So prüfst du, ob eine IP auf einer Blacklist steht, und wie du wieder runterkommst

Geschrieben von Aldo · Threat Hunter im Blue Team
Zuletzt aktualisiert am 9. November 2026 · 5 Min. Lesezeit

Deine Mails kommen mit „blocked using …“ zurück, oder ein Kunde sagt, deine Seite sei markiert. Irgendwo steht deine Adresse auf einer Liste. So findest du heraus, auf welcher, was das bedeutet und wie du wieder runterkommst, ohne eine Woche zu verlieren.

Was eine Blacklist ist

Eine Blacklist (oder Blocklist) ist eine Liste von IP-Adressen oder Adressblöcken, denen man nach Empfehlung ihres Betreibers für einen bestimmten Zweck nicht trauen sollte. Mailserver nutzen sie, um Spam abzulehnen; Firewalls, um Verkehr aus kriminellen Netzen zu verwerfen. Jede Liste hat ihre eigenen Gründe, eigene Regeln für Einträge und ein eigenes Löschverfahren. Auf einer zu stehen sagt nichts über die anderen.

Die meisten E-Mail-Blacklists werden als DNS-Blacklists (DNSBLs) veröffentlicht, sodass jeder Mailserver eine Adresse mit einer einzigen DNS-Abfrage prüfen kann. Und du auch.

Ein Praxisbeispiel: die Testadresse, die jede Liste haben muss

Um eine DNSBL abzufragen, schreibst du die vier Zahlen der Adresse in umgekehrter Reihenfolge und hängst den Zonennamen der Liste an. Der Standard für DNS-Blacklists verlangt von jeder IPv4-Liste einen dauerhaften Testeintrag für 127.0.0.2, das ist also die sichere Adresse zum Üben. Spamhaus fasst seine Listen in einer Zone zusammen, zen.spamhaus.org:

nslookup 2.0.0.127.zen.spamhaus.org
nslookup -type=TXT 2.0.0.127.zen.spamhaus.org

Die Antwort, die wir am 9. November 2026 bekamen:

Addresses:  127.0.0.2
            127.0.0.4
            127.0.0.10

"Listed by XBL, see https://check.spamhaus.org/query/ip/127.0.0.2"
"Listed by PBL, see https://check.spamhaus.org/query/ip/127.0.0.2"

So liest du sie:

Jede Antwort bedeutet „gelistet“. Eine nicht gelistete Adresse bekommt keine Antwort (der Name existiert nicht).
Die zurückgegebenen Adressen sind Codes, keine echten Adressen. Bei Spamhaus steht 127.0.0.2 für die SBL (Spamquellen und Spam-Operationen), 127.0.0.4 für die XBL (mit Malware infizierte oder als Proxy missbrauchte Rechner) und 127.0.0.10 oder 127.0.0.11 für die PBL. Andere Listen nutzen eigene Codes, die auf ihren Seiten dokumentiert sind.
Der TXT-Eintrag sagt dir, wo es weitergeht: die Seite der Liste für genau diese Adresse, mit Grund und Löschverfahren.

Eine Falle: Lautet die Antwort 127.255.255.254, hat die Liste deine Frage gar nicht beantwortet. Spamhaus liefert das bei Abfragen über große öffentliche Resolver, die es nicht bedient. Prüf von einem Server aus, der einen eigenen DNS-Resolver oder den seines Providers nutzt, oder nimm die Website der Liste.

Um deine eigene Adresse zu prüfen, drehst du sie genauso um: aus 198.51.100.25 wird 25.100.51.198.zen.spamhaus.org.

Was jede Art von Eintrag bedeutet

Eintrag	Was er besagt	Was zu tun ist
Eine Spamliste wie die Spamhaus SBL	Von dieser Adresse oder diesem Netz kam Spam	Finde, was ihn verschickt hat: ein gekapertes Konto, ein Kontaktformular, über das Mails weitergeleitet werden, eine kompromittierte Website. Behebe es, dann beantrage die Löschung.
Eine Malware-Liste wie die Spamhaus XBL	Ein Gerät hinter dieser Adresse ist infiziert oder wird als Proxy benutzt	Finde und bereinige das Gerät (im Heimnetz jeden Rechner und jedes Gerät prüfen). Dann beantrage die Löschung.
Eine „Policy“-Liste wie die Spamhaus PBL	Diese Adresse ist privat oder dynamisch und sollte keine Mails direkt zustellen	Keine Strafe. Verschick Mails über die Server deines Providers oder E-Mail-Dienstes. Betreibst du einen echten Mailserver auf einer festen Adresse, erklärt die PBL-Seite, wie du sie austrägst.
Eine Netzliste wie Spamhaus DROP	Der ganze Block ist gekapert oder wird von Kriminellen betrieben	Nichts, was du selbst beheben kannst. Mietest du diese Adresse, sprich mit deinem Provider, oder zieh um.
Eine geteilte Hosting- oder VPN-Adresse	Jemand anderes auf derselben Adresse war es	Bitte deinen Hoster oder dein VPN um eine andere Adresse; sie können auch selbst die Löschung beantragen.

Runterkommen, in der richtigen Reihenfolge

Lies den Grund auf der Seite der Liste. Oft nennt sie das Problem: eine bestimmte Malware-Familie, einen Zeitraum, eine Art von Verkehr.
Behebe die Ursache. Ändere Passwörter von Mailkonten, aktualisiere oder entferne die kompromittierte Seite oder das Plugin, bereinige infizierte Rechner, schließ offene Relays und missbrauchte Formulare. Prüf die Logs ausgehender Mails, um sicherzugehen, dass der Spam aufgehört hat.
Beantrage die Löschung auf der Seite der Liste. Manche Einträge laufen von selbst aus, sobald das Problem aufhört; andere brauchen den Antrag. Landest du kurz darauf wieder auf der Liste, war die Ursache nicht behoben.
Ignoriere alle, die „Express-Delisting“ verkaufen. Spamhaus erklärt, dass die Löschung eines Eintrags nie etwas kostet.

Dann schau dir die Authentifizierung an. Mails von einer sauberen Adresse können trotzdem abgelehnt werden, wenn die Domain keine SPF-, DKIM- oder DMARC-Einträge hat; unser Ratgeber zu SPF, DKIM und DMARC deckt diese Seite ab.

Was iplover prüft, und was nicht

Sei dir im Klaren, was ein kostenloser Check abdeckt. Die IP-Abfrage von iplover vergleicht eine Adresse mit den Listen auf unserem Server: zwei Blacklists (Spamhaus DROP und abuse.ch Feodo Tracker) plus Crawler-, Cloud-, Scanner- und Tor-Listen. Das Ergebnis sagt, welche Listen geprüft wurden; „keine Anzeichen von Missbrauch in den Quellen, die wir prüfen“ heißt also genau das. Die großen E-Mail-Blacklists wie Spamhaus SBL, XBL oder PBL fragt sie nicht ab, denn für automatisierte Abfragen gelten dort Nutzungsbedingungen. Dafür nimmst du die Website der Liste oder den DNS-Check oben.

Noch ein ehrlicher Hinweis: Feodo Tracker veröffentlicht nur Adressen, die gerade zur Steuerung bestimmter Botnetze genutzt werden, und seine Liste ist manchmal leer. Eine leere Liste kann nichts finden; das ist eine Grenze der Daten, kein Unbedenklichkeitszeugnis.

Quellen

Offizielle Dokumente, mit denen wir die Fakten in diesem Ratgeber geprüft haben.