Was ist eine DNSBL (RBL)? So funktionieren DNS-Blacklists

Veröffentlicht 2026-11-03 ／ Aktualisiert 2026-11-03 ／ Von Yuki Nakazawa

Eine DNSBL (DNS-based Blacklist, auch DNS-Blocklist oder RBL genannt) ist eine Liste von IP-Adressen oder Domainnamen, die ein Listenbetreiber als Quelle von Spam oder Missbrauch einstuft und so veröffentlicht, dass jeder sie mit einer gewöhnlichen DNS-Abfrage prüfen kann. Mailserver fragen jeden sich verbindenden Absender in einer oder mehreren DNSBLs ab und weisen die Nachricht dann ab, nehmen sie an oder rechnen das Ergebnis in einen Spam-Score ein.

Dieser Leitfaden erklärt, wie eine DNSBL-Abfrage funktioniert (umgedrehte IP-Adressen, A- und TXT-Records, IPv6-Nibble-Format), den Unterschied zwischen IP-basierten und domainbasierten Listen, wie Empfänger die Antworten tatsächlich nutzen, wie sich Blacklists von Whitelists unterscheiden, warum Adressen gelistet werden und welche Rolle ein Eintrag spielt, wenn Ihre E-Mails nicht zugestellt werden. Er beruht auf RFC 5782 und der offiziellen Dokumentation großer Listenbetreiber mit Stand 11/2026.

Prüfen Sie kostenlos, ob Ihre Domain oder IP-Adresse auf einer von rund 345 Blacklists steht.

Was DNSBL und RBL bedeuten

RFC 5782, „DNS Blacklists and Whitelists“, verwendet den Oberbegriff DNSxL für eine DNS-Zone, deren Einträge Hosts auf einer Liste kennzeichnen. Eine Blacklist ist eine DNSBL, eine Whitelist eine DNSWL. Beide sind gleich aufgebaut. Nur die Bedeutung, die ein Empfänger einem Treffer beimisst, ist verschieden.

RBL steht für Real-time Blackhole List. Laut RFC wurde die erste Liste dieser Art 1997 gestartet und unter diesem Namen bekannt. Streng genommen bezeichnet RBL diese ursprüngliche Liste und ihren Nachfolger, und das RFC merkt an, dass der Begriff in den USA eine eingetragene Dienstleistungsmarke ist. Im Alltag werden „RBL“ und „DNSBL“ aber nahezu gleichbedeutend verwendet; „Was ist eine RBL?“ und „Was ist eine DNSBL?“ sind also praktisch dieselbe Frage.

RFC 5782 ist ein informatives Dokument (Informational), kein Internetstandard. Es wurde von der IRTF Anti-Spam Research Group erarbeitet und gibt den Konsens dieser Gruppe zu Praktiken wieder, die die Interoperabilität zwischen DNS-Blacklists und -Whitelists verbessern. Es beschreibt oder empfiehlt keine Richtlinien für das Aufnehmen oder Entfernen von Adressen; das RFC geht davon aus, dass dies in einem separaten Dokument behandelt wird. In der Praxis legt jeder Betreiber seine eigene Listungs- und Entfernungsrichtlinie fest.

So funktioniert eine DNSBL-Abfrage

Eine DNSBL-Abfrage ist eine normale DNS-Abfrage; für eine manuelle Prüfung brauchen Sie also keine spezielle Software: Alles, was einen Namen auflösen kann, kann eine Liste abfragen. Listenbetreiber können allerdings Nutzungsbedingungen festlegen. Die öffentlichen Server von Spamhaus etwa sind nur bei geringem Volumen und nichtkommerzieller Nutzung kostenlos, und Abfragen über öffentliche Resolver werden nicht zuverlässig beantwortet (siehe unten).

