Ihre IP steht auf einer Blocklist: in 5 Minuten prüfen und was die Listung wirklich aufhebt

Mails kommen zurück, die Firewall eines Partners antwortet nicht mehr oder eine Website zeigt Ihrem Server eine Captcha-Wand. Jemand sagt „deine IP ist auf der Blacklist“, und der erste Impuls ist, eine neue zu verlangen. Meist ist das der falsche erste Schritt. So finden Sie in etwa fünf Minuten heraus, was wirklich los ist, und was es dauerhaft behebt.

Was eine „Blocklist“ eigentlich ist

Das Wort deckt drei verschiedene Dinge ab, und sie werden unterschiedlich behoben.

1. DNS-Blocklisten (DNSBLs). Öffentliche Listen von Adressen, die Spam gesendet oder Anzeichen einer Kompromittierung gezeigt haben. Mailserver fragen sie bei jeder eingehenden Verbindung ab. Das ist meist mit „auf der Blacklist“ gemeint, und es ist die behebbare Art.
2. Interne Reputation großer Mailbox-Anbieter. Große Webmail-Dienste führen eigene Bewertungen und veröffentlichen sie nicht. Sie sehen die Wirkung (Mails landen im Spam oder werden verzögert), aber es gibt keine Liste zum Prüfen, nur deren Postmaster-Werkzeuge.
3. Einordnung des Netzes. Viele Websites und Betrugserkennungssysteme behandeln jede Rechenzentrumsadresse als „Hosting“ und prüfen oder blockieren sie. Das ist keine Listung und lässt sich nicht entfernen; es beschreibt, zu welcher Art Netz die Adresse gehört.

Der Rest dieses Artikels dreht sich vor allem um die erste Art, weil Sie sie selbst prüfen und beheben können.

Die Listen, die sich zu prüfen lohnen

• Spamhaus wird von den meisten Mailservern genutzt. Die kombinierte Zone ZEN umfasst die SBL (bekannte Spamquellen), XBL (infizierte oder ausgenutzte Maschinen, gespeist aus der CBL), PBL (Bereiche, die nicht direkt Mail senden sollten) und CSS („Snowshoe“-Spam mit geringem Volumen).
• Barracuda betreibt eine eigene Liste, die viele Firmen-Mailgateways nutzen.
• SpamCop listet Adressen nach Nutzerbeschwerden; Einträge laufen etwa 24 Stunden nach der letzten Beschwerde von selbst aus.
• UCEPROTECT hat drei Stufen. Stufe 1 sind einzelne Adressen, der Eintrag läuft nach sieben Tagen ohne neuen Spam automatisch aus. Stufen 2 und 3 listen ganze Zuteilungen und Netze für das Verhalten von Nachbarn und verkaufen eine „Express“-Entfernung. Große Mailanbieter stützen sich selten auf Stufe 2 und 3.

Die Prüfung

DNS-Blocklisten werden abgefragt, indem man die Oktette der Adresse umdreht und sie unter der Zone der Liste nachschlägt. Von jedem Linux-Server:

IP=203.0.113.7
REV=$(echo "$IP" | awk -F. '{print $4"."$3"."$2"."$1}')
for BL in zen.spamhaus.org b.barracudacentral.org bl.spamcop.net; do
  echo "$BL: $(dig +short "$REV.$BL" A | tr '\n' ' ')"
done

Keine Antwort heißt nicht gelistet. Eine Antwort im Bereich 127.0.0.x heißt gelistet, und bei Spamhaus sagt die letzte Zahl, in welchem Teil von ZEN:

Die letzte Zeile bringt viele aus dem Tritt. Spamhaus beantwortet keine Anfragen, die über große öffentliche DNS-Resolver kommen, und gibt stattdessen einen Fehlercode zurück. Wirkt jede Prüfung merkwürdig, führen Sie sie von einem Server mit eigenem Resolver aus oder nutzen Sie die Abfrageseite der jeweiligen Liste. Einige Listen verlangen von intensiven Nutzern außerdem eine Registrierung, bevor sie per DNS abgefragt werden dürfen.

