Shared-Hosting-IP auf der Blacklist? Was Sie tun können

Veröffentlicht 2026-11-03 ／ Aktualisiert 2026-11-03 ／ Von Yuki Nakazawa

Steht eine Shared-Hosting-IP auf einer Blacklist, klären Sie zuerst, wer diese IP kontrolliert und auf welcher Liste sie mit welchem Rückgabecode steht. Bereinigen Sie dann alles auf Ihrer eigenen Seite und schicken Sie Ihrem Hoster die Abfrageergebnisse als Beleg, damit er handeln kann. Bei einer geteilten IP kann die Ursache bei einem ganz anderen Kunden liegen, und bei manchen Listen kann nur der Netzbetreiber die Entfernung beantragen.

Auch eine frisch bereitgestellte VPS- oder Cloud-IP kann vom ersten Tag an „auf der Blacklist“ wirken – entweder wegen der Historie eines Vornutzers oder weil der Bereich als einer gelistet ist, aus dem keine Mails direkt versendet werden sollen. In jedem Fall liegt die Entscheidung über eine Entfernung beim Listenbetreiber.

Dieser Leitfaden beruht auf den offiziellen Seiten von Spamhaus, AWS, Google Cloud und Microsoft Azure mit Stand 11/2026. Einschränkungen und Verfahren ändern sich; prüfen Sie daher den aktuellen Wortlaut, bevor Sie handeln. Einen Gesamtüberblick über Blacklist-bedingte Bounces gibt unser Leitfaden zu E-Mails, die von Blacklists blockiert werden.

Prüfen Sie kostenlos, ob Ihre Domain oder IP-Adresse auf einer von rund 345 Blacklists steht.

Klären Sie zuerst: welche IP, welche Liste

„Mein Server steht auf einer Blacklist“ kann sehr Verschiedenes bedeuten, und die Lösung hängt von den Details ab. Beantworten Sie zuerst drei Fragen.

Welche IP versendet Ihre Mails tatsächlich? Die IP, unter der Ihre Website läuft, ist nicht unbedingt die, über die Ihre E-Mails zugestellt werden. Lesen Sie die Bounce-Meldung, die oft die abgewiesene IP nennt, und prüfen Sie die Received-Header einer von Ihnen gesendeten Nachricht, um die tatsächliche ausgehende Adresse zu bestätigen.
Wer kontrolliert diese IP? Bei Shared Hosting ist es eine Adresse, die Sie mit anderen Kunden teilen. Bei einem dedizierten Server, VPS oder einer Cloud-Instanz ist sie Ihnen zugewiesen, der umgebende Bereich gehört aber weiterhin dem Provider. Ihr Hosting-Tarif oder Ihr Control Panel zeigt, ob Ihre ausgehenden Mails eine geteilte Adresse nutzen.
Auf welcher Liste steht sie? Listen unterscheiden sich in ihrer Bedeutung und darin, wer das Problem beheben kann. Prüfen Sie die IP mit unserem Blacklist-Checker gegen alle wichtigen Listen auf einmal und notieren Sie Listennamen und Rückgabecodes.

Mit diesen drei Antworten wird meist klar, ob Sie das selbst beheben, ob Ihr Provider es beheben muss oder ob Sie grundsätzlich ändern sollten, wie Sie Mails versenden.

Abfrageergebnisse und Rückgabecodes lesen

Spamhaus ZEN (zen.spamhaus.org) ist die kombinierte IP-Liste von Spamhaus. Eine gelistete IP liefert eine Adresse im Bereich 127.0.0.x, und die letzte Zahl zeigt, welche zugrunde liegende Liste getroffen hat. Für Shared-Hosting- und Cloud-IPs lohnt es sich, diese Codes zu unterscheiden:

Rückgabecode	Liste	Was er bei Hosting oder Cloud meist bedeutet
127.0.0.2	SBL	Die IP wurde als bösartig eingestuft. Entfernungsanträge müssen vom zuständigen ISP oder Hoster kommen.
127.0.0.3	CSS	Automatisch gelistet wegen Versand von Mails mit geringer Reputation. Beheben Sie die Ursache, bevor Sie die Entfernung beantragen.
127.0.0.4	XBL	Anzeichen einer Kompromittierung. Vermutlich gibt es irgendwo auf der IP einen infizierten Rechner oder eine missbrauchte Website.
127.0.0.10	PBL (vom ISP gepflegt)	Das Netz hat den Bereich als einen markiert, aus dem keine Mails direkt versendet werden sollen.
127.0.0.11	PBL (von Spamhaus gepflegt)	Gleiche Bedeutung als Richtlinie; eine Selbstausnahme kann möglich sein, wenn Sie die Bedingungen erfüllen.

