IP oder Domain auf einer Blacklist: prüfen, verstehen, wieder herunterkommen

Mails kommen nicht mehr an, und im Protokoll steht etwas von einer Sperrliste. Dieser Text zeigt, wie du herausfindest, welche Liste greift, wie ein Delisting abläuft und warum es meistens nur hält, wenn du vorher die Ursache abstellst.

Erst prüfen: welche Liste, welcher Eintrag

Die Fehlermeldung nennt fast immer die Liste. Ein typischer Fall sieht so aus:

554 5.7.1 Service unavailable; Client host [203.0.113.5] blocked using zen.spamhaus.org

Damit hast du beides: die betroffene IP-Adresse und die Liste. Bevor du irgendetwas beantragst, kläre zwei Fragen. Erstens: Ist die Adresse überhaupt deine? Wer über den Server eines Hosters versendet, teilt sich die Adresse oft mit vielen anderen, und dann ist der Eintrag nicht deine Schuld und auch nicht deine Baustelle. Zweitens: Ist die Domain betroffen oder die IP? Domain-Sperren erkennst du daran, dass der Versand von jeder Adresse aus scheitert.

Die Listen, auf die es ankommt

Es gibt Dutzende, aber nur eine Handvoll wird von großen Anbietern tatsächlich ausgewertet. Wer auf einer unbedeutenden Liste steht, merkt davon nichts. Zwei Arten sind zu unterscheiden:

• Öffentliche Sperrlisten mit klaren Regeln und einem Verfahren zur Entfernung. Hier lohnt der Antrag.
• Interne Bewertungen der großen Anbieter. Microsoft, Google und die deutschen Anbieter führen eigene Einschätzungen, die nirgends abfragbar sind. Ein Formular gibt es meist trotzdem, aber die Entscheidung trifft ein Verfahren, kein Mensch, und sie beruht auf deinem Sendeverhalten der letzten Wochen.

Von Diensten, die gegen Geld ein Delisting versprechen, ist abzuraten. Sie tun nichts, was du nicht selbst tun kannst.

Delisting beantragen, und warum es oft nicht hält

Der Ablauf ist bei den meisten Listen gleich: Formular ausfüllen, Adresse angeben, bestätigen, dass die Ursache behoben ist. Viele Listen entfernen Einträge auch von selbst, wenn eine Zeit lang nichts Auffälliges mehr von der Adresse kam.

Der Fehler, den fast alle machen: Sie beantragen das Delisting, bevor sie die Ursache gefunden haben. Dann steht die Adresse zwei Tage später wieder drauf, und der zweite Antrag wird kritischer geprüft als der erste. Manche Listen setzen nach wiederholten Anträgen ohne Verhaltensänderung eine Sperrfrist.

Die Ursache abstellen: fünf typische Auslöser

• Ein kompromittierter Zugang. Der häufigste Fall bei plötzlichen Sperren. Jemand hat Zugangsdaten erbeutet und verschickt über deinen Server Werbung. Passwörter rotieren, Protokoll auf fremde Absenderadressen durchsehen.
• Ein veralteter Adressbestand. Viele unbekannte Empfänger sind für Empfängerserver das deutlichste Zeichen für ungepflegte Listen. Dauerhafte Bounces gehören konsequent gesperrt, siehe SMTP-Fehlercodes und Bounces.
• Spamfallen. Alte, stillgelegte Adressen, die von Listenhändlern wieder in Umlauf gebracht werden. Wer sie anschreibt, hat nachweislich nicht sauber eingesammelt. Genau deshalb ist gekauftes Adressmaterial ein Ausschlusskriterium.
• Ein plötzlicher Mengensprung. Von 200 Mails im Monat auf 20.000 an einem Tag sieht von außen aus wie eine Übernahme. Menge über Tage steigern.
• Der Nachbar im Adressblock. Bei geteilten Hoster-Adressen kannst du selbst wenig tun. Das ist der Punkt, an dem sich ein eigener Versandweg lohnt.

