Was ist eine IP-Blacklist und wie kommt man wieder herunter?

Auf einer Blockliste zu stehen ist kein Ereignis, sondern eine Folge: Verkehr aus Ihrer Adresse hat irgendwann jemanden gestört. Darum gibt es keinen einzelnen Knopf für die Entfernung. Die Reihenfolge ist immer dieselbe — herausfinden, wo Sie gelistet sind, die Ursache schließen, bei jeder Liste einzeln beantragen, danach die Adresse überwachen.

Zwei Arten von Listen gehören von Anfang an auseinandergehalten. Mail-Blacklists (DNSBL/RBL) betreffen die E-Mail-Zustellung; sie haben ein Entfernungsformular und meist ein zügiges Verfahren. Threat-Blocklisten versorgen Firewalls und WAFs; dort gibt es kein Formular, Einträge altern aus, sobald keine neuen Ereignisse mehr kommen. Die meisten Anleitungen werfen beides zusammen und schicken Leser zu einem Formular, das es nicht gibt.

Zuerst herausfinden, wo Sie wirklich gelistet sind

Dieser Schritt hat eine wenig bekannte Falle: Ein erheblicher Teil der Online-Blacklist-Checker fragt Zonen ab, die vor Jahren abgeschaltet wurden. Die Domain einer eingestellten DNSBL wird mitunter so neu veröffentlicht, dass sie auf jede Anfrage mit „gelistet“ antwortet — ein Werkzeug ohne Filter zeigt Sie dann auf vierzig Listen gleichzeitig. Die meisten panisch gestellten Anträge beginnen hier.

Der Test ist einfach: Ist die Zone heute tatsächlich in Betrieb, und ist der zurückgegebene Code aussagekräftig? Unsere Blacklist-Prüfung fragt nur aktive Zonen ab und trennt die Kernzonen, die in die Bewertung einfließen, von denen, die nur zur Information erscheinen. Spamhaus prüfen Sie zusätzlich unter check.spamhaus.org; laufen Ihre eigenen Abfragen über einen öffentlichen Resolver, antwortet Spamhaus unter Umständen gar nicht.

Was die einzelnen Listungen bedeuten

Eine wichtige Aktualisierung: SORBS, zwei Jahrzehnte lang eine Standardreferenz, existiert nicht mehr. Fragt ein Werkzeug sie weiterhin ab, wird es nicht gepflegt. Ebenso ist CBL keine eigene Liste mehr, sondern Teil der Spamhaus XBL.

Nicht beantragen, bevor die Ursache geschlossen ist

Eine Liste liest den Antrag als Erklärung, das Problem sei behoben. Stimmt das nicht, werden Sie erneut gelistet, und bei manchen Betreibern wächst die Wartezeit. In der Praxis ist die Ursache fast immer eine von fünf:

• Ein übernommenes Postfach. Jemand kommt mit schwachem oder geleaktem Passwort durch die SMTP-Authentifizierung. Prüfen Sie Queue und Auth-Log.
• Ein offenes Relay oder ein offenes Webformular. Ein Relay ohne Authentifizierung oder beliebige Mail über ein Kontaktformular.
• Eine kompromittierte Anwendung. Ein Mailer-Skript, eingeschleust über ein altes CMS-Plugin. Der Versand kommt vom Webserver-Benutzer, nicht von einem Mail-Konto.
• Laute Nachbarn. Ein anderer Kunde auf einem geteilten Server. Die Adresse gehört Ihnen nicht, der Antrag also auch nicht.
• Missbrauch außerhalb von E-Mail. SSH-Brute-Force oder Portscans von Ihrem Server — das landet auf Threat-Listen, nicht auf Mail-Listen.

Um schnell zu sehen, wer aus der Queue sendet:

Ausgehendes 25/TCP nur vom Mailserver zuzulassen, schneidet die meisten dieser Fälle an der Wurzel ab: Eine kompromittierte Anwendung kann dann nicht mehr selbst versenden.

Wie man den Antrag formuliert

Betreiber lesen täglich hunderte davon. Wirksame Anträge sind kurz, belegt und nach vorn gerichtet. Drei Dinge gehören hinein: was passiert ist, was Sie getan haben und was sich geändert hat, damit es nicht wieder vorkommt.

Was nicht hineingehört: nicht behaupten, die Adresse sei „neu zugeteilt“, wenn ein anderer Kunde die Ursache war; denselben Antrag nicht mehrmals täglich stellen; keine Dringlichkeit ohne Beleg schildern.