Ein PBL-Eintrag ist kein Vorwurf. Er ist eine Richtlinienaussage, dass Mails von dieser Adresse mit Authentifizierung bei einem Server eingeliefert werden sollen, der sie weiterleitet. Spamhaus ermutigt ISPs und andere Netze ausdrücklich, jeden Bereich zu listen, aus dem keine Mails versendet werden sollen – und das schließt ausdrücklich Webserver ein.

Die Codes 127.255.255.252, 127.255.255.254 und 127.255.255.255 sind Fehler, keine Einträge. Die FAQ von Spamhaus zur DNSBL-Nutzung warnt außerdem, dass ein kostenloser öffentlicher Resolver wie Google Public DNS (8.8.8.8) in den meisten Fällen „nicht gelistet“ liefert – deshalb können verschiedene Tools zu unterschiedlichen Ergebnissen kommen. Prüfen Sie das Ergebnis im Zweifel mit dem Reputation Checker von Spamhaus. Die vollständigen Verfahren je Liste finden Sie unter so funktioniert die Entfernung bei Spamhaus.

Was Sie selbst beheben können und was nicht

Wie viel Sie ändern können, hängt davon ab, wofür Sie bezahlen.

Hosting-Art	Meist selbst behebbar	Meist nicht selbst behebbar
Shared Hosting (geteilte IP)	Probleme im eigenen Konto: geleakte Postfach-Passwörter, eine gehackte Website, ein missbrauchtes Kontaktformular; SPF, DKIM und DMARC für Ihre Domain	Der Versand anderer Kunden, die ausgehende IP selbst, SBL-Entfernungsanträge, Reverse DNS und HELO des Servers
VPS oder dedizierter Server	Konfiguration von Betriebssystem und Mailserver, passendes Reverse DNS und HELO, Richtlinie für ausgehenden Port 25, Malware-Bereinigung	Einträge, die den gesamten Bereich des Providers abdecken (etwa vom ISP gepflegte PBL-Einträge), und die Netzrichtlinien des Providers
Cloud-Instanz	Alles oben Genannte, zusätzlich die Verlagerung ausgehender Mails auf einen externen Versanddienst	Die Port-25-Beschränkungen der Plattform, die nur der Provider aufheben kann

Das eigene Konto bei Shared Hosting ausschließen

Kompromittierte Postfächer. Durchsuchen Sie Versandprotokolle und Gesendet-Ordner nach Mail-Schüben, die Sie nicht verschickt haben. Ändern Sie sofort die Passwörter, wenn Sie welche finden.
Eine gehackte Website. Veraltete CMS-Installationen und Plugins sind ein häufiger Weg für Angreifer, Skripte zum Mailversand hochzuladen.
Missbrauchte Formulare. Kontaktformulare, deren automatische Antwort Besuchern die Wahl von Empfänger oder Text erlaubt, lassen sich zur Spamschleuder umfunktionieren.
Listenqualität. Versand an gekaufte Listen oder an Adressen ohne Einwilligung ist ein zuverlässiger Weg, eine geteilte IP für alle zu beschädigen – auch für Sie selbst.

Ergibt nichts davon einen Befund, liegt die Ursache wahrscheinlich bei jemand anderem auf derselben Adresse. Die Port-25-FAQ von Spamhaus sagt es deutlich: Bei geteilten IP-Pools gehören die meisten von einem Eintrag Betroffenen nicht zu denen mit dem infizierten Gerät. Ihre Aufgabe ist dann, die Belege zu sammeln und an den Provider zu übergeben.

