Zweistufige Erkennung – schnell und trotzdem gründlich

Stufe 1 – Heuristik

SPF-/DKIM-/DMARC-Prüfung der Absenderauthentifizierung, Abgleich gegen offene Blocklisten (z. B. Spamhaus DBL), Erkennung von Lookalike- und Punycode-/Unicode-Domains, sowie Prüfung riskanter Anhangstypen (doppelte Dateiendungen, makrofähige Office-Dokumente, ausführbare Dateien). Läuft ohne KI, in Millisekunden.

Stufe 2 – lokales KI-Modell

Nur für Grenzfälle, die Kontextverständnis brauchen (z. B. Spear-Phishing, CEO-Betrug, Thread-Hijacking): ein lokales Sprachmodell läuft direkt auf deinem Gerät – keine Mail-Inhalte werden dafür an einen Server geschickt. KI-Engine und Modell richten sich nach deiner Hardware (siehe „KI-Auswahl nach Hardware“). Bereits vorhandene Modelle (z. B. aus LM Studio oder Lemonade) werden automatisch erkannt und können ohne erneuten Download genutzt werden, inklusive einer geschätzten Eignungsanzeige pro Modell.

Sinn: Dort genauer hinsehen, wo eine starre Regel allein nicht mehr sicher entscheiden kann – ohne die Mail dafür aus der Hand zu geben.

KI-Auswahl nach Hardware

Unter „KI-Modell (Stufe 2)“ stellst du die KI-Engine ein: Automatisch (Standard), Eingebaut oder Lemonade. Die eingebaute Engine (llama.cpp) läuft auf jeder CPU und nutzt bei einer NVIDIA-Karte mit dem CUDA-Build die Grafikkarte. Lemonade ist der lokale KI-Server von AMD: Er nutzt AMD-Grafikchips über ROCm oder Vulkan sowie die AMD-NPU, auf NVIDIA-Karten CUDA oder Vulkan. Im Modus „Automatisch“ stehen die Modelle beider Engines in einer Liste, das gewählte Modell bestimmt die Engine. Solange du kein Modell selbst gewählt hast, nimmt die App im Modus „Automatisch“ von selbst das beste bereits heruntergeladene Lemonade-Modell, sofern Lemonade läuft und dort eine Grafikkarte genutzt werden kann (AMD: ROCm) – eine Prüfung dauert dann in unseren Tests etwa 2 statt 50 Sekunden auf der CPU. Ohne Lemonade läuft die eingebaute Engine als Rückfall, und die App versucht es alle 60 Sekunden erneut. Es wird nie automatisch etwas heruntergeladen; wählst du selbst ein Modell, bleibt es dabei. Das zur Hardware am besten passende Modell steht in der Modellliste immer ganz oben („Beste Wahl für deine Hardware“) und bleibt auch bei eingeklappter Liste sichtbar. Der Empfehlungsstern (★) liegt bei NVIDIA mit CUDA-Build auf der eingebauten Engine, sonst – wenn Lemonade erreichbar ist – auf dem am besten geeigneten Lemonade-Modell; ohne Lemonade empfiehlt der Katalog anhand deines Arbeitsspeichers ein Modell mit etwa 1–3 Milliarden Parametern. Beim Lemonade-Backend nimmt „Automatisch“ ROCm, wenn Lemonade eine AMD-GPU meldet und das ROCm-Backend bereits installiert ist (bei NVIDIA entsprechend CUDA), sonst Lemonades Standard (Vulkan). Von Hand wählbar sind ROCm, Vulkan, CPU und CUDA; ein nur „installierbares“ Backend wird nie stillschweigend nachgeladen.

Sinn: Auf jedem Rechner die vorhandene Beschleunigung nutzen – bei AMD ohne eigenes ROCm-/HIP-Entwicklerpaket, weil Lemonade fertige ROCm-Backends mitbringt.

Beispiel: Auf einem AMD Ryzen AI Max+ 395 (Radeon 8060S) lieferte ein Modell mit 35 Milliarden Parametern (Mixture-of-Experts) über ROCm in einem Test die Einschätzung einer Phishing-Mail in etwa zwei Sekunden.

