Spamhaus Blacklist: IP prüfen und Löschung beantragen

So prüfen Sie einen Spamhaus-Eintrag

Ob Spamhaus Ihre IP-Adresse oder Domain listet, sehen Sie im eigenen "IP and Domain Reputation Checker" von Spamhaus unter check.spamhaus.org. Er nennt die Liste, den Grund und die Möglichkeit zur Entfernung für diese Liste. Der Checker hat im März 2021 das alte "Blocklist Removal Center" ersetzt; eine Anleitung, die Sie noch zu einem "Removal Center" schickt, meint also diese Seite.

Spamhaus ist wichtiger als die meisten Blocklisten, weil so viele Empfänger sie nutzen. Die Standardregeln von SpamAssassin und Rspamd fragen beide die ZEN-Liste ab, die Ablehnung 550 OU-001 von Outlook.com verweist für die Entfernung auf Spamhaus, und Yahoos 553/554-Fehler können "Your IP is listed by Spamhaus" lauten. Nennt ein Bounce Spamhaus, prüfen Sie die IP-Adresse aus diesem Bounce.

Andere Blacklist-Checker verlinken entweder dorthin oder fragen die DNS-Zonen von Spamhaus selbst ab. Das funktioniert nur vom richtigen Resolver aus (siehe unseren Resolver-Test).

Die Spamhaus-Listen erklärt: SBL, CSS, XBL, PBL, DBL und ZEN

Spamhaus betreibt mehrere Listen, und der Weg zur Entfernung hängt ganz davon ab, welche Liste Sie führt. Vier davon listen IP-Adressen und sind in ZEN (zen.spamhaus.org) zusammengefasst, der einen Zone, die ein Mailserver abfragen muss. Die fünfte, die DBL, listet stattdessen Domainnamen.

ZEN ist schlicht SBL + CSS + XBL + PBL in einer Abfrage, deshalb kann eine Abfrage mehrere Codes auf einmal liefern. Die Testadresse 127.0.0.2 von Spamhaus steht absichtlich auf drei Listen und antwortet deshalb mit 127.0.0.2, 127.0.0.4 und 127.0.0.10 zugleich. Spamhaus bittet Anwendungen, die Rückgabecodes auszuwerten ("parse"), lesen Sie also jeden Code der Antwort, nicht nur den ersten.

Warum blockiert Spamhaus meine IP?

Spamhaus veröffentlicht seine genauen Auslöser nicht, aber die Seite jeder Liste sagt, welches Verhalten eine Adresse dort landen lässt:

• XBL: Ein Gerät hinter der Adresse ist infiziert oder wird missbraucht. Malware auf einem PC, eine "Free-VPN"-App, die Ihre Verbindung als fremden Proxy nutzt, ein Gerät, das an Brute-Force-Angriffen beteiligt ist, oder etwas, das mit gestohlenen Passwörtern Mail weiterleiten will.
• CSS: Der Mailserver selbst sendet schlechte Mail. Unerwünschte Mail, schlechte Listenpflege, ein gehacktes Postfach oder CMS, das Spam verschickt, oder ein Server, dessen HELO-Name und Reverse-DNS nicht zusammenpassen.
• SBL: Spamhaus hat die Adresse einem Spam- oder Missbrauchsbetrieb zugeordnet. Bei Shared Hosting oder einem günstigen VPS kann das ein früherer Mieter oder ein Nachbar sein, und Spamhaus kann Einträge auf die eigene Infrastruktur eines Providers oder größere Bereiche ausweiten, wenn der Provider Missbrauch beherbergt.
• PBL: Die Adresse gehört zu einem Privat- oder anderen Endkundenanschluss. Ihr Provider (oder Spamhaus) hat sie als Adressraum markiert, der nicht direkt Mail ausliefern soll. Die Ablehnung 550 DY-001 von Outlook.com folgt derselben Regel: Mail direkt von dynamischen IP-Adressen nimmt Outlook.com in der Regel nicht an.
• DBL: Eine Domain in Ihrer Mail ist gelistet. Ihre eigene Domain oder ein Link in der Nachricht tauchte in Spam oder auf gehosteten Phishing- oder Malware-Seiten auf. Auch gehackte legitime Domains werden gelistet, mit eigenen Codes (127.0.1.102 bis 127.0.1.106).

Lesen Sie den Grund aus dem Checker, bevor Sie etwas ändern: Einen infizierten Laptop zu reparieren hat mit einem Heimanschluss auf der PBL nichts gemeinsam.

