Wenn die E-Mail-Zustellbarkeit ohne Vorwarnung zusammenbricht, gehen die meisten Versender davon aus, dass sie als Spammer markiert wurden. Die Composite Blocking List — fast immer zur CBL abgekürzt — erzählt eine andere und alarmierendere Geschichte. Ein Eintrag auf der CBL-Blacklist bedeutet selten, dass Sie vorsätzlich Spam versendet haben; er bedeutet, dass ein Rechner in Ihrem Netzwerk oder hinter Ihrer IP gekapert wurde und den automatisierten, malware-getriebenen Traffic aussendet, den Botnets und kompromittierte Server erzeugen. Es ist ein Sicherheitsalarm im Zustellbarkeits-Kostüm. Hier erfahren Sie, was die CBL erkennt, warum eine ansonsten saubere Firmen-IP gelistet wird, wie sie Spamhaus speist und wie Sie die Quelle finden und sich delisten lassen.
Die kurze Antwort#
Die CBL ist eine automatisch generierte Blockliste von IP-Adressen, bei denen Traffic beobachtet wurde, der für infizierte oder missbrauchte Rechner typisch ist — Botnet-Kommunikation, malware-getriebener Spam, offene Proxies und offene Relays. Sie wird vollständig durch maschinelle Erkennung befüllt, ganz ohne menschliches Urteil im Sinne von „das sieht nach einer Spam-Operation aus". Ihre Daten sind die Quelle hinter der Spamhaus XBL (Exploits Block List), sodass ein CBL-Eintrag fast immer auch als XBL-Treffer auftaucht — und die XBL wird über die kombinierten Zonen von Spamhaus von einem großen Teil der Mailserver weltweit abgefragt. Einen Eintrag zu entfernen bedeutet, zuerst das kompromittierte Gerät oder die Fehlkonfiguration zu finden und zu beheben und dann die Self-Service-Entfernung zu beantragen.
Was die CBL-Blacklist tatsächlich erkennt#
Die meisten Blocklisten sind um ein Urteil über die Absicht herum aufgebaut: Dieser Versender hat eine Liste gekauft, diese Operation betreibt Snowshoe-Spam, diese Domain taucht in Junk-Mail auf. Die CBL funktioniert anders. Es ist ihr egal, wer Sie sind oder ob Ihr Marketing legitim ist — sie achtet auf die Verhaltensfingerabdrücke eines Rechners, der übernommen wurde. Wenn eine IP anfängt, diese Signaturen zu erzeugen, wird sie gelistet, unabhängig davon, wie seriös das dahinterstehende Unternehmen ist.
Zu den Arten von Traffic, die einen CBL-Eintrag auslösen, gehören:
- Botnet-Aktivität — eine IP, die an einem Botnet teilnimmt, Command-and-Control-Server kontaktiert oder Mails nach einem Zeitplan verschickt, den kein Mensch festgelegt hat.
- Malware-getriebener Spam — Mails, die von einem Virus, Wurm oder Trojaner auf einem infizierten Host erzeugt werden, statt von einer Person oder einer Mailing-Plattform.
- Offene Proxies — ein Proxy, der offen im Internet steht und über den jeder, von überall, missbräuchlichen Traffic leiten kann.
- Offene Relays und fehlkonfigurierte Mailserver — ein SMTP-Server, der Mails für Versender annimmt und weiterleitet, die er ablehnen sollte, und der Ihre IP damit praktisch an Fremde verleiht.
Der gemeinsame Nenner ist, dass es sich um maschinell erzeugte Probleme handelt. Ein CBL-Eintrag sagt Ihnen, dass sich etwas auf Ihrer IP so verhält, als stünde es nicht mehr unter der Kontrolle seines Besitzers.
Wie die CBL mit der Spamhaus XBL zusammenhängt#
Wenn Sie unseren Spamhaus-Deep-Dive gelesen haben, kennen Sie die XBL bereits. Die XBL ist die Exploits Block List von Spamhaus — die Zone, die gekaperte Rechner, ausgenutzte Hosts, offene Proxies und kompromittierte Geräte kennzeichnet, die Spam versenden. Was vielen Versendern nicht klar ist: Die CBL ist die primäre Datenquelle, die diese Zone speist. Die beiden sind so eng gekoppelt, dass ein CBL-Eintrag in der Praxis auch einen XBL-Eintrag bedeutet.
