Dein Kampagnenbericht füllt sich mit Bounces, die alle dasselbe sagen: 550 permanent failure for one or more recipients (someone@company.com:blocked). Kein Grund, kein Link zum Widerspruch, kein Hinweis, was du ändern sollst.
Die direkte Antwort zuerst: Dieser Bounce bedeutet, dass ein Spamfilter-Gateway vor dem Mailserver des Empfängers deine Nachricht abgelehnt hat, und der exakte Wortlaut ist die Signatur eines einzigen Anbieters: Barracuda. Das Urteil blocked betrifft Reputation oder Richtlinien, nicht eine ungültige Adresse. Dieser Leitfaden entschlüsselt jeden Teil der Meldung, zeigt dir, wie du in zwei Minuten herausfindest, ob das Problem der Filter einer einzelnen Firma ist oder ein Blacklist-Eintrag, der alle betrifft, und geht die Lösung für jede Ursache durch, inklusive der Entfernungsanfrage, die die meisten Fälle innerhalb weniger Stunden klärt.
Was dir der Bounce sagt
Die meisten Bounce-Meldungen schreibt der empfangende Mailserver. Diese hier schreibt eine Security-Appliance, die davor steht, und jeder Teil des Strings trägt Information:
550 ist der SMTP-Antwortcode. Codes, die mit 5 beginnen, sind endgültige Fehler: Der Server hat die Nachricht abgelehnt und deine Seite angewiesen, es nicht erneut zu versuchen. Das ist der Unterschied zum Soft Bounce mit 4xx-Code, der bedeutet: später noch einmal versuchen.
„permanent failure for one or more recipients“ ist die Art des Gateways zu melden, dass mindestens eine Adresse der Nachricht abgelehnt wurde. Hast du an mehrere Personen in derselben Firma gesendet, wurden manche vielleicht angenommen, diese eine nicht.
(someone@company.com:blocked) ist der nützliche Teil. Das Gateway nennt den abgelehnten Empfänger und nach dem Doppelpunkt das Urteil. blocked heißt: Die Nachricht wurde durch eine Reputations- oder Richtlinien-Entscheidung gestoppt, wegen deiner Sende-IP, deiner Domain, etwas im Inhalt oder einer Regel, die der Administrator des Empfängers gesetzt hat. Es heißt nicht, dass das Postfach unbekannt oder voll ist; solche Fehler erzeugen andere Bounce-Texte. Wenn du Bounces von Mailbox-Providern gewohnt bist: Gmails Bounce-Meldungen erklären ihre Gründe vergleichsweise ausführlich; bei Barracuda bekommst du genau ein Wort.
Diese Formulierung ist die charakteristische Ablehnung des Barracuda Email Security Gateway und seines Cloud-Nachfolgers Email Gateway Defense: Appliances und Dienste, die Firmen vor ihre Mailserver schalten, um eingehende E-Mails zu filtern. Wenn dich dieser Bounce trifft, weißt du damit zwei Dinge, die in der Meldung nie stehen: Die Organisation des Empfängers filtert mit Barracuda, und Barracuda hat entschieden, dass deine Nachricht unerwünscht ist.
Eine Eigenheit, die du kennen solltest, bevor du in Panik gerätst: Trotz des Wortes permanent gilt das Urteil pro Nachricht. Die abgelehnte E-Mail ist weg und es gibt keinen erneuten Zustellversuch, aber das Gateway bewertet jede neue Nachricht für sich. Derselbe Empfänger kann deinen nächsten Versand also erhalten, wenn die Ursache behoben ist.
Finde in zwei Minuten heraus, welches Problem du hast
Alles an der Lösung hängt an einer Frage: Blockiert dich eine einzelne Organisation, oder stehst du auf einer Blacklist, die jedes Barracuda-Gateway abfragt?
Sammle die gebouncten Adressen aus deinem letzten Versand und sieh dir die Domains an.
Gehört jeder Bounce zu einer einzigen Domain, liegt das Problem lokal bei dieser Firma. Ihr Barracuda hat eine Richtlinie, die dich stoppt: Ein Administrator hat vielleicht deine Adresse, deine Domain oder deinen IP-Bereich blockiert, oder der Filter hat deine Nachricht unter strengeren Einstellungen als überall sonst als Spam eingestuft. Nichts, was du auf deiner Seite änderst, hilft garantiert, denn die Regel liegt auf deren System. Die Lösung ist menschlich: Erreiche jemanden in der Firma über einen anderen Kanal und bitte deren IT-Team, deine Absender-Domain auf die Allowlist des Gateways zu setzen.