So werden Sie bei Spamhaus delistet

Erst beheben, dann beantragen. Spamhaus listet eine Adresse wieder, sobald es das Problem erneut erkennt, und Selbstentfernungen sind begrenzt. Eine Entfernung vor der Behebung ist also eine vergeudete Entfernung.

1. Die gelistete Adresse findenNehmen Sie die IP-Adresse aus dem Bounce oder dem Log Ihres Mailservers: die öffentliche Adresse, von der die Mail ausging, keine 192.168.x.x.
2. Bei check.spamhaus.org abfragenNotieren Sie die Liste (SBL, CSS, XBL, PBL oder DBL), den Listungsgrund und eine eventuelle Referenznummer.
3. Die Ursache behebenDas infizierte Gerät bereinigen, das Relay schließen, Reverse-DNS und HELO korrigieren oder den auslösenden Massenversand stoppen.
4. Entfernung beantragen oder den Provider bittenNutzen Sie bei XBL-, CSS-, PBL- und DBL-Einträgen die Entfernungsoption des Checkers. Bei einem SBL-Eintrag öffnen Sie ein Ticket beim Abuse-Team Ihres Providers oder Hosters.
5. Erneut prüfenDie Zonen von Spamhaus laden innerhalb von Minuten neu, manche Netzwerke hinken aber bis zu einen Tag hinterher. Lässt sich eine Entfernung nicht sofort bearbeiten, eröffnet der Checker ein Ticket für Sie.

SBL: Ihr Provider oder Hoster muss die Entfernung beantragen

Einen SBL-Eintrag können Sie nicht selbst entfernen. Laut der SBL-Seite von Spamhaus muss der für die Adresse zuständige Provider die Entfernung beantragen, nachdem der Missbrauch beseitigt wurde. Öffnen Sie ein Ticket beim Abuse-Team Ihres Providers, nennen Sie die SBL-Referenz aus dem Checker und schreiben Sie, was Sie behoben haben.

Solange der SBL-Eintrag besteht, bearbeitet Spamhaus für diese Adresse keine Entfernungen aus anderen Listen. Bei Shared Hosting, wenn der Eintrag nicht Sie betrifft, ist die Bitte an den Hoster um eine saubere IP-Adresse oft schneller, als darauf zu warten, dass ein Eintrag für einen ganzen Bereich aufgehoben wird.

XBL: Erst das infizierte Gerät bereinigen, dann selbst delisten

Ein XBL-Eintrag lässt sich bei check.spamhaus.org selbst entfernen und läuft außerdem einige Zeit nach dem Ende des schädlichen Datenverkehrs von allein ab. Die Liste ist stark in Bewegung: Laut Spamhaus enthält sie im Schnitt etwa 2 Millionen Einträge, mit rund 650.000 neuen Erkennungen alle 24 Stunden.

Eine Entfernung vor der Ursachensuche hält nicht: Die Adresse wird neu gelistet, sobald sich das infizierte Gerät das nächste Mal verbindet. Die XBL-Seite von Spamhaus empfiehlt:

• Alle Geräte hinter der Adresse aktualisieren und auf jedem einen vollständigen Malware-Scan ausführen.
• Browser-Erweiterungen und "Free-VPN"-Apps entfernen, die Sie nicht kennen.
• Die Firmware des Routers aktualisieren, unnötigen Zugriff von außen abschalten und nur die benötigten Ports öffnen.
• Um den Missbrauch sofort zu stoppen, am Router oder an der Firewall den ausgehenden Port 25 für alles außer Ihrem echten Mailserver sperren. Das stoppt den Spam, nicht die Infektion; netstat oder TCPView zeigt, welcher Rechner es weiter versucht.

Nicht jedes Netzwerk übernimmt Entfernungen gleich schnell. Spamhaus bittet deshalb, 24 Stunden abzuwarten, bevor Sie ein Ticket wegen einer noch nicht sichtbaren Entfernung öffnen.

CSS: Erst den Mailserver reparieren, dann Entfernung beantragen

CSS-Einträge entstehen automatisch und sind kurzlebig. Sie laufen normalerweise drei Tage nach der letzten Erkennung ab, in manchen Fällen chronischen Missbrauchs später. Sie können die Entfernung im Checker beantragen, sobald die Ursache behoben ist, aber Selbstentfernungen sind begrenzt, und die Adresse wird sofort wieder gelistet, wenn das Problem anhält.

Schon die Konfiguration allein kann einen CSS-Eintrag auslösen. Die CSS-Seite von Spamhaus nennt HELO und Reverse-DNS: Der PTR-Eintrag sollte existieren und den Hostnamen nennen, den der Server verwendet, die Vorwärtsauflösung sollte zum HELO-Namen passen, und HELO/EHLO sollte ein vollqualifizierter Domainname sein, nicht localhost.localdomain oder mail. Ein Load Balancer vor den Mailservern kann die öffentliche Adresse außerdem infiziert aussehen lassen.

