Steht Ihre IP auf einer Blacklist?

Kurz erklärt: Was ein Blacklist-Eintrag bedeutet

Was eine IP-Blacklist ist und wer sie abfragt

Der Mechanismus ist einfach. Wenn eine Nachricht eintrifft, schaut der Zielserver nach, von welcher IP-Adresse sie kommt, und sucht diese in einer oder mehreren Listen. Diese Abfrage läuft über DNS, daher der Fachbegriff für solche Listen: DNSBL, DNS-basierte Sperrlisten. Steht die Adresse auf einer davon, wird die Nachricht noch während derselben Verbindung abgewiesen, bevor sie in irgendeinem Postfach landet.

Jede Liste wird von einer anderen Organisation gepflegt – Anti-Spam-Projekten, Sicherheitsunternehmen –, und jede entscheidet selbst, wen sie aufnimmt und wann sie ihn wieder austrägt. Es gibt keine zentrale Instanz und keine gemeinsamen Kriterien: Eine Adresse kann auf einer Liste stehen und auf allen anderen makellos sein, und das Verfahren zur Austragung unterscheidet sich von Liste zu Liste. Zu den bekanntesten gehören Spamhaus und Barracuda; SORBS, lange eine der großen, wurde 2024 eingestellt.

E-Mail ist nicht das Einzige, was nachfragt. Auch Firewalls, Sicherheitsdienste und CDN-Regeln fragen Reputationslisten ab, und dort ist die Folge keine abgewiesene E-Mail, sondern eine gesperrte Anfrage: Die Seite lädt gar nicht erst, und fast nie erfahren Sie, warum.

Bewertet wird immer die öffentliche Adresse, also die, die Ihr Netz nach außen zeigt; interne Adressen wie 192.168.x.x gelangen nicht ins Internet und stehen auf keiner Liste. Wenn Sie nicht wissen, mit welcher Sie surfen, zeigt sie Ihnen die Prüfung Wie lautet meine öffentliche IP, und die ASN-Abfrage verrät, zu welchem Netz sie gehört.

Welche Listen dahinterstehen und was jede markiert

Von „der Blacklist“ in der Einzahl zu sprechen, führt in die Irre, denn es gibt nicht eine, sondern Dutzende, und jede beantwortet eine andere Frage. Zu wissen, welche Sie markiert hat, verändert die Deutung des Ergebnisses grundlegend.

• Listen von Spam-Quellen. Sie erfassen Adressen, von denen aus unerwünschter Massenversand beobachtet wurde, meist mit Belegen: Nachrichten, die in Spam-Fallen gelandet sind, oder gehäufte Beschwerden. Sie haben bei einer Ablehnung das größte Gewicht.
• Listen kompromittierter Geräte. Sie sammeln Adressen mit Anzeichen einer Infektion oder fremder Kontrolle: Botnetz-Verkehr, offene Proxys, Muster automatisierten Versands. Hier ist die Adresse nicht Täter, sondern Opfer, doch die Wirkung im Postfach des Empfängers ist dieselbe.
• Richtlinienlisten, keine Missbrauchslisten. Die am häufigsten missverstandenen. Sie markieren Bereiche, die nach Entscheidung des Betreibers selbst keine E-Mails direkt ins Internet senden sollten: Fast alle Heim- und Mobilfunkanschlüsse stehen dort. Wer auf einer solchen Liste erscheint, hat nichts falsch gemacht; es bedeutet nur, dass Ihr Anschluss kein Mailserver ist und Sie über den Postausgangsserver Ihres Anbieters versenden sollten.
• Listen für Adressbereiche und autonome Systeme. Manche markieren ganze Blöcke und sogar komplette Netze wegen des Verhaltens weniger Kunden. Sie sind die umstrittensten, und genau deshalb ignorieren viele Mailserver sie oder nutzen nur ihre zurückhaltendste Stufe.

Dieser Unterschied erklärt eine sehr häufige Situation: eine private Adresse, die auf einer Richtlinienliste steht und auf keiner anderen. Es gibt nichts zu reparieren und nichts zu beantragen. Das Ergebnis sagt nur, dass dieser Anschluss nicht dafür gedacht ist, auf Augenhöhe mit anderen Mailservern zu kommunizieren.