Wenn die Adresse nicht Ihnen gehört

Shared Hosting, ein Anschluss hinter CGNAT oder eine Adresse aus dem Pool eines Cloud-Anbieters ist nicht Ihre Zuteilung — beantragen kann nur, wer den Eintrag hält. Wer das ist, steht als Abuse-Kontakt im RDAP-Eintrag; der WHOIS- und RDAP-Leitfaden erklärt dieses Feld. Wer geschäftlich regelmäßig Mail versendet, fährt mit einer dedizierten IP oder einem Versanddienst meist günstiger, als ein zweites Mal an derselben Stelle zu landen.

Nach dem Delisting: draußen bleiben

Von einer Liste herunterzukommen ist kein Ergebnis, sondern die Rückkehr zum Ausgangszustand. Vier Dinge halten ihn: ausgehendes 25/TCP beschränken, SPF, DKIM und DMARC vollständig einrichten, Authentifizierung und Formular-Endpunkte mit Rate-Limits versehen und die Adresse überwachen. Für Letzteres können Sie die Blacklist-Prüfung manuell laufen lassen oder sie über die API in Ihr Monitoring einbinden; die Sammelprüfung deckt einen ganzen Versandpool in einem Durchgang ab.

Warum und wie lange eine Adresse schlecht aussieht, erklärt der Artikel zum Reputationswert; wie die Listen technisch arbeiten, steht in DNSBL und RBL erklärt.

Häufige Fragen

Wie lange dauert ein Delisting?

Das hängt vom Betreiber ab. Automatisch ablaufende Listen wie SpamCop fallen binnen eines Tages von selbst weg, wenn keine neuen Beschwerden eingehen. Bei Spamhaus liegt das Ergebnis nach dem Formular meist innerhalb von Stunden vor. Der kostenlose Weg bei UCEPROTECT ist der automatische Ablauf nach sieben ereignisfreien Tagen. Die eigentliche Verzögerung liegt nicht bei der Liste, sondern beim Schließen der Ursache.

Was passiert, wenn ich das Delisting ohne Behebung beantrage?

In aller Regel werden Sie erneut gelistet, und manche Betreiber bestrafen wiederholte Anträge mit längeren Sperrfristen. Das Formular ist kein Gnadengesuch, sondern die Erklärung, die Ursache sei beseitigt; stimmt das nicht, zeigt es die nächste Spamwelle.

Ich bin auf Shared Hosting, die Listung ist nicht meine Schuld. Was tun?

Gehört die Adresse nicht Ihnen, können Sie den Antrag nicht stellen — das muss der Hoster als Inhaber tun. Sie können ihm den Nachweis der Listung schicken und auf eine dauerhafte Lösung drängen. Wer regelmäßig E-Mail versendet, fährt mittelfristig mit einer dedizierten IP oder einem Versanddienst besser.

Ich stehe auf der PBL — habe ich angegriffen?

Nein. Die Spamhaus PBL ist keine Missbrauchsliste, sondern eine Policy-Liste: Sie besagt, dass Privat- und Dynamikbereiche nicht direkt zustellen sollen. Liegt Ihr Server in so einem Bereich, wird erwartet, dass Sie über den Smarthost des Anbieters versenden. Bei einer statischen Adresse lässt sich der PBL-Eintrag selbst entfernen.

Warum liefern Blacklist-Checker unterschiedliche Ergebnisse?

Weil viele Werkzeuge Zonen abfragen, die seit Jahren abgeschaltet sind. Die Domain einer eingestellten DNSBL wird mitunter so neu veröffentlicht, dass sie auf jede Anfrage mit „gelistet“ antwortet; ein Checker, der das übernimmt, zeigt hunderte Server grundlos als gelistet. Maßgeblich ist, ob die Zone heute tatsächlich in Betrieb ist.

Wie vermeide ich eine erneute Listung?

Ausgehenden Verkehr auf 25/TCP nur für Ihren Mailserver freigeben, SPF, DKIM und DMARC vollständig einrichten, Webformulare und Anmeldung mit Rate-Limits versehen, starke Passwörter für alle Konten erzwingen und die Adresse laufend überwachen. Wer die Listung als Erster bemerkt, dessen Kunden bemerken sie gar nicht.

Die Grundlagen stehen in Was ist eine IP-Adresse, das Melden einer angreifenden Adresse in eine missbräuchliche IP melden.