Phishing-Mails sind längst nicht mehr darauf angewiesen, durch offensichtliche Rechtschreibfehler, merkwürdige Absender oder primitive HTML-Links aufzufallen. Gut gemachte Kampagnen übernehmen das Design legitimer Benachrichtigungen nahezu vollständig, tauschen nur die Zieladresse eines Login-Buttons aus oder verlagern den eigentlichen Angriff in einen PDF-Anhang. Klassische Prüfungen auf Absenderreputation, SPF, DKIM oder einzelne verdächtige Wörter reichen deshalb allein nicht aus.
Rspamd begegnet diesem Problem inzwischen auf mehreren Ebenen. Neben der klassischen Prüfung von URLs kann der Spamfilter die Struktur einer HTML-Mail analysieren, Call-to-Action-Links gesondert betrachten, bekannte HTML-Strukturen über Fuzzy Hashing vergleichen und Inhalte aus PDF-Anhängen in die weitere Analyse einbeziehen.
Besonders interessant ist dabei die Entwicklung seit Rspamd 3.14 und 4.x. HTML-Fuzzy-Hashing wurde Ende 2025 eingeführt, PDF-Textextraktion folgte Anfang 2026 und mit Rspamd 4.0 kam ein eigener Mechanismus hinzu, der bekannte HTML-Templates und davon abweichende Domains getrennt betrachten kann. Aktueller Referenzstand dieses Artikels ist Rspamd 4.1.5 vom 14. August 2026.
Warum klassische Phishing-Erkennung nicht ausreicht
Ein klassischer Phishing-Versuch kann relativ einfach aussehen:
<a href="https://evil.example">
https://bank.example
</a>
Der Benutzer sieht eine vermeintlich legitime Adresse, tatsächlich verweist der Link jedoch auf eine andere Domain.
Genau solche Fälle kann das phishing-Modul von Rspamd erkennen. Es untersucht Links innerhalb von HTML-Teilen einer Nachricht, vergleicht die URL aus href oder src mit einer eventuell im sichtbaren Linktext enthaltenen URL und bewertet, ob beide zum selben relevanten Domainbereich gehören. Unterschiedliche Domains können dabei als Phishing-Indikator gewertet werden.
Dieses Verfahren bleibt sinnvoll, deckt aber nur einen Teil moderner Angriffe ab. Ein Angreifer muss dem Opfer schließlich keine sichtbare URL präsentieren. In vielen realen Mails steht lediglich:
Ihr Konto muss überprüft werden.
[ Konto bestätigen ]
Der Benutzer sieht keinen Domainnamen, sondern nur einen Button. Solange dessen HTML formal unauffällig aussieht, hilft ein Vergleich zwischen sichtbarer und tatsächlich hinterlegter URL nicht weiter.
Noch schwieriger wird es, wenn Angreifer vollständige HTML-Templates legitimer Nachrichten übernehmen. Header, Logo, Tabellenstruktur, Farben, Abstände und Buttonpositionen können nahezu identisch bleiben. Nur der Link hinter dem Button führt auf eine andere Domain.
Genau hier setzt die neuere HTML-Strukturanalyse von Rspamd an.
HTML-Fuzzy: Nicht der Text, sondern die Struktur wird verglichen
Mit Rspamd 3.14.0 wurde HTML Structure Fuzzy Hashing eingeführt. Anders als klassisches Text-Fuzzy-Matching konzentriert sich dieser Mechanismus auf die strukturellen Eigenschaften eines HTML-Dokuments.
Rspamd erzeugt dazu aus dem DOM unter anderem Tokens nach einem Schema wie:
tagname[.class][@domain]
Eine vereinfachte legitime Nachricht könnte strukturell beispielsweise so aussehen:
html
└─ body
├─ div.header
│ └─ img@brand.de
│
├─ div.content
│ ├─ h1
│ ├─ p
│ └─ a.button@brand.de
│
└─ div.footer
└─ a@brand.de
Aus diesen Informationen entstehen Shingles und weitere Hashes, die später gegen einen Fuzzy Storage abgeglichen werden können. Textinhalt und strukturelle Merkmale sind dabei bewusst voneinander getrennt. Die Dokumentation beschreibt HTML-Fuzzy ausdrücklich als strukturorientiert, domain-aware und CTA-fokussiert.
