Reputation und Blocklists

Modul 5: Reputation und die grossen Empfänger · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, wie Empfänger die Reputation einer IP-Adresse und einer Domain aufbauen, eine IP-Adresse auf Blocklisten prüfen und die richtige Reihenfolge einhalten, wenn Sie gelistet sind.

Kernbegriffe: Reputation, IP-Reputation, Domainreputation, Blocklist (DNSBL), Spamhaus (SBL, XBL, PBL), SpamCop, Barracuda, Abfrage mit umgekehrter IP-Adresse, 127.0.0.x-Antwort, Fehlercode 127.255.255.x, gemeinsam genutzte IP, Warm-up, Delisting

Was ist Reputation?

SPF, DKIM und DMARC beweisen, wer die Mail versendet. Sie sagen nichts darüber aus, ob diesem Absender zu vertrauen ist. Ein Spammer kann durchaus eine eigene Domain mit einwandfreiem SPF, DKIM und DMARC haben. Deshalb beobachten Empfänger zusätzlich, wie sich ein Absender verhält. Das nennt man Reputation.

Es gibt zwei Arten:

• IP-Reputation: Wie verhält sich die Mail, die von dieser IP-Adresse kommt? Viel Spam, viele nicht existierende Adressen, plötzliche Spitzen: dann sinkt die Reputation.
• Domainreputation: Wie verhält sich die Mail, die im Namen dieser Domain verschickt wird, gemessen an der Domain in DKIM (d=) und in der Absenderadresse? Das wird immer wichtiger, weil eine Domain mit Ihnen auf einen anderen Server umzieht, eine IP-Adresse jedoch nicht.

Was zählt mit? Grosse Empfänger machen ihre Formel nicht bekannt, nennen aber immer wieder dieselben Signale: wie viele Empfänger Ihre Mail als Spam markieren (Beschwerden), wie viel Mail an nicht existierende Adressen geht, ob Empfänger Ihre Mail öffnen, beantworten oder sofort löschen, wie regelmässig Sie versenden und ob Sie in Spamfallen (Adressen, die nie jemand angegeben hat) landen. Gmail zeigt die Beschwerdequote in den Postmaster Tools (Lektion 5.3), Microsoft das Bild pro IP-Adresse in SNDS (Lektion 6.4).

Blocklists: eine gemeinsame schwarze Liste

Neben ihren eigenen Messungen verwenden viele Mailserver öffentliche Blocklists (auch Blacklists oder RBLs genannt). Eine solche Liste enthält IP-Adressen (manchmal Domains), die Spam versendet haben oder die niemals direkt mailen sollten. Ein Mailserver, der eine eingehende Verbindung von 192.0.2.25 erhält, fragt die Liste ab und weist die Verbindung ab, wenn die Adresse darauf steht.

Die bekanntesten:

Spamhaus kombiniert seine Listen in ZEN (zen.spamhaus.org). Daneben gibt es Dutzende kleinerer Listen. Ein Eintrag auf einer kleinen Liste, die kaum jemand verwendet, ist meist keine Katastrophe. Ein Eintrag bei Spamhaus SBL oder XBL hingegen schon: diese werden von einem grossen Teil der Mailserver genutzt.

Wie funktioniert eine Abfrage?

Eine Blocklist ist schlicht eine DNS-Zone. Möchte ein Server wissen, ob 192.0.2.25 auf ZEN steht, dreht er die Adresse um (wie bei Reverse-DNS) und hängt den Namen der Liste an:

dig +short 25.2.0.192.zen.spamhaus.org

• Keine Antwort (NXDOMAIN): nicht auf der Liste.
• Eine Adresse 127.0.0.x: steht auf der Liste. Die letzte Zahl gibt an, welche Teilliste. Bei ZEN ist 127.0.0.2 die SBL, 127.0.0.4 die XBL und 127.0.0.10 oder 127.0.0.11 die PBL.
• Eine Adresse 127.255.255.x: ein Fehlercode, kein Eintrag. Spamhaus liefert beispielsweise 127.255.255.254, wenn Sie über einen öffentlichen Resolver wie den von Cloudflare anfragen. Spamhaus lässt das nicht zu und liefert dann kein echtes Ergebnis.

Letzteres ist eine bekannte Falle. Ein Tool oder Mailserver, das jede Antwort als "gelistet" interpretiert, schlägt zu Unrecht Alarm oder verweigert sogar sämtliche Mail. Ein Tool, das jede Nicht-Antwort als "sauber" interpretiert, übersieht echte Einträge. Eine zuverlässige Prüfung fragt pro Liste zunächst eine Testadresse ab (127.0.0.2 steht auf jeder Liste immer verzeichnet) und wertet nur ein eindeutiges NXDOMAIN als "nicht gelistet".

Die E-Mail-Prüfung und Domain-Gesundheit auf weboke.de funktionieren so, ebenso wie die bekannten unabhängigen Tools wie MXToolbox und die Prüfseite von Spamhaus selbst (check.spamhaus.org).

Gemeinsam genutzte IP-Adressen

Bei Shared Hosting und den meisten Maildiensten teilen Sie sich die IP-Adresse des Versandservers mit anderen Kunden. Das hat einen Vorteil und einen Nachteil:

• Ein gut verwalteter gemeinsamer Server hat eine aufgebaute Reputation. Davon profitieren Sie, auch wenn Sie selbst nur wenig versenden.
• Versendet ein anderer Kunde Spam (häufig weil sein Passwort gestohlen wurde), kann die IP-Adresse auf eine Liste kommen und Sie leiden darunter mit.

