Spamhaus hat im Oktober 2026 seine Sender Guidelines veröffentlicht, und die einzige Regel mit Startdatum betrifft den Namen deines Mailservers. Ab November 2026 verlangt Spamhaus schrittweise, dass jede Sende-IP einen gültigen HELO-Namen, einen Reverse-DNS-Eintrag (PTR) und einen passenden A-Record hat. Ein Server, der das nicht erfüllt, riskiert einen Eintrag in den Zonen CSS oder XBL.
Die meisten Richtlinien wiederholen, was Zustellbarkeits-Profis ohnehin tun. Die Regel zu HELO und Reverse DNS ist anders, weil sie eine verbreitete Voreinstellung auf günstigen Servern zu einem Listungsgrund macht.
Was hat Spamhaus im Oktober 2026 veröffentlicht?
Spamhaus hat zwei Dokumente veröffentlicht: die allgemeinen Sender Guidelines und eine eigene Seite für ESPs und große Versender. Die Spamhaus-Seiten tragen kein Veröffentlichungsdatum. Die früheste datierte Besprechung stammt von Steve bei Word to the Wise vom 22. Oktober 2026, und Al Iverson hat sie am 28. Oktober 2026 bei Spam Resource aufgegriffen.
Die allgemeine Seite beginnt mit fünf Mindestanforderungen, die jeder Versender erfüllen muss, um nicht gelistet zu werden:
- Confirmed Opt-in für jeden Abonnenten.
- Forward-confirmed Reverse DNS für jede Sende-IP.
- Ein HELO-Hostname, der auf die Sende-IP auflöst, bei jeder Verbindung derselbe.
- IPv6-Sendebereich von einem /64 oder größer, mit gültigem Reverse DNS.
- SPF, DKIM und DMARC auf jeder Versanddomain, mit DKIM ausgerichtet auf die sichtbare From-Domain.
Die ESP-Seite ergänzt, dass alles aus den allgemeinen Richtlinien auch für Mails gilt, die über eine Plattform laufen, und dass ein Anbieter für die Mails seiner Kunden verantwortlich ist.
Was prüft die HELO- und Reverse-DNS-Regel von Spamhaus?
Die Spamhaus-Regel prüft drei DNS-Fakten über die IP, die sich mit einem empfangenden Server verbindet, und alle drei müssen zusammenpassen.
| Prüfung | Was gelten muss | Pflicht oder Empfehlung |
|---|---|---|
| HELO-Name | Der Name, den dein Server in EHLO ankündigt, löst auf die Sende-IP auf | Pflicht |
| Gleichbleibender HELO | Bei jeder Verbindung von dieser IP wird derselbe HELO-Name verwendet | Pflicht |
| Reverse DNS (FCrDNS) | Die IP hat einen PTR-Eintrag auf einen Hostnamen, und dieser Hostname löst per A oder AAAA zurück auf dieselbe IP auf | Pflicht |
| HELO gleich PTR | HELO-Name und PTR-Hostname sind derselbe Name | Empfehlung |
| Eigene Namen | PTR und HELO nutzen deine eigene Domain statt der Voreinstellung des Hosters | Empfehlung |
Forward-confirmed Reverse DNS, kurz FCrDNS, ist der Hin- und Rückweg aus der dritten Zeile: von der IP zum Namen über den PTR, dann vom Namen zurück zur IP über den A-Record. Eine Richtung allein beweist nichts, denn den PTR veröffentlicht der Inhaber der IP und den A-Record der Inhaber der Domain. Erst die Übereinstimmung zeigt, dass ein Betreiber beides kontrolliert.
Spamhaus nennt auch, was es als Fehlkonfiguration oder Kompromittierung wertet. Dazu gehören Platzhalter-HELO-Namen wie localhost, Standard-Hostnamen von Hostern oder Providern, HELO-Namen, die auf Infrastruktur auflösen, die gar nicht sendet, und HELO-Namen, die sich als Gmail oder Hotmail ausgeben. Mehrere HELO-Namen von einer IP, die auf verschiedene Adressen auflösen, können laut Spamhaus auf einen Residential Proxy oder auf Malware hindeuten.
Ab wann gilt die HELO-Anforderung?
Spamhaus sagt nur, dass die Anforderung ab November 2026 schrittweise eingeführt wird („gradually rolling out“). Ein Enddatum, Phasen oder einen Zeitplan nach Netz veröffentlicht Spamhaus nicht, also kann dir außerhalb von Spamhaus niemand sagen, welche IPs schon danach bewertet werden.