Das ist für Phishing besonders interessant. Angreifer können Texte leicht verändern:
Hallo Robert
wird zu:
Guten Tag Herr Mustermann
oder
Ihr Konto wurde eingeschränkt.
wird zu:
Aus Sicherheitsgründen ist eine Bestätigung erforderlich.
Das darunterliegende Template kann trotzdem weitgehend identisch bleiben.
Wie der HTML-Fuzzy-Hash aufgebaut wird
Rspamd dokumentiert vier wesentliche Bestandteile der HTML-Fuzzy-Bewertung:
| Bestandteil | Gewicht |
|---|---|
| Struktur-Shingles | 50 % |
| CTA-Domains | 30 % |
| alle übrigen Domains | 15 % |
| weitere statistische Merkmale | 5 % |
Die Struktur bildet damit den größten Anteil. Auffällig ist aber vor allem die hohe Gewichtung der CTA-Domains.
Das ist kein Zufall. Für einen erfolgreichen Phishing-Angriff ist letztlich entscheidend, wohin der Benutzer geführt wird.
CTA-Domains: Welcher Link soll tatsächlich geklickt werden?
Rspamd besitzt dafür eine eigene Call-to-Action-Erkennung. Seit 3.14 können HTML-Teile ihre CTA-URLs gesondert bereitstellen; die Lua-API stellt dafür beispielsweise get_cta_urls() zur Verfügung.
Ein HTML-Newsletter kann dutzende Links enthalten:
Logo
Datenschutzerklärung
Impressum
Trackingpixel
Facebook
Instagram
Abmelden
Hilfe
[ Konto bestätigen ]
Nicht alle diese URLs sind für eine Phishing-Bewertung gleich relevant. Der auffällige Button in der Mitte der Nachricht ist normalerweise wesentlich wichtiger als der Link zum Impressum.
Genau diese Differenzierung erlaubt die CTA-Erkennung.
Nehmen wir zwei stark vereinfachte Nachrichten.
Die legitime Variante:
HTML-Struktur:
div.header
div.content
a.button
div.footer
CTA:
https://login.bank.example/
Der Phishing-Klon:
HTML-Struktur:
div.header
div.content
a.button
div.footer
CTA:
https://secure-bank-login.example-attacker.tld/
Das Template ist strukturell nahezu identisch. Die handlungsrelevante Domain unterscheidet sich jedoch vollständig.
Die CTA-Domain fließt deshalb mit eigenem Gewicht in die HTML-Fuzzy-Signatur ein.
Rspamd 4.0 und FUZZY_HTML_PHISHING
Rspamd 4.0.0 vom 28. März 2026 entwickelte diesen Ansatz weiter. HTML-Fuzzy kann seitdem einen normalen Template-Match und einen domain-sensitiven Match getrennt betrachten. Der Changelog führt dafür ausdrücklich die Erkennung FUZZY_HTML_PHISHING auf.
Das ist ein wichtiger Unterschied zur vereinfachten Vorstellung eines einzigen Fuzzy-Wertes.
Das Prinzip lässt sich schematisch so darstellen:
bekannte Nachricht
│
▼
HTML-Fuzzy-Storage
│
▼
neue Nachricht
│
┌─────────┴─────────┐
│ │
Template ähnlich? Domains ähnlich?
│ │
ja nein
│ │
└─────────┬─────────┘
│
▼
möglicher Phishing-Klon
│
▼
FUZZY_HTML_PHISHING
Damit kann Rspamd einen besonders typischen Angriff erkennen: Der Angreifer übernimmt eine bekannte HTML-Struktur, verändert jedoch die Domains hinter entscheidenden Links.
Das bedeutet allerdings nicht, dass jede Mail mit einer abweichenden CTA-Domain automatisch Phishing ist. Fuzzy Matching arbeitet mit bekannten oder zuvor gespeicherten Hashes und Wahrscheinlichkeiten. Es handelt sich um ein zusätzliches Signal innerhalb der Gesamtbewertung einer Nachricht, nicht um einen alleinstehenden Wahrheitsdetektor.
