Die Reputation einer IP-Adresse, die Sie sich nicht ausgesucht haben

Niemand sucht sich eine IP-Adresse aus. Sie bekommen eine zugewiesen, und sie bringt bereits ein Jahrzehnt fremden Verhaltens mit – ihre IP-Reputation beginnt nicht bei null. Auf einem Offshore-Bereich ist diese Geschichte schwerer als im Durchschnitt, aus einem strukturellen und keinem zufälligen Grund – und die ehrliche Fassung dieses Satzes steht auf keiner Produktseite. Hier steht, was die Adresse tatsächlich entscheidet, wer über sie urteilt, und die eine Entscheidung, die mehr wiegt als jeder DNS-Eintrag, den Sie setzen könnten.

Die Geschichte, die Sie mit der Adresse mieten

Seit 2011 gibt es keine neuen IPv4-Adressen mehr. Jede Adresse, die heute vergeben wird, wurde schon einmal vergeben, oft mehrfach, und der Block, in dem sie liegt, trägt Reputationsdaten, seit es Ihre Dienstidee noch gar nicht gab. Wenn ein Anbieter Ihnen eine Adresse zuweist, prägt er keine neue – er recycelt eine, und die Quittung bringt die früheren Mieter gleich mit.

Was die meisten überrascht, ist die Granularität. Fast nichts im Internet beurteilt eine einzelne Adresse. Sperrlisten, Mail-Anbieter und Betrugs-Scoring-Systeme arbeiten mit Adressbereichen – einem /24, manchmal einem ganzen autonomen System –, weil das die Einheit ist, die ein Betreiber kontrolliert, und weil ein Missbraucher, der eine Adresse verbrennt, einfach zur nächsten im Block wechselt. Drei Folgen ergeben sich daraus, und keine davon liegt in Ihrer Hand:

• Ihre Nachbarn sind Ihre Reputation. Die anderen 253 Maschinen in Ihrem /24 treffen Entscheidungen, die auf Sie zurückfallen, und Sie können nicht sehen, wer sie sind, was sie betreiben oder wie viel Mail sie versenden. Sie erben deren Durchschnitt.
• Einträge überleben ihre Mieter. Ein Bereich kann einen Eintrag noch lange tragen, nachdem der Kunde, der ihn verursacht hat, längst gekündigt wurde – die Liste hat keine Möglichkeit zu erkennen, dass der Kunde gewechselt hat, und keinen Anreiz, es zu vermuten.
• Offshore-Bereiche starten niedriger. Ein Anbieter, der keine Identität verlangt, zieht neben ehrlichen Kunden genau jene Kunden an, die gelistet werden – und Listen reagieren darauf, indem sie sich von einer einzelnen Adresse über das /24 bis zum ganzen Netz ausweiten. Das ist ein echter Preis der Rechtsraum-Entscheidung. Er gehört in diese Entscheidung, nicht als Überraschung nach der ersten Rechnung.

Zwei weitere Dinge verschieben sich unter Ihnen, während die Adresse gleich bleibt. Adressen werden heute zwischen Organisationen verleast und übertragen, sodass der Registrierungseintrag für einen Block den Besitzer wechseln kann, ohne dass ein einziges Paket seinen Weg ändert – und Reputationsdaten, die an den Adressen hängen und nicht an der Registrierung, folgen dem Papierkram nicht. Und Geolokalisierungsdatenbanken hinken monatelang hinterher. Eine nach Chișinău verlagerte Adresse kann in der Hälfte der kommerziellen Datenbanken noch ein Quartal oder länger auf Amsterdam auflösen, was dann als eine niederländische Adresse auf einer moldauischen Verbindung erscheint, deren Widerspruch eine Betrugserkennung bewertet. Keines von beidem ist ein Defekt. Beides ist die gewöhnliche Reibung eines Adressmarkts, dem seit fünfzehn Jahren der Nachschub ausgegangen ist.

Unsere eigene Nutzungsrichtlinie benennt den Mechanismus, statt ihn zu verstecken: unerwünschte Massen-E-Mail bringt den gesamten Bereich innerhalb von Stunden auf die Sperrliste, und der Bereich ist geteilt. Deshalb gibt es die Regel, und deshalb betrifft die Sanktion den Port und nicht das Konto. Mailserver und Massen-E-Mail, für die Sie eine Einwilligung haben, sind ausdrücklich erlaubt – die Grenze verläuft bei der Einwilligung, nicht beim Volumen.

Sechs Richter der IP-Reputation, die sich nicht einig sind

„Gesperrt“ wird benutzt, als wäre es ein einziger Zustand. Tatsächlich sind es mindestens sechs, entschieden von sechs Parteien, die unterschiedliche Daten nutzen, unterschiedlich viel davon veröffentlichen und Ihnen in zwei Fällen niemals mitteilen, dass sie überhaupt entschieden haben.

