DNSBL-Rückgabecodes erklärt: 127.0.0.2, 127.255.255.x, NXDOMAIN

Veröffentlicht 2026-11-03 ／ Aktualisiert 2026-11-03 ／ Von Yuki Nakazawa

Liefert eine DNSBL-Abfrage eine Adresse aus 127.0.0.0/8, ist die IP oder Domain gelistet; eine Antwort NXDOMAIN bedeutet, dass sie nicht gelistet ist. Darüber hinaus ist der genaue Wert listenspezifisch, manche Antworten der Form 127.x sind Fehlercodes statt Einträge, und SERVFAIL oder ein Timeout sagt überhaupt nichts über den Listungsstatus aus.

Dieser Leitfaden erläutert die in RFC 5782 festgehaltenen Konventionen und die Rückgabecodes, die Spamhaus, SpamCop und UCEPROTECT auf ihren eigenen Seiten dokumentieren. Er beruht auf diesen offiziellen Seiten mit Stand 11/2026. Listen ändern ihre Daten und Richtlinien; prüfen Sie daher die Dokumentation des Betreibers, bevor Sie auf ein Ergebnis reagieren. Wenn Sie Hintergrundwissen zur Funktionsweise von Blocklisten brauchen, beginnen Sie mit was eine DNSBL (RBL) ist.

Prüfen Sie kostenlos, ob Ihre Domain oder IP-Adresse auf einer von rund 345 Blacklists steht.

Grundlagen: was RFC 5782 über Rückgabecodes sagt

RFC 5782, veröffentlicht im Februar 2010, beschreibt, wie DNS-Blacklists und -Whitelists abgefragt werden und wie ihre Antworten aussehen. Es ist ein informatives Dokument (Informational), keine Spezifikation auf dem Standards Track: Es hält gängige Praxis fest, und die Details der Wertezuordnung bleiben jedem Listenbetreiber überlassen.

Wie eine Abfrage aufgebaut ist

Bei IPv4 drehen Sie die Reihenfolge der Oktette um und hängen die Zone der Liste an. Um 192.0.2.99 gegen bl.example.com zu prüfen:

dig +short 99.2.0.192.bl.example.com A
dig +short 99.2.0.192.bl.example.com TXT

Bei IPv6 wird die Adresse als 32 Hex-Nibbles in umgekehrter Reihenfolge geschrieben, gefolgt von der Zone. Domainbasierte Listen nehmen einfach den Domainnamen, gefolgt vom Zonennamen; das RFC merkt an, dass namensbasierte Listen weit seltener sind als IP-basierte.

Der A-Record: gelistet oder nicht

Gelistet: Die Liste liefert einen A-Record. Laut RFC sollten alle A-Werte in 127.0.0.0/8 liegen, um unerwünschten Netzwerkverkehr zu vermeiden, und der Wert ist üblicherweise 127.0.0.2.
Nicht gelistet: Für die Adresse darf es keine Einträge geben. In DNS-Begriffen lautet die Antwort NXDOMAIN, das heißt, der Name existiert nicht.
Der Wert des A-Records darf nicht als IP-Adresse verwendet werden. 127.0.0.2 ist eine Markierung, kein Server, zu dem man sich verbindet.

Der TXT-Record: Grund und URL

Laut RFC sollten DNSBLs einen TXT-Record veröffentlichen, der beschreibt, warum ein Eintrag gelistet ist, und dieser Grund enthält oft eine URL mit weiteren Informationen. Client-Software muss den A-Record prüfen und kann den TXT-Record prüfen. Der TXT-Text wird oft in die SMTP-Fehlermeldung übernommen; eine Bounce-Meldung kann daher eine daraus stammende Abfrage- oder Entfernungs-URL enthalten.

Warum Listen unterschiedliche Werte liefern: Teillisten und Bitmasken

Ein anderer Wert als 127.0.0.2 bedeutet meist, dass die Zone mehrere Teillisten zusammenfasst. RFC 5782 beschreibt drei Arten, sie darzustellen: Subdomains, mehrere A-Records und bitkodierte Werte.

Mehrere A-Records: Jede Teilliste hat ihren eigenen Wert, und die Liste liefert einen A-Record für jede Teilliste, auf der die Adresse steht.
Bitmasken: Jeder Teilliste ist ein Bit zugeordnet, und die Antwort ist das logische ODER der Bits aller zutreffenden Teillisten. Im Beispiel des RFC liefert eine Adresse auf den Teillisten 127.0.0.2 und 127.0.0.4 den Wert 127.0.0.6.

