E-Mails mal in Quarantäne mal nicht

Question

Hallo, 
 
 ich habe hier seit einiger Zeit ein seltsames Verhalten der Email Protection. 
 
 Kurze Info: 
 
 Wir verschicken gewerblich Newsletter, dass wir da u.a. wegen Spam nicht zugestellt werden ist vollkommen logisch und nicht zu verhindern. 
 Das Verhalten der Sophos ist mir aber nicht erkl&auml;rbar. 
 
 Wir verschicken immer &uuml;ber die selben Mailserver, die E-Mails unterscheiden sich auch nie wirklich (Produktbilder und Texte etwas abgewandelt). Wir verwenden DKIM, SPF und DMARC. 
 
 Nun ist es bspws. so (heute passiert): 6 Newsletter kamen auf der Sophos an, 5 davon gingen in die Quarant&auml;ne, einer nicht :) Ist mir einfach nicht zu erkl&auml;ren. 
 
 Die 5 anderen wurden abgelehnt wegen Anti-Spam, kann es sein dass die Sophos mehrere Verbindungen blockt ? Es kann durchaus vorkommen dass 5,6 E-Mails auf einmal kommen. 
 
 Das Verhalten l&auml;sst sich &uuml;brigens nicht genau reproduzieren, am Sonntag verschicken wir auch einen Newsletter, dieser landet nie in der Quarant&auml;ne, der am Mittwoch schon. 
 
 Ich k&ouml;nnte nat&uuml;rlich einfach eine Ausnahme auf der Sophos machen, aber das ist nicht mein Ziel, ich m&ouml;chte wissen wieso die Sophos dicht macht, als Grund steht leider nur "as" = Anti-Spam da, aber kein Score soweit ich ihn entdecken konnte. Evtl. kann hier ja jemand Licht ins Dunkle bringen. 
 
 Vielen Dank im Voraus 
 
 Daniel

LuCar Toni · Accepted Answer

Hallo Daniel, 
 
 Dies kommt von der Commtouch / Cyren Database. 
 ctasd reports 'Bulk' RefID:str=0001.0A0B0202.58380C9A.034F,ss=3,sh,re=0.000,recu=0.000,reip=0.000,cl=3,cld=1,fgs=0 
 
 https://community.sophos.com/kb/de-de/122687 
 
 Die Appliance agiert hier nur an den Daten von diesem Daemon. Sollte Commtouch / Cyren die Mail als False - Positive bezeichnen, dann verschiebt die Appliance diese Outgoing Mail in die Quarantine. 
 Oftmals fixed Cyren die Datenbank innerhalb von Minuten bei False Positive. 
 
 Ich zitiere hier mal die Online Help: 
 
 RBLs (Realtime Blackhole Lists) 
 A Realtime Blackhole List (RBL) is a means by which an Internet site may publish a list of IP addresses linked to spamming. 
 Use recommended RBLs: Selecting this option causes the mail transfer agent to query external databases of known spam senders (so-called Realtime Blackhole Lists ). Messages sent from a site included in one or more of such lists can easily be rejected. Several services of this type are available on the Internet. This function massively helps to reduce the amount of spam. By default, the following RBLs are queried: 
 
 Commtouch IP Reputation (cyren.org) 
 cbl.abuseat.org 
 
 Note &ndash; The list of RBLs queried by Sophos UTM is subject to change without notice. Sophos does not warrant for the contents of these databases. 
 You can also add further RBL sites to enhance the antispam capability of Sophos UTM . To do so, click the Plus icon in the Extra RBL zones box. In the appearing textbox, enter the RBL zone.

Wichtig hierbei ist das Note. 
 
 Hoffe ich konnte das etwas aufkl&auml;ren.

BAlfson · Answer

ctasd reports 'Unknown' RefID:str=0001.0A0B0203.58380C3F.018F,ss=1,re=0.000,recu=0.000,reip=0.000,cl=1,cld=1,fgs=0 
 ctasd reports 'Bulk' RefID:str=0001.0A0B0202.58380C9A.034F,ss=3,sh,re=0.000,recu=0.000,reip=0.000,cl=3,cld=1,fgs=0 
 So, ctasd calculated slightly different RefIDs for the two emails and the Cyren database judges the second signature as "bulk" and so the Proxy quarantines it. 
 To report the first email as spam also, you can send the original email as an attachment to is-spam@labs.sophos.com. 
 MfG - Bob (Bitte auf Deutsch weiterhin.)