Eines sollte man noch ergänzen, weil es kaum jemand erwähnt: Listen entstehen und verschwinden. Manche Projekte laufen seit Jahrzehnten, andere werden eingestellt, und wenn das geschieht, lebt der Name in der Konfiguration von Servern weiter, die niemand überprüft hat. Nennt eine Bounce-Nachricht eine Liste, die es nicht mehr gibt, liegt das Problem nicht bei Ihrer Adresse, sondern bei dem Server, der sie weiterhin abfragt, und Sie können nur den Empfänger darauf hinweisen.

So lesen Sie ein Ergebnis Quelle für Quelle

Bei einer DNSBL ist die Abfrage weder ein API-Aufruf noch eine Suche auf einer Website: Es ist eine DNS-Anfrage. Die vier Oktette der Adresse werden umgedreht und um den Namen der Zone ergänzt, sodass 198.51.100.7 als 7.100.51.198 gefolgt von der Domain der Liste abgefragt wird. Deshalb kommt die Antwort im selben Format wie jede andere DNS-Antwort, und deshalb gibt es nur drei mögliche Ausgänge.

• Keine Antwort. Die Adresse steht nicht in dieser Zone. Das ist das normale Ergebnis, und Sie werden es bei den meisten Quellen sehen.
• Antwort mit einer Adresse 127.0.0.x. Die Adresse ist gelistet. Die letzte Zahl ist keine Dekoration: Sie kodiert, auf welcher Teilliste die Adresse gelandet ist, und genau darin liegt der Unterschied zwischen „von hier wurde Spam verschickt“ und „das ist ein Heimanschluss“. Zusammen mit dieser Antwort kommt meist ein TXT-Eintrag mit dem Grund im Klartext und dem Link zum Austragungsformular.
• Fehler oder ungewöhnliche Antwort. Weder gelistet noch sauber: Die Abfrage konnte nicht abgeschlossen werden. Das passiert bei einer Zeitüberschreitung, bei einer eingestellten Zone oder sehr oft, weil die Anfrage über einen öffentlichen Resolver gestellt wurde. Mehrere große Listen beantworten keine kostenlosen Anfragen, die über die meistgenutzten offenen Resolver eintreffen, und liefern statt eines Urteils einen Ablehnungscode.

Dieser dritte Fall führt zu den meisten Fehlschlüssen, weil er auf den ersten Blick wie ein sauberes Ergebnis aussieht. Eine ehrliche Anzeige trennt beides: „nicht gelistet“ und „konnte nicht abgefragt werden“ bedeuten nicht dasselbe, und nur das Erste ist ein Signal. Erscheint eine Quelle wiederholt ohne Urteil, wiederholen Sie die Abfrage später, bevor Sie sie in irgendeiner Richtung für gültig halten.

Und es lohnt sich, das Ergebnis Quelle für Quelle zu lesen, statt sich an die Summe zu halten. Auf einer Liste zu stehen, die fast alle großen E-Mail-Anbieter abfragen, hat sofortige Folgen; auf einer Randliste zu stehen, die kaum jemand nutzt, hat womöglich gar keine. Wie viele Listen Sie führen, ist viel weniger wichtig als welche.

Warum eine IP markiert wird

Fast nie ist es eine Strafe für etwas, das Sie wissentlich getan haben. Dies sind die Ursachen, die immer wiederkehren.

• Ein Gerät in Ihrem Netz hat Spam verschickt. Der häufigste Grund. Ein Computer, ein Smartphone oder sogar eine vernetzte Kamera wird infiziert und beginnt massenhaft Nachrichten zu versenden, ohne dass es zu Hause oder im Büro jemand bemerkt.
• Ihre Adresse war an einem Brute-Force-Angriff beteiligt. Wiederholte Anmeldeversuche auf fremden Servern – SSH, Admin-Oberflächen, Login-Formulare – lösen automatische Beschwerden gegen die Ursprungs-IP aus.
• Ein offener Mailserver. Ein falsch konfiguriertes Relay erlaubt jedem, darüber Nachrichten weiterzuleiten: Der Spam geht mit Ihrer Adresse hinaus, und die Beschwerden landen bei Ihnen.
• Ein kompromittiertes Konto. Ein geleaktes Passwort genügt, damit jemand Kampagnen aus Ihrem eigenen Postfach verschickt, mit Ihrem Server und Ihrer Reputation.
• Der Block ist vorbelastet. Der Bereich, zu dem Ihre Adresse gehört, war womöglich in der Hand eines Spammers oder liegt in der Nachbarschaft markierter Adressen. Manche Listen markieren ganze Bereiche.
• Erbe einer dynamischen Adresse. Ihnen wurde eine IP zugeteilt, die wegen ihres vorherigen Nutzers bereits markiert war.