Praktisch heißt das: Behandle die Regel als gültig ab November 2026. Ein Server, der sie erfüllt, verliert nichts, wenn er dabei bleibt, und ein Server, der sie nicht erfüllt, hat keine angekündigte Schonfrist, auf die er sich verlassen kann.
Welche Versender erwischt die HELO- und Reverse-DNS-Regel?
Die Spamhaus-Regel trifft vor allem Versender, die ihren eigenen Mailserver mit Standardeinstellungen betreiben. Das ist eine Schlussfolgerung aus den Fehlerbildern, die Spamhaus nennt, keine Liste, die Spamhaus veröffentlicht, aber die Fehlerbilder zeigen auf dieselben wenigen Setups:
- Selbst gehostete Server auf einem VPS. Ein frischer virtueller Server kommt oft mit einem generischen PTR des Anbieters und einem Mailserver, der den lokalen Namen der Maschine ankündigt. Spamhaus nennt generisches, automatisch erzeugtes Reverse DNS als etwas, das man vermeiden sollte, und Platzhalter-HELO-Namen als Warnsignal.
- Cold-E-Mail-Setups auf neuen IPs und neuen Domains. Sie kombinieren einen Standard-Servernamen mit null Versandhistorie, und Spamhaus behandelt jeden Wechsel von IP oder HELO als neues Asset, das aufgewärmt werden muss.
- Kleine ESPs und eigene Plattformen. Ein geteilter Pool, in dem jede IP einen anderen Namen ankündigt oder in dem nie ein PTR gesetzt wurde, fällt bei jeder Verbindung durch die Konsistenzprüfung.
Wenn du über die geteilten IPs eines etablierten ESP sendest, gehören HELO und PTR dem Anbieter, nicht dir. Die ESP-Seite von Spamhaus bittet diese Anbieter, für HELO, PTR und A-Record denselben Hostnamen zu verwenden, idealerweise mit der Domain des Kunden.
Wie prüfst du deinen eigenen HELO und dein Reverse DNS?
Du kannst die HELO- und Reverse-DNS-Regel von Spamhaus in vier Schritten mit kostenlosen Tools und einem Terminal prüfen.
- Finde die Sende-IP. Schick eine Nachricht an eine Adresse, die du kontrollierst, und öffne die Header. Füge sie in den E-Mail-Header-Analyzer von Unspam ein, der jeden Zustell-Hop mit sendendem und empfangendem Host auflistet. Bei dem Hop, an dem dein Server die Nachricht an den Server des Empfängers übergeben hat, ist der sendende Host meist der HELO-Name, den dein Server angekündigt hat; manche Server wie Exim schreiben dort den Reverse-DNS-Namen hin und führen den HELO in einem
helo=-Vermerk. Die verbindende IP steht in der vollständigenReceived:-Zeile dieses Hops, meist in eckigen Klammern. - Prüfe FCrDNS für diese IP. Gib die IP in den IP-Blacklist-Checker von Unspam ein. Neben den Blacklist-Ergebnissen zeigt er, ob deine Sende-IP bestätigtes Reverse DNS hat, und er akzeptiert jeden PTR-Namen, der bestätigt, nicht nur den ersten.
- Löse den HELO-Namen auf. Führe die beiden Abfragen unten aus und prüfe, ob der HELO-Name die Sende-IP zurückgibt.
- Frag Spamhaus. Die Seite mit den Richtlinien hat einen eigenen DNS-Checker, und Spamhaus bietet außerdem eine automatische Prüfung per Nachricht an
helocheck@abuseat.organ.
dig -x 203.0.113.25 +short
dig mail.example.com A +short
Der erste Befehl gibt den PTR-Hostnamen der IP zurück. Der zweite sollte 203.0.113.25 liefern, wenn mail.example.com dein HELO-Name ist. Wenn du den Server kontrollierst, setz seinen HELO auf genau diesen bestätigten Hostnamen. Damit erfüllst du Anforderung und Empfehlung zugleich. Unser Leitfaden zu Reverse DNS zeigt, wie du den PTR-Eintrag anlegst, wenn dein Hoster ihn nicht gesetzt hat.
Welche weiteren Zahlen schreiben die Spamhaus Sender Guidelines fest?