Sechs Parteien, die eine IP-Adresse beurteilen, was jede davon blockiert, und was Sie tun können

Wer urteilt	Woran Sie es merken	Können Sie es beheben	Was tatsächlich blockiert wird
Mail-Anbieter	Bounce oder Stille	Teilweise	Ihre Nachricht – in den Spam-Ordner oder ganz aus der Tür. Die Reputation wird hier pro Adresse und pro Sendedomain bewertet, beide getrennt erfasst.
Spamhaus und die großen öffentlichen Listen	Bounce mit Listennamen	Ja	Die SMTP-Verbindung, an der Tür, bevor Ihre Nachricht gelesen wird. Das ist der Fall, der eine Unzustellbarkeitsmeldung mit Begründung liefert – der nützlichste Fehlschlag, den Sie haben können.
Listen, die für die Entfernung Geld verlangen	Selten ein Bounce	Nein	In der Praxis sehr wenig. Manche listen ein ganzes /24 oder ein komplettes Netz wegen eines einzigen Absenders und bieten dann eine kostenpflichtige Express-Entfernung an. Betreiber jeder Größe fragen sie gar nicht erst ab.
CDNs und Web-Firewalls	Eine Challenge-Seite	Nein	Ihre Besucher – mit einer Challenge-Seite – oder Ihre eigenen ausgehenden Anfragen an Seiten, die dahinter liegen. Die Entscheidung betrifft Ihr Netz, nicht Ihre Maschine.
Betrugs- und Zahlungs-Scoring	Gar nicht	Nein	Sichtbar gar nichts. Es hebt still den Risikowert an einer fremden Kasse an, als einer von Dutzenden Faktoren. Sie sehen die Regel nie, und es gibt keine Beschwerdestelle.
Seiten, die Rechenzentren pauschal blockieren	Ablehnung in Ihren Logs	Nein	Anfragen, die Ihr Server nach außen stellt – Scraper, API-Aufrufe, Health-Checks. Das ist gar kein Reputationsproblem. Es ist ein Kategorieproblem: Sie sind ein Rechenzentrum, und die Seite wollte Menschen.

Lesen Sie die dritte Spalte von oben nach unten, und die Form des Problems tritt hervor. Eines von sechs lässt sich wirklich von Ihnen beheben, eines teilweise, und vier sind Entscheidungen, die anderswo über eine Kategorie getroffen werden, zu der Sie gehören. Dieses Verhältnis ist das Argument dafür, um die Adresse herum zu planen, statt gegen sie anzukämpfen – wovon der letzte Abschnitt handelt.

Warum E-Mail am härtesten und ehrlichsten richtet

E-Mail ist die einzige der sechs Instanzen, die Ihnen im Moment der Ablehnung schriftlich genau sagt, warum sie Sie zurückgewiesen hat. Eine Challenge-Seite erklärt sich nicht. Ein Betrugswert taucht nie auf. Eine Unzustellbarkeitsmeldung enthält einen Code, einen Listennamen und oft eine URL. E-Mail ist der härteste Richter auf dieser Seite und der einzig ehrliche, und diese Kombination macht sie zum richtigen Ort für Ihre Konfigurationsarbeit.

Reverse DNS – und die Hälfte, die alle vergessen

Ein PTR-Eintrag bildet Ihre Adresse zurück auf einen Namen ab. Ihn zu setzen ist die leichte Hälfte, und dabei bleiben die meisten stehen. Die Anforderung ist forward-bestätigt: Der Name, den Ihr PTR liefert, muss selbst wieder zurück auf dieselbe Adresse auflösen. Google formuliert das für Massenversender genau so als Bedingung – gültige Vorwärts- und Rückwärtseinträge, wobei die sendende Adresse mit der Adresse des Hostnamens im PTR übereinstimmen muss. Ein PTR, der auf einen Namen zeigt, der nirgendwo auflöst oder auf eine andere Maschine, ist schlimmer als gar keiner, weil er wie eine Fehlkonfiguration aussieht statt wie ein Versäumnis. In unserem Netz können Sie den Rückwärtseintrag selbst setzen, was auch bedeutet, dass Sie ihn selbst falsch setzen können; richten Sie ihn ein, bevor die erste Nachricht rausgeht, nicht nach der ersten Unzustellbarkeitsmeldung.

SPF, DKIM und DMARC authentifizieren – sie bürgen nicht

Die drei Einträge beweisen, dass eine Nachricht wirklich von dem stammt, der sie vorgibt zu sein. Mehr beweisen sie nicht. Sie sind keine Referenz, sondern ein Ausweisdokument, und ein Ausweisdokument macht Sie nirgendwo willkommen. Eine authentifizierte Nachricht von einer gelisteten Adresse bleibt eine authentifizierte Nachricht von einer gelisteten Adresse – sie wird mit mehr Sicherheit abgelehnt, nicht mit weniger. Setzen Sie alle drei, weil sie inzwischen ein Minimum sind und kein Vorteil, und begreifen Sie danach, dass Sie in Sachen Reputation noch nichts getan haben.