Ablauf einer KI-Prüfung

1) Stufe 1 prüft jede Mail sofort mit festen Regeln. 2) Ein Grenzfall (kombinierter Risiko-Score zwischen 25 und 90) oder ein Signal, das allein keine Bedrohungsart nennt, löst Stufe 2 aus: Spam-Markierung des Mailservers, gefälschte eigene Absenderdomain, Anzeigename-/Domain-Widerspruch bei Code-Mails, abweichende Antwortadresse oder ein Treffer in deiner Spam-Lernliste. Bei authentifizierten Absendern auf der Whitelist lösen nur diese harten Signale Stufe 2 aus, nicht der bloße Grenzfall; ohne Authentifizierungsnachweis wird wie bei einem unbekannten Absender geprüft. 3) Die App lädt den vollständigen Mailtext nach und stellt Betreff, Absender, wichtige Kopfzeilen, Links (sichtbarer Text → tatsächliches Ziel), einen Textauszug und die Stufe-1-Funde zusammen – beide Engines bekommen denselben Prompt. Dazu kommt ein vom Programm geprüfter Vertrauenskontext (Whitelist, SPF/DKIM/DMARC, passt die Antwortadresse zum Anzeigenamen, Domain schon als sauber bestätigt) – der Mailtext kann ihn nicht fälschen. Danach prüft die App jede Bedrohungsaussage der KI gegen den Mailinhalt: Eine unbelegte Vermutung (z. B. ‚2FA-Phishing‘ ohne Code oder Login im Text) wird abgewertet, bei einem bekannten, authentifizierten Absender verworfen; bei einem solchen Absender werden zudem weiche Warnsignale wie eine abweichende Antwortadresse abgeschwächt. Deine Korrekturen lernt die KI direkt: Was du als sauber oder Spam markierst, geht – zusammen mit den damals verworfenen Verdachtsmomenten – als Beispiel in den Prompt, sobald eine ähnliche Mail eintrifft (gleiche Absenderdomain oder sehr ähnlicher Betreff; öffentliche Anbieter wie gmail.com zählen nicht als Domain-Treffer). Ein solches Beispiel ist für die KI verbindlicher als ihre eigene Einschätzung. 4) Das Modell antwortet mit Kategorie, Konfidenz und Begründung, mit „unauffällig“ oder mit „Fehlalarm“ (nur mit konkretem Beleg; eine bestehende Warnung wird erst ab 70 % Konfidenz aufgehoben). 5) Als Fehlalarm bestätigte Absenderdomains merkt sich die App als „sauber“ und fragt die KI dafür künftig nicht mehr; von dir als Spam markierte Mails landen in der Spam-Lernliste und bekommen immer eine konkrete KI-Einordnung.

Sinn: Die KI nur dort einsetzen, wo Regeln allein unsicher sind – und aus jeder bestätigten Entscheidung lernen.

Beispiel: Eine Sendungsmail eines Paketdienstes, die den Namen „Amazon“ nennt, gilt zunächst als markenverdächtig; die KI erkennt anhand der Absenderdomain, dass es eine legitime Drittanbieter-Benachrichtigung ist, und die Domain wird künftig als sauber gelernt.

Leichter Hintergrund-Abruf

AtlayaSpamHunter ersetzt deinen Mailclient nicht, sondern prüft im Hintergrund per IMAP oder POP3 – dabei werden zunächst nur Kopfzeilen und Struktur geladen, nie automatisch der volle Inhalt. Jede Mail lässt sich direkt als Spam oder sauber markieren, Absender whitelisten oder vom Server löschen.

Manuelle Bewertung & Test-Transparenz

Jede Mail lässt sich unabhängig von der automatischen Einstufung manuell als Spam oder als sauber markieren (jederzeit zurücksetzbar). Ein „Details“-Button zeigt pro Mail alle gelaufenen Tests – bei Funden mit Begründung, bei sauberen Mails als nachvollziehbare Bestätigung statt stillem Nichts. Als Spam markierte Mails werden dauerhaft gemerkt: künftige Mails derselben Absenderadresse, Domain, Betreff-Vorlage oder vorgetäuschten Marke werden automatisch sofort erkannt.

KI-Autopilot

Bestätigst du dieselbe Absenderdomain mindestens zweimal über „Als sauber markieren“ (oder erkennt die KI sie zweimal selbst als unbegründet), kann die App künftige, ähnliche Mails automatisch als sicher einstufen, ohne dafür jedes Mal erneut die KI zu befragen – erkennbar am Abzeichen „automatisch gelernt“ mit der Anzahl der Bestätigungen. Standardmäßig ausgeschaltet, in den Einstellungen aktivierbar. Wichtig: Der Autopilot wirkt ausschließlich auf die Einstufung (grün/gelb/rot) – er löscht, verschiebt oder verändert nie automatisch etwas, jede Aktion bleibt ein bewusster Klick.