Spamhaus versieht elf weitere Praktiken mit einer Zahl, und jede davon stammt aus den beiden Spamhaus-Seiten in der im Oktober 2026 veröffentlichten Fassung.
| Praxis | Zahl laut Spamhaus | Seite |
|---|---|---|
| Gesamte Bounce-Rate | Unter 5 % (Pflicht) | Sender Guidelines |
| Wiederholte Soft Bounces | Nach 3 bis 5 in Folge untersuchen | Sender Guidelines |
| Abmeldungen | Innerhalb von 2 Tagen umsetzen | Sender Guidelines |
| DKIM-Schlüssellänge | Mindestens 1024 Bit, 2048 Bit empfohlen | Sender Guidelines |
| DKIM-Schlüsselrotation | Mindestens einmal im Jahr | Sender Guidelines |
| SPF-Lookups | Innerhalb der Grenze von 10 DNS-Lookups, verschachtelte Includes mitgezählt | Sender Guidelines |
| Neu registrierte Domains | 24 Stunden auf der Liste Zero Reputation Domains; mindestens 30 Tage nicht für Mails nutzen | Sender Guidelines |
| Warm-up | Langsam beginnen bei jeder IP oder Domain, die in den letzten 90 Tagen nichts gesendet hat | Sender Guidelines |
| Inaktive Postfächer | Können nach mehr als 12 Monaten zu Spamfallen umgewidmet werden | Sender Guidelines |
| IPv6-Zuteilung | Mindestens ein /64, mit Reverse DNS | Sender Guidelines |
| Überwachung pro Kunde | Bei Bounce-Raten über 5 % und Beschwerderaten über 0,3 % handeln | ESPs und große Versender |
Zwei davon lassen sich bequem im Browser prüfen. Der SPF-Checker von Unspam geht den Include-Baum durch und zählt die Lookups gegen die Grenze von 10, und der DKIM-Checker von Unspam zeigt die RSA-Schlüsselgröße jedes gefundenen Selektors, sodass ein 1024-Bit-Schlüssel als einer erscheint, den du auf 2048 anheben solltest.
Die letzte Zeile ist ein Rat an Anbieter, wie sie ihre Kunden überwachen, keine Regel für einzelne Versender. Es ist die einzige Stelle, an der die Richtlinien eine Beschwerderate nennen.
Wie hängt die HELO-Regel mit einem Spamhaus-Eintrag zusammen?
Wer die HELO- und Reverse-DNS-Regel von Spamhaus nicht erfüllt, kann mit seiner IP in den Zonen CSS oder XBL landen. Das ist die Folge, die Spamhaus selbst nennt, und beide Zonen stecken in ZEN, der Zone, die die meisten Mailserver abfragen. CSS ist die automatische Liste von IPs, die Spam senden, und XBL die Liste von Maschinen, die kompromittiert wirken. Ein Platzhalter-HELO sieht nach beidem aus.
Das zählt bei der Entfernung. Ein XBL-Eintrag für einen Server, der weiter localhost ankündigt, kommt nach der Entfernung wieder, weil die Listung aus dem entsteht, was der Server tut. Korrigiere zuerst HELO und PTR und folge dann dem Weg aus unserem Leitfaden zur Spamhaus-Entfernung, der zeigt, von welchen Listen du dich selbst entfernen kannst und welche Belege brauchen.
Spamhaus stellt außerdem klar, dass es keine Anfragen annimmt, Reputationsmerkmale zu erklären oder die Reputation zurückzusetzen. Eine saubere Konfiguration ist der einzige Hebel, den ein Versender hat.
Was lassen die Spamhaus-Richtlinien offen?
Die Spamhaus Sender Guidelines lassen drei Dinge offen. Es gibt kein Datum, an dem die HELO-Einführung abgeschlossen ist, keine Aussage dazu, wie schnell eine fehlerhafte IP gelistet wird, sobald sie erfasst ist, und auf den Seiten selbst keine veröffentlichten Daten, sodass eine spätere Änderung nicht als solche erkennbar ist.
Alles andere in den Richtlinien ist bewährte Praxis: Confirmed Opt-in, ausgerichtete Authentifizierung, sauberes DNS und schrittweises Warm-up. Für die meisten Versender ist der HELO-Name das Teil, das am ehesten auf seiner Voreinstellung geblieben ist, und genau dafür läuft die Einführung schon.