Diese letzte Ursache ist wichtiger, als es scheint. Die meisten Heimanschlüsse nutzen dynamische Adressen: Die von heute muss nicht die von morgen sein, und manchmal erben Sie dabei eine fremde Vorgeschichte. Geschäftsanschlüsse und Server haben meist eine feste IP, und dort verschwindet die Markierung nicht von selbst: Sie müssen die Austragung beantragen.

Wenn Sie über ein VPN ins Internet gehen, teilen Sie sich die Adresse mit sehr vielen anderen, und es genügt, dass eine einzige Person Missbrauch betreibt, damit sie markiert wird: Deshalb sperren manche Dienste Sie, sobald Sie sich verbinden. Um zu sehen, welche Adresse Sie tatsächlich zeigen, vergleicht der VPN-Leak-Test sie mit der Ihres echten Anschlusses, und die IP-Geolokalisierung zeigt, welches Land und welcher Provider für sie eingetragen sind.

Wenn E-Mails abgewiesen werden: So erkennen Sie, ob die Liste schuld ist

Die meisten Menschen kommen wegen einer Bounce-Nachricht hierher: einer zurückgeschickten E-Mail mit einem englischen Text voller Abkürzungen. Drei Dinge sind zu tun, in dieser Reihenfolge.

Lesen Sie die Bounce-Nachricht vollständig, nicht nur die erste Zeile. Kommt die Ablehnung von einer Blacklist, nennt der Text sie meist und enthält eine Webadresse, unter der Sie den Grund nachlesen und die Austragung beantragen können. Damit haben Sie schon die halbe Antwort, und Sie wissen zudem, welche Liste Sie konkret sperrt.

Stellen Sie fest, welche IP bewertet wird. Selten ist es die Ihres Computers. Wenn Sie über Gmail, Outlook oder einen anderen Webmail-Dienst senden, sieht der Empfänger die Adresse dieses Anbieters, und das Problem liegt nicht bei Ihrem Anschluss. Hat Ihr Unternehmen einen eigenen Mailserver oder versenden Sie von einem VPS oder über ein Formular auf Ihrer Website, dann ja: Markiert ist diese Adresse, und genau sie müssen Sie prüfen.

Schließen Sie aus, was keine Blacklist ist. Viele Ablehnungen haben nichts mit der Reputation der IP zu tun. Die SPF-, DKIM- und DMARC-Einträge der Domain fehlen oder sind fehlerhaft; der Server hat keinen PTR-Eintrag, der zu dem Namen passt, mit dem er sich meldet; der Inhaltsfilter des Empfängers verwirft die Nachricht; oder das Postfach existiert nicht mehr. Die Authentifizierungseinträge stehen in den TXT-Einträgen der Domain und lassen sich mit der Abfrage der DNS-Einträge auslesen. Den Abuse-Kontakt des Bereichs, falls Sie am Ende jemandem schreiben müssen, finden Sie in der WHOIS-Abfrage dieser Adresse.

Welche Adresse Sie prüfen müssen

Bei diesem Schritt geht die meiste Zeit verloren. Die Reputation wird immer anhand der IP bewertet, die die Verbindung aufbaut, und diese Adresse hängt davon ab, was Sie beheben wollen.