Erst die Ursache beheben

Ein Delisting-Antrag ohne Behebung verschafft Ihnen ein, zwei Tage bis zur nächsten Listung, und wiederholte Listungen dauern länger. Klären Sie also, woher sie kommt:

• Stand die Adresse schon auf der Liste, bevor Sie sie bekamen? Vergleichen Sie das Listungsdatum mit dem Anlagedatum Ihres Servers. Eine alte Listung ohne neue Aktivität ist der einfache Fall: direkt zum Delisting-Formular.
• XBL- oder CBL-Listung: Die Liste hat von Ihrer Adresse Traffic gesehen, der typisch für Malware oder ein Botnetz ist. Suchen Sie nach unbekannten Prozessen, unerwarteten ausgehenden Verbindungen auf Port 25, neuen Cron-Einträgen und fremden SSH-Schlüsseln. Eine kompromittierte Web-App oder ein schwaches Passwort ist der übliche Einstieg. Wenn Sie nicht sicher sind, dass die Maschine sauber ist, setzen Sie sie neu auf.
• SBL- oder CSS-Listung: Mail von Ihrer Adresse sah aus wie Spam. Prüfen Sie Kontaktformulare, die ohne Captcha Mails versenden, Newsletter-Skripte und jeden SMTP-Dienst, der auf der öffentlichen Schnittstelle lauscht.
• Versenden Sie überhaupt Mail? Bei vielen Hostern sind die ausgehenden Ports 25 und 465 standardmäßig geschlossen; Mail sollte über einen Mail-Anbieter auf Port 587 gehen. Wenn Sie nie Mail senden und trotzdem gelistet sind, tut es etwas anderes auf dem Server.

Wenn Sie nicht vertrauenswürdigen Code auf derselben Maschine ausführen, die Ihre Mails versendet, ist jetzt der Moment, beides zu trennen. Eine Sandbox oder ein zweiter Server für die riskante Arbeit hält deren Reputationsprobleme von Ihrer Mailadresse fern; Isolationsstufen für nicht vertrauenswürdigen Code vergleicht die Optionen.

Dann delisten

• Spamhaus: Nutzen Sie die Abfrageseite; sie verlinkt das passende Entfernungsverfahren für die Zone. XBL/CBL- und PBL-Entfernungen sind Self-Service, sobald die Ursache weg ist; eine PBL-Entfernung ergibt nur Sinn, wenn Sie wirklich einen Mailserver mit passendem Reverse-DNS betreiben.
• Barracuda: Senden Sie das Entfernungsformular mit einer kurzen Erklärung, was Sie behoben haben. Rechnen Sie mit bis zu etwa einem Tag.
• SpamCop: Nichts zu tun; der Eintrag läuft etwa einen Tag nach dem Ende der Beschwerden von selbst aus.
• UCEPROTECT: Stufe 1 läuft nach sieben Tagen ohne neuen Spam aus. Ignorieren Sie Stufe 2 und 3 und zahlen Sie nicht für eine Entfernung.

Richten Sie nach dem Delisting die Grundlagen ein, die Sie von Listen fernhalten: einen Reverse-DNS-Namen, der zum Hostnamen des Servers passt, SPF, DKIM und DMARC für Ihre Domain und einen wöchentlichen Cron-Job, der die Prüfung oben ausführt und Ihnen eine Mail schickt, wenn sich etwas ändert.

Wann eine neue Adresse die richtige Antwort ist

Manchmal ist sie das: etwa wenn auf der Adresse eine alte SBL-Listung liegt, die sich nicht entfernen lässt, oder wenn Sie für ein neues Projekt eine saubere Reputation brauchen. Bei uns bedeutet eine andere Adresse einen neuen Server: bestellen, Daten umziehen, den alten kündigen; IP-Adresse ändern geht alle Optionen durch. Wenn Sie eine Listung Ihrer aktuellen Adresse für falsch halten, öffnen Sie ein Ticket mit Listenname und Link. Wir sehen uns jeden Fall an, tauschen Adressen aber nicht auf Zuruf.

Zwei letzte Punkte. Wenn Reputation überhaupt eine Rolle spielt (Mail, Partner-Allowlists, an eine Adresse gebundene API-Schlüssel), nehmen Sie einen Tarif mit eigener IPv4 wie Small-IP: Bei einem NAT-Tarif ist die ausgehende Adresse nicht Ihre eigene und kann keine eigene Absenderreputation tragen. Und wenn eine Website Sie blockiert, weil Sie in einem Rechenzentrum sind, ändern das weder eine Liste noch eine neue Rechenzentrumsadresse; was jeder Tarif freigibt, erklärt Netzwerk & Ports.