IPv4: Adresse umdrehen und Zone anhängen

Bei einer IPv4-Adresse schreiben Sie die vier Oktette in umgekehrter Reihenfolge und hängen den Zonennamen der Liste an. Die Struktur ist vom Reverse DNS übernommen. Im Beispiel von RFC 5782 wird 192.0.2.99 gegen eine Liste unter bad.example.com geprüft, indem man Folgendes abfragt:

99.2.0.192.bad.example.com

Der A-Record sagt „gelistet“, der TXT-Record sagt warum

A-Record. Jeder gelistete Eintrag muss einen A-Record haben. Üblicherweise lautet sein Wert 127.0.0.2. Der Wert ist ein Signal, keine Adresse, und darf nicht als solche verwendet werden; Listen nutzen den Bereich 127.0.0.0/8, damit ein versehentlich verwendeter Wert keinen unerwünschten Netzwerkverkehr erzeugt.
Nicht gelistet. Steht die Adresse nicht auf der Liste, gibt es keine Einträge dafür, und die Abfrage liefert normalerweise NXDOMAIN.
TXT-Record. Eine DNSBL sollte einen TXT-Record veröffentlichen, der den Grund der Listung beschreibt. Clients müssen den A-Record prüfen und können zusätzlich den TXT-Record prüfen.
Verschiedene Werte für verschiedene Teillisten. Eine kombinierte Liste kann unterschiedliche Werte im Bereich 127.0.0.x liefern, um zu zeigen, welche Teilliste getroffen hat, oder mehrere A-Records zugleich. Die Bedeutung ist listenspezifisch; lesen Sie daher immer die Dokumentation des Betreibers. Unser Leitfaden zu DNSBL-Rückgabecodes behandelt die gängigen Codes.

Im Terminal (die Zone ist hier ein Platzhalter):

dig +short 99.2.0.192.bad.example.com A
dig +short 99.2.0.192.bad.example.com TXT

Testeinträge

RFC 5782 verlangt, dass IPv4-Listen einen Eintrag für 127.0.0.2 enthalten und keinen für 127.0.0.1. Von Clients wird erwartet, dass sie diese Testeinträge prüfen, bevor sie einer Zone vertrauen, und eine Zone, die darauf falsch antwortet, nicht verwenden.

IPv6: das Nibble-Format

Eine IPv6-Adresse wird vollständig als 32 Hexadezimalziffern ausgeschrieben und dann Ziffer für Ziffer (Nibble für Nibble) umgedreht, jeweils durch einen Punkt getrennt, gefolgt von der Zone der Liste. Das Beispiel des RFC für 2001:db8:1:2:3:4:567:89ab auf ugly.example.com:

b.a.9.8.7.6.5.0.4.0.0.0.3.0.0.0.2.0.0.0.1.0.0.0.8.b.d.0.1.0.0.2.ugly.example.com

IPv6-Listen müssen den Testeintrag ::FFFF:7F00:2 (127.0.0.2 als IPv4-gemappte Adresse) enthalten und dürfen ::FFFF:7F00:1 nicht enthalten. Nicht jede Liste unterstützt IPv6; prüfen Sie daher die Dokumentation des Betreibers, bevor Sie sich auf eine IPv6-Abfrage verlassen.

IP-basierte und domainbasierte Listen

Je nach Inhalt gibt es zwei grundlegende Arten von Listen.

Art	Abgefragter Name	Was Empfänger meist prüfen
IP-basiert	Umgedrehte IP-Adresse plus Zone	Die IP des sich verbindenden Servers; IPs aus den Received-Headerfeldern
Domainbasiert (RHSBL)	Domainname plus Zone	Den HELO-Namen, die MAIL-FROM-Domain, Domains in Links im Nachrichtentext

Im Domain-Beispiel von RFC 5782 wird invalid.edu gegen doms.example.net geprüft, indem man invalid.edu.doms.example.net abfragt. Domainbasierte Listen werden manchmal RHSBL (Right-Hand-Side Blacklist) genannt. Ihre Testeinträge verwenden reservierte Namen: Die Liste muss TEST enthalten und darf INVALID nicht enthalten.

