So prüfen Sie, ob eine IP oder Domain geblacklistet ist

Was eine DNS-Blacklist ist

Eine DNSBL ist eine als DNS-Einträge veröffentlichte Liste von Adressen. Ein empfangender Mailserver nimmt die sendende IP, kehrt sie um, hängt die Domain der Blockliste an und fragt DNS, ob ein Eintrag existiert. Wenn ja, ist der Absender gelistet, und die Antwort kodiert meist einen Grund-Code. Der gesamte Austausch kostet eine einzige DNS-Abfrage, weshalb die Technik überhaupt genutzt wird: Sie lässt einen Mailserver in Millisekunden entscheiden, bevor er eine Nachricht annimmt.

Die Listen selbst werden von unabhängigen Betreibern mit unterschiedlichen Richtlinien geführt. Manche listen nur Adressen, die beim Versenden von Spam an eine Falladresse ertappt wurden. Manche listen ganze Bereiche von Consumer- oder dynamischen IP-Adressen grundsätzlich, weil dort legitime Mail nicht herkommen sollte. Manche listen aufgrund kompromittierter Maschinen, offener Relays oder Malware-Traffic. Es gibt keine zentrale Instanz und keine einzelne Liste, die überall zählt, "bin ich geblacklistet" ist also eigentlich "stehe ich auf den Listen, die meine Empfänger nutzen".

So prüfen Sie

Der einfache Weg ist ein Tool, das viele Listen in einem Durchgang abfragt und zeigt, welche antworten. Von Hand für eine einzelne Liste sieht das so aus, mit umgekehrten IP-Oktetten:

# prüft 198.51.100.25 gegen eine Liste bei dnsbl.example.org
dig +short 25.100.51.198.dnsbl.example.org A
dig +short 25.100.51.198.dnsbl.example.org TXT

Eine leere Antwort bedeutet nicht gelistet. Ein A-Eintrag, typischerweise im Bereich 127.0.0.x, bedeutet gelistet, und das letzte Oktett ist der Grund-Code des Betreibers. Der TXT-Eintrag trägt meist eine menschenlesbare Erklärung und einen Link zur Entfernungsseite, was der Teil ist, den Sie brauchen.

Prüfen Sie die richtige Adresse. Für E-Mail ist das die öffentliche IP, von der Ihr Mailserver sendet, was oft nicht dieselbe wie die IP Ihrer Website ist. Prüfen Sie jede Adresse, von der Sie senden, einschließlich eines Backup-MX und jedes Transaktions-Mail-Dienstes, den Sie auf Ihrer eigenen Domain nutzen.

IP-Listen, Domain-Listen und Reputationssysteme

• IP-Blocklisten listen die sendende Adresse. Das ist die klassische DNSBL und die, die am ehesten eine glatte Ablehnung verursacht.
• Domain-Blocklisten (URIBLs) listen Domains, die in Nachrichtentexten auftauchen, nicht den Absender. Eine Domain kann gelistet sein, weil Spammer sie in Mail bewerben, die von völlig anderen Rechnern gesendet wird, Sie können also gelistet sein, ohne die Mail je versendet zu haben.
• Reputationssysteme, betrieben von großen Postfach-Anbietern, sind überhaupt keine öffentlichen Listen. Sie bewerten Absender fortlaufend nach Beschwerdequoten, Bounce-Raten und Authentifizierung und erzeugen die Version dieses Problems, die Sie nicht nachschlagen können: Mail wird angenommen und im Spam zugestellt. Keine öffentliche Abfrage zeigt das, weshalb "auf keiner Blacklist" und "landet im Posteingang" unterschiedliche Aussagen sind.

Web-Reputations- und Malware-Listen sind eine vierte Kategorie. Sie betreffen Browser-Warnungen und Sichtbarkeit in der Suche statt Mail, und eine Website kann nach einer Kompromittierung auf einer landen, lange nachdem diese bereinigt wurde.

Was tun, wenn Sie gelistet sind

1. Lesen Sie zuerst den Grund. Der TXT-Eintrag oder die Website der Liste sagt, warum. Die Entfernung zu beantragen, ohne die Ursache zu beheben, führt zur erneuten Listung, oft mit längerer Strafe.
2. Finden Sie heraus, was sendet. Prüfen Sie die Mailserver-Protokolle auf Volumenspitzen und auf Nachrichten, die Sie nicht versendet haben. Die üblichen Ursachen sind ein kompromittiertes Postfachkonto, ein verwundbares Kontaktformular oder CMS, das als Relay missbraucht wird, ein fehlkonfiguriertes offenes Relay, oder eine infizierte Maschine in Ihrem Netzwerk, die direkt sendet.
3. Stoppen Sie es, dann überprüfen Sie. Ändern Sie die kompromittierten Zugangsdaten, patchen oder deaktivieren Sie das Formular, schließen Sie das Relay, entfernen Sie die Infektion. Bestätigen Sie, dass das ausgehende Volumen wieder normal ist, bevor Sie etwas anderes tun.
4. Beheben Sie die Authentifizierungsgrundlagen. Gültiges SPF, DKIM-Signierung, ein DMARC-Eintrag, übereinstimmendes Forward- und Reverse-DNS für die sendende IP, und ein Hostname im HELO, der sich auflösen lässt. Mehrere Listen entfernen einen Host nicht, der hier durchfällt, und Reputationssysteme gewichten das stark.
5. Beantragen Sie die Entfernung. Nutzen Sie das eigene Formular des Betreibers. Die meisten bieten eine Selbstbedienungs-Entfernung für eine erste Listung; manche entfernen automatisch nach einer ruhigen Periode. Seien Sie konkret, was falsch war und was Sie geändert haben.
6. Achten Sie auf das Zeitfenster für eine erneute Listung. Wiederholte Listungen eskalieren. Prüfen Sie nach ein paar Tagen erneut und noch einmal nach ein paar Wochen.

Betrifft die Listung einen ganzen Bereich statt Ihrer einzelnen Adresse, liegt die Lösung nicht bei Ihnen. Kontaktieren Sie Ihren Hosting-Anbieter, denn der gesamte Block ist betroffen. Wurde Ihnen die IP erst kürzlich zugewiesen, kann die Listung zu dem gehören, der sie vorher hatte, und Entfernungsanträge, die das erklären, werden meist akzeptiert.

Eine Listung erwischen, während die Ursache noch in den Protokollen steht

Blacklistung ist einer der Ausfälle, die niemand rechtzeitig bemerkt. Auf Ihrem Server geht nichts kaputt. Mail hört einfach auf anzukommen, und das erste Signal ist oft ein Kunde, der Tage später sagt, er habe die Nachricht nie bekommen. Geplantes Blacklist-Monitoring prüft Ihre Adressen im Intervall erneut gegen die Listen und alarmiert bei einer neuen Listung, sodass Sie es erfahren, während die Ursache in den Protokollen noch nachvollziehbar ist, statt Wochen später. DNS-Blacklist-Monitoring führt diese Prüfungen kontinuierlich aus, das Blacklist-Check-Tool führt einen einmaligen Scan aus, und so finden Sie heraus, wer eine Website hostet zeigt, wie Sie den Abuse-Kontakt für das betroffene Netzwerk bekommen.