Fuzzy Matching benötigt bekannte Daten
Der Name „Fuzzy“ kann leicht den Eindruck vermitteln, Rspamd würde eigenständig entscheiden, welches HTML-Template zu einer Bank, einem Paketdienst oder Microsoft 365 gehört. Das ist nicht der Fall.
Der Scanner erzeugt Hashes und vergleicht sie mit einem Fuzzy Storage. Dafür können öffentliche Fuzzy-Quellen oder ein eigener Storage verwendet werden.
Bei einem eigenen Storage könnte die Datenbasis beispielsweise aus folgenden Quellen stammen:
bestätigte Phishing-Mail
│
▼
HTML-/Text-Fuzzy-Hashes
│
▼
eigener Fuzzy Storage
│
▼
später eintreffende Varianten
Rspamd stellt dafür unter anderem fuzzy_add und fuzzy_del über rspamc bereit. Die Dokumentation beschreibt außerdem eigene Regeln, Flags, Gewichtungen sowie den Betrieb eigener Fuzzy-Storage-Worker.
Hier liegt gleichzeitig eines der größten betrieblichen Risiken: schlechte Trainingsdaten.
Ein Newsletter, den ein Benutzer nicht mehr erhalten möchte, ist nicht automatisch eine Phishing-Nachricht. Werden beliebige Benutzer-Spammarkierungen ungeprüft in einen eigenen Fuzzy Storage geschrieben, können daraus unerwünschte Treffer und False Positives entstehen.
Für ein eigenes Lernverfahren sollte deshalb zwischen unterschiedlich vertrauenswürdigen Quellen unterschieden werden. Ein kontrollierter Spamtrap oder administrativ bestätigte Phishing-Kampagnen haben eine andere Qualität als eine einzelne Benutzerentscheidung.
HTML-Fuzzy ist nicht automatisch in jeder eigenen Regel aktiv
Ein weiterer wichtiger Punkt betrifft die Konfiguration.
Die Möglichkeit zum HTML-Fuzzy-Hashing bedeutet nicht automatisch, dass jede selbst angelegte Fuzzy-Regel HTML-Strukturen verwendet. In der strukturierten Konfiguration eigener Fuzzy Checks ist die HTML-Prüfung separat steuerbar.
Rspamd prüft außerdem, ob das HTML überhaupt komplex genug ist, um einen sinnvollen strukturellen Hash zu erzeugen. Die Dokumentation nennt dafür unter anderem eine ausreichende Anzahl an HTML-Tags, mindestens zwei Links und eine DOM-Tiefe von mindestens drei Ebenen.
Eine triviale Nachricht wie:
<p>Hello</p>
liefert also bewusst nicht dieselbe Art struktureller Information wie ein vollständiges HTML-Template.
Das reduziert die Gefahr, völlig banale HTML-Strukturen miteinander zu vergleichen.
Versteckter Text und CSS-Evasion
Phishing- und Spamkampagnen versuchen nicht nur, URLs oder Templates zu verschleiern. Eine andere Technik besteht darin, für den Benutzer unsichtbaren Text in eine Nachricht einzubauen.
Ein stark vereinfachtes Beispiel:
<div style="position:absolute; left:-10000px">
harmless newsletter meeting invoice project customer
</div>
Der Empfänger sieht diesen Text nicht. Ein Filter, der lediglich sämtliche vorhandenen Wörter statistisch bewertet, könnte sich davon jedoch beeinflussen lassen.
Rspamd 4.1.1 vom 19. Juni 2026 hat die Erkennung solcher Techniken erweitert. Dokumentiert sind unter anderem Off-Screen-Positionierung mit position:absolute oder position:fixed, negativer text-indent, verschiedene clip– und clip-path-Varianten, visibility:collapse sowie extrem kleine Schriftgrößen.
Das bedeutet nicht, dass Rspamd eine Nachricht wie ein vollständiger Webbrowser rendert. Der Parser interpretiert bestimmte HTML- und CSS-Eigenschaften, um versteckten Inhalt besser von tatsächlich sichtbarem Text unterscheiden zu können.
