SpamAssassin-Score: was gut ist, was Spam ist, wie du ihn senkst

Irgendwo zwischen deinem ESP und dem Posteingang hat ein Filter deine E-Mail gerade mit einer Zahl bewertet. Stammt diese Zahl von SpamAssassin und hat sie 5,0 erreicht, liegt deine Nachricht in diesem Moment im Spam-Ordner. Jeder Spam-Test von Unspam schickt deine E-Mail unter anderem durch SpamAssassin, und die Daten beruhigen: 89 % der getesteten Nachrichten liegen im sicheren Bereich von 0 bis 3,0. Die übrigen 11 % wissen meist nicht, welche Regel ihnen das eingebrockt hat.

Mein Ziel hier ist es, den Score sauber zu entschlüsseln: woraus die Zahl besteht, die echten Regeln mit ihren echten Punktwerten, wo der Score wirklich über dein Schicksal entscheidet (und wo Gmail ihn stillschweigend ignoriert), und die Maßnahmen, die einen hohen Score wieder nach unten holen.

Was ist SpamAssassin?

Apache SpamAssassin ist der am weitesten verbreitete Open-Source-Spamfilter. Er ist kein aufgegebenes Projekt, was auch immer die Versionsnummern in älteren Guides nahelegen: Die aktuelle Version ist 4.0.2 (August 2025), die 4.0-Reihe brachte volle Unicode-Unterstützung für internationale Mail plus ein eigenes DMARC-Plugin, und das Projekt liefert über seinen Kanal sa-update laufend aktualisierte Regeln.

SpamAssassin begegnet dir an mehr Stellen, als du vielleicht denkst:

• Shared Hosting. Die Funktion „Spam Filters“ von cPanel läuft, in cPanels eigenen Worten, mit Apache SpamAssassin, bei einem Standard-Schwellenwert von 5. Das deckt Millionen Postfächer kleiner Unternehmen ab.
• Firmen-Mail und selbst gehostete Mail. SpamAssassin läuft in Gateway-Stacks auf Basis von Exim, Postfix, MailScanner, MIMEDefang und Amavis.
• Test-Pipelines. Weil es offen und deterministisch ist, ist es die Standard-Engine zur Bewertung in Testtools vor dem Versand, inklusive des SpamAssassin-Checks im Zustellbarkeits-Audit von Unspam.

Ein ehrlicher Vorbehalt, den abgestandene Guides der Konkurrenz auslassen: Gmail, Outlook und Yahoo nutzen SpamAssassin nicht. Google filtert mit eigenen Modellen für maschinelles Lernen (TensorFlow-Klassifizierer, später das RETVec-Modell), und Microsoft beschreibt seine Filterung als proprietär. Dein SpamAssassin-Score zählt direkt in der Welt aus cPanel und Gateways, und als Näherung für die Inhaltssignale, die die Modelle der großen Anbieter gewichten. Ein sauberer Score garantiert dir Gmails Posteingang nicht; ein durchgefallener Score sagt zuverlässig überall Ärger voraus.

Wie der Score wirklich funktioniert

Unter der Haube steckt kein Geheimnis, nur Arithmetik. Der Filter schickt eine Nachricht durch Hunderte Tests, jede zutreffende Regel steuert ihren Punktwert bei (positiv oder negativ), und die Summe wird mit einem Schwellenwert namens required_score verglichen:

• Standard-Schwellenwert: 5,0. Eine Nachricht, die 5,0 oder mehr erreicht, wird als Spam markiert; 4,9 besteht, 5,0 fällt durch.
• Der Schwellenwert ist konfigurierbar. Die offizielle Dokumentation nennt 5,0 „ziemlich aggressiv“ und für einzelne Nutzer geeignet und schlägt ISPs konservativere 8,0 oder 10,0 vor. Hoster können auch strenger einstellen, und genau deshalb ist eine 4,5 kein Wert, mit dem man sich gemütlich einrichten sollte.
• Dieselbe Regel kann je nach Setup anders punkten. Jede Regel trägt bis zu vier Punktwerte, ausgewählt danach, ob die Bayes-Engine und die Netzwerktests auf diesem Server aktiv sind. Die Werte unten gelten für ein vollständiges Setup (Bayes plus Netzwerktests), und genau das läuft bei den meisten Produktivfiltern und beim Test von Unspam.
• Scores verschieben sich mit der Zeit leicht. Produktive Server holen sich neu bewertete Regeln über sa-update, behandle also jede veröffentlichte Zahl als ausgelieferten Standardwert, nicht als Naturkonstante.