Sinn: Die KI an deinen eigenen Postfach-Alltag gewöhnen, ohne wiederkehrende, bereits geklärte Mails immer wieder neu bestätigen zu müssen.

Beispiel: Du bestätigst zweimal, dass Rechnungsmails deines Stromanbieters unbedenklich sind – die dritte, sehr ähnliche Mail wird danach automatisch grün, mit sichtbarem „automatisch gelernt“-Abzeichen, ohne erneute KI-Prüfung.

Whitelist

Einzelne Absenderadressen oder ganze Domains lassen sich von der routinemäßigen Stufe-2-KI-Prüfung ausnehmen – Stufe 1 (Authentifizierung, Blacklist, Anhänge, Inhaltssignale) läuft für sie trotzdem immer weiter. Liegt trotz Whitelist ein konkretes Verdachtsmoment vor, prüft die KI dennoch nach, statt den Fall stillschweigend zu übergehen. Ist der Absender zusätzlich authentifiziert (DMARC bzw. passendes DKIM), werden zudem weiche Warnsignale wie eine abweichende Antwortadresse abgeschwächt; ohne Authentifizierungsnachweis wird die Adresse wie bei einem unbekannten Absender geprüft, denn eine Adresse allein lässt sich fälschen.

Tiefenprüfung bei Verdachtsfällen

Bei einem Grenzfall wird zusätzlich der volle Mailtext geprüft: stimmt ein sichtbarer Linktext mit dem tatsächlichen Ziel überein, behauptet der Text eine Marke oder einen Dienst (etwa den eigenen E-Mail-Anbieter), der nicht zur Absenderdomain passt, nennt die Mail eine Rückrufnummer statt eines Links, und enthält sie typische Betrugsformulierungen oder genannte Krypto-Wallet-Adressen. Findet die KI dabei einen konkreten Beleg, dass ein bereits gemeldeter Verdacht unbegründet ist (etwa weil eine Mail tatsächlich vom genannten Anbieter selbst stammt), kann sie die Markierung aktiv als Fehlalarm kennzeichnen, statt sie unverändert stehen zu lassen.

Live-Statuszeile

CPU- und RAM-Auslastung sowie – wenn erkannt – GPU-, VRAM- und NPU-Auslastung sind laufend im Programmkopf sichtbar: bei NVIDIA-Karten über nvidia-smi, bei AMD- und Intel-Grafik sowie der AMD-NPU über die Windows-Leistungszähler. So siehst du, ob eine laufende KI-Prüfung die GPU oder NPU tatsächlich nutzt – auch bei ROCm über Lemonade.

Tray-Icon mit Live-Zählung

Rechtsklick auf das Tray-Icon zeigt live die Anzahl grüner/gelber/oranger/roter Mails; ein Klick auf ein Risikoband öffnet das Fenster direkt in der gefilterten Liste.

Sprache & Design

Deutsch, Englisch, Französisch, Spanisch und Italienisch sowie ein helles und ein dunkles Design sind im Programmkopf umschaltbar.

Lizenz bei Gerätewechsel übertragen

Bei einem neuen Gerät lässt sich eine bereits vorhandene Lizenz direkt im Programm zur Übertragung anmelden – ohne Neukauf, weiterhin nutzbar auf genau einem Gerät.

Krypto- & Finanzbetrug

Bitcoin-/Krypto-Spam, Krypto-Investmentbetrug, Krypto-Sextortion, Fake-Wallet-Mails.

Phishing

Credential-Phishing, 2FA-Phishing, Passkey-/OAuth-Phishing, Lookalike- und Unicode-Domains, Spear-Phishing, Thread-Hijacking, E-Mail-Spoofing.

Fake-Rechnungen & Mahnungen

Gefälschte Rechnungen, Mahnungen, Paket-, Bank- und PayPal-Spam, Microsoft-/Google-/Apple-Spam.

Betrug & Social Engineering

CEO-/Chef-Betrug, Lieferantenbetrug, Tech-Support-Betrug, Erbschafts-/Romance-/Job-Scams, Gewinnspiel-Spam.

Schadsoftware-Anhänge

Malware-Anhänge (ZIP/ISO/EXE/JS/LNK/MSI), makrofähige Office-Dokumente, PDF-Phishing, HTML-Anhänge, QR-Code-Phishing.

Sonstige Spam-Muster

Fake-Antivirus, Abo-Fallen, Domain-/Hosting-Spam, Tracking-Pixel und -Links, Subscription-Bombing, Backscatter-Spam.