So melden Sie es Ihrem Hoster

Spamhaus gibt an, dass SBL-Entfernungsanträge vom für die gelistete IP zuständigen ISP gestellt werden müssen, und rät allgemeinen Nutzern, sich zur Behebung an ihren ISP zu wenden. Für Kunden mit Shared Hosting ist dieser ISP Ihr Hoster. Ein Support-Ticket, in dem nur steht „meine E-Mails kommen nicht an“, wird oft hin und her gereicht. Ein Ticket mit den folgenden Angaben kommt meist schneller voran:

Die sendende IP, bestätigt aus den Headern oder dem Bounce.
Die Liste und der Rückgabecode, zum Beispiel zen.spamhaus.org mit 127.0.0.2.
Wann und womit Sie geprüft haben, einschließlich dessen, was der offizielle Reputation Checker gezeigt hat, falls Sie ihn genutzt haben.
Der Bounce-Text, konkret die Zeile, in der der empfangende Server die Abweisung begründet.
Was Sie bereits ausgeschlossen haben, etwa zurückgesetzte Passwörter und einen sauberen Website-Scan.
Worum Sie bitten: Untersuchung, gegebenenfalls einen Entfernungsantrag beim Listenbetreiber oder die Verlagerung der ausgehenden Mails Ihres Kontos auf eine andere IP.

Ein kurzes Beispiel:

Our outbound IP 192.0.2.10 returns 127.0.0.2 (SBL) on zen.spamhaus.org.
We confirmed this on the official Spamhaus checker at 10:00 UTC on 2026-11-03.
We have reset all mailbox passwords and found no unexpected files on our site.
Please investigate, request removal if appropriate, or advise whether our mail
can be sent from a different IP.

Ihr Provider braucht unter Umständen Zeit, und selbst wenn er handelt, entscheidet am Ende der Listenbetreiber. Haben Sie Mails, die nicht warten können, prüfen Sie parallel die unten beschriebene Relay-Option als Übergangslösung. Wenn Sie nicht herausfinden, wo das Problem liegt, können Sie auch uns um Hilfe bitten.

Port-25-Sperren und Reverse DNS bei VPS und Cloud

Wenn Sie auf einem VPS oder einer Cloud-Instanz einen eigenen Mailserver betreiben, stoßen Sie unter Umständen auf ein Problem, bevor überhaupt eine Blacklist ins Spiel kommt: Viele Provider beschränken ausgehenden TCP-Port 25, den Port für die Mailzustellung von Server zu Server. Die offizielle Dokumentation von AWS, Google Cloud und Microsoft Azure sagt Folgendes.

Amazon EC2 (AWS). Standardmäßig erlaubt EC2 ausgehenden Verkehr auf Port 25 nur zu privaten IPv4-Adressen; Verkehr zu öffentlichen IPv4- und IPv6-Adressen wird blockiert. Sie können die Aufhebung der Beschränkung beantragen. Für E-Mail an Dritte empfiehlt AWS, Elastic-IP-Adressen bereitzustellen und ihnen statische Reverse-DNS-Einträge zuzuweisen; das könne helfen zu vermeiden, dass Mails als Spam markiert werden. Bevor Sie den Reverse-Eintrag anlegen, muss ein Forward-DNS-Eintrag (A) existieren, der auf die Elastic IP auflöst.
Google Cloud (Compute Engine). Ausgehender Verkehr zu TCP-Port 25 auf externen IP-Adressen ist standardmäßig blockiert. Die Sperre wird automatisch aufgehoben, wenn Google Cloud ein Projekt als risikoarm einstuft; den Status eines Projekts sehen Sie an einem Banner auf den Seiten für VPC-Netzwerke oder Firewallrichtlinien in der Konsole. SMTP über TLS auf den Ports 465 und 587 ist von der Sperre ausgenommen. Google empfiehlt einen vertrauenswürdigen externen E-Mail-Anbieter, was nach Angaben von Google Ihre IP-Reputation verbessert.
Microsoft Azure (virtuelle Maschinen). Ausgehender Port 25 ist für alle Abonnementtypen außer Standard-Enterprise-Agreement und Microsoft Customer Agreement for Enterprise (MCA-E) blockiert. Enterprise-Dev/Test-Abonnements sind standardmäßig blockiert, können aber über die Diagnose im Portal ausgenommen werden. Authentifizierte SMTP-Relay-Dienste, typischerweise auf Port 587, sind für keinen Abonnementtyp eingeschränkt, und Microsoft empfiehlt sie. Selbst wenn Port 25 offen ist, gibt es laut Microsoft keine Garantie, dass externe Domains die Mails annehmen.