PBL: keine Strafe, also ändern Sie, wie Sie senden

Die PBL listet Endkunden-Adressbereiche, dynamische wie statische, "von denen aus E-Mail nie direkt an das endgültige Ziel gesendet werden sollte". Viele dieser Bereiche tragen Provider selbst ein, und laut Spamhaus sind die Adressen "nicht unbedingt schlecht". Eine Heim-Breitbandadresse auf der PBL ist normal.

Wenn ein PBL-Eintrag Ihre Mail abweist, besteht die Lösung meist darin, die Art des Versands zu ändern, nicht den Eintrag zu löschen:

• Senden Sie über den Postausgangsserver Ihres Providers oder E-Mail-Anbieters (einen Smarthost), statt direkt an die Server der Empfänger auszuliefern.
• Aktivieren Sie SMTP-Authentifizierung und nutzen Sie die Submission-Ports 587 oder 465, nicht 25.
• Nur wenn Sie wirklich einen Mailserver an dieser Adresse betreiben und die Richtlinie Ihres Providers das erlaubt, beantragen Sie bei check.spamhaus.org eine Ausnahme. Eine Ausnahme für eine einzelne IP gilt ein Jahr (Provider können einen kürzeren Zeitraum festlegen) und wird aufgehoben, wenn von der Adresse Spam kommt.

DBL: eine Domain delisten

Die DBL listet Domains, nie IP-Adressen. Fragen Sie die Domain im Checker ab und folgen Sie seinen Anweisungen; die DBL-Seite von Spamhaus nennt ihn den einzigen Ort, an dem DBL-Entfernungen bearbeitet werden. Genehmigte Anträge sind meist nach wenigen Minuten sichtbar, manche Systeme brauchen bis zu 24 Stunden, und ein Eintrag, der nach einem Tag noch da ist, ist eine Nachricht an Spamhaus wert. Einträge laufen außerdem ab, sobald die Aktivität aufhört.

Wurde die Website gehackt (etwa eine WordPress-Installation, die Phishing-Seiten ausliefert), bereinigen Sie sie zuerst und ändern alle Passwörter: Eine Domain, die den Inhalt weiter ausliefert, wird erneut gelistet. Das Formular garantiert keine Entfernung, und Spamhaus kann Nutzer sperren, die übermäßig oft Entfernungen beantragen.

Das zuerst beheben, damit der Eintrag nicht zurückkommt

Das Delisten bekämpft nur das Symptom. Das sind die Ursachen, die eine Adresse wieder auf die Liste bringen, ungefähr in der Reihenfolge, in der Sie sie prüfen sollten:

Keiner der oben genannten Listungsgründe von Spamhaus ist ein fehlender SPF- oder DMARC-Eintrag, ein veröffentlichter Eintrag hebt also keine Listung auf. Empfänger prüfen sie aber bei jeder Nachricht: Googles Richtlinien für Absender verlangen von jedem Absender SPF oder DKIM sowie gültiges Forward- und Reverse-DNS, und von allen, die täglich 5.000 oder mehr Nachrichten an Gmail senden, SPF, DKIM und DMARC. Absendern auf einer geteilten IP raten sie außerdem sicherzustellen, dass die IP auf keiner Blockliste steht.

Richten Sie einen neuen Mailanbieter ein? Unsere Anleitung zu Titan Email führt Schritt für Schritt durch seine MX-, SPF- und DKIM-Einträge.

Warum 8.8.8.8 und 1.1.1.1 Spamhaus nicht prüfen können (unser Test)

Viele Blacklist-Checker, Skripte und sogar Mailserver fragen Spamhaus über einen großen öffentlichen Resolver ab. Spamhaus blockiert das, weil öffentliche Resolver verbergen, wer fragt. In einem Beitrag von 2018 schrieb Spamhaus, ein einzelner öffentlicher Resolver, wohl der beliebteste, schicke ihm etwa zwei Milliarden Abfragen pro Tag, rund 20 % aller seiner Abfragen. Öffentliche Resolver bekommen deshalb statt der Daten einen Fehlercode oder eine leere "nicht gelistet"-Antwort.