Verteilen sich die Bounces über viele unabhängige Domains, bist du der gemeinsame Nenner, und der erste Verdächtige ist die Barracuda Reputation Block List (BRBL), die öffentliche DNS-Blacklist unter b.barracudacentral.org, die Barracuda-Gateways ab Werk abfragen. Finde deine Sende-IP, entweder in den Einstellungen deines ESPs (deiner E-Mail-Versandplattform) oder in den Received-Headern einer Nachricht, die zugestellt wurde, und prüfe sie mit dem kostenlosen IP-Blacklist-Check, der die Barracuda-Zone auf Abruf zusammen mit den anderen relevanten Listen abfragt und für jeden Treffer das Entfernungsformular verlinkt. Prüfe auch deine Domain mit dem Domain-Blacklist-Check, denn Barracudas Inhaltsanalyse reagiert auch auf Domain-Reputation. Die Wahrscheinlichkeit spricht für die IP: Über alle Checks bei Unspam hinweg stehen 4 % der Sende-IPs auf mindestens einer Blacklist, markierte Absender-Domains sind mit 0,3 % dagegen selten.
Wenn deine Mails statt zu bouncen einfach verschwinden, ist das eine andere Untersuchung: siehe warum deine E-Mail nicht zugestellt wird.
Die fünf Ursachen, von der häufigsten zur seltensten
| # | Ursache | Woran du es erkennst | Lösung in einer Zeile |
|---|---|---|---|
| 1 | Sende-IP steht auf der BRBL | Bounces über viele Domains; der Check zeigt den Eintrag | Ursache beheben, dann Entfernung beantragen |
| 2 | Eine Domain im Nachrichtentext ist markiert | IP ist sauber, aber Mails mit bestimmten Links bouncen | Jede verlinkte Domain prüfen, inklusive Tracking |
| 3 | Der Admin des Empfängers hat dich blockiert | Bounces nur von einer Domain | Deren IT-Team um einen Allowlist-Eintrag bitten |
| 4 | Die Nachricht wurde als Spam eingestuft | Sporadische Blocks, abhängig vom Inhalt | Die Nachricht vor dem Versand testen |
| 5 | Schwache oder fehlende Authentifizierung | Auth-Fehler in zugestellten Headern sichtbar | SPF und DKIM auf deine Domain ausrichten |
1. Deine Sende-IP steht auf der Barracuda Reputation Block List
Die BRBL wird automatisch gefüttert: Spamfallen-Treffer, Honeypot-Daten und Spam-Beschwerden setzen IPs darauf, ohne dass ein Mensch über dein Schicksal entscheidet. Geteilte IP-Pools machen es schlimmer, denn ein schlechter Nachbar auf derselben ESP-IP kann einen Eintrag verursachen, der auch deine Mails bouncen lässt.
Die Lösung ist Barracudas Entfernungsformular auf barracudacentral.org. Es fragt nach der IP des Mailservers, einer Kontakt-E-Mail-Adresse und einer Telefonnummer und bietet ein Begründungsfeld: Nutze es, um kurz zu erklären, was den Eintrag verursacht hat und was du geändert hast. Anfragen mit einer stichhaltigen Begründung bearbeitet Barracuda in der Regel innerhalb von 12 Stunden. Zwei Regeln direkt aus dem Formular: Anfragen ohne gültige Angaben werden ignoriert, doppelte Einreichungen ebenfalls. Sende also eine vollständige Anfrage statt zehn hoffnungsvoller. Und behebe zuerst die Ursache; der Eintragsprozess ist automatisiert, eine unbehobene Ursache bedeutet also einen automatischen Wiedereintrag.
2. Eine Domain im Nachrichtentext ist markiert
Barracuda betreibt eine sogenannte Intent-Analyse: Jede im Text verlinkte Domain wird gegen die eigene Reputationsdatenbank geprüft, und eine einzige Domain mit schlechter Reputation reicht, um die ganze Nachricht zu blockieren. Deine IP kann makellos sein und der Bounce feuert trotzdem, wegen eines Links im Footer, eines URL-Shorteners oder der geteilten Klick-Tracking-Domain, mit der dein ESP Links umschreibt. Das Problem verdient eine eigene Lektüre: wie Link-Tracking die Zustellbarkeit beeinflusst.
Die Lösung ist ein Audit jeder Domain, auf die deine Nachricht verlinkt, inklusive der Domains, die dein ESP hinzufügt. Ersetze Shortener durch vollständige URLs, nutze eine eigene Tracking-Domain statt des geteilten Standards und entferne oder ersetze jede verlinkte Website mit zweifelhafter Vergangenheit.
3. Der Administrator des Empfängers hat dich blockiert
Barracuda-Gateways erlauben jeder Organisation eigene lokale Blacklists mit Adressen, Domains und IPs, und Administratoren nutzen sie. Haben ein paar Empfänger in einer Firma deine Newsletter als Spam markiert, hat der Admin vielleicht die ganze Absender-Domain blockiert.