Diese Unterscheidung ist wichtig, weil ansonsten eine falsche Erwartung entsteht: Rspamd besitzt keine vollständige Browser-Engine und führt keine pixelgenaue visuelle Analyse einer Nachricht durch.
PDF-Phishing: Der Angriff steckt im Anhang
Eine zweite Entwicklung betrifft PDF-Anhänge.
Ein typisches Szenario sieht heute beispielsweise so aus:
Betreff: Neue Rechnung
Guten Tag,
Ihre aktuelle Rechnung finden Sie im Anhang.
Freundliche Grüße
Der eigentliche Angriff befindet sich in:
rechnung.pdf
Dort findet der Empfänger möglicherweise ein Unternehmenslogo, eine gefälschte Rechnung und einen Link:
Zahlungsinformationen anzeigen
Der Mailbody selbst enthält praktisch kein verwertbares Angriffssignal.
Mit Rspamd 3.14.3 vom 8. Januar 2026 wurde native PDF-Textextraktion eingeführt. Rspamd kann seitdem Text aus unterstützten PDF-Strukturen extrahieren und für seine Inhaltsanalyse verfügbar machen. Die Implementierung umfasst unter anderem Textqualitätsfilterung, FlateDecode, ASCIIHexDecode, UTF-16-Erkennung und Unterstützung bestimmter Ligaturen.
Das ist ein wichtiger Schritt, sollte aber technisch korrekt beschrieben werden:
Rspamd „scannt“ damit nicht automatisch jedes PDF vollständig.
Es extrahiert verwertbaren Text aus unterstützten PDF-Strukturen.
URLs aus PDFs gelangen in die normale URL-Verarbeitung
Mit Rspamd 4.0 wurde das Verhalten nochmals erweitert.
Die Option:
include_content_urls
steht seit 4.0 standardmäßig auf true. Dadurch kann task:get_urls() auch URLs zurückgeben, die aus PDFs oder anderen berechneten Content-Parts stammen.
Damit entsteht eine interessante Verarbeitungskette:
PDF-Anhang
│
▼
PDF-Parser
│
▼
Text-/Content-Extraktion
│
├── Text
│
└── erkannte URLs
│
▼
task:get_urls()
│
▼
weitere URL-basierte
Rspamd-Auswertung
Die aus dem PDF gewonnene URL ist damit nicht mehr zwangsläufig in einem isolierten Attachment-Kontext gefangen.
Allerdings sollte auch hier nicht pauschal behauptet werden, jede URL aus jedem PDF würde automatisch durch jedes Rspamd-Modul oder jede konfigurierte DNSBL geprüft. Welche URL-Kategorien ein konkretes Modul tatsächlich verarbeitet, hängt weiterhin von dessen Implementierung und Konfiguration ab.
Warum PDF-Textextraktion komplizierter ist, als sie klingt
Ein PDF ist kein einfacher Textcontainer.
Schriftarten können eigene Encodings besitzen, Zeichen über Tabellen abbilden oder komplett andere Zuordnungen verwenden. Textpositionierung und Zeichenreihenfolge müssen ebenfalls rekonstruiert werden.
Wie fehleranfällig das sein kann, zeigt eine Korrektur in Rspamd 4.1.3 vom 25. Juli 2026. Bestimmte PDF-Textpositionierungsoperatoren erzeugten zuvor keinen korrekten Zeilenumbruch. Dadurch konnten zwei eigentlich getrennte Textzeilen zusammengefügt werden. Der resultierende String konnte vom URL-Parser wiederum fälschlich als URL interpretiert werden.
Rspamd 4.1.5 vom 14. August 2026 verbesserte die PDF-Textextraktion erneut und macht sie stärker font-aware. Der Parser berücksichtigt nun unter anderem PDF-Fontdefinitionen, Encodings, Differences, ToUnicode-CMaps sowie Composite Fonts.