Entscheidend ist, dass das RFC selbst feststellt, dass es keine weit verbreitete Konvention für die Zuordnung von Teillistennamen zu Werten gibt. Derselbe Wert kann auf verschiedenen Listen Verschiedenes bedeuten. Lesen Sie einen Rückgabecode immer zusammen mit der Zone, die ihn geliefert hat, und anhand der Dokumentation dieser Liste. Das RFC sagt außerdem, dass Client-Software Bitmasken und Wertebereichstests auf zurückgegebene Werte anwenden können sollte.

Spamhaus ZEN ist ein gutes Beispiel für den Stil mit mehreren Antworten. Laut Dokumentation erzeugt eine Abfrage in der Regel mehrere unterschiedliche Antworten in derselben DNS-Antwort, eine für jeden Datenbestand, auf dem die IP gelistet ist, mit je eigenem Rückgabecode. Zwei oder drei Codes gleichzeitig zu sehen ist normal.

Rückgabecodes der wichtigsten Blocklisten

Die folgende Tabelle enthält Rückgabecodes, die die Betreiber auf ihren offiziellen Seiten dokumentieren.

Liste (Zone)	Rückgabecode	Bedeutung (laut Betreiber)
Spamhaus ZEN (zen.spamhaus.org)	127.0.0.2	SBL
Spamhaus ZEN	127.0.0.3	CSS
Spamhaus ZEN	127.0.0.4	XBL (CBL-Daten)
Spamhaus ZEN	127.0.0.9	DROP, zusammen mit 127.0.0.2 geliefert
Spamhaus ZEN	127.0.0.10 / 127.0.0.11	PBL (vom ISP gepflegt / von Spamhaus gepflegt)
Spamhaus DBL (dbl.spamhaus.org)	127.0.1.2, 127.0.1.4 bis 127.0.1.6	Domain mit schlechter Reputation: Spam, Phishing, Malware, Botnet-C&C
Spamhaus DBL	127.0.1.102 bis 127.0.1.106	Missbrauchte legitime Domain (127.0.1.103: missbrauchte Redirector-Domain, in Spam verwendet)
Spamhaus DBL	127.0.1.255	Es wurde eine IP-Adresse gegen die DBL abgefragt, was nicht zulässig ist
SpamCop (bl.spamcop.net)	127.0.0.2	Gelistet
UCEPROTECT (dnsbl-1, dnsbl-2, dnsbl-3.uceprotect.net)	Auf der Seite zur DNS-Nutzung nicht angegeben	Je eine Zone für Level 1, 2 und 3

Spamhaus: ZEN fasst SBL, CSS, XBL und PBL zusammen und deckt nur IP-Adressen ab; Domains werden gegen die DBL geprüft. Die DBL verwendet 127.0.1.0/24, die Zero Reputation Domains-Liste 127.0.2.0/24. Da die DBL eine IP-Abfrage immer mit 127.0.1.255 beantwortet, lässt sie sich nicht zur Prüfung von IPs verwenden. Was jede Spamhaus-Liste bedeutet und wie Sie die Entfernung beantragen, erfahren Sie in unserem Leitfaden zur Entfernung bei Spamhaus.
SpamCop: Die offizielle FAQ nennt 127.0.0.2 als Antwort für eine gelistete IP. Sie empfiehlt außerdem, Nutzern Zugriff auf gefilterte Mails zu geben, etwa durch Markieren oder Verschieben in einen separaten Ordner, statt sie direkt abzuweisen. Die Entfernung behandelt unser Leitfaden zum Delisting bei SpamCop.
UCEPROTECT: Die Seite zur DNS-Nutzung nennt die drei Zonennamen, beschreibt aber keine Rückgabewerte. Sie sagt, dass die DNS-Methode eigentlich nur für kleine bis mittlere Mailserver sinnvoll ist, und empfiehlt rsync für Systeme mit mehr als 100.000 Anfragen pro Tag. Die Level werden in unserem Leitfaden zu UCEPROTECT Level 2 und 3 erklärt.
Barracuda: Seine Rückgabewerte werden hier nicht behandelt. Sehen Sie auf den Seiten von Barracuda Central nach.

127.255.255.x und öffentliche Resolver: Antworten, die keine Einträge sind

Spamhaus reserviert 127.255.255.0/24 für Fehlercodes. Sie können für jede Zone zurückgegeben werden, und die offizielle FAQ stellt klar, dass daraus nicht geschlossen werden darf, das abgefragte Objekt sei gelistet.

