Liebe Mastodon-Admins,

wenn ihr nicht Teil einer rechtsextremen (oder von Putin/Trump gesteuerten) Propadandamaschine werden wollt, dann tut was gegen die #Sleeper-Accounts, die sich evt. massenhaft auf euren Instanzen einnisten.

Was ihr tun könnte, habe ich mit Teilnehmenden des laufenden #Fedicamp zusammengetragen.

Aktuelles Beispiel für diese FakeNews-Kampagnen: newsie.social/@dieKadda/117058…

#PortalKombat #PutinTroll #TrumpTroll #SleeperAccounts #FakeNews #SpamRegistrations #RegistrationSpam #MastoAdmin #FediAdmin

Christian Peach

2026-08-06 21:17:01

Auf dem #Fedicamp habe ich heute zusammen mit @wuffel einen Erfahrungsaustausch angestiftet, bei dem wir beraten haben, wie wir mit der Flut dubioser Mastodon-Account-Anträge umgehen können. Hier sind Notizen dazu:

Was tun gegen Mastodon-Account-Registrierungen durch Bots & Klickworker?

Anlass

FakeNews-Kampagne #PortalKombat und ähnliche: about.iftas.org/library/suspec…

Vorsorgemaßnahmen

1. Schaltet Registrierungen von offen auf halboffen um, falls ihr das nicht schon getan habt. Und verlangt eine Begründung! Ihr findet das unter Einstellungen > Administration > Serverregeln > Registrierungen
2. Schreibt auf eure About-Seite, was in einer guten Begründung drinstehen sollte.
3. Sollte euch doch mal ein Spammer/Sleeper durchrutschen, dann wäre es fatal, wenn er Einladungen erzeugen dürfte. Leider ist das der Default. Ändert das bitte in Einstellungen > Administration > Rollen > Standard. Die allermeisten User nutzen diese Funktion eh nicht. Mods und Admins können dann weiterhin Einladungslinks generieren.

Abwehrstrategie E-Mail-Domain

Mastodon lässt es zu, Account-Registrierungen von bestimmten E-Mail-Domains automatisch zu verwerfen. Ein Massenimport der unten verlinkten Listen ist mit Hilfe des mitgelieferten Server-Tools tootctl möglich.

• Suche in ca. 70.000 Wegwerf-Domains: disposable.github.io/disposabl…
  
  • Repo dazu: github.com/disposable/disposab…
  • Bei so einer langen Liste steigt die Gefahr des Overblockings.

  
  

• Bewährte Teilmenge der obigen Liste mit ca. 7.000 Wegwerf-Domains: github.com/disposable-email-do…
  
  • Update: Von @gunchleoc bekam ich ein kurzes Shellscript, das diese Blocklist in eine Mastodon-Instanz importiert: codeberg.org/datenfreude/email… – am besten jede Nacht per Cronjob.

  
  

Abwehrstrategie IP-Adresse

Mit Standard-Tools wie host und whois können Linux-Nutzende die IP-Adresse(n) untersuchen, die ein Antragsteller verwendet hat. Ein mächtigeres Tool ist wtfis, wenn man die API-Keys einiger Webdienste hinterlegt: github.com/pirxthepilot/wtfis

Viele der Bots oder Klickarbeiter:innen nutzen Tor, andere Proxies oder Cloud-IPs. Anders gesagt: IPs von Heimanschlüssen sind ein positives Signal.

Abwehrstrategie Begründung

Viele Bots und Klickworker benutzen stinklangweilige Begründungen. Manche sind besonders dreist und verwenden die Bios beliebiger Fediverse-Accounts als Begründung. Beim Prüfen dieser Anträge kann es also sinnvoll sein, die Begründung ins Suchfeld einer großen Mastodon-Instanz zu kopieren.

Sehr sinnvoll erscheint es uns, die Über-Seite oder den Text über dem Antragsformular anzupassen, um Antragstellende aufzufordern, in ihrer Begründung bestimmte Dinge zu erwähnen.

