Zusammenfassung

  • Während der Migration im September 2026 fehlten in der globalen Moderationsliste des IETF bestätigte Adressen, die keine Mailingliste abonniert hatten. Ihre Nachrichten wurden zurückgehalten.
  • Das System verwechselte zwei Zustände: eine bestätigte Absenderadresse und das Abonnement einer bestimmten Liste. Laut IETF wurde die Freigabeliste aus allen bestätigten Adressen neu erstellt.

Das neue Mailtor ermittelte seine Gästeliste anhand der Menschen, die auch den Newsletter bestellt hatten. Wer die Adresse bestätigt hatte, aber keine volle Inbox wollte, stand plötzlich vor verschlossener Tür.

Am 25. September beschrieb IETF-Exekutivdirektor Jay Daley den Fehler. In der globalen Freigabeliste für die Moderation fehlten bereits bestätigte Adressen, die keine Mailingliste abonniert hatten. Eine Nachricht von einer solchen Adresse wurde zur Moderation zurückgehalten. Die Korrektur: die Liste erneut aus allen bestätigten Adressen aufbauen.

Bestätigung und Abonnement beantworten verschiedene Fragen. Bestätigung heißt, dass die Person auf die an ihre Adresse gesendete Challenge geantwortet hat. Abonnement heißt, dass sie die Nachrichten einer bestimmten Liste erhalten möchte. Man kann eine Adresse für Beiträge bestätigen, ohne Hunderte Nachrichten anzufordern. Das eine belegt die Kontrolle über die Adresse; das andere regelt den Posteingang. Bei der Migration wurde die zweite Information als Ersatz für die erste verwendet.

Das ist keine Marotte der Mailinglistenpflege. Das IETF betreibt mehr als 500 Listen und sagt, dass dort der Großteil seiner Arbeit stattfindet. Beim ersten Abonnement oder Beitrag ist eine Challenge-Response-Prüfung vorgesehen. Die Migrationsmeldung erklärt auch warum: Mit dieser ersten Bestätigung stimmt ein Teilnehmer den Regeln des Note Well zu. Das System hatte den Nachweis; beim Wiederaufbau der Liste ging er verloren.

Eine Adresse, zwei getrennte Nachweise

Vor der Migration führte der Maildienst eine zentrale Liste bestätigter Adressen. In der neuen Architektur prüfte eine Komponente, ob ein Absender bereits freigegeben war. Bei einer neuen Adresse hielt das System zunächst die Originalnachricht zurück und wartete auf die Antwort. Nach erfolgreicher Prüfung wurde die Nachricht zugestellt und die Freigabe für spätere Beiträge gespeichert.

Der Fehler entstand beim Wiederaufbau der globalen Moderationsliste. Bestätigte Adressen, die in keiner Abonnentenliste auftauchten, verschwanden daraus. Die jeweilige Liste fand den Absender nicht in ihrer erwarteten Moderationstabelle und hielt die Nachricht an. Der offizielle Bericht beschreibt Fehlerbild und Lösung.

Der Konstruktionsfehler ist bereits sichtbar: Ein Abonnement ist kein Nachweis dafür, dass eine Adresse die Versandprüfung bestanden hat.

Acht Fehler behoben, zwei noch offen

Daley führte zum 25. September acht behobene Probleme und zwei laufende Untersuchungen auf. Nachrichten mit Precedence: Bulk wurden ohne Hinweis verworfen, vor allem Nachrichten der IANA. BATV-markierte Beiträge wirkten, als kämen sie von einem IETF-Relay. Bestätigte Adressen mit Großbuchstaben mussten erneut geprüft werden. Kompatibilitätsregeln für ungewöhnliche Absenderformate waren unerreichbar; einige Outlook-Formate scheiterten an der Verarbeitung. In Postorius-Benachrichtigungen war das Feld für den Site-Verantwortlichen leer. Auch DMARC scheiterte bei bestimmten großen Empfängergruppen und verhinderte die Zustellung.