Ein gesperrter Port 25 ist ein Zustellungsproblem, kein Reputationsproblem, und das Öffnen des Ports ändert nichts am Ansehen Ihrer IP. Wenn Sie für eine Cloud- oder VPS-Adresse eine Ausnahme von der Spamhaus PBL möchten, muss die IP statisch sein, tatsächlich einen ausgehenden Mailserver betreiben, korrektes Forward- und Reverse-DNS haben und Ihnen zugewiesen sein. Spamhaus verlangt außerdem, dass ausgehender Port 25 für alle anderen Geräte dahinter geschlossen ist.

Wechsel zu dedizierter IP oder authentifiziertem SMTP-Relay

Wenn eine geteilte IP immer wieder von ihren Nachbarn heruntergezogen wird oder Ihr Cloud-Provider Port 25 nicht öffnet, ist es oft praktischer, die Versandart zu ändern, als Entfernungen hinterherzulaufen.

Ein externes, authentifiziertes SMTP-Relay

Statt dass Ihr Server Mails direkt an den Empfänger zustellt, übergibt er jede Nachricht an einen authentifizierten Versandserver, der sie in Ihrem Auftrag zustellt. Genau dieses Modell beschreibt Spamhaus für PBL-gelistete Bereiche: Mails sollen mit Authentifizierung bei einem Relay eingeliefert werden, das vom anbindenden ISP oder von einem externen Maildienst betrieben werden kann. Die Port-25-FAQ von Spamhaus ergänzt, dass Endnutzer die Ports 587 oder 465 mit SMTP AUTH verwenden sollten. Azure und Google Cloud empfehlen beide authentifizierte Relays oder externe E-Mail-Dienste, und Microsoft merkt an, dass solche Dienste unter anderem dazu dienen, die IP-Reputation zu erhalten, von der die Zustellung abhängt.

Konfigurieren Sie Hostname, Port (typisch ist 587) und Zugangsdaten des Relays so, wie Ihr Anbieter es dokumentiert.
Nehmen Sie das Relay in den SPF-Eintrag Ihrer Domain auf und richten Sie DKIM-Signierung dafür ein. Siehe SPF, DKIM und DMARC einrichten.
Prüfen Sie die Versandlimits des Relays, bevor Sie große Mailmengen darauf verlagern.

Eine dedizierte IP

Eine dedizierte IP schützt Sie vor dem Verhalten anderer Kunden, ist aber kein automatisches Reputations-Upgrade. Die Sender Guidelines von Spamhaus nennen die Faktoren, die die Reputation beeinflussen, darunter den Dienstanbieter, die IP-Nachbarschaft, die Infrastruktur hinter der Adresse und die Historie der IP.

Neue Adressen werden genauer geprüft. Dieselben Richtlinien sagen, dass HELO-Domains ohne Versandhistorie zusätzlicher Filterung unterliegen und dass eine geänderte IP oder ein geänderter HELO-Hostname als neu behandelt und schrittweise aufgewärmt werden sollte. Warm-up-Dienste, die künstlichen Verkehr erzeugen, sind untersagt.
Setzen Sie ein aussagekräftiges Reverse DNS. Spamhaus warnt, dass generisches oder automatisch erzeugtes Reverse DNS auf dedizierten IPs der Reputation schaden kann.
Prüfen Sie die neue IP vor der Nutzung. Eine Adresse kann einen Eintrag aus der Zeit ihres Vornutzers mitbringen; fragen Sie sie daher ab, bevor Sie mit dem Versand beginnen.