Die Lösung ist Diplomatie, nicht DNS. Erreiche eine echte Person in der Organisation per Telefon oder über eine andere Adresse und bitte deren IT-Team, den Block zu überprüfen. Komm mit gemachten Hausaufgaben: Authentifizierung in Ordnung, sauberer Blacklist-Status und ein Grund, warum die Empfänger deine Mails wollen.
4. Die Nachricht selbst wurde als Spam eingestuft
Jenseits von Listen und Links bewertet das Gateway den Inhalt jeder Nachricht. Aggressive Betreffzeilen, ein hohes Bild-zu-Text-Verhältnis und schlampiges HTML treiben den Score Richtung Block-Schwelle, und jede Organisation setzt ihre Schwellen selbst. Deshalb kann dieselbe Kampagne ein Barracuda passieren und am nächsten bouncen.
Die Lösung: Hör auf zu raten, was Filter von deiner Nachricht halten. Lass den Spam-Test laufen, bevor die Kampagne rausgeht: Er bewertet die exakte Nachricht mit SpamAssassin, prüft deine IP und Domain gegen die Blacklists inklusive der von Barracuda und verifiziert die Authentifizierung. Die Probleme tauchen so in einem Bericht auf statt in einem Bounce.
5. Schwache oder fehlende Authentifizierung
Barracuda gewichtet SPF-, DKIM- und DMARC-Ergebnisse in seinem Scoring, und Administratoren können harte Blocks bei Fehlschlägen konfigurieren. Authentifizierung, die fehlschlägt oder für die Domain deines ESPs statt für deine eigene besteht, entfernt das eine Signal, das dich von einem Spoofer unterscheidet, und ein Absender, der sich nicht verifizieren lässt, erbt die schlechtesten Annahmen. Deine Absender-Reputation baut über die Zeit auf diesen Signalen auf.
Die Lösung ist das Standard-Trio, verifiziert statt angenommen: Schick deine Domain durch den SPF-Check und den DMARC-Check und stelle sicher, dass DKIM mit deiner Domain signiert, nicht mit dem geteilten Schlüssel des ESPs.
Die Reihenfolge der Reparatur
Trifft der Bounce mitten in der Kampagne, arbeite in dieser Reihenfolge:
- Lies die Bounces. Sammle die fehlgeschlagenen Adressen und teile sie nach Domain auf. Eine Domain heißt lokale Richtlinie; viele Domains heißen Blacklist-Eintrag oder Inhaltsproblem.
- Prüfe die Listen. Schick deine Sende-IP und deine Domain durch die Blacklist-Checks. Ein BRBL-Treffer erklärt alles und liefert dir den Weg zur Entfernung.
- Behebe die Ursache, bevor du die Entfernung beantragst. Bereinige das Listensegment, das gebouncet hat, entferne den markierten Link oder schließe die Authentifizierungslücke, je nachdem, worauf die Belege zeigen. Entfernung ohne Reparatur verschafft dir höchstens ein paar Tage.
- Reiche eine vollständige Entfernungsanfrage ein. IP, Kontaktdaten und eine ehrliche Erklärung, was du behoben hast. Dann warte; die meisten gültigen Anfragen sind innerhalb von 12 Stunden durch, und Duplikate werden ignoriert.
- Kläre Blocks einzelner Firmen durch Nachfragen. Für Domains, die nach dem Delisting weiter bouncen, kontaktiere die Organisation und bitte um einen Allowlist-Eintrag.
- Teste vor dem nächsten Versand. Ein Test vor dem Versand fängt einen Wiedereintrag, einen markierten Link oder eine kaputte DKIM-Signatur ab, solange die Behebung noch billig ist.
So kommt der Fehler nicht zurück
Der Bounce ist ein Symptom; die Krankheit ist das, was Barracudas Systemen beigebracht hat, dir zu misstrauen. Langfristig halten drei Gewohnheiten den String aus deinen Berichten. Halte die Liste sauber, denn Spamfallen und tote Adressen füttern die automatisierten Blacklists, und eine steigende Bounce-Rate ist die Frühwarnung. Prüfe neue Adressen mit einem E-Mail-Checker, bevor sie in die Liste kommen, statt nachdem sie gebouncet sind. Und mach den Test vor dem Versand zum Teil des Workflows: Unspam prüft deine Nachricht in einem Durchgang gegen die Blacklists, die Authentifizierungs-Checks und einen echten Spamfilter. Der nächste 550 permanent failure ist dann eine Zeile in einem Testbericht, die du still behebst, und kein Loch in einer Kampagne, das du deinem Chef erklären musst.
