Blacklist Delisting: Was tun, wenn IP oder Domain gelistet ist

Wie eine DNSBL funktioniert

Eine DNS-based Blocklist ist nichts anderes als eine DNS-Zone. Der empfangende Mailserver dreht die IP-Adresse des einliefernden Servers um, hängt die Zone der Liste an und fragt nach einem A-Record. Für die IP 203.0.113.10 lautet die Abfrage 10.113.0.203.zen.spamhaus.org. Kommt NXDOMAIN zurück, ist die IP nicht gelistet. Kommt eine Antwort aus dem Bereich 127.0.0.x, ist sie gelistet, und die letzte Stelle sagt, warum.

Bei Spamhaus ZEN bedeutet 127.0.0.2 eine SBL-Listung wegen Spamquellen, 127.0.0.3 die CSS-Liste für verdächtige Absender, 127.0.0.4 bis 127.0.0.7 die XBL für infizierte oder missbrauchte Rechner und 127.0.0.10 oder 127.0.0.11 die PBL für Adressbereiche, aus denen keine direkte Mailzustellung erwartet wird. Domainlisten wie Spamhaus DBL und SURBL funktionieren genauso, nur mit dem Domainnamen statt der gedrehten IP.

$ dig +short 10.113.0.203.zen.spamhaus.org
127.0.0.4

$ dig +short beispiel.de.dbl.spamhaus.org
(keine Antwort: Domain nicht gelistet)

Welche Listen zählen und welche nicht

Es gibt Dutzende Blacklists, und die meisten Multi-Check-Tools zeigen alle an. Das führt zu Panik über Listungen, die kein großer Empfänger auswertet. Relevant für die Zustellbarkeit sind wenige: Spamhaus ZEN mit SBL, XBL und PBL wird von einem Großteil der Mailserver weltweit abgefragt. Spamcop, Barracuda und PSBL werden von vielen Firmen-Mailservern und Appliances genutzt. Für Domains zählen Spamhaus DBL und SURBL, die auch Links im Mailtext prüfen.

Weitgehend irrelevant sind Listen wie UCEPROTECT Level 2 und 3, die komplette Netzblöcke oder ganze Provider-Netze listen, sobald einzelne IPs darin auffällig sind. Kein großer Empfänger blockt auf dieser Basis, und ein Delisting kostet dort Geld, das du nicht ausgeben solltest. Auch Google und Microsoft nutzen primär eigene Reputationssysteme und keine öffentlichen Listen; eine saubere Spamhaus-Prüfung ist dort keine Garantie für Zustellung.

• Wichtig: Spamhaus ZEN (SBL, XBL, PBL), Spamcop, Barracuda, PSBL
• Wichtig für Domains: Spamhaus DBL, SURBL
• Meist zu ignorieren: UCEPROTECT Level 2 und 3 sowie kleine Listen mit bezahltem Delisting
• Eigene Systeme: Microsoft SNDS, Google Postmaster Tools, keine DNSBLs

Erst die Ursache finden

Ein Delisting ohne Ursachenbehebung hält wenige Stunden, weil die Listen automatisch neu listen. Die Ursachen sind bei Agenturkunden fast immer dieselben: Ein Mailkonto mit schwachem Passwort wurde übernommen und versendet tausende Spam-Mails über den regulären Server. Ein Kontaktformular auf der Website ohne Rate-Limit oder mit Weiterleitungsfunktion wird als Spamschleuder missbraucht. Ein veraltetes CMS-Plugin führt fremden Code aus, der direkt SMTP spricht.

Prüfe die Mailqueue und die Logs des Servers auf ungewöhnliche Volumen und Absender. Auf Shared Hosting kann die Listung auch von einem Nachbarn auf derselben IP stammen; dann hilft nur der Hoster. Ein offenes Relay ist heute selten, aber ein Test dauert eine Minute. Fehlender PTR-Record oder fehlendes Forward-Confirmed reverse DNS führen zwar nicht zur Listung, verschärfen aber die Bewertung bei jedem Empfänger.

1. Mailserver-Logs und Queue der letzten Tage nach Ausreißern beim Volumen durchsuchen.
2. Auffällige Konten sperren, Passwörter zurücksetzen, Zwei-Faktor-Authentifizierung erzwingen.
3. Webserver-Logs auf Formular-Spam und verdächtige POST-Requests prüfen, Skripte und Plugins aktualisieren.
4. Ausgehende Verbindungen auf Port 25 vom Webserver auf den Mailserver beschränken.
5. PTR-Record, HELO-Name und Zertifikat des Mailservers auf Konsistenz prüfen.