So sieht ein echter Score aus, wenn er sich aufsummiert:

Drei Regeln haben den ganzen Schaden angerichtet, während die beiden bestandenen Authentifizierungen zusammen kaum ein Zehntel Punkt zurückgeholt haben. Verinnerliche diese Asymmetrie, und die Hälfte von SpamAssassins Verhalten hört auf, überraschend zu sein.

Bestandene Authentifizierung bringt dir einen Rundungsfehler ein. Durchgefallene Inhaltsprüfungen kosten dich ganze Punkte. Authentifizierung ist eine Grundvoraussetzung, kein Bonus.

Die Regeln, entschlüsselt mit echten Punktwerten

Das sind die tatsächlichen Standardwerte aus dem offiziellen Regelsatz (Werte für ein vollständiges Setup mit Bayes und Netzwerktests):

Regel	Was sie bedeutet	Punkte
BAYES_99	Bayes-Engine: 99 bis 100 % Spam-Wahrscheinlichkeit	+3,5
BAYES_999	Bayes: 99,9 bis 100 %, gestapelt auf BAYES_99	+0,2
RCVD_IN_PBL	Versendende IP steht in der Spamhaus PBL (sollte nicht direkt versenden)	+3,335
URIBL_BLACK	Ein Link im Text steht auf der URIBL-Blacklist	+1,7
HTML_IMAGE_ONLY_24	Bildlastiges HTML mit fast keinem Text	+1,618
PYZOR_CHECK	Text passt zu einem bekannten Spam-Fingerabdruck (Pyzor)	+1,392
MISSING_DATE	Nachricht hat keinen Date-Header	+1,36
DCC_CHECK	Vom DCC-Netzwerk als Massenversand markiert	+1,1
MISSING_HEADERS	Grundlegende Header wie To fehlen	+1,021
RAZOR2_CHECK	Text passt zu einem bekannten Spam-Fingerabdruck (Razor)	+0,922
DKIM_VALID	Nachricht trägt eine gültige DKIM-Signatur	-0,1
SPF_PASS	SPF-Prüfung bestanden	-0,001
BAYES_00	Bayes-Engine: 0 bis 1 % Spam-Wahrscheinlichkeit	-1,9
GTUBE	Der Standard-Teststring, mit dem du prüfst, ob ein Filter arbeitet	+1000

Ein paar Dinge springen aus dieser Tabelle heraus, sobald du sie länger ansiehst:

• Bayes dominiert. Ein einziger Treffer von BAYES_99 sind 3,5 Punkte, allein 70 % des Wegs bis zum Spam-Schwellenwert.
• Reputationsregeln schlagen hart zu. Eine Listung in der Spamhaus PBL (+3,335) plus ein Link auf einer Blacklist (+1,7) ergibt schon einen durchgefallenen Score.
• Kaputte Technik ist teuer. Fehlende Date- oder To-Header deuten meist auf ein selbst gebautes Versandskript hin; sie bringen Punkte ein, weil die Nachricht maschinell erzeugt wirkt, bevor ein Mensch auch nur ein Wort liest.
• Es gibt negative Regeln. Klar legitime Mail kann unter null landen. Ein negativer Score ist kein Fehler, sondern ein Kompliment.

Die Bayes-Engine, und warum „vermeide das Wort gratis“ ein veralteter Rat ist

Die BAYES-Regeln stammen aus einem trainierten probabilistischen Klassifizierer (die Doku von SpamAssassin beschreibt ihn als bayesianisch, mit einem Chi-Quadrat-Kombinator). Er bewertet die gesamte Nachricht statistisch gegen das, was er aus echtem Spam und echten legitimen Nachrichten (Ham) gelernt hat, und passt sich an, sobald Administratoren ihn mit sa-learn trainieren.

Genau deshalb geht der klassische Listicle-Rat, einzelne Wörter zu verbieten, am Kern vorbei. Kein einzelnes Wort trägt eine feste Strafe; die Engine beurteilt die ganze Nachricht im Kontext. Ein Kardiologie-Newsletter darf gefahrlos „Herzmedikament“ schreiben, während eine Nachricht, die den vollständigen statistischen Fingerabdruck von Spam zusammenträgt (aufdringliches Angebot, reiner Bildinhalt, Links voller Tracking, kein Plain-Text-Teil), ein BAYES_99 kassiert, auch wenn sie jedes berühmte Triggerwort meidet. Triggerwörter zählen weiter als schwaches Signal und als Warnzeichen für Menschen, deshalb pflegen wir einen Guide zu Spam-Triggerwörtern und einen kostenlosen Spam-Wörter-Check, aber die Engine hinter dem Score beurteilt Muster, nicht Vokabular.