Ein guter Anbieter überwacht deshalb seine eigenen IP-Adressen auf Blocklists, legt Versandlimits fest und greift bei Missbrauch ein. Bei WebOké ist das beispielsweise im Wissensdatenbankartikel über die Bekämpfung von Spam und über missbrauchte Adressen beschrieben; andere Anbieter haben vergleichbare Regeln.

Eine neue IP-Adresse: Aufwärmen

Eine IP-Adresse, die noch nie Mail versendet hat, hat keine Reputation. Beginnt sie sofort mit Tausenden Mails pro Tag, betrachten Empfänger das als verdächtig. Microsoft bremst eine solche Adresse beispielsweise mit einem vorübergehenden Fehler ab (451 4.7.500 Server busy, Lektion 6.4).

Deshalb wärmen Sie eine neue IP-Adresse auf: Sie beginnen mit einer kleinen Anzahl Mails pro Tag, vorzugsweise an Empfänger, die Ihre Mail erwarten und öffnen, und erhöhen diese Zahl über ein paar Wochen schrittweise. Versanddienste übernehmen das für Sie, wenn Sie eine eigene IP-Adresse bei ihnen beziehen. Für gewöhnliche geschäftliche Mail über ein Hostingpaket oder einen Maildienst müssen Sie das nicht tun.

Sie stehen auf einer Liste: was nun?

Die Reihenfolge ist wichtig:

1. Stellen Sie fest, um welche IP-Adresse es sich handelt. Steht sie in der Fehlermeldung? Ist es die Adresse Ihres Hosting-Unternehmens oder Maildienstes, oder Ihres eigenen Internetanschlusses? Letzteres bedeutet meist, dass Ihr E-Mail-Programm nicht über den SMTP-Server Ihres Anbieters versendet (Lektion 1.4).
2. Ist es nicht Ihr Server, melden Sie es beim Betreiber. Bei Shared Hosting oder einem Maildienst löst der Anbieter das Problem. Senden Sie die vollständige Fehlermeldung mit.
3. Ist es Ihr eigener Server, suchen Sie zunächst die Ursache. Ein gehacktes Passwort, ein unsicheres Kontaktformular, eine infizierte Website, die Mail versendet, eine gekaufte Adressliste. Solange die Ursache besteht, landen Sie sofort wieder auf der Liste.
4. Beantragen Sie erst danach die Entfernung, über die Website der Liste. Bei SpamCop ist das nicht nötig: dieser Eintrag läuft von selbst ab, wenn keine neuen Meldungen eingehen.
5. Prüfen Sie nach einem Tag erneut.

Zahlen Sie niemals an eine Partei, die verspricht, Sie "von allen Listen zu entfernen". Seriöse Listen entfernen kostenlos.

In der Praxis: so sieht es aus

In diesem Beispiel verwenden wir die E-Mail-Prüfung von weboke.de: diese zeigt unter Blacklist Status pro Liste, ob die IP-Adresse Ihres ersten Mailservers darauf steht. Beachten Sie: Das ist die Adresse, über die Ihre Mail ankommt (der MX). Für Ihre ausgehende Mail müssen Sie die IP-Adresse des Versandservers prüfen, die Sie aus den Headern entnehmen (Lektion 5.1). Unabhängige Tools wie MXToolbox und check.spamhaus.org funktionieren auf dieselbe Weise: Sie geben eine IP-Adresse ein und sehen pro Liste das Ergebnis.

Zusammenfassung

• Reputation betrifft Verhalten: Beschwerden, unbekannte Adressen, Spitzen, Spamfallen. SPF, DKIM und DMARC sagen nur aus, wer versendet.
• Empfänger betrachten die IP-Reputation und zunehmend auch die Domainreputation.
• Eine Blocklist ist eine DNS-Zone: eine 127.0.0.x-Antwort ist ein Eintrag, 127.255.255.x ist ein Fehlercode, NXDOMAIN bedeutet nicht gelistet.
• Spamhaus PBL ist keine Strafe, sondern ein Hinweis darauf, dass Sie über den Server Ihres Anbieters versenden sollten.
• Bei einem Eintrag: zuerst die richtige IP-Adresse und die Ursache klären, dann erst die Entfernung beantragen.

Quiz

Aufgabe

Aufgabe Z5.2: Ihre Versand-IP auf Blocklisten. Verwenden Sie die IP-Adresse Ihres Versandservers aus der Aufgabe von Lektion 5.1 (oder die Adresse von mx00.t-online.de). Recherchieren Sie selbst bei check.spamhaus.org oder einem anderen Blocklist-Tool und tragen Sie ein: steht die Adresse auf Spamhaus (ja/nein), und wenn ja, auf welcher Teilliste. Das Programm prüft dieselbe Adresse live bei Spamhaus, SpamCop und Barracuda und vergleicht.

Aufgabe O5.2: Was tun Sie bei einer Listung? Sie erhalten einen Fall: ein kleiner Webshop auf einem eigenen VPS steht seit heute Morgen auf Spamhaus XBL. Schreiben Sie in höchstens fünf Schritten auf, was Sie tun und in welcher Reihenfolge. Danach sehen Sie die Musterantwort.

Weiterführende Links

Die Schritte in diesen Artikeln gelten für die Paneele von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 9.5: Senden verweigert: Blacklists und Limits
• Wie blockiert WebOké Spam?
• Postfach übernommen oder Spam von Ihrer Adresse: so räumen Sie auf
• Meine E-Mail kommt nicht an oder landet im Spam: So finden Sie die Ursache heraus
• E-Mail-Prüfung (kostenlose Prüfung von MX, SPF, DMARC und Blocklisten): https://www.weboke.ch/e-mail-check
• Spamhaus, Prüfung und Erklärung: https://check.spamhaus.org/
• RFC 5782 (wie DNS-Blocklisten funktionieren)