Rückgabecode	Bedeutung
127.255.255.252	Tippfehler im DNSBL-Namen
127.255.255.254	Abfrage über einen öffentlichen oder offenen Resolver
127.255.255.255	Übermäßige Zahl von Abfragen

Warum Ergebnisse über öffentliche Resolver unzuverlässig sind

Laut FAQ von Spamhaus erhalten Sie bei Abfragen über große öffentliche Resolver in den meisten Fällen eine Antwort „nicht gelistet“ (NXDOMAIN). Mit anderen Worten: Eine gelistete IP kann sauber aussehen. Dieselbe FAQ nennt die Nutzung von Amazon, Quad9, Google, Cloudflare oder einem anderen öffentlichen Resolver als häufigste Ursache des umgekehrten Problems, bei dem eine Liste scheinbar das ganze Internet blockiert.

Manche Resolver schreiben außerdem NXDOMAIN-Antworten um und liefern für nicht existierende Namen eine IP-Adresse. Ein Mailserver kann das für einen Eintrag halten. Die FAQ schlägt vor, den Mailserver anzuweisen, jede Antwort außerhalb von 127.0.0.0/8 zu ignorieren, einen eigenen Resolver zu betreiben oder sich an Ihren ISP oder DNS-Anbieter zu wenden. Um zu sehen, welchen Resolver Sie tatsächlich nutzen, nennt die FAQ diese Prüfung:

dig txt whoami.fastly.net

Wenn Sie auf Ihrem eigenen Mailserver DNSBL-Filterung betreiben, stellen Sie außerdem sicher, dass er Mails nicht abweist, sobald er eine Antwort 127.255.255.x sieht. Spamhaus bezeichnet das als Fehlkonfiguration.

NXDOMAIN vs. SERVFAIL vs. Timeout

Jede DNS-Antwort enthält einen Antwortcode (RCODE), definiert in RFC 1035. Wenn Sie ein DNSBL-Ergebnis lesen, trennen Sie den RCODE vom Wert des A-Records.

Antwort	Bedeutung im DNS	Wie sie bei einer DNSBL zu lesen ist
A-Record in 127.0.0.0/8 (außer 127.255.255.x)	Kein Fehler (NOERROR)	Gelistet; prüfen Sie den Wert anhand der Dokumentation dieser Liste
NXDOMAIN (Name Error)	Der abgefragte Name existiert nicht	Nicht gelistet, sofern die Abfrage über einen geeigneten Resolver lief
127.255.255.x	Eine normal aussehende Antwort, die einen Fehler signalisiert	Unbekannt; korrigieren Sie Resolver oder Abfrage
SERVFAIL (Server failure)	Der Nameserver konnte die Abfrage nicht verarbeiten	Unbekannt
Timeout	Es kam keine Antwort	Unbekannt

RFC 5782 sagt nicht, wie Clients mit einer Liste umgehen sollen, die ausfällt oder nicht antwortet. SERVFAIL oder ein Timeout als „gelistet“ oder als „nicht gelistet“ zu lesen, ist ein Fehler. Versuchen Sie es später erneut oder fragen Sie über einen anderen Weg ab.

Mit Testeinträgen prüfen, ob eine Liste funktioniert

RFC 5782 verlangt, dass IPv4-Listen einen Eintrag für 127.0.0.2 enthalten und keinen für 127.0.0.1. IPv6-Listen verwenden ::FFFF:7F00:2 (gelistet) und ::FFFF:7F00:1 (nicht gelistet), Domainlisten die reservierten Namen TEST (gelistet) und INVALID (nicht gelistet).

dig +short 2.0.0.127.zen.spamhaus.org A
dig +short 1.0.0.127.zen.spamhaus.org A

Liefert die erste Abfrage einen Listungscode (einen Wert 127.x außer 127.255.255.x) und die zweite nichts, funktionieren Abfragen gegen diese Liste. Liefert die erste 127.255.255.x, wird Ihr Abfrageweg abgelehnt. Laut RFC sollten Clients Testeinträge regelmäßig prüfen und keine Liste ohne korrekte Testeinträge verwenden. Es merkt außerdem an, dass Betreiber beim Einstellen einer Liste manchmal alle Einträge entfernt oder einen Wildcard-Eintrag gesetzt haben, der jede Adresse listet. Kommt auch 127.0.0.1 als gelistet zurück, vermuten Sie das Problem bei der Liste oder Ihrem Abfrageweg, nicht bei Ihrer eigenen IP.