• E-Mail, die über Gmail, Outlook oder einen anderen Webmail-Dienst versendet wird. Der Empfänger sieht die Adresse des Anbieters, nicht Ihre. Die IP Ihres Heimanschlusses zu prüfen, bringt nichts: Werden Ihre Nachrichten abgewiesen, liegt der Grund im Inhalt, in der Authentifizierung der Domain oder in der Reputation des Anbieters selbst.
• Eigener Mailserver, VPS oder ein Formular auf Ihrer Website. Hier ist die Prüfung angebracht. Zu prüfen ist die öffentliche Adresse dieses Rechners, die fast nie mit der Ihres Anschlusses übereinstimmt. Sie finden sie in der Verwaltungsoberfläche des Anbieters oder in den Received-Kopfzeilen einer Nachricht, die Sie selbst verschickt haben.
• Sperren beim Surfen, nicht beim E-Mail-Versand. Dann ist die maßgebliche Adresse die ausgehende Adresse Ihres Anschlusses, dieselbe, die jede Website sieht, die Sie öffnen.
• Hinter einem VPN. Prüfen Sie die Adresse des VPN-Servers, denn die zeigen Sie nach außen, und denken Sie daran, dass Sie sie mit sehr vielen anderen teilen.
• Website hinter einem CDN. Besucher sehen die Adresse des CDN, daher spielt die Ihres Ursprungsservers im Web kaum eine Rolle; für E-Mails, die von diesem Rechner ausgehen, zählt sie dagegen weiterhin.

Eine nützliche Abkürzung: Geht es um eine Bounce-Nachricht, steht die richtige Adresse meist schon im Text der Ablehnung, weil Server sie üblicherweise wörtlich neben dem Grund nennen. Beginnen Sie dort, bevor Sie sich auf die Suche machen.

So kommen Sie von einer Blacklist herunter, Schritt für Schritt

1. Finden Sie heraus, welche Liste Sie markiert hat. Jede hat ihr eigenes Verfahren, ihr eigenes Formular und ihre eigenen Fristen. Die Austragung an der falschen Stelle zu beantragen, nützt nichts.
2. Beheben Sie die Ursache, bevor Sie etwas beantragen. Untersuchen Sie die Geräte auf Malware, schließen Sie das offene Relay des Mailservers, ändern Sie die Passwörter kompromittierter Konten und prüfen Sie die Formulare der Website, über die sich unkontrolliert Nachrichten versenden lassen.
3. Beantragen Sie die Austragung bei jeder Liste. Fast alle bieten ein Formular, in das Sie die Adresse eintragen und manchmal angeben, was Sie behoben haben.
4. Prüfen Sie nach 24 oder 48 Stunden erneut. Bei manchen Listen laufen Einträge nach einer Phase unauffälligen Verhaltens von selbst ab; andere verlangen einen manuellen Antrag und brauchen ein bis sieben Tage für die Bearbeitung.

Die Reihenfolge ist keine Formalität. Beantragen Sie die Austragung, ohne die Ursache zu beseitigen, taucht die Adresse innerhalb weniger Tage wieder auf, und der Antrag war umsonst. Wenn eine IP immer wieder erscheint, ist der Schluss meist derselbe: Das infizierte Gerät, das offene Relay oder das kompromittierte Konto sind noch da.

Wenn Sie weder den Server noch den ausgehenden Router selbst verwalten, ist das Verfahren Sache derjenigen, die das tun: Ihres Hosting-Anbieters, Ihrer IT-Abteilung oder Ihres Internetproviders. Schreiben Sie ihnen mit der betroffenen Adresse, dem Namen der Liste und dem Text der Bounce-Nachricht.

Die Prüfung finden Sie oben auf dieser Seite: Geben Sie dort die Adresse ein, die Sie prüfen möchten – Ihre eigene, die Ihres Mailservers oder die des VPS, von dem aus Sie versenden –, denn das Formular akzeptiert jede öffentliche IPv4. Wenn Sie nicht wissen, mit welcher Sie surfen, klicken Sie auf „Meine aktuelle IP verwenden“ oder kopieren Sie sie von der Seite Wie lautet meine öffentliche IP.

So verhindern Sie einen erneuten Eintrag

Von einer Liste herunterzukommen ist ein einmaliger Vorgang; nicht wieder daraufzugeraten ist eine Gewohnheit. Dies sind die Maßnahmen, die das Ergebnis mittelfristig wirklich verändern.