Test von DNS Robot am 26. Oktober 2026 (aus Indien): Wir haben sieben Resolver-Adressen je fünfmal nach den dokumentierten Testeinträgen von Spamhaus gefragt. 2.0.0.127.zen.spamhaus.org ist die Testadresse 127.0.0.2 rückwärts geschrieben und muss mit 127.0.0.2, 127.0.0.4 und 127.0.0.10 antworten. dbltest.com.dbl.spamhaus.org muss mit 127.0.1.2 antworten. Beides sind von Spamhaus veröffentlichte Testeinträge, keine echte Adresse und keine echte Domain.

# Cloudflare: refused, and the TXT record says why
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org +short
127.255.255.254
$ dig @1.1.1.1 2.0.0.127.zen.spamhaus.org TXT +short
"Error: open resolver; https://check.spamhaus.org/returnc/pub/2400:cb00:222:1024::a29e:c644/"

# Google: NXDOMAIN, which looks exactly like "not listed"
$ dig @8.8.8.8 2.0.0.127.zen.spamhaus.org
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN
zen.spamhaus.org. 10 IN SOA need.to.know.only. hostmaster.spamhaus.org. ...

# Our ISP's resolver, through the home router: the real answer
$ dig 2.0.0.127.zen.spamhaus.org TXT +short
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by SBL, see https://check.spamhaus.org/sbl/query/SBL2"

Googles Antwort ist die gefährliche. NXDOMAIN ist genau das, was eine saubere Adresse zurückgibt. Ein Checker oder Spamfilter, der über 8.8.8.8 fragt, meldet daher "nicht gelistet" für Adressen, die Spamhaus sehr wohl listet. Spamhaus warnt selbst davor: Über Google Public DNS erhalten Sie "in most cases" eine Nicht-gelistet-Antwort. Die Antwort enthält sogar einen Hinweis: Der mitgelieferte SOA-Eintrag nennt seinen Server need.to.know.only.

Cloudflares Antwort ist wenigstens ehrlich. 127.255.255.254 liegt im Fehlerbereich von Spamhaus, und über 1.1.1.1 bekam sogar die nicht gelistete Testadresse 1.0.0.127 diesen Wert. Das Risiko liegt auf der anderen Seite: Laut Spamhaus lehnen manche Mailserver irrtümlich alle Mail ab, wenn sie einen 127.255.255.x-Code sehen. Quad9 und OpenDNS antworteten von unserer Verbindung aus korrekt, das kann sich aber ohne Vorankündigung ändern: Spamhaus nennt beide, zusammen mit Google und Cloudflare, wenn es davor warnt, über öffentliche DNS-Dienste abzufragen. Seine Fair-Use-Bedingungen verlangen Abfragen von einem Resolver im eigenen Netzwerk oder von einem öffentlichen Resolver, der EDNS Client Subnet unterstützt.

Spamhaus-Rückgabecodes: Was jede Antwort bedeutet

Spamhaus dokumentiert jeden Code, den seine Zonen zurückgeben. Alles in 127.255.255.0/24 ist ein Fehler, nie eine Listung, und eine Antwort außerhalb von 127.0.0.0/8 bedeutet, dass etwas Ihr DNS manipuliert (etwa ein Provider, der unbekannte Namen auf eine Suchseite umleitet): Spamhaus sagt, Sie sollen sie ignorieren.

So fragen Sie Spamhaus richtig ab: eigener Resolver oder DQS

Spamhaus empfiehlt, von den eigenen DNS-Servern abzufragen: ein rekursiver Resolver in Ihrem Netzwerk, etwa Unbound, BIND oder Knot Resolver auf oder neben dem Mailserver, mit einem korrekten Hostnamen, der Sie identifiziert. Die Fair-Use-Richtlinie für DNSBL beschränkt die kostenlosen öffentlichen Server auf die nicht kommerzielle Nutzung durch kleine und mittlere Organisationen und akzeptiert keine Abfragen aus großen Shared-Hosting-Umgebungen.

Wo das nicht möglich ist, registrieren Sie sich für einen kostenlosen Data-Query-Service-(DQS)-Schlüssel. Spamhaus gibt ihn an nicht kommerzielle Nutzer und Privatpersonen mit geringem Abfragevolumen; kommerzielle Nutzer, Provider, kommerzielle Spamfilter und alle mit mehr Datenverkehr brauchen ein kostenpflichtiges Abonnement. Mit einem Schlüssel ziehen die Abfragen in die .net-Zonen von Spamhaus um, und laut dem Migrationsleitfaden von Spamhaus ist das der Weg, wenn Sie weiter einen öffentlichen Resolver nutzen wollen:

# Free public mirror: ask from your own resolver
2.0.0.127.zen.spamhaus.org

# DQS: your key goes in front of the zone, and .org becomes .net
2.0.0.127.<your-query-key>.zen.dq.spamhaus.net