Das ist nicht nur eine Detailverbesserung. Ein Bytewert innerhalb eines PDFs steht ohne Kenntnis der verwendeten Font- und Encoding-Informationen nicht zwingend für das Zeichen, das ein Benutzer später auf dem Bildschirm sieht.
Für Spam- und Phishing-Erkennung ist korrekte Textextraktion deshalb eine Voraussetzung dafür, URLs, Wörter und andere Inhaltsmerkmale zuverlässig analysieren zu können.
Was Rspamd bei PDFs nicht macht
Gerade bei diesem Thema ist eine saubere Abgrenzung wichtig.
Kein OCR
Die beschriebene PDF-Textextraktion ist kein Optical Character Recognition.
Besteht ein PDF ausschließlich aus eingescannten Bildern und enthält keine verwertbare Textebene, lässt sich daraus nicht automatisch derselbe Text gewinnen wie aus einem normalen textbasierten PDF.
Für reine Bilddokumente wäre eine zusätzliche OCR-Komponente erforderlich.
Keine Malware-Sandbox
Die PDF-Inhaltsanalyse ersetzt ebenfalls keine Malware-Sandbox.
Rspamd kann unterschiedliche Attachment-Eigenschaften und Inhalte für seine Bewertung heranziehen, aber die hier beschriebene PDF-Textextraktion führt kein verdächtiges Dokument in einer isolierten Umgebung aus.
Für Malware-Analyse bleiben spezialisierte Verfahren wie Antivirus-Scanner, Sandbox-Systeme oder andere Attachment-Analysewerkzeuge ein separates Thema.
Kein Webbrowser
Eine aus einem PDF extrahierte URL wird auch nicht automatisch geöffnet und ihre Zielseite vollständig gerendert.
Rspamd gewinnt zunächst eine URL als weiteres Signal. Was anschließend mit dieser Information geschieht, hängt von den aktiven Modulen und deren Konfiguration ab.
Text-, HTML- und Attachment-Fuzzy sind nicht dasselbe
Auch beim Begriff „Fuzzy Hashing“ lohnt sich eine Unterscheidung.
Rspamd nutzt für unterschiedliche Inhalte unterschiedliche Verfahren.
Text
Für Textinhalte verwendet Rspamd Shingles. Dabei werden mehrere überlappende Textsegmente erzeugt und miteinander verglichen. Dadurch können auch ähnliche Texte erkannt werden, wenn einzelne Wörter verändert wurden.
HTML
HTML besitzt seit 3.14 einen eigenen strukturellen Fuzzy-Pfad. Hier sind DOM-Struktur, Domains, CTA-Domains und weitere Merkmale entscheidend.
Dateien und andere exakte Inhalte
Bei anderen Arten von Inhalten können dagegen exakte kryptographische Digests verwendet werden.
Ein „Fuzzy Match“ ist deshalb nicht automatisch immer dasselbe technische Verfahren. Rspamd erzeugt abhängig vom Inhalt unterschiedliche Hash- und Vergleichsinformationen.
Ein Fuzzy-Treffer ist kein binäres Ja oder Nein
Auch die Bewertung eines Fuzzy-Matches ist differenzierter als:
gefunden = Spam
nicht gefunden = Ham
Ein gespeicherter Fuzzy-Hash besitzt unter anderem ein Gewicht. Darüber hinaus kann ein nicht exakter Shingle-Match eine Wahrscheinlichkeit bzw. Ähnlichkeit besitzen.
Rspamd 4.1.3 änderte die Gewichtung solcher nicht exakten Treffer deutlich. Zuvor führte die verwendete Kurve dazu, dass selbst relativ schwache Matches bereits einen großen Teil des maximalen Scores erhalten konnten. Seit 4.1.3 wird die Wahrscheinlichkeit stärker relativ zum tatsächlichen Match-Schwellenwert gewichtet.
Gerade bei Regeln mit hohen Scores ist das relevant. Ein schwacher struktureller Match sollte nicht denselben Einfluss auf die Gesamtentscheidung erhalten wie ein nahezu identisches Template.
Seit 4.1.3 lässt sich besser nachvollziehen, warum ein Fuzzy-Match entstand
Für den Betrieb ist nicht nur die Erkennung interessant, sondern auch die Nachvollziehbarkeit.