• Versenden Sie keine E-Mails direkt von einem Heimanschluss. Nutzen Sie den Postausgangsserver Ihres Anbieters. Private Anschlussbereiche sind auf mehreren Listen per Richtlinie markiert, und kein Antrag holt sie dort heraus.
• Vervollständigen Sie die Authentifizierung der Domain. SPF, DKIM und DMARC verhindern keinen Eintrag, sorgen aber dafür, dass ein einzelner Vorfall weniger schwer wiegt und ein betrügerischer Missbrauch Ihrer Domain erkennbar wird.
• Prüfen Sie, ob der Server einen stimmigen PTR-Eintrag hat. Der Reverse-Name der IP muss zu dem Namen passen, mit dem sich der Server meldet. Viele Empfänger lehnen deswegen ab, noch bevor sie überhaupt eine Liste abfragen.
• Schließen Sie, was unkontrolliert weiterleitet. Offene Relays, Kontaktformulare ohne Versandlimit und schlecht eingestellte automatische Benachrichtigungen sind der übliche Weg, auf dem ein sauberer Server anfängt, Spam zu verschicken.
• Behalten Sie das ganze Netz im Blick, nicht nur den Server. In einem Büro genügt ein infiziertes Gerät oder eine Kamera mit Werkspasswort, damit missbräuchlicher Verkehr über die gemeinsame IP hinausgeht.
• Achten Sie auf Volumen und Empfängerliste. Ein plötzlicher Massenversand von einer Adresse ohne Vorgeschichte oder an alte Konten, die inzwischen als Spam-Fallen dienen, ist einer der schnellsten Wege, markiert zu werden, ohne etwas Illegales getan zu haben.

Und eine günstige Gewohnheit: Prüfen Sie die Adresse ab und zu, nicht nur, wenn etwas schiefgeht. Listen handeln ohne Vorwarnung, und die Warnung kommt, wenn überhaupt, meist von einem Kunden, der sagt, er habe Ihre Nachricht nie erhalten.

Was dieses Ergebnis nicht beweist

Hier geraten die meisten Schlussfolgerungen auf Abwege, und zwar in beide Richtungen. Dies sind die tatsächlichen Grenzen der Prüfung.

• Abgefragt werden nur die eingerichteten Quellen. Es gibt viele aktive Listen, und kein Tool fragt sie alle ab. Das Ergebnis beschreibt die, die wir prüfen.
• „Nicht gelistet“ heißt nicht „sicher“. Es ist das Fehlen eines Signals in bestimmten Quellen und zu diesem Zeitpunkt, kein Zertifikat für eine gute Reputation.
• „Gelistet“ beweist auch keine böswillige Aktivität. Es kann sich um einen geteilten Bereich handeln, in dem ein anderer Kunde Missbrauch betrieben hat, um eine alte Beschwerde, die niemand zurückgezogen hat, oder um einen Fehler.
• Die Datenbanken können veraltet oder unvollständig sein. Manche nehmen Adressen wenige Minuten nach Erkennen des Missbrauchs auf; andere brauchen lange, um bereits Behobenes zu bereinigen.
• Die Abdeckung von IPv6 hängt vom jeweiligen Anbieter ab. Viele Listen sind weiterhin auf IPv4 ausgerichtet, und ihre Informationen zu IPv6 sind lückenhaft.
• Private Listen bleiben außen vor. Die internen Reputationssysteme von Unternehmen wie Microsoft, Google oder Apple sowie die von Banken und Providern sind weder öffentlich noch abfragbar. Eine Nachricht kann bei einem bestimmten Dienst im Spam landen, obwohl alle öffentlichen Listen sauber sind.

Deshalb sprechen wir von Signalen, die zum Zeitpunkt der Abfrage sichtbar sind, und nicht von einem Urteil. Die Reputation einer IP ändert sich von selbst: Es genügt, dass der Provider Ihnen die Adresse neu zuteilt oder dass ein Nachbar im Adressbereich aufhört, Spam zu verschicken. Nach einigen Tagen erneut zu prüfen, gehört zur Methode. Nach welchen Kriterien wir jedes Signal einordnen, steht in der Methodik auf Deutsch.

Häufige Fragen zu IP-Blacklists

Wie erkenne ich, ob meine IP auf einer Blacklist steht?

Geben Sie die IPv4-Adresse, die Sie prüfen möchten, in das Formular oben auf dieser Seite ein und starten Sie die Abfrage: Sie erhalten das Ergebnis Quelle für Quelle für die öffentlichen Listen, die wir eingerichtet haben. Geht es Ihnen um E-Mail, prüfen Sie die IP des Servers, der Ihre Nachrichten verschickt – sie ist selten dieselbe wie die Ihres Computers. Das Ergebnis deckt nur die abgefragten Quellen ab.