So lesen Sie Ihr eigenes Ergebnis in der Praxis

Wählen Sie die richtige IP oder Domain. Verwenden Sie die IP aus der Bounce-Meldung oder die IP des sendenden Servers aus den Received-Zeilen in den Headern der Nachricht.
Prüfen Sie mehrere Listen auf einmal. Unser Blacklist-Checker fragt die wichtigsten Listen in einem Durchgang ab.
Lesen Sie jeden Code zusammen mit seiner Zone. Ein Listungscode in 127.0.0.0/8 (außer 127.255.255.x) bedeutet „gelistet“; schlagen Sie nach, was dieser Wert auf dieser Liste bedeutet. Eine Antwort 127.255.255.x, SERVFAIL oder ein Timeout bedeutet, dass der Status noch unbekannt ist.
Sehen Sie sich den TXT-Record und die Abfrageseite des Betreibers an. Viele Listen liefern einen Grund oder eine URL. Betrachten Sie die Abfrageseite des Betreibers als maßgebliches Ergebnis.
Beheben Sie die Ursache und folgen Sie dann dem Entfernungsverfahren dieser Liste. Jeder Betreiber entscheidet, ob und wann er einen Eintrag entfernt. Besteht die Ursache weiter, kommt der Eintrag meist zurück.

Den vollständigen Ablauf der Fehlersuche bei zurückkommenden Mails finden Sie unter E-Mails, die von einer Blacklist blockiert werden. Wenn Sie Hilfe bei der Auswertung der Ergebnisse oder der Ursachensuche brauchen, können Sie uns zum Delisting befragen.

Wenn Sie das nicht selbst erledigen möchten

Wir vermitteln Anbieter, die Delisting-Anträge, Beratung und Unterstützung übernehmen (ab JPY 50,000). Über die Entfernung entscheidet der jeweilige Listenbetreiber; sie kann nicht zugesichert werden.

Hilfe anfragen

Diese Website erhält möglicherweise eine Vermittlungsprovision von den aufgeführten Anbietern. About

Häufige Fragen

Eine Abfrage hat 127.0.0.2 geliefert. Auf welcher Liste stehe ich?

Sie stehen auf der Liste der Zone, die Sie abgefragt haben. 127.0.0.2 ist der übliche Wert, den viele Listen verwenden; der Wert allein identifiziert die Liste also nicht. Bei Spamhaus ZEN bedeutet er SBL, bei SpamCop einfach „gelistet“. Lesen Sie ihn zusammen mit dem Zonennamen und der Dokumentation dieser Liste.

Ich habe 127.255.255.254 erhalten. Stehe ich auf einer Blacklist?

Nein. Bei Spamhaus-Zonen ist das ein Fehlercode, der bedeutet, dass die Abfrage über einen öffentlichen oder offenen Resolver kam. Er bedeutet nicht, dass die IP gelistet ist. Prüfen Sie erneut auf der Abfrageseite von Spamhaus oder fragen Sie ab, ohne einen öffentlichen Resolver zu verwenden.

Warum kommen verschiedene Tools zu unterschiedlichen Ergebnissen?

Ein häufiger Grund ist der für die Abfrage verwendete Resolver. Über öffentliche Resolver kann eine gelistete IP sauber erscheinen, oder Sie erhalten Fehlercodes. Ein Tool kann außerdem SERVFAIL oder ein Timeout als „nicht gelistet“ anzeigen. Nutzen Sie im Zweifel die offizielle Abfrageseite des Listenbetreibers.

Für meinen Eintrag gibt es keinen TXT-Record. Stimmt etwas nicht?

Nicht unbedingt. RFC 5782 sagt, dass DNSBLs einen TXT-Grund veröffentlichen sollten, es ist aber keine Pflicht, und die Prüfung des TXT-Records ist für Clients optional. Maßgeblich für einen Eintrag ist der A-Record.

Verwendete offizielle Seiten

Die Angaben in diesem Artikel wurden zum Zeitpunkt der Veröffentlichung anhand der unten aufgeführten offiziellen Seiten geprüft. Richtlinien und Verhalten können sich ohne Ankündigung ändern. Prüfen Sie daher die offiziellen Seiten, bevor Sie sich in wichtigen Fragen darauf verlassen.