Blacklist Check: IP-Adresse und Domain prüfen

Worum es geht

Was eine Blacklist ist und was der Check prüft

Eine Blacklist (auch Sperrliste oder DNSBL) ist eine Liste von IP-Adressen, von denen Spam oder Angriffe ausgingen. Empfangende Mailserver fragen sie bei jeder eingehenden Mail per DNS ab. Steht die Adresse des sendenden Servers darauf, wird die Mail abgewiesen oder landet im Spam – oft mit einer Fehlermeldung wie 554 … listed at … im Rückläufer.

Gelistet wird der Server, nicht die Absenderadresse. Gibst du eine Domain ein, sucht der Check deshalb zuerst ihre Server: die Mailserver aus dem MX-Eintrag und den Webserver aus dem A-Eintrag, der zum Beispiel Kontaktformulare verschickt. Jede gefundene IPv4-Adresse wird gegen alle fünf Listen geprüft.

Bei Microsoft 365, Google Workspace und vielen Hostern verschicken andere Server als die, die Post annehmen. Wer genau den Server prüfen will, über den eine bestimmte Mail hinausging, nimmt dessen IP-Adresse aus dem Kopf einer verschickten Mail: die Received-Zeile, die der Empfänger geschrieben hat. Wie man den Header liest, steht in E-Mail-Spoofing erkennen.

Welche Listen – und warum Spamhaus fehlt

Abgefragt werden nur Listen, die ohne Registrierung abgefragt werden dürfen und kommerzielle Nutzung nicht ausschließen: SpamCop, PSBL, Mailspike, 0spam und DroneBL.

Spamhaus ist nicht dabei. Spamhaus beantwortet Abfragen über große öffentliche Resolver nicht und verlangt für kommerzielle Nutzung einen eigenen Zugang. Barracuda verlangt eine Registrierung, UCEPROTECT nimmt für schnelles Austragen Geld, SORBS und NiX Spam sind eingestellt. Ein grünes Ergebnis heißt deshalb: auf keiner dieser fünf Listen – nicht, dass die Adresse nirgends steht. Den Spamhaus-Status einer IP zeigt Spamhaus selbst auf seiner Prüfseite.

Antwortet eine Liste mit einem Fehlercode statt mit einem Ergebnis, oder gar nicht, steht dort „nicht prüfbar“ und nicht „gelistet“. Ein falscher Alarm wäre schlimmer als eine Lücke.

Gelistet – was jetzt

Von der Blacklist entfernen: erst die Ursache, dann der Antrag

1. Klären, wem der Server gehört. Ist es ein Server deines Hosters oder Mailanbieters, mit dem viele Kunden senden, ist das sein Fall: Ticket mit dem Ergebnis schicken. Austragen kann sich nur, wer die Ursache abstellt.
2. Die Ursache finden. Häufig sind ein übernommenes Postfach, das Spam verschickt, ein Kontaktformular ohne Schutz, über das Fremde Mails an beliebige Empfänger senden, oder eine gehackte Website – siehe Gehackte Website erkennen.
3. Abstellen: Passwort ändern und Zwei-Faktor-Anmeldung einschalten, Formular absichern, Schadcode entfernen. Wer vorher austrägt, steht nach dem nächsten Spam-Schwall wieder auf der Liste – und manche Listen lassen die Austragung beim zweiten Mal nicht mehr so leicht zu.
4. Austragen. Der Check nennt bei jedem Treffer, wie die Liste es handhabt, und verlinkt die Seite dafür. SpamCop trägt nach 24 Stunden ohne neue Meldung von selbst aus, PSBL lässt dich selbst austragen, Mailspike, 0spam und DroneBL bearbeiten einen Antrag.
5. Nach ein, zwei Tagen erneut prüfen – und mit dem E-Mail-Check nachsehen, ob SPF, DKIM und DMARC stehen. Fehlen sie, landen Mails auch ohne Blacklist-Eintrag im Spam.

Was der Check nicht tut

Er stellt nur DNS-Abfragen: MX- und A-Eintrag der Domain, dann je Adresse eine Abfrage pro Liste. Er baut keine Verbindung zum Mailserver auf und verschickt keine Testmail. IPv6-Adressen prüft er nicht, weil die verwendeten Listen nur IPv4 führen. Domain-Listen wie SURBL oder URIBL, die Links in Mails bewerten, sind nicht dabei – ihre Bedingungen schränken kommerzielle Nutzung ein.

Adresse und Domain werden nicht gespeichert. Sie stehen nur im Arbeitsspeicher der Prüffunktion, bis zu 15 Minuten lang. Gezählt wird nur, dass geprüft wurde: ohne Konto höchstens acht Prüfungen pro Stunde.