Sperrlisten – wenn eure Adresse als Spamquelle geführt wird

Sperrlisten führen Adressen, von denen Spam ausging. Wir zeigen, wie die Abfrage funktioniert, welche Listen wir prüfen und wie eine Austragung abläuft.

Eine Sperrliste ist ein Verzeichnis von IP-Adressen, von denen in letzter Zeit Spam ausging. Empfangende Mailserver fragen solche Listen beim Verbindungsaufbau ab – in Millisekunden, lange bevor jemand den Betreff sieht. Steht die Adresse eures Mailservers dort, wird die Nachricht abgewiesen oder als Spam einsortiert. Oft ohne Rückmeldung an euch, denn ein Absender, der Spam verschickt, soll ja gerade nicht erfahren, was ihn verraten hat.

Das Unangenehme daran: Gelistet wird die Adresse, nicht die Domain. Wer einen eigenen Server betreibt, trägt die Folgen allein. Wer Postfächer bei einem großen Anbieter hat, teilt sich die Adressen mit Tausenden anderen – und kann in Sippenhaft geraten, wenn ein Nachbar im selben Adressbereich Unsinn macht. Deshalb gehört zu jedem Treffer zuerst die Frage: Ist das unsere Adresse oder die unseres Anbieters?

Wie eine Abfrage aussieht

Eine Sperrlistenabfrage ist eine ganz gewöhnliche DNS-Abfrage. Die Adresse wird dazu rückwärts geschrieben und an den Namen der Liste gehängt:

Adresse des Mailservers:  203.0.113.45
Abfrage:                  45.113.0.203.bl.spamcop.net
Antwort, wenn gelistet:   127.0.0.2
Antwort, wenn sauber:     keine

Eine Antwort im Bereich 127.0.0.x bedeutet: gelistet. Die letzte Zahl sagt je nach Liste, warum. Kommt gar keine Antwort, ist die Adresse dort nicht verzeichnet – mehr sagt das aber nicht, denn jede Liste kennt nur, was sie selbst gesehen hat.

Welche Listen wir abfragen

Der Mail-Check fragt sechs Listen ab, für jede gefundene Adresse eures Mailservers einzeln:

Zwei bekannte Listen fehlen mit Absicht:

• Spamhaus beantwortet Abfragen aus Rechenzentren nur mit einem Zugangsschlüssel. Ohne Schlüssel kommt von dort die Antwort „Abfrage gesperrt". Die als „sauber" zu verbuchen wäre eine Falschaussage, als Treffer erst recht. Also fragen wir gar nicht – und sagen das, statt eine Lücke zu verschweigen.
• UCEPROTECT sperrt ganze Adressbereiche wegen eines einzelnen auffälligen Nachbarn und verlangt für die sofortige Austragung Geld. Ein Treffer dort sagt über eure Domain nichts aus. Wir nehmen ihn deshalb nicht in die Bewertung auf.

So kommst du wieder herunter

Zuerst die Ursache, dann die Austragung. Wer sich austragen lässt, ohne die Ursache zu beheben, steht in einer Woche wieder drin – und manche Listen tragen beim zweiten Mal deutlich zögerlicher aus.

Für einen eigenen Server, der Weg im Einzelnen:

1. Prüfen, ob der Server als offenes Relay läuft – also Post von Fremden annimmt und weiterschickt. Das ist die häufigste Ursache und muss zuerst weg.
2. Postfächer auf gekaperte Zugänge durchsehen. Ein schwaches Passwort in einem alten Konto verschickt in einer Nacht Zehntausende Nachrichten.
3. Die Ausgangswarteschlange leeren und ansehen, was dort steckt. Sie verrät, welches Programm gesendet hat.
4. Die Website prüfen: Ein Kontaktformular ohne Schutz oder ein veraltetes Plugin ist ein beliebter Versandweg.
5. Erst jetzt auf der Website der Liste die Austragung beantragen. SpamCop, Barracuda und PSBL haben dafür ein Formular; man gibt die Adresse ein und bestätigt, dass die Ursache behoben ist.
6. Zwei bis drei Tage warten und die Domain im Mail-Check erneut prüfen.
7. Danach SPF, DKIM und DMARC in Ordnung bringen. Eine sauber abgesicherte Domain wird nach einem Vorfall deutlich schneller wieder normal behandelt.

Die Befunde im Einzelnen

Mailserver auf einer Sperrliste

Gemessen: Mindestens eine der Adressen, die zu euren Mailservern gehören, ist auf mindestens einer der sechs abgefragten Listen verzeichnet.

Nachrichten von dieser Adresse werden abgewiesen oder als Spam einsortiert – oft, ohne dass der Absender eine Rückmeldung bekommt. Bei einem eigenen Server heißt das: Eure Post kommt seit einer Weile nicht mehr überall an, und ihr habt es noch nicht bemerkt.

Was zu tun ist: Erst klären, wem die Adresse gehört. Steht im Befund eine Adresse eures Postfach-Anbieters, ist es dessen Sache – meldet es dort und macht selbst nichts weiter; eigenmächtige Austragungsanträge für fremde Adressen verschlechtern die Lage eher. Gehört die Adresse zu eurem eigenen Server, geht den Weg oben Schritt für Schritt: Ursache finden, beheben, austragen lassen, nachprüfen. Und in beiden Fällen: Schaltet DMARC-Berichte ein, wenn das noch nicht geschehen ist. Sie zeigen, ob aus eurer Domain Nachrichten verschickt werden, von denen ihr nichts wisst.

Häufige Fragen

Wir sind gelistet, obwohl wir keinen Spam verschicken. Wie kommt das?

Drei Möglichkeiten. Ein Postfach wurde gekapert und versendet ohne euer Zutun. Eine Website auf demselben Server verschickt über ein Formular. Oder die Adresse gehört einem großen Anbieter, und ein Nachbar im selben Bereich ist aufgefallen – dann könnt ihr selbst nichts tun außer melden.

Wie lange dauert eine Austragung?

Bei SpamCop und Mailspike oft Stunden bis wenige Tage, teils automatisch. Bei anderen Listen ein paar Tage nach manueller Prüfung. Entscheidend ist, dass von der Adresse in der Zwischenzeit nichts Auffälliges mehr ausgeht – sonst beginnt die Zählung von vorn.

Warum steht im Befund „Spamhaus: nicht abgefragt"?

Weil wir es ehrlich sagen, statt eine Lücke zu verschweigen. Spamhaus antwortet auf Abfragen aus Rechenzentren ohne Zugangsschlüssel nicht mit einem Ergebnis. Wer prüfen will, ob ihr dort geführt werdet, nutzt das Abfrageformular auf der Website von Spamhaus – von einem normalen Internetanschluss aus funktioniert das.

Schützt uns ein sauberer SPF-Eintrag vor Sperrlisten?

Nicht direkt – Listen bewerten Adressen, nicht Einträge. Aber indirekt schon: Eine Domain mit sauberem SPF, DKIM und DMARC wird von Empfängern milder behandelt und erholt sich nach einem Vorfall schneller. Und die DMARC-Berichte zeigen euch Versand aus eurer Domain, den ihr sonst nie gesehen hättet.