Die Spamhaus Domain Blocklist (dbl.spamhaus.org) ist ein weit verbreitetes Beispiel, und ihre Dokumentation nennt einige praktische Punkte:

Sie enthält nur Domains. Eine Abfrage mit einer IP-Adresse liefert immer einen „gelistet“-Code; sie darf daher nicht als allgemeine IP-DNSBL konfiguriert werden. Für IP-Abfragen empfiehlt Spamhaus ZEN (zen.spamhaus.org).
Sie können einen vollständigen Hostnamen abfragen; er trifft, wenn die Domain des Hosts gelistet ist.
Während der SMTP-Sitzung wird sie gegen den HELO-String und die MAIL-FROM-Domain geprüft. Nach Annahme der Nachricht wird sie gegen Domains in Headern und Text geprüft, etwa URLs und Kontaktadressen.

Die praktische Folge: Eine saubere sendende IP garantiert keine Zustellung. Eine gelistete Absenderdomain oder eine gelistete Domain, auf die in der Nachricht verlinkt wird, kann trotzdem zu einer Blockierung führen.

Wie empfangende Server DNSBLs nutzen

RFC 5782 beschreibt das typische Vorgehen. Ein Mailserver prüft bei jeder eingehenden SMTP-Verbindung eine konfigurierte Auswahl von DNSxLs. Ein Treffer auf einer Blacklist führt zur Abweisung der Verbindung, ein Treffer auf einer Whitelist zur Annahme. Alternativ fließen die Ergebnisse in eine Bewertungsfunktion ein, die sie zusammen mit anderen Signalen gewichtet. Filter, die nach dem Empfang der Nachricht laufen, entnehmen die zu prüfenden IPs meist den Received-Headerfeldern oder URIs im Text.

Abweisen oder bewerten?

Diese Entscheidung trifft der Empfänger. Die FAQ von SpamCop bezeichnet die eigene Liste als aggressives Werkzeug und empfiehlt, verdächtigen Spam zu markieren oder umzuleiten oder die Liste als einen Faktor in einem Score zu nutzen, statt Mails direkt abzuweisen. Einstellungen zur Abweisung beschreibt sie als Information für Administratoren, die keinen feineren Ansatz nutzen können.

Fallstricke, vor denen Empfänger gewarnt werden

Sie geben Urteilsvermögen ab. Wer eine DNSxL nutzt, überlässt einen Teil der Serververwaltung dem Listenbetreiber. Laut RFC sollten Sie sicherstellen, dass die Richtlinien der Liste mit Ihren eigenen übereinstimmen.
Eingestellte Listen. Ein Betreiber, der eine Liste einstellt, könnte einen Wildcard-Eintrag setzen, der jede Adresse listet. Mit den oben genannten Testeinträgen bemerkt ein Client das.
Caching. Server dürfen Ergebnisse zwischenspeichern, müssen aber TTLs beachten und abgelaufene Einträge verwerfen.
Öffentliche Resolver. Laut der FAQ von Spamhaus liefern Abfragen über Google Public DNS in den meisten Fällen „nicht gelistet“, sodass echte Einträge übersehen werden. Codes im Bereich 127.255.255.x sind Fehler, etwa 127.255.255.254 bei einer Abfrage über einen gesperrten öffentlichen Resolver, und dürfen nicht als „gelistet“ gelesen werden. Spamhaus merkt an, dass manche Server deshalb fälschlich alle Mails abweisen, und empfiehlt, einen eigenen Resolver zu betreiben.

Das ist ein Grund, warum zwei Prüftools bei derselben Adresse zu unterschiedlichen Ergebnissen kommen können: Sie fragen möglicherweise über verschiedene Resolver ab.

Blacklists vs. Whitelists (DNSBL vs. DNSWL)

Eine DNSBL und eine DNSWL werden auf dieselbe Weise abgefragt, ein Treffer bedeutet aber das Gegenteil. Laut RFC 5782 nutzen Netzwerkverantwortliche DNSBLs typischerweise, um Verkehr zu blockieren, und DNSWLs, um Verkehr bevorzugt anzunehmen. Dieselbe Liste kann in einem Kontext sogar als Blacklist und in einem anderen als Whitelist dienen.

