„554 5.7.1 Service unavailable; Client host [IP] blocked using zen.spamhaus.org“: was es bedeutet und wie du es behebst

Was das bedeutet

Der Server, der deine E-Mail empfängt, hat deine sendende IP gegen eine öffentliche Sperrliste geprüft und sie dort gefunden. Genau dieser Wortlaut kommt von Postfix, einem sehr verbreiteten Mailserver, aber viele andere Server schreiben etwas Ähnliches:

554 5.7.1 Service unavailable; Client host [203.0.113.10] blocked using zen.spamhaus.org; https://...

ZEN ist keine einzelne Liste: Es ist eine einzige Abfrage, die mehrere Spamhaus-Listen kombiniert:

• SBL: IPs, die beim Spamversand beobachtet wurden oder von Spam-Betreibern genutzt werden. Von Menschen bei Spamhaus gepflegt.
• XBL (mit den CSS-Daten): IPs, die infiziert oder gehackt aussehen, oder Server, die automatisch Müll versenden.
• PBL: Bereiche, die keine E-Mails direkt senden sollten, etwa private Internetanschlüsse. Eine Richtlinienliste, keine Strafe.

Ein ähnlicher Bounce lautet blocked using bl.spamcop.net. SpamCop ist eine andere Liste, die von Spam-Meldungen der Nutzer gespeist wird. Einträge dort laufen automatisch ab, sobald keine Meldungen mehr kommen, meist innerhalb etwa eines Tages.

Warum das passiert

• Ein gehacktes Postfach, eine gehackte Website oder ein missbrauchtes Kontaktformular auf deinem Server verschickt Spam.
• Ein Computer oder Gerät in deinem Netzwerk ist infiziert und sendet Müll über deine IP.
• Du sendest direkt von einem privaten oder Büro-Anschluss (PBL).
• Deine Cloud-IP wurde vor dir von einem Spammer genutzt.
• Du teilst eine IP mit anderen Kunden deines Hosters.

Wenn es nicht deine Schuld ist

Spamhaus lehnt Abfragen ab, die über große öffentliche DNS-Resolver laufen. Ein schlecht eingerichteter empfangender Server kann dann einen Fehler „blocked using zen.spamhaus.org“ mit einem Hinweis wie „open resolver“ anzeigen, obwohl du gar nicht gelistet bist. Zeigt Spamhaus für deine IP keinen Eintrag, schick den Bounce an die IT des Empfängers: Sie muss ihren Server korrigieren.

So prüfst du es

1. Kopiere die IP aus dem Bounce, zwischen den Klammern.
2. Schlag sie nach auf check.spamhaus.org. Das Ergebnis zeigt die Liste (SBL, XBL/CSS oder PBL), den Grund und die Schritte zur Entfernung.
3. Mach einen Delivmail-Test. Sende vom selben Server oder Tool eine E-Mail an die einmalige Adresse auf der Startseite (/). Der Bericht zeigt die IP, die deine Mails tatsächlich sendet, ihren Blacklist-Status, das Reverse DNS und ob es sich um einen geteilten Anbieter handelt.
4. Prüfe weitere Listen unter /blacklists, einschließlich SpamCop, mit der IP und deiner Domain.

So behebst du es

Eintrag in der SBL

Lies den Grund, den Spamhaus angibt. Bei einem Hoster oder E-Mail-Anbieter eröffne ein Ticket und füge den Bounce ein: Nur er kann sein Netz bereinigen und die Entfernung beantragen. Auf deinem eigenen Server stoppe zuerst die Spam-Quelle und folge dann dem Verfahren zur Entfernung, das beim Eintrag angezeigt wird.

Eintrag in der XBL oder CSS

1. Finde die Ursache: gehacktes E-Mail-Konto, veraltetes Website-Plugin, ungeschütztes Kontaktformular, infizierter Computer hinter derselben IP.
2. Ändere Passwörter, aktualisiere Software, füge Formularen ein Captcha hinzu, leere die Mail-Warteschlange.
3. Sorge dafür, dass sich dein Server mit einem echten Hostnamen meldet und ein korrektes Reverse DNS hat.
4. Nutze die Option zur Selbstentfernung auf check.spamhaus.org. Geht der Spam weiter, wird die IP schnell wieder gelistet.

Eintrag in der PBL

• Privater oder Büro-Anschluss: Sende über den Postausgangsserver deines E-Mail-Anbieters, statt direkt zu senden.
• Echter Mailserver mit fester IP: Richte einen ordentlichen Reverse-DNS-Namen ein und nutze dann das Formular zur Selbstentfernung aus der PBL.

Eintrag bei SpamCop

Behebe die Ursache (meist dieselbe wie bei der XBL) und warte. Der Eintrag verschwindet automatisch, wenn keine neuen Meldungen kommen.

Prüfe, ob es behoben ist

Schlag die IP noch einmal auf check.spamhaus.org und unter /blacklists nach. Die Entfernung wirkt meist innerhalb einer Stunde, aber empfangende Server können die alte Antwort noch etwas länger zwischenspeichern. Mach einen neuen Delivmail-Test, um zu bestätigen, dass der Blacklist-Abschnitt sauber ist, und sende dann die zurückgekommene E-Mail erneut. Ein neuer Eintrag nach der Entfernung bedeutet, dass das Problem noch aktiv ist.