Reputation aufbauen, verständlich erklärt

Reputation ist kein Wert, den man einstellt, sondern ein Eindruck, den Empfängerserver über Wochen gewinnen. Sie achten darauf, wie gleichmäßig du sendest, wie viele Empfänger es gar nicht gibt, wie oft jemand auf „Spam" klickt und ob Absenderadresse, SPF und DKIM zusammenpassen.

Ein Warmup ist deshalb nichts Geheimnisvolles: In den ersten Wochen wird die tägliche Menge schrittweise erhöht, statt sofort alles auf einmal zu verschicken. Bei einem Versanddienst übernimmt das der Anbieter, weil er die Adressen kennt und ihre Historie pflegt. Genau dafür ist er da.

Wie MailBridge damit umgeht

Der Versand läuft über gepflegte Adressen, deren Ruf laufend beobachtet wird; Warmup, Blacklist-Überwachung und die Klärung von Sperren gehören zum Leistungsumfang und sind in jedem Paket enthalten. Deine eigene Server-IP taucht dabei nach außen nicht mehr auf.

Im Portal siehst du zu jeder unzustellbaren Mail den Originalgrund und eine Erklärung im Klartext, dazu die Bounce-Rate im Zeitverlauf. Damit fällt ein Problem auf, bevor es zur Sperre wird. Die Bedienung steht in der Anleitung zu Bounces und NDR.

Erst feststellen, ob es überhaupt eine Sperre ist

Nicht jede nicht zugestellte Mail liegt an einer Blacklist. Bevor du Anträge stellst, grenze ein:

1. Betrifft es alle Empfänger oder nur einen Anbieter? Wenn nur Mails an einen einzigen großen Anbieter scheitern, ist es dessen interne Bewertung und keine öffentliche Liste.
2. Betrifft es alle Absender oder nur einen? Scheitert nur eine Adresse, ist eher die Absenderdomain das Thema, etwa ein fehlender DKIM-Eintrag.
3. Was steht wörtlich in der Antwort? „blocked using" nennt die Liste, „policy reasons" nicht. Der Klartext ist aussagekräftiger als der Zahlencode davor.
4. Seit wann? Ein klarer Zeitpunkt deutet auf ein Ereignis hin: ein kompromittierter Zugang, ein Massenversand, ein Serverumzug.

Fehlt die Authentifizierung, sieht das oft aus wie eine Sperre, ist aber keine. Dann hilft kein Delisting, sondern der Ratgeber zu SPF, DKIM und DMARC.

Wenn Microsoft oder Google blockiert

Diese beiden Fälle verlaufen anders als eine öffentliche Liste, weil es keine abfragbare Eintragung gibt.

• Microsoft antwortet häufig mit 550 5.7.708 oder einem Hinweis auf die eigene Sperrliste. Es gibt ein Formular zur Entsperrung, das für einzelne Adressen greift. Bei wiederholten Fällen wird es nicht mehr angenommen, und dann hilft nur ein anderer Versandweg.
• Google nennt selten einen Grund und verweist auf allgemeine Richtlinien. Entscheidend sind dort die Beschwerdequote und die Frage, ob Absenderadresse, SPF und DKIM zusammenpassen. Ein Formular gibt es, eine schnelle Entscheidung nicht.

Beide bewerten das Verhalten der letzten Wochen. Ein Antrag ohne geänderte Praxis ändert nichts.

Vorbeugen ist der ganze Trick

• Dauerhafte Bounces automatisch sperren statt von Hand.
• Menge in Stufen erhöhen statt in Sprüngen.
• Zugangsdaten je Anwendung trennen, damit ein kompromittierter Zugang nicht den ganzen Versand mitreißt.
• Absenderdomain an den Zugang binden, damit im Missbrauchsfall nicht im Namen fremder Domains gesendet werden kann.
• Die Bounce-Rate regelmäßig ansehen. Sie ist das Frühwarnsignal, das man am leichtesten übersieht.