Diese Kopplung ist es, die einen CBL-Eintrag folgenreich statt obskur macht. Die XBL ist in die kombinierte ZEN-Zone von Spamhaus eingebunden, die die meisten Empfänger zur Filterung eingehender IPs abfragen — ein CBL-Eintrag reitet also auf einer Abfrage mit, die Mailbox-Anbieter, ISPs und Filter-Appliances auf der ganzen Welt ohnehin schon für jede Nachricht durchführen. Mails von einer CBL-gelisteten IP können bei einem breiten Teil Ihres Publikums abgelehnt oder gefiltert werden, oft innerhalb von Stunden und ganz ohne Benachrichtigung.
Warum eine saubere Firmen-IP auf der CBL landet#
Das Verwirrende daran ist, dass die gelistete IP in der Regel einer Organisation gehört, die wissentlich nie eine einzige Spam-Nachricht versendet hat. Die CBL kennzeichnet die IP, von der der Traffic ausging, und in einem modernen Netzwerk ist diese IP oft ein gemeinsam genutztes Gateway, das vor Dutzenden oder Hunderten von Geräten sitzt. Ein NAT-Gateway lässt ein ganzes Büro nach außen wie eine einzige Adresse aussehen, sodass ein einzelner kompromittierter Laptop dazu führen kann, dass die öffentliche IP Ihres gesamten Gebäudes gelistet wird.
| Wahrscheinliche Quelle | Was tatsächlich passiert | Wo Sie suchen sollten |
|---|---|---|
| Infizierter Arbeitsplatzrechner hinter NAT | Ein Laptop oder Desktop hat sich Malware eingefangen und versendet Spam oder Botnet-Traffic direkt über Port 25. Nach außen trägt er die gemeinsame öffentliche IP des Büros. | Jedes Gerät, das diese ausgehende IP teilt — nicht nur Server. |
| Kompromittierte Website oder CMS | Ein veraltetes CMS, ein Plugin oder eine Web-App wurde ausgenutzt und versendet jetzt Spam vom Hosting-Server. | Ihr Webserver, dessen Mail-Warteschlange und kürzlich geänderte Dateien. |
| Offenes Relay oder offener Proxy | Ein Mailserver oder Proxy nimmt Traffic von Versendern an, die er ablehnen sollte, sodass Fremde Missbrauch über Ihre IP leiten. | SMTP-Relay-Regeln und Proxy-Konfiguration auf jedem zum Internet ausgerichteten Host. |
| Gekapertes Mailkonto oder gekaperte Zugangsdaten | Geleakte oder per Brute-Force erlangte Zugangsdaten erlauben es einem Angreifer, authentifizierten Spam über Ihren legitimen Mailserver zu versenden. | Authentifizierungsprotokolle, ungewöhnliche Versandvolumen und Passworthygiene. |
| IoT- oder Embedded-Gerät | Eine Kamera, ein Drucker, ein Router oder ein anderes Gerät mit schwacher Firmware ist einem Botnet beigetreten und erzeugt Traffic aus Ihrem Netzwerk. | Alles Angeschlossene, das kein normaler Arbeitsplatzrechner oder Server ist. |
Beachten Sie, was hier alles nicht vorkommt: eine Marketingkampagne, die Beschwerden ausgelöst hat, eine veraltete Liste oder ein Schwung toter Adressen. Diese Hygienemängel bringen Sie auf andere Listen — jene, die mit Absenderreputation und Spam-Traps zusammenhängen. Die CBL ist ein anderes Tier und erfordert eine andere Reaktion.
Ein CBL-Eintrag ist ein Sicherheitsproblem, nicht bloß ein Reputationsproblem#
Das ist der Perspektivwechsel, der einen CBL-Eintrag von den meisten Zustellbarkeitsproblemen unterscheidet. Wenn Sie auf einer reputationsbasierten Liste erscheinen, ist der schlimmste Fall verlorene E-Mail. Wenn Sie auf der CBL erscheinen, ist das E-Mail-Problem Ihre geringste Sorge: Etwas in Ihrer Infrastruktur führt Code aus, den Sie nicht autorisiert haben — und dieselbe Kompromittierung könnte Daten abziehen, Zugangsdaten abgreifen oder auf ihre nächste Anweisung von einem Botnet-Controller warten.
So verlockend es also ist, zur Delist-Schaltfläche zu eilen — der richtige erste Schritt ist, es wie das Sicherheitsereignis zu eskalieren, das es ist. Die gute Nachricht: Die Untersuchung, die den Eintrag beseitigt — das Auffinden des Rechners, der schlechten Traffic aussendet — ist genau die Untersuchung, die die Sicherheitslücke eindämmt. Das eine zu beheben behebt das andere.
