Spamhaus ist nicht eine Blacklist, und welche Liste dich erwischt hat, entscheidet, ob die Entfernung einen Klick, ein Formular oder ein Gespräch kostet. Vorher musst du herausfinden, welche es ist, und das kostenlose Prüfwerkzeug in deinem Browser-Tab kann dir das mit ziemlicher Sicherheit nicht sagen.
Diesen zweiten Punkt klärt man am besten zuerst, denn er entscheidet, ob der Rest der Seite überhaupt von dir handelt.
Zwei öffentliche Resolver, zwei verschiedene falsche Antworten
RFC 5782 verlangt von jeder DNS-Blacklist, die Adresse 127.0.0.2 zu listen, damit ein Client nachweisen kann, dass die Zone überhaupt antwortet. Auf diese Anfrage hin gab Spamhaus ZEN am 21. September 2026 je nach Resolver zwei verschiedene Antworten:
| Resolver | Antwort | Was ein Leser daraus macht |
|---|---|---|
| Google Public DNS | NXDOMAIN | liest sich als „nicht gelistet“ |
| Cloudflare | 127.255.255.254 | eine Adresse in 127.0.0.0/8, die RFC 5782 als Listung definiert |
Keine von beiden ist die Wahrheit. 127.255.255.254 liegt im Fehlerbereich, den Spamhaus für Abfrageprobleme veröffentlicht und von dem der Betreiber sagt, er dürfe nicht als Listung des Subjekts gelesen werden, und der NXDOMAIN ist dieselbe Ablehnung ohne irgendetwas darin, das auffiele. Eines liest sich als sauber und eines als gelistet, für eine Adresse, die per Definition gelistet ist.
Die Ursache ist kein Fehler eines der beiden Resolver. Spamhaus weist Anfragen zurück, die über offene öffentliche Resolver eintreffen, denn seine kostenlosen Spiegel begrenzen die Rate pro Anfragendem, und ein öffentlicher Resolver sind Millionen Anfragende unter einer Adresse. Spamhaus sagt, der alte kostenlose Spiegeldienst werde eingestellt, und verweist auf einen kostenlosen Schlüssel für den Data Query Service oder auf die eigene Websuche.
Ein Browser-Prüfwerkzeug hat also drei Möglichkeiten: einen Schlüssel verwenden, dich zur Websuche schicken, oder ein Spamhaus-Ergebnis melden, das es nicht gemessen hat. Unser IP-Blacklist-Checker nimmt die zweite und zeigt Spamhaus als Direktlink statt als Zeile, denn eine Zeile, die nur „sauber“ sagen kann, ist schlimmer als gar keine Zeile. Eine unlesbare Antwort ist keine fehlende Antwort.
Spamhaus sind fünf Blacklists, und ZEN sind drei davon auf einmal
Jede Liste beantwortet eine andere Frage, und die Antwort entscheidet deinen Weg hinaus.
- SBL, die Spamhaus Blocklist. IP-Bereiche, die mit Spam-Operationen in Verbindung stehen. Belegbasiert und von Menschen geprüft.
- CSS, Combined Spam Sources. Eine automatische Teilmenge der SBL für IP-Adressen, die Spam senden, ohne einen vollen SBL-Eintrag zu verdienen.
- XBL, die Exploits Blocklist. Kompromittierte Maschinen: offene Proxys, Würmer, gekaperte Hosts.
- PBL, die Policy Blocklist. Adressen, die überhaupt nicht direkt Mail senden sollten, etwa Endkunden- und dynamische Bereiche. Ein PBL-Eintrag ist kein Vorwurf.
- DBL, die Domain Blocklist. Domains statt IP-Adressen, geprüft in der Inhaltsphase und nicht beim Verbindungsaufbau.
ZEN ist PBL, SBL und XBL in einer Zone zusammengefasst, und das ist es, was die meisten Mailserver abfragen, weshalb „wir sind bei Spamhaus“ noch keine Diagnose ist. Ein ZEN-Treffer sagt dir, dass eine von drei Listen gepasst hat. Welche, ändert alles daran, was du als Nächstes tust.
Finde heraus, auf welcher Liste du stehst, bevor du etwas ausfüllst
Spamhaus betreibt eine öffentliche Websuche unter check.spamhaus.org. Gib die Adresse ein, und das Ergebnis nennt die konkrete Liste und trägt meist einen kurzen Grund und einen Entfernungslink. Tu das, bevor du ein Formular ausfüllst, denn jeder der Wege unten ist ein anderes Formular, und das falsche abzuschicken verbraucht den einzigen Versuch, der sich lohnt.
Sagt die Suche, deine Adresse sei nicht gelistet, und deine Mail wird weiterhin mit einer Spamhaus-URL im Bounce abgewiesen, lies den Bounce noch einmal. Empfänger zitieren die Liste, die sie verwenden, und mehrere zitieren Spamhaus, während sie eine eigene Richtlinie fahren. Der Ablehnungstext nennt die prüfende Partei, nicht immer die listende.