Warum steht meine IP auf einer Blacklist?

Die häufigsten Ursachen sind diese: Ein Gerät in Ihrem Netz hat Spam verschickt, fast immer infiziert, ohne dass es jemand bemerkt hat; Ihre Adresse war an einem Brute-Force-Angriff auf fremde Server beteiligt; ein falsch konfigurierter Mailserver hat anderen erlaubt, über ihn Nachrichten weiterzuleiten; oder der Block, zu dem Ihre IP gehört, ist mit früheren Beschwerden belastet. Bei Heimanschlüssen wird so etwas auch vererbt: Die Adressen wechseln, und Sie können eine bereits markierte erwischen.

Wie bekomme ich meine IP wieder von einer Blacklist?

Finden Sie zuerst heraus, welche Liste Sie markiert hat, denn jede hat ihr eigenes Verfahren. Beheben Sie danach die Ursache: Untersuchen Sie die Geräte, schließen Sie das offene Relay und ändern Sie die Passwörter kompromittierter Konten. Erst dann beantragen Sie die Austragung über das Formular der jeweiligen Liste. Beantragen Sie sie, ohne die Ursache zu beseitigen, stehen Sie innerhalb weniger Tage wieder darauf.

Warum werden meine E-Mails abgewiesen, wenn meine IP auf keiner Liste steht?

Weil Blacklists nur einer von mehreren Ablehnungsgründen sind. Nachrichten werden auch abgewiesen, wenn die SPF-, DKIM- und DMARC-Einträge der Domain fehlen oder fehlerhaft sind, wenn die IP des Servers keinen stimmigen PTR-Eintrag hat, wenn der Inhaltsfilter des Empfängers sie verwirft oder wenn das Zielpostfach nicht mehr existiert. Der Text der Bounce-Nachricht verrät meist, um welchen dieser Fälle es sich handelt.

Wie lange dauert es, bis eine IP von einer Blacklist verschwindet?

Das hängt von der Liste ab. Bei manchen laufen Einträge nach 24 oder 48 Stunden unauffälligen Verhaltens von selbst ab; andere verlangen einen manuellen Antrag und brauchen ein bis sieben Tage für die Bearbeitung. Wenn Sie das Problem gerade behoben haben, prüfen Sie am nächsten Tag erneut. Taucht die Adresse immer wieder auf, ist die eigentliche Ursache noch nicht beseitigt.

Wirkt sich eine Blacklist auf meine Website aus oder nur auf E-Mail?

Die deutliche Wirkung betrifft E-Mail: Server, die diese Liste abfragen, weisen Ihre Nachrichten ab oder schieben sie in den Spam-Ordner. Im Web ist das seltener, auch wenn manche Sicherheitsdienste, Firewalls und CDN-Regeln Anfragen tatsächlich nach Reputation sperren. Liegt Ihre Website hinter einem CDN, sehen Besucher die IP des CDN, sodass die IP Ihres Servers vor allem beim E-Mail-Versand ins Gewicht fällt.

Bekomme ich eine neue IP und bin von der Liste, wenn ich den Router neu starte?

Manchmal ja, denn viele Heimanschlüsse nutzen dynamische Adressen, und beim Neuverbinden erhalten Sie eine andere. Gelöst ist damit aber nichts: Ist das Gerät, das die Beschwerde ausgelöst hat, weiterhin infiziert, wird auch die neue Adresse markiert, und wer die alte bekommt, erbt Ihr Problem. Außerdem haben Geschäftsanschlüsse meist eine feste IP, und dort lässt sich nichts wechseln.

Bedeutet ein Blacklist-Eintrag, dass ich einen Virus habe?

Nicht unbedingt. Das ist eine reale Möglichkeit, die Sie ausschließen sollten, aber auch saubere Adressen tauchen auf: geteilte Bereiche, in denen ein anderer Kunde Missbrauch betrieben hat, alte Beschwerden, die niemand zurückgezogen hat, VPN- oder Hosting-IPs, die viele Menschen gleichzeitig nutzen, und einzelne Fehler. Ein Listeneintrag ist ein Hinweis, dem Sie nachgehen sollten, kein Beweis für eine Infektion.