Wie Sie die infizierte Quelle finden#
Da die gelistete IP oft ein gemeinsam genutztes Gateway ist, besteht die Jagd darin, das einzelne Gerät dahinter zu identifizieren, das sich fehlverhält. Eine praktische Reihenfolge des Vorgehens:
- Bestätigen Sie, welche IP gelistet ist und wofür sie steht. Lassen Sie die Adresse durch die Spamhaus- oder CBL-Abfrage laufen und notieren Sie, ob es sich um einen Mailserver, einen Webserver oder das NAT-Gateway eines ganzen Büros handelt. Das verrät Ihnen, wie weit die Suche reicht.
- Sehen Sie sich den ausgehenden Traffic auf Port 25 an. Malware und Botnets versenden Mails in der Regel direkt, statt über Ihren echten Mailserver. Achten Sie auf interne Geräte, die ausgehende SMTP-Verbindungen aufbauen, die nicht Ihr legitimer Mailhost sind — das ist oft der schnellste Weg, den Übeltäter zu identifizieren.
- Scannen Sie jedes Gerät, das die IP teilt. Führen Sie aktuelle Anti-Malware auf Arbeitsplatzrechnern, Servern und allem anderen auf dieser ausgehenden Adresse aus. Hören Sie nicht bei den offensichtlichen Servern auf — der infizierte Host ist häufig ein ganz gewöhnlicher Laptop oder ein übersehenes IoT-Gerät.
- Prüfen Sie Webanwendungen und CMS-Installationen. Wenn ein Hosting- oder Webserver gelistet ist, achten Sie auf veraltete Software, unerwartete Skripte, unbekannte Dateien und eine aufgestaute Mail-Warteschlange — ein Kennzeichen einer kompromittierten Website, die Spam versendet.
- Überprüfen Sie die Mailserver-Konfiguration. Vergewissern Sie sich, dass der Server nicht als offenes Relay agiert und dass kein Proxy offen für die Welt steht. Prüfen Sie die Authentifizierungsprotokolle auf gekaperte Konten und abnormale Versandvolumen.
Wenn Ihre Mail-Infrastruktur auf einer gemeinsam genutzten IP läuft, stimmen Sie sich mit Ihrem Anbieter ab — die Kompromittierung eines anderen Mieters kann eine Adresse listen, die Sie teilen. Die Abwägungen von dedizierten gegenüber gemeinsam genutzten IPs zu verstehen hilft Ihnen zu entscheiden, ob es sich lohnt, Ihren Versand zu isolieren.
Wie Sie sich selbst von der CBL delisten#
Die CBL bietet eine Self-Service-Entfernung an, und sie ist bewusst einfach gehalten — aber die Reihenfolge des Vorgehens ist entscheidend. Folgen Sie derselben Disziplin, die jede Blacklist-Entfernung bestimmt:
- Zuerst beheben. Bereinigen oder isolieren Sie das infizierte Gerät, patchen Sie die ausgenutzte Anwendung, schließen Sie das offene Relay oder den offenen Proxy und setzen Sie alle kompromittierten Zugangsdaten zurück. Stellen Sie sicher, dass der missbräuchliche Traffic tatsächlich gestoppt ist. Die CBL listet eine IP erneut, wenn das Verhalten anhält, sodass ein Delist-Antrag vor der Behebung vergebliche Mühe ist.
- Entfernung beantragen. Nutzen Sie die CBL-/Spamhaus-Abfrage für Ihre IP und folgen Sie dem Self-Service-Entfernungspfad. Da die CBL maschinengesteuert ist, geht die Entfernung in der Regel schnell, sobald das zugrunde liegende Signal verschwunden ist — Sie teilen einem automatisierten System mit, dass das Problem behoben ist.
- Achten Sie auf einen erneuten Eintrag. Wenn die Adresse kurz darauf wieder auftaucht, haben Sie nicht die gesamte Quelle gefunden. Kehren Sie zur Untersuchung zurück; wahrscheinlich gibt es ein zweites infiziertes Gerät, oder die Malware hat sich selbst neu installiert. Vergewissern Sie sich, dass Sie wirklich sauber sind, bevor Sie den Vorfall als abgeschlossen betrachten.
Das Delisting ist nicht die Ziellinie — ein sauberes, unkompromittiertes Netzwerk ist es. Wenn Sie unsicher sind, ob der Eintrag tatsächlich verschwunden ist, führt Sie unser Leitfaden zum Überprüfen, ob Sie auf einer Blacklist stehen durch das Verifizieren einer IP auf den wichtigsten Listen.
