret:

Received, thank you. Confirmed at 09:14 UTC.
Source: a contact form in our web app that allowed unauthenticated sending.
Action: form disabled, Postfix stopped, all SMTP credentials rotated 09:31 UTC.
Evidence: mail queue and logs preserved for 90 days if you need them.
Next: patched app redeployed by 18:00 UTC today. I will confirm here.

Nennen Sie, was Sie wissen, und was Sie noch nicht geklärt haben. Schweigen wirkt wie ein nicht gewarteter Server. Der Eskalationsweg ist für nicht gewartete Server vorgesehen. Ob diese Aufgaben überhaupt in Ihren Zuständigkeitsbereich fallen, hängt vom gekauften Produkt ab. Der praktische Unterschied wird in managed und unmanaged VPS-Hosting erläutert. Bei einem unmanaged Tarif ist der Mieter für die Sicherheitsmaßnahmen zuständig.

So sieht es aus, wenn alles funktioniert

Eine Abuse-Beschwerde ist zunächst ein Routing-Problem. Eine Meldung zu einer Adresse geht an die für diese Adresse verantwortliche Stelle und wird an die Person weitergeleitet, die das Problem beheben kann. Sie haben Einfluss auf Ihre Kontaktadresse, die Aufbewahrungsdauer Ihrer Logs, die Verteilung Ihrer Dienste auf IPs und darauf, wie schnell Sie antworten. Wenn diese Punkte stimmen, sind die meisten Meldungen nach einer Antwort erledigt. Dieselben Maßnahmen klären auch die umfassendere Frage, ob VPS-Hosting sicher ist, denn ein Server, den niemand überwacht, landet letztlich in den Logs anderer.

FAQ

Bedeutet eine Abuse-Beschwerde, dass mein VPS gehackt wurde?

Nicht automatisch. Das ist jedoch das Erste, was Sie ausschließen sollten. Der Bericht belegt nur, dass Netzwerkverkehr Ihre IP-Adresse verlassen hat. Ausgehender Spam und Port-Scans stammen deutlich häufiger von einer kompromittierten Anwendung oder einem kompromittierten Container als vom Kontoinhaber. Prüfen Sie daher zuerst die Mail-Warteschlange mit sudo postqueue -p und die lauschenden Sockets mit sudo ss -ltnp. Hinweise zu Urheberrechtsverletzungen und Blocklisten haben einen anderen Charakter. Sie deuten normalerweise auf etwas hin, das Sie absichtlich betreiben.

Wie lange habe ich Zeit, auf eine Abuse-Meldung zu antworten?

Die Frist steht in der erhaltenen Meldung. Sie unterscheidet sich je nach Host und Kategorie. Meldungen zu Urheberrechtsverletzungen und Spam-Fallen haben tendenziell die kürzesten Fristen. Behandeln Sie die angegebene Frist als verbindlich und senden Sie eine kurze Zwischenantwort, bevor sie abläuft, auch wenn Sie die Ursache noch ermitteln. Für die zuständige Person ist entscheidend, dass sich jemand darum kümmert und der Netzwerkverkehr beendet wurde.

Meine IP-Adresse steht auf einer Blockliste. Kann mein Host sie entfernen?

Nein. Die Entfernung aus der Liste erfolgt durch den Betreiber der jeweiligen Liste auf dessen Website. Ihr Host hat keinen Einfluss auf dessen Datenbank. Ihr Host kontrolliert jedoch den PTR-Eintrag, also den Reverse-DNS-Namen Ihrer IP-Adresse. Dafür lohnt sich gleichzeitig eine separate Anfrage. Beheben Sie das Versandproblem, bevor Sie die Entfernung aus der Blockliste beantragen. Andernfalls wird die Spam-Falle, die Ihre IP-Adresse eingetragen hat, sie bei der nächsten Nachricht erneut eintragen.

Muss ich meinem Host mitteilen, was tatsächlich passiert ist?

Sie müssen genug mitteilen, damit der Host das Ticket schließen kann: die Quelle und den Zeitpunkt, zu dem der Vorfall beendet wurde. Einen forensischen Bericht oder die Daten Ihrer Benutzer müssen Sie nicht bereitstellen. Eine vage Antwort ist schlechter als eine kurze, konkrete Antwort. Wenn die zuständige Person nicht erkennen kann, was sich geändert hat, gibt es keinen Grund, den Fall als gelöst zu behandeln.

Kann ich eine automatisierte Meldung von einem Scanner ignorieren?

Nein. Automatisierte Meldungen werden erfasst. Wiederholte Meldungen zu einer IP-Adresse verschlechtern die Bewertung des gesamten Adressblocks Ihres Hosts. Dadurch kann aus einem kleinen Fall eine Eskalation werden. Ihre Antwort kann aus einem Absatz bestehen. Der automatisierte Absender liest sie normalerweise nicht. Die zuständige Person bei Ihrem Host liest sie jedoch. Sie entscheidet, was mit Ihrer Instanz geschieht.