Eine Lösung für Matrix-Fans

Für Matrix-Nutzende hat die @FediverseFoundation einen Matrix-Bot gebaut, der das Checken der IP-Adresse übernimmt und auch das Freischalten oder Ablehnen via Chat ermöglicht: git.fediverse.foundation/ff_pu…

Allgemeine Anti-DDoS-Maßnahmen

Gegen Ende sprachen wir über Überlastungsprobleme, die von hemmungslosen »KI«-Crawlern hervorgerufen werden und alle Websites (auch außerhalb des Fediversums) betreffen können. Die bekannten Ansätze sind:

• Proof of Work, z.B. Anubis
• IP-Sperrlisten, z.B. github.com/mitchellkrogza/ngin…
• UserAgent-Sperrlisten
• Tarpitting/Teergrubing/Fallen

Ideen für Fallen

Ein 1-Pixel-PNG mit Link auf ein haltdiefresse.php, welches die nötigen Parameter gleich dem Türsteher übergibt. Beim Skripten könnte das helfen: mastodonpy.readthedocs.io

#PortalKombat #PutinTrolle #TrumpTrolle #AntiSpam #AntiFakeNews #Spam #FakeNews #disinformation #MastoAdmin #FediAdmin #Registrierungen #Fedicamp2006 #Fedicamp2006Tag3

Suspected Portal Kombat Accounts

The Fediverse is increasingly used by state-sponsored disinformation and propaganda agents. We track accounts believed to be operated by the agencies and/or contractors, and we request account remo…

^{Jaz-Michael King (IFTAS)}

Auf dem #Fedicamp habe ich heute zusammen mit @wuffel einen Erfahrungsaustausch angestiftet, bei dem wir beraten haben, wie wir mit der Flut dubioser Mastodon-Account-Anträge umgehen können. Hier sind Notizen dazu:

Was tun gegen Mastodon-Account-Registrierungen durch Bots & Klickworker?

Anlass

FakeNews-Kampagne #PortalKombat und ähnliche: about.iftas.org/library/suspec…

Vorsorgemaßnahmen

1. Schaltet Registrierungen von offen auf halboffen um, falls ihr das nicht schon getan habt. Und verlangt eine Begründung! Ihr findet das unter Einstellungen > Administration > Serverregeln > Registrierungen
2. Schreibt auf eure About-Seite, was in einer guten Begründung drinstehen sollte.
3. Sollte euch doch mal ein Spammer/Sleeper durchrutschen, dann wäre es fatal, wenn er Einladungen erzeugen dürfte. Leider ist das der Default. Ändert das bitte in Einstellungen > Administration > Rollen > Standard. Die allermeisten User nutzen diese Funktion eh nicht. Mods und Admins können dann weiterhin Einladungslinks generieren.

Abwehrstrategie E-Mail-Domain

Mastodon lässt es zu, Account-Registrierungen von bestimmten E-Mail-Domains automatisch zu verwerfen. Ein Massenimport der unten verlinkten Listen ist mit Hilfe des mitgelieferten Server-Tools tootctl möglich.

• Suche in ca. 70.000 Wegwerf-Domains: disposable.github.io/disposabl…
  
  • Repo dazu: github.com/disposable/disposab…
  • Bei so einer langen Liste steigt die Gefahr des Overblockings.

  
  

• Bewährte Teilmenge der obigen Liste mit ca. 7.000 Wegwerf-Domains: github.com/disposable-email-do…
  
  • Update: Von @gunchleoc bekam ich ein kurzes Shellscript, das diese Blocklist in eine Mastodon-Instanz importiert: codeberg.org/datenfreude/email… – am besten jede Nacht per Cronjob.

  
  

Abwehrstrategie IP-Adresse

Mit Standard-Tools wie host und whois können Linux-Nutzende die IP-Adresse(n) untersuchen, die ein Antragsteller verwendet hat. Ein mächtigeres Tool ist wtfis, wenn man die API-Keys einiger Webdienste hinterlegt: github.com/pirxthepilot/wtfis

Viele der Bots oder Klickarbeiter:innen nutzen Tor, andere Proxies oder Cloud-IPs. Anders gesagt: IPs von Heimanschlüssen sind ein positives Signal.

