Blacklist prüfen: IP und Domain

Was sind DNS-Blacklists?

DNS-Blacklists (DNSBL oder RBL) sind Listen von IP-Adressen und Domains, die Spam versendet haben oder in Spam beworben wurden. Empfangende Mailserver fragen sie bei jeder eingehenden Mail ab: Die IP wird umgedreht, an den Listennamen angehängt und per DNS aufgelöst. Kommt eine Antwort im Bereich 127.0.0.x zurück, ist die IP gelistet, und die Mail wird abgelehnt oder als Spam markiert.

Die Folgen einer Listung sind sofort spürbar: Mails an Kunden kommen nicht an oder landen im Spam, oft mit einer Ablehnung im Bounce, die den Listennamen nennt. Weil viele Empfänger dieselben Listen nutzen, wirkt eine einzige Listung bei Spamhaus auf einen großen Teil des Mailverkehrs.

Welche Listen der Checker abfragt

Es gibt hunderte Blacklists, aber nur wenige, die Empfänger tatsächlich einsetzen. Der Checker konzentriert sich auf diese:

• Spamhaus ZEN (zen.spamhaus.org): Die wichtigste Liste. Kombiniert SBL (Spamquellen), XBL (infizierte Rechner) und PBL (dynamische Adressbereiche, die keine Mail senden sollten).
• Spamcop (bl.spamcop.net): Basiert auf Nutzermeldungen, Einträge verfallen nach 24 Stunden ohne neue Meldungen.
• Barracuda (b.barracudacentral.org): Wird von Barracuda-Appliances verwendet, die in vielen Unternehmen stehen.
• PSBL (psbl.surriel.com): Passive Spam Block List, listet Adressen, die Spamfallen getroffen haben.
• Spamhaus DBL und SURBL: Domain-Listen. Hier steht nicht die IP, sondern die Domain selbst, wenn sie in Spam beworben wurde.

So liest du das Ergebnis

Für jede IP zeigt die Tabelle die Quelle (Website oder Mailserver) und den Status je Liste. Eine gelistete Mailserver-IP ist kritisch, weil sie die Zustellung direkt betrifft. Eine gelistete Website-IP ist eine Warnung: Sie stört Mails nicht, solange der Webserver nicht sendet, deutet aber auf ein kompromittiertes System oder einen schlechten Nachbarn auf Shared Hosting hin. Der Status unbekannt bedeutet, dass die Liste die Abfrage abgelehnt hat, zum Beispiel weil Spamhaus Anfragen über öffentliche Resolver blockiert.

Der Checker fragt die Listen so ab, wie ein Mailserver es tut. Für die IP 203.0.113.10 lautet die Abfrage:

10.113.0.203.zen.spamhaus.org.  IN A
; Antwort 127.0.0.2 bis 127.0.0.11 = gelistet, NXDOMAIN = nicht gelistet

Delisting: so kommst du wieder runter

Bevor du ein Delisting beantragst, muss die Ursache beseitigt sein, sonst landet die IP innerhalb von Stunden wieder auf der Liste. Typische Ursachen sind ein gehacktes Kundenkonto, das Spam verschickt, ein Kontaktformular ohne Schutz, ein offenes Relay oder eine Website mit Malware. Danach nutzt du das Formular des jeweiligen Betreibers; der Checker verlinkt es direkt bei jedem gelisteten Eintrag.

• Spamhaus: check.spamhaus.org zeigt den Grund der Listung und bietet die Entfernung an. PBL-Einträge entfernt man selbst, SBL-Einträge nur mit Begründung.
• Spamcop: Einträge verfallen automatisch nach 24 Stunden ohne neue Meldungen. Ein manuelles Delisting ist nicht nötig.
• Barracuda: Formular mit Begründung, Bearbeitung meist innerhalb von 12 Stunden.
• PSBL: Selbst-Delisting über die Website, sofort wirksam.
• SURBL: Analyseseite zeigt den Grund; Delisting nach Bereinigung der Domain.

Blacklists dauerhaft überwachen

Eine Listung erfährt man normalerweise von Kunden, deren Mails nicht ankommen. Bis dahin sind oft Tage vergangen. DomainWarn prüft die Mailserver- und Website-IPs aller Kundendomains regelmäßig gegen diese Listen und meldet eine Listung sofort als Incident, samt Link zum Delisting.

Häufige Fragen

Meine IP ist bei Spamhaus PBL gelistet, aber ich sende gar keinen Spam.

Die PBL listet keine Spammer, sondern Adressbereiche, aus denen laut Provider keine Mails direkt gesendet werden sollten, etwa DSL- und Mobilfunknetze. Für einen Mailserver brauchst du eine statische IP aus einem Server-Netz oder du sendest über den Smarthost deines Providers.

Wie lange dauert ein Delisting?

Spamhaus und PSBL wirken meist innerhalb von Minuten bis einer Stunde, Barracuda innerhalb eines halben Tages, Spamcop verfällt nach 24 Stunden. Empfänger mit eigenem Cache brauchen zusätzlich bis zur TTL der Liste.

Warum prüft der Checker keine IPv6-Adressen?

Die meisten Blacklists führen IPv6-Adressen nicht oder nur eingeschränkt, und Mailserver senden im Regelfall über IPv4. Der Checker beschränkt sich deshalb auf IPv4.