So funktioniert’s
Mailserver fragen bei jeder eingehenden Verbindung eine oder mehrere Listen ab, etwa Spamhaus ZEN oder SpamCop. Dazu wird die IP umgedreht vor die Zone der Liste gesetzt: Für 203.0.113.25 lautet die Abfrage 25.113.0.203.zen.spamhaus.org. Antwortet die Liste mit einer Adresse aus 127.0.0.0/8, ist die IP gelistet, NXDOMAIN heißt nicht gelistet (RFC 5782).
Neben IP-Listen gibt es Domain-Listen wie Spamhaus DBL oder SURBL. Sie führen Domains, die in Spam- oder Phishing-Mails beworben werden oder Schadsoftware ausliefern, und Spamfilter prüfen damit auch Links im Mailtext.
Auf eine Liste kommt man über Spamfallen, Beschwerden und auffälliges Versandverhalten. Jede Liste hat eigene Regeln für das Delisting: Manche streichen nach einiger Zeit automatisch, andere erst auf Antrag.
Große Listen wie Spamhaus beantworten Abfragen über öffentliche Resolver nicht oder nur mit einer Ablehnung (etwa 127.255.255.254), die man nicht mit einer Listung verwechseln darf.
Warum gefährlich
Steht die IP des Mailservers auf einer verbreiteten Liste, weisen viele Empfänger Mails sofort ab oder sortieren sie in den Spam: Angebote, Rechnungen und Passwort-Mails kommen nicht mehr an. Bei Shared Hosting genügt dafür ein anderer Kunde auf derselben IP.
Eine gelistete Domain trifft jede Mail, die sie als Absender oder in Links enthält, egal über welchen Server. Eine gelistete Website-IP deutet oft auf eine gehackte Seite oder auf Spam über ein Kontaktformular hin.
So vermeidest du es
- Bei einer Listung zuerst die Ursache finden und beseitigen: kompromittiertes Postfach, ungeschütztes Kontaktformular, Schadcode auf der Website oder ein offenes Relay.
- Erst danach über das Formular der jeweiligen Liste das Delisting beantragen.
- Mails von Websites und Formularen über einen Mailanbieter senden statt direkt vom Webserver.
- Formulare mit Spam-Schutz und Ratenbegrenzung absichern.
- Reverse DNS, SPF, DKIM und DMARC sauber halten, damit der Versand nicht verdächtig wirkt.
So erkennt DomainWarn es
Der Blacklist-Check fragt die IPv4-Adressen der Website und der ersten fünf MX-Hosts bei Spamhaus ZEN, SpamCop, Barracuda und PSBL ab und den Domainnamen bei Spamhaus DBL und SURBL. Eine gelistete Mailserver-IP oder Domain ist kritisch, eine gelistete Website-IP eine Warnung; beides eröffnet nach einem Lauf den Incident „Auf Blacklist gelistet“, und die Streichung meldet DomainWarn als Entwarnung.
Gewertet werden nur eindeutige Listungsantworten, abgelehnte Abfragen gelten als unbekannt und nicht als Listung. IPv6-Adressen und Server, die weder Website noch MX sind, etwa ein separater Versandserver, deckt der Check nicht ab; für die tatsächlich sendende IP gibt es den Mail-Test.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.