Delisting bei den relevanten Listen

Jede Liste hat ihren eigenen Weg, und keiner davon kostet bei den relevanten Listen Geld. Spamhaus bietet auf seiner Lookup-Seite die Abfrage der IP an, zeigt den Grund und verlinkt direkt auf das Delisting-Formular; XBL-Einträge lassen sich nach Beseitigung der Infektion selbst entfernen, SBL-Einträge werden vom Spamhaus-Team nach Prüfung gelöscht. PBL-Listungen betreffen den Adressbereich, nicht dein Verhalten; hier kannst du eine einzelne IP als legitimen Mailserver ausnehmen lassen, sofern der Provider das nicht selbst verwaltet.

Barracuda hat ein Request-Formular, das eine Begründung verlangt und in der Regel innerhalb eines Tages bearbeitet wird. Spamcop läuft von selbst aus: Eine Listung endet typischerweise etwa 24 Stunden nach dem letzten gemeldeten Spam, ein manuelles Delisting gibt es nicht. PSBL erlaubt Selbstentfernung über die Website. Bei Microsoft prüfst du in SNDS den Status deiner IPs und stellst über das Delist-Portal für Outlook.com und Microsoft 365 einen Antrag. Google Postmaster Tools zeigt dir die Reputation deiner Domain und IPs, ein Delisting gibt es dort nicht, die Reputation erholt sich nur durch sauberen Versand.

Shared Hosting, Cloud-IPs und die PBL

Wer von einem Webserver bei einem Cloud-Anbieter direkt Mail sendet, hat oft eine PBL-Listung, ohne je Spam verschickt zu haben. Die PBL ist eine Policy-Liste: Provider und Spamhaus tragen Adressbereiche ein, aus denen Endkunden-Rechner oder dynamische Anschlüsse kommen und aus denen kein direkter Mailversand erwartet wird. Die Listung sagt nicht "Spammer", sondern "hier sollte kein Mailserver stehen".

Die Lösung ist selten das Delisting, sondern die Architektur: Transaktionsmails und Formulare über einen Mailanbieter oder einen dedizierten Relay-Dienst senden, nicht direkt vom Webserver. Damit ist auch das Problem der Nachbarn auf Shared Hosting erledigt, deren Verhalten du nicht beeinflussen kannst.

Erneute Listung verhindern

Nach dem Delisting beginnt die eigentliche Arbeit. Empfänger vergessen eine schlechte Reputation nicht sofort, und die Listen beobachten die IP weiter. Sende in den ersten Tagen mit reduziertem Volumen, halte Bounce- und Beschwerderaten niedrig und stelle sicher, dass SPF, DKIM und DMARC für alle sendenden Systeme korrekt sind, damit legitime Mail eindeutig als solche erkennbar ist.

Registriere die IPs in Microsoft SNDS und die Domain in Google Postmaster Tools, denn dort siehst du Reputationsverluste früher als in einer Blacklist. Und lege eine Abuse-Adresse an, die jemand liest: Viele Listen und Empfänger melden Probleme dorthin, bevor sie listen.

Listungen überwachen

Eine Listung fällt in der Regel erst auf, wenn ein Kunde sich über Rückläufer beschwert, und dann sind schon Stunden oder Tage vergangen. Prüfe deshalb die Mailserver-IPs und die Domains aller Kunden regelmäßig gegen die relevanten Listen. Wichtig ist dabei, nur die Listen zu überwachen, die Empfänger tatsächlich nutzen, sonst produziert das Monitoring Alarme, die niemand ernst nimmt.

Zur Überwachung gehören auch die Voraussetzungen: PTR-Record, MX-Erreichbarkeit, Zertifikate und die Authentifizierungs-Records. Der MX Checker zeigt dir für eine Domain, ob die Mailhosts sauber konfiguriert sind und ob ihre IPs auf den wichtigen Listen stehen.

Häufige Fragen

Wie lange dauert ein Delisting?

Bei Spamhaus XBL und PSBL Minuten bis wenige Stunden nach der Selbstentfernung, bei Spamhaus SBL und Barracuda meist ein bis zwei Tage nach Prüfung, bei Spamcop etwa einen Tag ohne neue Meldungen. Microsoft braucht typischerweise ein bis drei Tage. Solange die Ursache nicht behoben ist, folgt die nächste Listung sofort.

Muss ich für ein Delisting bezahlen?

Bei keiner Liste, die für die Zustellung wichtig ist. Spamhaus, Spamcop, Barracuda, PSBL und Microsoft delisten kostenlos. Listen, die für eine sofortige Entfernung Geld verlangen, werden von großen Empfängern nicht genutzt; ignoriere sie.

Meine Domain ist auf der DBL, aber ich versende keine Mails. Warum?

Die DBL und SURBL bewerten Domains, die in Spam-Mails verlinkt werden, nicht nur Absender. Eine gehackte Website, die Phishing-Seiten oder Weiterleitungen hostet, reicht für eine Listung. Bereinige die Website und beantrage dann das Delisting über die Spamhaus-Lookup-Seite.