Einer erneuten Listung vorbeugen

Stimmen Sie Hostname, HELO und Reverse DNS aufeinander ab. Die CSS-FAQ von Spamhaus sagt, dass das Forward-DNS Ihrer IP zum auf Ihrem Server gesetzten HELO-Wert passen sollte und HELO ein vollqualifizierter Domainname (FQDN) sein sollte. Als häufige Fehler nennt sie Werte wie localhost.localdomain.
Beschränken Sie Port 25 auf Mailserver. Schließen Sie auf einem VPS, der auch andere Aufgaben erledigt, ausgehenden Port 25 für alles, was nicht Ihr Mailserver ist.
Halten Sie Websites und Konten abgesichert. Aktualisieren Sie CMS und Plugins, verwenden Sie Passwörter nicht mehrfach und aktivieren Sie, wo möglich, Zwei-Faktor-Authentifizierung.
Prüfen Sie die Einstellungen für ausgehende Mails in Ihrem Control Panel. Die CSS-FAQ beschreibt eine Plesk-Option, die den Namen der jeweiligen Domain in die SMTP-Begrüßung setzt. Sie warnt: Teilen sich mehrere Domains auf dem Server eine IP, können Mails einiger oder aller dieser Domains von Empfängern, die die Spamhaus XBL nutzen, als Spam markiert werden; die Option sollte mit äußerster Vorsicht verwendet werden. Prüfen Sie die entsprechende Einstellung in Ihrem eigenen Panel und folgen Sie den Hinweisen Ihres Providers oder Panel-Herstellers.
Überwachen Sie regelmäßig. Eine geteilte IP kann ihren Status durch das Handeln anderer ändern. Prüfen Sie sie regelmäßig mit unserem Blacklist-Checker und informieren Sie Ihren Provider frühzeitig, wenn sich etwas ändert.

Auch nach einer Entfernung wenden Empfänger ihre eigene Filterung an; die Zustellung erholt sich daher möglicherweise nicht sofort. CSS-Einträge laufen normalerweise etwa drei Tage nach der letzten Erkennung aus, die IP wird aber erneut gelistet, wenn das Problem weiter erkannt wird, und Selbstentfernungen sind begrenzt.

Wenn Sie das nicht selbst erledigen möchten

Wir vermitteln Anbieter, die Delisting-Anträge, Beratung und Unterstützung übernehmen (ab JPY 50,000). Über die Entfernung entscheidet der jeweilige Listenbetreiber; sie kann nicht zugesichert werden.

Hilfe anfragen

Diese Website erhält möglicherweise eine Vermittlungsprovision von den aufgeführten Anbietern. About

Häufige Fragen

Meine Shared-Hosting-IP steht auf einer Blacklist. Kann ich die Entfernung selbst beantragen?

Das hängt von der Liste ab. Bei der Spamhaus SBL müssen Entfernungsanträge vom für die IP zuständigen ISP oder Hoster kommen. Bei einer geteilten Adresse kann die Ursache zudem bei einem anderen Kunden liegen; der übliche Weg ist daher, Ihrem Provider das Abfrageergebnis und den Rückgabecode zu schicken und ihn zu bitten, sich darum zu kümmern.

Die IP meines brandneuen VPS steht schon auf der PBL. Stimmt etwas nicht?

Nicht unbedingt. Die PBL listet Bereiche, aus denen keine Mails direkt versendet werden sollen, und Spamhaus ermutigt Netze, Webserver einzubeziehen. Versenden Sie über ein authentifiziertes Relay oder – wenn Sie einen korrekt konfigurierten Mailserver auf einer statischen IP mit passendem Forward- und Reverse-DNS betreiben – erwägen Sie, eine Ausnahme zu beantragen.

Meine Cloud-VM kann überhaupt keine E-Mails versenden. Liegt es an einer Blacklist?

Prüfen Sie zuerst Port 25. Standardmäßig blockieren AWS und Google Cloud ausgehenden Port 25 zu externen Adressen, und Azure blockiert ihn für die meisten Abonnementtypen. Google Cloud und Azure dokumentieren den authentifizierten Versand über Ports wie 587 als Alternative, und bei AWS können Sie die Aufhebung der Beschränkung beantragen.

Hält mich eine dedizierte IP von Blacklists fern?

Sie beseitigt das Risiko durch andere Kunden, aber nichts verhindert einen Eintrag vollständig. Neue IPs ohne Historie können zusätzlicher Filterung unterliegen; wärmen Sie sie daher schrittweise auf und setzen Sie korrektes Reverse DNS und HELO.

Verwendete offizielle Seiten

Die Angaben in diesem Artikel wurden zum Zeitpunkt der Veröffentlichung anhand der unten aufgeführten offiziellen Seiten geprüft. Richtlinien und Verhalten können sich ohne Ankündigung ändern. Prüfen Sie daher die offiziellen Seiten, bevor Sie sich in wichtigen Fragen darauf verlassen.