Aus PBL und XBL kommst du meist selbst heraus
Die beiden Selbstbedienungswege gibt es, weil beide Listen einen Zustand beschreiben und keinen Vorwurf.
PBL. Der Eintrag sagt, diese Adresse liegt in einem Bereich, dessen Eigentümer erklärt hat, dass von dort nicht direkt gesendet werden sollte. Ist der Eigentümer dein Zugangsanbieter und hast du einen legitimen Grund, dort einen Mailserver zu betreiben, erledigt das die Selbstbedienungsentfernung im Suchergebnis. Sendest du wie vorgesehen über das Relay deines Anbieters, betrifft dich ein PBL-Eintrag überhaupt nicht.
XBL. Der Eintrag sagt, die Maschine sah kompromittiert aus. Es gibt eine Selbstbedienungsentfernung, und dies ist der eine Fall, in dem Entfernen ohne Reparieren garantiert scheitert: Der Eintrag entsteht aus beobachtetem Verhalten, ein weiterhin kompromittierter Host steht also binnen Stunden wieder drauf. Finde zuerst die Infektion oder das offene Relay.
SBL und CSS verlangen Belege, keine Bitte
Diese beiden sind nicht Selbstbedienung, und eine Anfrage, die sich als „bitte von der Liste nehmen“ liest und sonst nichts beilegt, ist der häufigste Grund, warum eine Entfernung Wochen dauert.
Was einen SBL- oder CSS-Eintrag wirklich bewegt, ist eine Beschreibung dessen, was gesendet hat, was du geändert hast und woher du weißt, dass es aufgehört hat. Konkret: die Quelle (ein kompromittiertes Konto, eine gekaufte Liste, ein falsch konfiguriertes Formular), die Änderung (das Konto deaktiviert, die Liste gelöscht, das Formular mit einem Bestätigungsschritt versehen) und der Beleg, dass der Versand gestoppt ist.
CSS ist automatisch, läuft also von selbst ab, sobald das Verhalten aufhört. Hast du die Ursache behoben und keine Eile, ist Warten die günstigste Handlung.
DBL betrifft deine Domain, und sie reist mit
Ein DBL-Eintrag listet eine Domain, folgt dir also über jede Adresse, von der du sendest, und ein Serverwechsel bewirkt nichts. Es ist die einzige Spamhaus-Liste, bei der die Reparatur fast immer in deinen eigenen Inhalten oder in deinem eigenen Anmeldeweg liegt und nicht in deiner Infrastruktur.
Unser Domain-Blacklist-Checker fragt die domainseitigen Listen ab, die über öffentliches DNS wirklich antworten, und zeigt Spamhaus DBL aus demselben Grund wie ZEN als Direktlink. Über die Domains, die wir für den Unspam 2026 Email Deliverability Benchmark testen, erscheinen nur 0,30 % auf einer Domain-Blacklist, ein Domain-Eintrag ist also selten und, wenn er auftritt, spezifisch.
Was vorher zu reparieren ist, denn eine erneute Listung kostet mehr
Eine Entfernung, auf die eine erneute Listung folgt, ist schlimmer als der ursprüngliche Eintrag, denn sie sagt der Liste, dass deine Reparatur keine war. Bestätige vor jeder Anfrage, dass der Versand an der Quelle gestoppt ist: das kompromittierte Konto geschlossen, das Relay dicht, das Listensegment entfernt, das Formular geschützt.
Prüfe danach das übrige Bild, denn eine Adresse auf einer Liste steht meist auf mehr als einer. 6 % der sendenden IP-Adressen, die wir prüfen, erscheinen auf einer IP-Blacklist, und die, die es tun, sind häufig bei mehreren Betreibern gleichzeitig aus derselben zugrunde liegenden Ursache gelistet.
Was ein kostenloses Prüfwerkzeug ehrlich sagen kann
Ein Browser-Werkzeug kann die Zonen abfragen, die öffentlichen Resolvern wahrheitsgemäß antworten, und unseres tut das: die IP-Listen der obersten Stufe, die Domain- und URI-Listen, jede gegen ihre eigene Rückgabecode-Tabelle dekodiert statt gegen eine gemeinsame Annahme. Was es nicht kann, ist ein Spamhaus-Urteil zu erfinden, und die ehrliche Ausgabe ist ein Link und keine grüne Zeile.
Wenn du wissen willst, was die Codes bedeuten, sobald eine Zone antwortet, behandelt unser Leitfaden zu Blacklist-Rückgabecodes die, die nicht sind, wonach sie aussehen. Für die IP-Seite im Ganzen behandelt unser Leitfaden zu IP-Blacklists Ursachen und Vorbeugung.
Um zu sehen, ob ein Eintrag wirklich das ist, was deine Mail aufhält, und nicht ein Signal unter mehreren, mach einen kostenlosen Spam-Test und lies das Blacklist-Ergebnis neben Authentifizierung und Inhalt.