Rspamd 4.1.3 führte strukturierte Ergebnisse für Fuzzy-Matches ein. Die Lua-API task:get_fuzzy_results() kann beispielsweise Informationen über folgende Eigenschaften liefern:
- verwendete Regel,
- ausgelöstes Symbol,
- angesprochenen Upstream,
- gespeicherten und abgefragten Digest,
- Match-Typ,
- Wahrscheinlichkeit,
- Score,
- Flag,
- Wert und
- Zeitstempel des Hashes.
Diese Informationen werden auch für weitere Diagnose- und Exportmöglichkeiten genutzt.
Das ist im produktiven Betrieb besonders hilfreich, wenn untersucht werden muss, warum eine legitime Nachricht plötzlich einen Fuzzy-Treffer erzeugt hat.
Statt lediglich:
FUZZY_DENIED
zu sehen, kann die Untersuchung wesentlich genauer beantworten:
Welche Regel?
Welcher Hash?
Welcher Match-Typ?
Welche Wahrscheinlichkeit?
Welcher Storage?
Welcher Score?
Für False-Positive-Analysen ist das ein erheblicher Fortschritt.
Die Mechanismen ergänzen sich – keiner ersetzt den anderen
HTML-Fuzzy und PDF-Analyse sollten nicht als Ersatz für die klassischen Schutzmechanismen eines Mailservers verstanden werden.
Eine moderne Rspamd-Installation kann gleichzeitig Signale aus unterschiedlichen Bereichen verwenden:
eingehende E-Mail
│
┌───────────────┼───────────────┐
│ │ │
▼ ▼ ▼
SPF / DKIM / Reputation Inhalt
DMARC │ │
│ ┌───────┴───────┐
│ │ │
▼ ▼ ▼
DNS/RBL HTML PDF
│ │
┌─────────────┼───────┐ │
│ │ │ │
▼ ▼ ▼ ▼
Phishing CTA HTML Text /
URLs Fuzzy URLs
│ │ │ │
└─────────────┴───────┴───────┘
│
▼
weitere Signale
│
┌─────────┴─────────┐
│ │
Bayes Neural
│ │
└─────────┬─────────┘
│
▼
Gesamtbewertung
Gerade diese Kombination macht Rspamd interessant.
Eine neue Phishing-Kampagne besitzt möglicherweise noch keinen bekannten HTML-Fuzzy-Hash. Eine frisch registrierte Domain kann jedoch durch Reputation oder URL-Prüfungen auffallen. Eine andere Kampagne verwendet wiederum eine lange etablierte kompromittierte Domain, übernimmt dafür aber ein bereits bekanntes Phishing-Template.
Die unterschiedlichen Verfahren erzeugen voneinander unabhängige Signale, aus denen am Ende die Gesamtbewertung entsteht.
Grenzen von HTML-Fuzzy
Auch HTML-Fuzzy selbst besitzt klare Grenzen.
CTA-Erkennung arbeitet heuristisch. Nicht jede denkbare Button- oder JavaScript-Konstruktion lässt sich zwangsläufig als CTA erkennen.
Rspamd benötigt außerdem ausreichend komplexes HTML, bevor ein struktureller Hash sinnvoll erzeugt werden kann. Sehr einfache Nachrichten liefern dafür nicht genug Information.
Und vor allem gilt:
Ein völlig neues Phishing-Template ohne entsprechende Vergleichsdaten kann nicht allein dadurch erkannt werden, dass HTML-Fuzzy vorhanden ist.
Die Methode spielt ihre Stärke insbesondere dort aus, wo Kampagnen oder Templates wiederverwendet werden.
Das unterscheidet sie grundlegend von Reputation oder regelbasierten Prüfungen.
Was sich aus der Entwicklung von Rspamd ableiten lässt
Die Entwicklung seit Ende 2025 zeigt eine interessante Verschiebung.
Spamfilterung bestand lange vor allem aus:
Absender prüfen
+
IP-Reputation
+
Wörter analysieren
+
Hash vergleichen
Die neueren Rspamd-Funktionen bewegen sich stärker in Richtung einer strukturellen Analyse:
Wie ist die Nachricht aufgebaut?