Die offenen Punkte betrafen Bounces und Spam. Ein Rückstand unerreichbarer Adressen blieb abonniert. Die neue Bounce-Verarbeitung deaktivierte Konten; einige Ergebnisse wirkten falsch. Der Betreiber stoppte die Verarbeitung und aktivierte betroffene Adressen während der Untersuchung wieder. VERP, eine Mailman-Funktion zur Zuordnung eines Bounces zum Abonnenten, verlangsamte den Mailbetrieb in dieser Installation um vier bis fünf Größenordnungen und wurde ebenfalls abgeschaltet. Rspamd wurde weiter abgestimmt, nachdem zu viel Spam durchkam.

Auch die Übergabe erzählt etwas. Das System war drei Jahre zuvor beauftragt worden. Nach wiederholten Problemen sollte ein neuer Auftragnehmer es fertigstellen. Laut Daley blieb eine zentrale Komponente des früheren Projekts unangetastet; ihre Fehler wurden vor dem Start nicht entdeckt. „Das war unser Fehler“, schrieb er. Der Satz benennt das übernommene Bauteil und die fehlende Prüfung.

Mailinglisten sind Teil des Standardisierungsprozesses

RFC 2418 hält fest, dass Arbeitsgruppen einen großen Teil ihrer Arbeit über Mailinglisten erledigen. E-Mail erweitert die Beteiligung über Präsenztreffen hinaus; der Prozess muss auch Menschen einbeziehen, die nur per E-Mail teilnehmen können. Die Archive sind öffentlich. RFC 6778 beschreibt Anforderungen für Archivierung und Websuche.

Empfangen und Senden sind daher verschiedene Funktionen. Das eine bestimmt, was im Postfach landet; das andere, ob ein Beitrag in den Arbeitskanal gelangt. Spamfilter und Adressprüfung bleiben nötig. Eine offene Liste bedeutet nicht, gefälschte Absender zu akzeptieren. Sie verlangt, dass das System sich merkt, wenn ein legitimer Teilnehmer die Prüfung bestanden hat.

Der konkrete Betriebseffekt: Nachrichten bestätigter Absender landeten in der Moderation und mussten manuell freigegeben werden. Der Bericht nennt weder Absender- und Nachrichtenzahl noch Wartezeit; diese Angaben würden einzelne Hänger von einer breiteren Unterbrechung unterscheiden. Das Mailtor nahm eine Empfangseinstellung für eine Sendeerlaubnis und ein Mensch musste den Knoten lösen.

Die Zustände müssen getrennt bleiben

Daley zufolge umfasst die Freigabeliste wieder alle bestätigten Adressen. Die ursprüngliche Migrationsmeldung sagt, dass Archiv und IMAP während der geplanten Umstellung erreichbar blieben. Der konkrete Fix führt bestätigte Adressen zurück in genau den Zustand, den das Listen-Gateway abfragt.

Ein Maildienst verwaltet getrennte Informationen zu Adressbestätigung, Abonnement, Moderation, Bounces, Absenderumschreibung und Archivierung. Jede beantwortet eine andere Frage. Ihre Zusammenlegung kann einen Datenexport sparen; ein unvollständiger Export kann zugleich die Arbeit eines anderen Datensatzes auslöschen.

Der Abnahmetest liegt auf der Hand: eine bestätigte, nicht abonnierte Adresse schreibt an eine offene Liste. Eine zugangsbeschränkte Liste wird separat geprüft. Nach dem Wechsel werden Moderation, Zustellung und Archiv abgeglichen. Wer nur aktive Abonnenten testet, zertifiziert zuverlässig den blinden Fleck.

IETF-Listen sind kein Beiwerk der technischen Arbeit. Sie transportieren Debatten, Verfahrenshinweise und Aufzeichnungen, die ein Treffen überdauern. Ein Spam-Gateway kann gefälschte Absender abweisen und bestätigte Teilnehmer trotzdem sprechen lassen. Dafür muss es zwei Zustände getrennt speichern. Während der Migration erinnerte sich der Mailraum nur an einen.

Quellen