Aspekt	DNSBL (Blacklist)	DNSWL (Whitelist)
Zweck	Abweisen oder abwerten	Annehmen oder aufwerten
TXT-Record	Sollte den Eintrag erklären	Weniger nützlich, da SMTP einem Client nicht mitteilen kann, warum er angenommen wurde; manche Listen veröffentlichen trotzdem einen
Wert des A-Records	Gelistet oder nicht, und welche Teilliste	Kann einen Reputations- oder Vertrauenswert tragen

dnswl.org (list.dnswl.org) ist ein Beispiel für eine Whitelist. Laut ihrer Dokumentation haben Antworten die Form 127.0.x.y, wobei x eine Kategorie und y eine Vertrauensstufe von 0 (keine) bis 3 (hoch) ist. Sie schlägt vor, gelistete Hosts Greylisting und Blacklist-Prüfungen überspringen zu lassen, Hosts mit mittlerem und hohem Vertrauen die Spamfilterung überspringen zu lassen und den Virenscan nie auszulassen. Wie weit ein Whitelist-Eintrag von Prüfungen befreit, entscheidet weiterhin der Empfänger.

Häufige Gründe, warum eine IP oder Domain gelistet wird

Jeder Betreiber legt eigene Kriterien fest, und viele halten die genauen Auslöser geheim. Die folgenden Gründe stammen aus der veröffentlichten Dokumentation der Betreiber.

Spam-Meldungen und Spamtraps. Die SpamCop Blocking List enthält IPs, die Mails versendet haben, die von SpamCop-Nutzern gemeldet wurden, wobei Mails an Spamtraps (von Spammern gesammelte oder erzeugte Adressen) zusätzlich ins Gewicht fallen. Laut FAQ dauert ein Eintrag ohne weitere Meldungen nur 24 Stunden, und Adressen werden automatisch entfernt, wenn die Meldungen aufhören.
Infizierte oder kompromittierte Geräte. Die Spamhaus XBL listet IPs automatisch bei Anzeichen wie Malware, „kostenlosen VPN“-Apps, die fremden Verkehr über das Gerät leiten, Beteiligung an Brute-Force-Angriffen oder Versuchen, Mails mit gestohlenen Zugangsdaten weiterzuleiten. Besteht die Ursache weiter, wird die IP bei der nächsten Verbindung erneut gelistet.
Fehlkonfiguration und schlechte Listenpflege. Die Spamhaus CSS nennt HELO-Namen, die nicht zum Forward-DNS passen, kompromittierte Websites und CMS-Installationen, unsichere Konfigurationen und schlecht gepflegte Mailinglisten. Sie gibt an, dass die Ursache vor einer Entfernung ermittelt und behoben werden muss.
Richtlinien-Einträge. Die Spamhaus PBL umfasst Adressbereiche, oft private Breitbandanschlüsse, aus denen keine Mails direkt versendet werden sollen. Laut Spamhaus ist ein PBL-Eintrag nicht die Folge von etwas, das der Endnutzer getan hat; Mails aus solchen Bereichen sollen über einen authentifizierten SMTP-Server versendet werden.
Geteilte Infrastruktur. Bei Shared Hosting kann der Versand eines anderen Kunden die von Ihnen genutzte IP beeinträchtigen. Siehe was zu tun ist, wenn eine Shared-Hosting-IP auf einer Blacklist steht.

Welche Rolle DNSBLs spielen, wenn E-Mails nicht ankommen

Ein DNSBL-Eintrag ist eine mögliche Ursache für nicht zugestellte Mails, aber nicht die einzige. Falsche Adressen, volle Postfächer, Probleme auf Empfängerseite und fehlende Authentifizierung können ebenfalls zu Bounces führen. Ist eine Liste beteiligt, nennt die Bounce-Meldung sie oft oder enthält eine Abfrage-URL.