Netzwerktests: die Punkte, die du dir verdienst, bevor du ein Wort schreibst

Mit aktivierten Netzwerktests fragt SpamAssassin das Internet nach dir:

• DNS-Blacklists. Die versendende IP wird unter anderem gegen Spamhaus Zen (die Komponenten SBL, CSS, XBL und PBL tragen jeweils eigene Regeln und Punkte) und SpamCop geprüft.
• URI-Blacklists. Jede Domain, auf die du verlinkst, wird gegen Listen wie URIBL und Spamhaus DBL geprüft. Du erbst die Reputation jedes Links in deiner Fußzeile.
• Unscharfe Fingerabdrücke. Razor, Pyzor und DCC vergleichen den Text deiner Nachricht mit gemeinschaftlichen Datenbanken kursierenden Spams. Massenhaft versendete Inhalte, die andere gemeldet haben, bringen Punkte ein, egal wie gut sie sich lesen.

In der Praxis heißt das: Ein Teil deines SpamAssassin-Scores stand durch deine Infrastruktur und deine Listenhygiene schon fest, lange bevor du ein Wort Text geschrieben hast. Prüf also die versendende IP und die Domain, bevor du dem Inhalt die Schuld gibst: Der kostenlose IP-Blacklist-Check und der Domain-Blacklist-Check decken dieselben Zonen ab, die hier Punkte kosten.

So liest du deinen Score: der Header X-Spam-Status

Auf jedem Server, auf dem SpamAssassin läuft, steht das Urteil in den Headern der Nachricht, und sobald du es lesen kannst, wird aus einem rätselhaften Score eine To-do-Liste:

• X-Spam-Status beginnt mit dem Urteil (Yes oder No), dann folgen score= (die Summe), required= (der Schwellenwert dieses Servers) und tests= (jede Regel, die ausgelöst hat, und genau damit arbeitest du am Ende).
• X-Spam-Level zeichnet den Score als Reihe von Sternchen, eines pro ganzem Punkt, damit Filterregeln nach Schweregrad greifen können.
• X-Spam-Checker-Version sagt dir, welche SpamAssassin-Version und welcher Regelsatz dich beurteilt haben.

Zwischen der tests=-Liste, die die Regeln benennt, und der Tabelle oben, die sie bepreist, rekonstruierst du Zeile für Zeile genau, warum eine Nachricht durchgefallen ist. Genau diese Rekonstruktion nimmt dir der SpamAssassin-Abschnitt eines Zustellbarkeitsberichts von Unspam automatisch ab.

Was ist ein guter SpamAssassin-Score?

Die Bänder sind einfach und lohnen sich zu merken, zusammen mit den anderen Schwellenwerten für die Zustellbarkeit:

• Unter 3,0: sicher. Bequemer Abstand zu jedem vernünftigen Schwellenwert. In diesem Band liegen bereits 89 % der mit Unspam getesteten E-Mails, es ist also ein realistisches Ziel und kein Perfektionismus.
• 3,0 bis 4,9: bestanden, aber ungeschützt. Nur einen Bayes-Treffer oder eine neue Blacklist-Listung vom Durchfallen entfernt, und bei Hostern, die den Standard verschärft haben, schon durchgefallen.
• 5,0 und darüber: als Spam markiert in einer Standardinstallation. Bei zweistelligen Scores verwerfen manche Setups die Nachricht still, statt sie in den Spam-Ordner zuzustellen (die offizielle Empfehlung sieht das automatische Löschen erst ab 15,0 vor).

Noch ein Wort zur Richtung, weil durcheinandergeratene Guides hier echte Verwirrung stiften: Bei SpamAssassin gilt niedriger ist besser. Wenn dir ein Testtool einen Score auf einer Skala bis 100 zeigt, bei dem höher besser ist, dann ist das ein zusammengesetzter Score für die Zustellbarkeit, eine völlig andere Größe, die wir unter was ist ein Spam-Score behandeln.