Fangen Sie einen CBL-Eintrag ab, bevor er Sie etwas kostet#
Die CBL gibt Ihnen keine Vorwarnung. Wenn die Zustellbarkeit von der Klippe stürzt, läuft der kompromittierte Rechner womöglich schon seit Tagen — und je länger er läuft, desto mehr Schaden richtet er sowohl auf der Sicherheits- als auch auf der Reputationsseite an. Der zuverlässige Weg, rechtzeitig davon zu erfahren, ist eine kontinuierliche Blacklist-Überwachung, die Ihre IPs und Domains gegen die CBL, Spamhaus und andere wichtige Listen abgleicht und Sie in dem Moment alarmiert, in dem ein Eintrag erscheint, sodass Sie die Untersuchung starten können, solange sie noch etwas bewirkt.
Häufig gestellte Fragen#
Was ist die CBL-Blacklist?#
Die Composite Blocking List (CBL) ist eine automatisch generierte DNS-Blockliste von IP-Adressen, bei denen Traffic beobachtet wurde, der für infizierte oder missbrauchte Rechner typisch ist — Botnet-Aktivität, malware-getriebener Spam, offene Proxies und offene Relays. Anders als Listen, die vorsätzliche Spammer nach menschlicher Prüfung kennzeichnen, wird die CBL rein durch maschinelle Erkennung dieses missbräuchlichen Verhaltens befüllt. Ihre Daten sind die Quelle hinter der Spamhaus XBL, sodass ein CBL-Eintrag in der Regel bedeutet, dass Ihre E-Mails überall dort gefiltert werden, wo Spamhaus zum Einsatz kommt.
Warum steht meine IP auf der CBL, wenn ich nie Spam versendet habe?#
Weil die CBL die IP listet, von der der Traffic ausging, und in den meisten Netzwerken wird diese IP von vielen Geräten hinter einem NAT-Gateway gemeinsam genutzt. Ein einzelner infizierter Laptop, eine kompromittierte Website, ein offenes Relay oder ein gekapertes IoT-Gerät kann dazu führen, dass die öffentliche IP Ihres gesamten Netzwerks gelistet wird. Der Eintrag wirft Ihnen nicht vor, absichtlich Spam zu versenden — er sagt Ihnen, dass etwas in Ihrer Infrastruktur kompromittiert wurde und von sich aus missbräuchlichen Traffic versendet.
Ist die CBL dasselbe wie die Spamhaus XBL?#
Sie sind nicht identisch, aber eng miteinander verknüpft: Die CBL ist die primäre Datenquelle, die die Spamhaus XBL (Exploits Block List) speist. In der Praxis werden Sie, wenn Sie auf der CBL stehen, fast immer auch auf der XBL erscheinen, und die XBL ist in die kombinierte ZEN-Zone von Spamhaus eingebunden, die die meisten Empfänger abfragen. Diese Kopplung ist der Grund, warum ein CBL-Eintrag eine so große Reichweite hat, obwohl die CBL eine spezialisierte, maschinengesteuerte Liste ist.
Wie werde ich von der CBL entfernt?#
Beheben Sie zuerst die zugrunde liegende Kompromittierung — bereinigen oder isolieren Sie das infizierte Gerät, patchen Sie die ausgenutzte Anwendung, schließen Sie jedes offene Relay oder jeden offenen Proxy und setzen Sie kompromittierte Zugangsdaten zurück — und stellen Sie sicher, dass der schädliche Traffic gestoppt ist. Nutzen Sie dann die CBL- oder Spamhaus-Abfrage für Ihre IP und folgen Sie dem Self-Service-Entfernungspfad; die Entfernung geht in der Regel schnell, sobald das Signal verschwunden ist. Wird die Adresse erneut gelistet, haben Sie nicht die gesamte Quelle gefunden — kehren Sie also zur Untersuchung zurück, bevor Sie es erneut versuchen.
Ein CBL-Eintrag ist ein Sicherheitsvorfall, bevor er ein Zustellbarkeitsproblem ist, und er gibt Ihnen keine Vorwarnung. Die Blacklist-Überwachung von Qualisend überwacht Ihre Domains und IPs kontinuierlich gegen die CBL, Spamhaus XBL und andere wichtige Listen und alarmiert Sie in dem Moment, in dem sich etwas ändert, sodass Sie die kompromittierte Quelle finden können, bevor sie Sie den Posteingang kostet. Kombinieren Sie sie mit einer kostenlosen Blacklist- und E-Mail-Prüfung, um zu sehen, wo Ihr Versand gerade jetzt steht.