Abwehrstrategie Begründung

Viele Bots und Klickworker benutzen stinklangweilige Begründungen. Manche sind besonders dreist und verwenden die Bios beliebiger Fediverse-Accounts als Begründung. Beim Prüfen dieser Anträge kann es also sinnvoll sein, die Begründung ins Suchfeld einer großen Mastodon-Instanz zu kopieren.

Sehr sinnvoll erscheint es uns, die Über-Seite oder den Text über dem Antragsformular anzupassen, um Antragstellende aufzufordern, in ihrer Begründung bestimmte Dinge zu erwähnen.

Eine Lösung für Matrix-Fans

Für Matrix-Nutzende hat die @FediverseFoundation einen Matrix-Bot gebaut, der das Checken der IP-Adresse übernimmt und auch das Freischalten oder Ablehnen via Chat ermöglicht: git.fediverse.foundation/ff_pu…

Allgemeine Anti-DDoS-Maßnahmen

Gegen Ende sprachen wir über Überlastungsprobleme, die von hemmungslosen »KI«-Crawlern hervorgerufen werden und alle Websites (auch außerhalb des Fediversums) betreffen können. Die bekannten Ansätze sind:

• Proof of Work, z.B. Anubis
• IP-Sperrlisten, z.B. github.com/mitchellkrogza/ngin…
• UserAgent-Sperrlisten
• Tarpitting/Teergrubing/Fallen

Ideen für Fallen

Ein 1-Pixel-PNG mit Link auf ein haltdiefresse.php, welches die nötigen Parameter gleich dem Türsteher übergibt. Beim Skripten könnte das helfen: mastodonpy.readthedocs.io

#PortalKombat #PutinTrolle #TrumpTrolle #AntiSpam #AntiFakeNews #Spam #FakeNews #disinformation #MastoAdmin #FediAdmin #Registrierungen #Fedicamp2006 #Fedicamp2006Tag3

Wie @chrisstoecker vorgestern im Spiegel schrieb, ist eine als #MatrjoschkaNetzwerk bekannte Truppe von Putintrollen in anderen sozialen Netzwerken schon sehr aktiv: mastodon.social/@chrisstoecker…

Wir werden angegriffen. Gestern bestellte das Auswärtige Amt deswegen den russischen Botschafter ein: tagesschau.de/ausland/cyberang…

#cyberwar #operationMatryoshka #portalKombat

Christian Stöcker

2026-07-12 15:16:11

Kolumne: Russlands Botnetze machen mit viel Aufwand und teils grotesker, meist justiziabler Desinformation Wahlkampf für AfD und BSW. Die Kampagnen zeigen, was Putin will - und dass alle irren, die glauben, in den sozialen Medien ein Abbild der Gesellschaft erkennen zu können.

Putins Agenten geben sich mittlerweile richtig dolle Mühe, Mastodon-Accounts zu bekommen. Die letzte Begründung hätte mich überzeugt. Sie war in perfektem Deutsch und erwähnte sogar den Namen der Instanz. Aber eine WHOIS-Abfrage der IP-Adresse verwies auf Russland. Diesmal war die E-Mail-Adresse von Gmail. Ansonsten werden in letzter Zeit oft Wegwerf-Mailadressen benutzt, die aber keine Chance mehr haben, seit ich die Sperrliste von github.com/disposable/disposab… importiert habe.

Da rollt eine Fake-News-Welle auf das Fediverse zu, sobald diese bisher stummen Accounts losschlagen. Die einzigen, die etwas dagegen tun, sind wohl die Leute vom @iftas: about.iftas.org/library/suspec…

Update: Auch die @FediverseFoundation tut was dagegen: wien.rocks/@b2c/11691989222642…

#PortalKombat #PutinTrolle #SleeperAccounts #MastoAdmin

born2chill

2026-07-14 19:06:12

Signup spam läuft leider schon länger... wir haben einen bot geschrieben, der bei der Moderation unterstützt und IP und Email lookups automatisiert, und die sign-up moderation erleichtert.

Code und setup infos hier:
* git.fediverse.foundation/ff_pu…

fedi-signup-bot

A bot written in Python that posts fedi sign-up requests in a Matrix chat and, depending on the reaction in the reply, approves or denies the signup.

^{Fediverse Foundation Forgejo}