So prüfst du deinen SpamAssassin-Score

Es gibt drei Wege, und sie unterscheiden sich vor allem darin, wie viel Arbeit du selbst übernehmen willst:

1. Mach einen Spam-Test vor dem Versand. Der kostenlose Spam-Test von Unspam bewertet genau deine Nachricht mit SpamAssassin und listet jede ausgelöste Regel neben den Checks für SPF, DKIM, DMARC, Blacklists und HTML auf, in rund 30 Sekunden und ohne Anmeldung.
2. Lies eine empfangene Kopie. Ist die Nachricht schon über einen Server mit SpamAssassin gelaufen, steht das Urteil im oben beschriebenen Header X-Spam-Status. Leite dir aus dem betroffenen Postfach eine Kopie weiter und lies die tests=-Liste.
3. Lass SpamAssassin selbst laufen. Schick auf deinem eigenen Server eine Rohnachricht hindurch: spamassassin -t < message.eml gibt den Score und einen Bericht Regel für Regel aus. Halte die Regeln mit sa-update aktuell, trainiere die Bayes-Engine mit sa-learn --spam und sa-learn --ham, und prüfe die Kette, indem du den GTUBE-Teststring versendest, der auf 1000 Punkte ausgelegt ist und jedes Mal im Spam landet.

Nur die erste Option bewertet deine Nachricht, bevor deine Liste sie zu sehen bekommt, und genau darum geht es: Ein Score, von dem du aus einem Bounce-Report erfährst, ist ein Score, von dem du zu spät erfahren hast.

So senkst du einen hohen SpamAssassin-Score

Arbeite die Liste von oben nach unten ab. Ich habe sie nach zurückgewonnenen Punkten pro Stunde Aufwand sortiert, und die obersten Einträge sind fast immer der Ort, an dem hohe Scores tatsächlich entstehen.

1. Repariere, was die Regeln wörtlich benennen. Lies die tests=-Liste aus deinem Bericht. MISSING_DATE und MISSING_HEADERS bedeuten, dass dein Versandskript oder deine ESP-Konfiguration fehlerhafte Mail erzeugt: Repariere die Technik, und diese Punkte verschwinden vollständig.
2. Räum deine Reputationsregeln auf. Haben Regeln mit RCVD_IN_ oder URIBL_ ausgelöst, rettet dich keine Textkorrektur. Lass zuerst die IP oder die Domain entfernen (unser Guide zum Delisting deckt die großen Listen ab), und prüfe jede verlinkte Domain, inklusive URL-Verkürzern und Tracking-Domains, die du nicht kontrollierst.
3. Authentifiziere alles, und erwarte danach keine Anerkennung dafür. Veröffentliche SPF, DKIM und DMARC und sorge für Alignment (die komplette Anleitung); prüfe das Ergebnis mit dem SPF-Check, dem DKIM-Check und dem DMARC-Check. Das entfernt Strafregeln und stellt das DMARC-Plugin in SpamAssassin 4.0 zufrieden, aber denk an die Asymmetrie: Es bringt dir Bruchteile ein und erspart dir ganze Punkte.
4. Bring den Inhalt ins Gleichgewicht. Schick immer einen Plain-Text-Teil neben dem HTML mit, halte ein echtes Verhältnis von Text zu Bild (die HTML_IMAGE_ONLY-Regeln existieren, weil reine Bild-Mail ein klassischer Trick zum Umgehen von Filtern ist), und streiche die Muster, die Filter auslösen.
5. Respektiere die Bayes-Engine. Einen statistischen Klassifizierer trickst du nicht mit Synonymen aus. Verschick Inhalte, mit denen Menschen wirklich interagieren, an Menschen, die danach gefragt haben, und die Bayes-Regeln werden zu deinem Verbündeten: BAYES_00 gibt dir 1,9 Punkte zurück.
6. Teste vor jedem Versand. Scores ändern sich mit Regel-Updates und Listenstatus, eine Nachricht, die letztes Quartal bestanden hat, kann heute durchfallen. Ein Spam-Test vor dem Versand fängt das ab, solange die Korrektur noch nichts kostet.

Prüf deinen Score jetzt

In welchem Band du liegst, musst du nicht raten. Schick deine E-Mail durch den kostenlosen Spam-Test von Unspam: Er bewertet genau diese Nachricht mit SpamAssassin, zeigt jede ausgelöste Regel mit ihrem Punktwert und lässt daneben die Checks für SPF, DKIM, DMARC, Blacklists und Inhalt laufen, in rund 30 Sekunden und ohne Anmeldung. Gehörst du zu den 89 %, weißt du es. Gehörst du zu den 11 %, weißt du endlich, warum.