Lesen Sie den Bounce. Notieren Sie den Antwortcode und einen etwaigen Listennamen oder eine URL im Text.
Ermitteln Sie Ihre sendende IP und Domain. Nutzen Sie die Received-Zeilen in den Headern oder fragen Sie den Betreiber des Servers.
Prüfen Sie die wichtigsten Listen auf einmal. Nutzen Sie den Blacklist-Checker und bestätigen Sie jeden Treffer auf der Abfrageseite des jeweiligen Betreibers.
Beheben Sie die Ursache. Gehen Sie die oben genannten Ursachen durch. Anträge, die vor der Behebung gestellt werden, enden meist in einer erneuten Listung.
Folgen Sie dem Verfahren des Betreibers. Manche Listen laufen von selbst aus, manche nehmen Entfernungsanträge an, und manche akzeptieren nur Anträge des Netzinhabers. Die Entscheidung über eine Entfernung liegt immer beim Listenbetreiber, und ein Antrag ist keine Zusage der Entfernung.

Empfänger setzen auch eigene Filter ein; Mails fließen daher möglicherweise nicht sofort wieder, wenn ein Eintrag endet. Den vollständigen Ablauf der Fehlersuche finden Sie unter E-Mail auf der Blacklist: so lesen Sie den Bounce, zur Authentifizierung unter SPF, DKIM und DMARC einrichten. Wenn Sie die Ursache nicht selbst eingrenzen können, können Sie uns um Hilfe bitten.

Wenn Sie das nicht selbst erledigen möchten

Wir vermitteln Anbieter, die Delisting-Anträge, Beratung und Unterstützung übernehmen (ab JPY 50,000). Über die Entfernung entscheidet der jeweilige Listenbetreiber; sie kann nicht zugesichert werden.

Hilfe anfragen

Diese Website erhält möglicherweise eine Vermittlungsprovision von den aufgeführten Anbietern. About

Häufige Fragen

Ist eine RBL dasselbe wie eine DNSBL?

In der Praxis ja. RBL war der Name der ursprünglichen, 1997 gestarteten Liste, und RFC 5782 verwendet DNSBL als Oberbegriff. Heute verwenden die meisten beide Begriffe gleichbedeutend.

Eine Abfrage hat 127.0.0.2 geliefert. Was bedeutet das?

Nach der in RFC 5782 beschriebenen Konvention bedeutet 127.0.0.2, dass die Adresse gelistet ist. Kombinierte Listen verwenden für verschiedene Teillisten unterschiedliche Werte, und manche Werte, etwa die Codes 127.255.255.x von Spamhaus, sind Fehler statt Einträge. Die genaue Bedeutung finden Sie in der Dokumentation des Betreibers.

Wenn ich auf einer DNSBL stehe, kommen dann alle meine E-Mails zurück?

Nicht unbedingt. Jeder Empfänger entscheidet, welche Listen er nutzt und ob er bei einem Treffer abweist oder nur den Spam-Score erhöht. Deshalb können Mails an manche Empfänger scheitern, während Mails an andere weiterhin ankommen.

Lassen sich IPv6-Adressen gegen eine DNSBL prüfen?

RFC 5782 definiert ein IPv6-Format, bei dem die vollständige Adresse Hexziffer für Hexziffer umgedreht wird. Nicht jede Liste unterstützt IPv6; prüfen Sie daher, ob die für Sie relevante Liste IPv6 unterstützt.

Bedeutet ein Whitelist-Eintrag, dass meine Mails nie gefiltert werden?

Nein. Ein Whitelist-Eintrag ist ein Signal, das der Empfänger nach eigenem Ermessen nutzen kann. dnswl.org zum Beispiel schlägt vor, die Spamfilterung nur bei Einträgen mit mittlerem und hohem Vertrauen zu überspringen und den Virenscan nie auszulassen.

Verwendete offizielle Seiten

Die Angaben in diesem Artikel wurden zum Zeitpunkt der Veröffentlichung anhand der unten aufgeführten offiziellen Seiten geprüft. Richtlinien und Verhalten können sich ohne Ankündigung ändern. Prüfen Sie daher die offiziellen Seiten, bevor Sie sich in wichtigen Fragen darauf verlassen.