Welche Elemente soll der Benutzer anklicken?
Welche Domains gehören zu diesen Elementen?
Ist dieses Template bereits bekannt?
Wurde lediglich das Angriffsziel ausgetauscht?
Welche Informationen befinden sich in Anhängen?
Damit reagiert Rspamd auf ein grundlegendes Problem moderner Phishing-Mails: Ein Angriff kann visuell und sprachlich sehr nah an einer legitimen Nachricht liegen.
Der Unterschied befindet sich dann nicht mehr unbedingt im Text.
Manchmal ist er nur noch:
https://login.example.com
gegen:
https://login-example.secure-attacker.tld
Fazit
HTML-Fuzzy, CTA-Domain-Analyse und PDF-Textextraktion machen aus Rspamd keinen automatischen Phishing-Detektor, der jede betrügerische Nachricht zuverlässig erkennt. Genau diese Erwartung wäre technisch falsch.
Die neuen Mechanismen erweitern jedoch die Menge der Informationen, die Rspamd für seine Entscheidung verwenden kann, erheblich.
Das klassische Phishing-Modul untersucht Unterschiede zwischen sichtbaren und tatsächlichen URLs. CTA-Erkennung versucht herauszufinden, welche Links für die Handlung des Empfängers besonders relevant sind. HTML-Fuzzy vergleicht die Struktur bekannter Templates und berücksichtigt dabei Domains gesondert. Mit FUZZY_HTML_PHISHING kann Rspamd seit Version 4.0 außerdem strukturelle Ähnlichkeit und Domainabweichungen gezielter miteinander in Beziehung setzen.
PDF-Anhänge werden seit Anfang 2026 ebenfalls stärker in die Inhaltsanalyse einbezogen. Text und daraus gewonnene URLs können wieder in die normale Verarbeitung einfließen, wobei Rspamd 4.1.x die Qualität und Sicherheit dieser Extraktion mehrfach verbessert hat.
Entscheidend bleibt aber das Zusammenspiel.
SPF, DKIM und DMARC beantworten andere Fragen als URL-Reputation. Bayes und Neural Networks betrachten andere Merkmale als HTML-Fuzzy. PDF-Textextraktion löst wiederum ein anderes Problem als Attachment-Malware-Scanning.
Die Stärke von Rspamd liegt deshalb nicht in einem einzelnen Mechanismus, sondern darin, diese unterschiedlichen Signale gemeinsam zu bewerten.
Und genau deshalb ist HTML-Fuzzy besonders interessant: Nicht weil es die klassische Spamfilterung ersetzt, sondern weil es eine zusätzliche Frage beantworten kann, die klassische Verfahren kaum stellen konnten:
Sieht diese Nachricht strukturell aus wie etwas, das wir bereits kennen – aber führt der entscheidende Klick plötzlich woanders hin?
Quellen und weiterführende Dokumentation
Für diesen Artikel wurden insbesondere die offizielle Rspamd-Dokumentation und die offiziellen Changelogs herangezogen:
- Rspamd Changelog 3.14.0 – Einführung von HTML Fuzzy Hashing und CTA-Verarbeitung.
- Rspamd Changelog 3.14.3 – Einführung der PDF-Textextraktion.
- Rspamd Changelog 4.0.0 –
FUZZY_HTML_PHISHINGund standardmäßige Einbeziehung von Content-URLs. - Rspamd Changelog 4.1.1 – erweiterte CSS-Hidden-Text-Erkennung.
- Rspamd Changelog 4.1.3 – Fuzzy-Diagnostik, neue Probability-Weight-Curve und PDF-Linebreak-Fixes.
- Rspamd Changelog 4.1.5 – aktueller Referenzstand und font-aware PDF-Textextraktion.
- Rspamd Fuzzy Check Module und Fuzzy Storage Tutorial – Aufbau und Arbeitsweise von Text- und HTML-Fuzzy.
- Rspamd Phishing Module – klassische URL-Phishing-Erkennung.