DNSBL und RBL erklärt: So funktionieren Mail-Blocklisten

Eine DNSBL (DNS-based Blackhole List) ist eine Liste von IP-Adressen, die beim Spamversand aufgefallen sind und die sich über das DNS-Protokoll abfragen lässt. Der Begriff RBL (Realtime Blackhole List) wird meist gleichbedeutend verwendet. Ob Ihre E-Mail im Posteingang oder direkt im Papierkorb landet, entscheiden weitgehend diese Listen.

Wie die Abfrage technisch funktioniert

Nimmt Ihr Mailserver eine Verbindung an, dreht er die IP-Adresse der Gegenstelle um, stellt sie der Listen-Domain voran und schickt eine ganz normale DNS-Anfrage. 203.0.113.45 wird bei zen.spamhaus.org so abgefragt:

45.113.0.203.zen.spamhaus.org

Kommt NXDOMAIN zurück, steht die Adresse nicht auf der Liste. Kommt ein A-Record der Form 127.0.0.x, ist sie gelistet, und das letzte Oktett verrät, welche Teilliste zugeschlagen hat — etwa eine für direkte Spamquellen, eine für kompromittierte Rechner und eine für dynamische Endkundenbereiche. Der TXT-Record nennt üblicherweise den Grund und den Link zum Delisting.

Arten von Listen

• IP-basierte Listen — zielen auf die Adresse des sendenden Servers; die häufigste Art.
• Domain-Listen (URIBL/DBL) — bewerten nicht die IP, sondern die Domains in den Links des Nachrichtentexts.
• Policy-Listen — beruhen nicht auf Spam-Nachweis, sondern auf Regeln: dynamische Anschlussbereiche, Blöcke, die gar keine Mail direkt versenden sollten.
• White- und Greylists — beschleunigen bekannt gute Quellen oder zwingen unbekannte Absender zu einem zweiten Zustellversuch.

Warum eine IP gelistet wird

• Ein kompromittiertes Konto auf dem Server, der dadurch zur Spamschleuder wird
• Offenes Relay oder offener Proxy ohne Authentifizierung
• Massenmails an nicht eingewilligte Listen mit hoher Beschwerdequote
• Zustellungen an Spamtrap-Adressen
• Nachbarschaftseffekt: schlechter Ruf anderer Adressen im selben /24
• Policy-Verstoß: direkter Verkehr auf 25/TCP aus einem als dynamisch eingestuften Bereich

Ergebnisse richtig lesen

Ein Eintrag in einer einzelnen Liste bedeutet nicht automatisch, dass die Zustellung scheitert. Ernsthafte Mailprovider gewichten Listen: Ein Eintrag in einer etablierten Liste mit niedriger Fehlerquote führt meist zur direkten Ablehnung, während ein Eintrag in einer für aggressive Regeln bekannten Liste nur den Spam-Score erhöht. Beurteilen Sie eine IP daher nach der Kombination der Listen und ihren Begründungen, nicht nach einem einzelnen Treffer.

Was tun, wenn Sie gelistet sind?

Beseitigen Sie zuerst die Ursache — kompromittiertes Konto sperren, Relay auf Authentifizierung umstellen, Verteiler bereinigen — und nutzen Sie erst dann das Delisting-Formular der jeweiligen Liste. Anträge ohne behobene Ursache enden fast immer in einer erneuten Listung. Die Schritte im Detail stehen in unserem Leitfaden zum Delisting.

Sammelprüfung mit IP-DB

IP-DB.com prüft bei jeder Abfrage zahlreiche DNSBLs und Bedrohungs-Feeds gleichzeitig und zeigt auf einem Bildschirm, welche Listen die Adresse führen, mit welcher Begründung und wann zuletzt aktualisiert wurde. Die Ausgangsadressen Ihres Mailservers regelmäßig zu prüfen ist der günstigste Weg, ein Zustellproblem zu bemerken, bevor es die Kunden tun. Für eine einzelne Adresse gibt es den IP-Blacklist-Check, für mehrere Server den Massen-IP-Check.