Es gibt außerdem eine Aufteilung, die Sie kennen sollten, bevor Sie eine Woche auf die falsche Hälfte verwenden. Reputation wird getrennt für Ihre Adresse und für Ihre Sendedomain erfasst, beide unabhängig bewertet. Das hat eine praktische Konsequenz in beide Richtungen: Eine makellose neue Domain, die von einer sauberen Adresse aus sendet, hat trotzdem noch gar keine Reputation – keine Reputation ist nicht dasselbe wie gute Reputation, und die ersten tausend Nachrichten werden entsprechend behandelt –, während eine Domain mit jahrelang sauberem Sendeverhalten diese Geschichte über einen Adresswechsel hinweg mitnimmt. Die Domain-Hälfte ist die portable Hälfte, und das ist das eigentliche Argument dafür, mit DKIM auf der eigenen Domain zu signieren statt auf der, die das Versandwerkzeug standardmäßig anbietet.

Die Zahlen, die Gmail veröffentlicht, und was sie bedeuten

Für Versender von etwa fünftausend Nachrichten am Tag oder mehr veröffentlicht Google Vorgaben statt Hinweise: SPF und DKIM auf der Sendedomain, DMARC vorhanden – eine Policy von none wird akzeptiert –, Ein-Klick-Abmeldung bei Marketing- und Abo-Mail, und eine Spam-Beschwerdequote unter 0,30 Prozent, empfohlen werden 0,10 Prozent. Diese Zahlen lohnt es sich umzurechnen. Bei fünftausend Nachrichten sind 0,30 Prozent fünfzehn Beschwerden. Fünfzehn Menschen, die an einem Tag einen Button klicken, an dem Sie eine Liste verschickt haben, bei der Sie sich nicht sicher waren, sind der Unterschied zwischen zugestellt und gefiltert – und das ist keine Schwelle, an die man sich herantasten kann.

Ausgehender Port 25 ist bei den meisten großen Clouds standardmäßig gesperrt, weshalb dort niemand von all dem etwas mitbekommt. Ein Offshore-Anbieter lässt ihn oft offen, und das ist kein Geschenk: Ein offener Port auf einem geteilten Bereich bedeutet, dass die Reputation des Bereichs von jedem entschieden wird, der ihn sonst noch nutzt. Bei uns wird er ratenbegrenzt und bei wiederholtem Missbrauch gesperrt, aus genau diesem Grund und keinem anderen.

Zehn Minuten Prüfung, bevor Sie zahlen

Jede dieser Fragen lässt sich beantworten, bevor Geld fließt, und jede Antwort ist nützlicher als jede Behauptung auf einer Produktseite. Ob ein Anbieter überhaupt bereit ist zu antworten, ist selbst schon das Ergebnis.

1. Fragen Sie, welche Adresse Sie bekommen (2 Min.). Nicht den Bereich – die Adresse. Ein Anbieter, der das vor der Zahlung nicht nennen kann, kann Ihnen auch nichts über ihre Geschichte sagen, und das ist die Antwort auf die Frage, die Sie eigentlich gestellt haben.
2. Prüfen Sie die Adresse, dann das /24 drumherum (3 Min.). Die öffentlichen Reputationsprüfer akzeptieren beides. Eine saubere Adresse in einem gründlich gelisteten Block sagt Ihnen genau, was Sie über Ihre nächsten zwei Jahre wissen müssen.
3. Finden Sie heraus, welches Netz den Bereich ankündigt (2 Min.). Das Netz, das einen Block ankündigt, sagt mehr aus als der Block selbst. Ein Netz mit langer Geschichte und veröffentlichtem Abuse-Kontakt verhält sich anders als eines, das erst letztes Quartal aufgetaucht ist.
4. Testen Sie ausgehenden Port 25, bevor Sie Ihre Architektur darauf aufbauen (1 Min.). Öffnen Sie eine Verbindung zu einem Mailserver, den Sie kontrollieren, und schauen Sie, was passiert. Die Antwort erst nach der Migration zu finden, ist der Weg, wie ein Wochenende verschwindet.
5. Bestätigen Sie, dass der Rückwärtseintrag Ihnen gehört, und wie schnell (1 Min.). Beide Hälften zählen: dass Sie ihn überhaupt setzen können, und dass die Änderung Minuten dauert statt einer Ticket-Warteschlange, in der Sie ausgerechnet am Starttag hängen.
6. Fragen Sie, was passiert, wenn sich eine Adresse als unbrauchbar erweist (1 Min.). Die Antwort, die Sie wollen, ist: Sie tauschen sie, ohne Diskussion und ohne Gebühr. Lassen Sie sich das schriftlich geben, denn an dem Tag, an dem Sie es brauchen, sind Sie nicht in der Position zu verhandeln.

Was sich reparieren lässt, und was Sie umgehen

Fünf Situationen, und der nützliche Unterschied zwischen ihnen ist nicht, wie schlimm sie aussehen. Er liegt darin, ob der Hebel in Ihrer Hand liegt, in der eines anderen, oder in niemandes.

Fünf Situationen, und ob der Hebel bei Ihnen liegt

Situation	Wer hat entschieden	Liegt es bei Ihnen	Der Schritt
Auf einer Policy-Liste gelistet	Ihr Anbieter	Ja	Ein Policy-Eintrag ist keine Anschuldigung. Die meisten dieser Bereiche werden vom Netzbetreiber selbst gemeldet und sagen nur, dass von dort keine Mail direkt versendet werden sollte. Eine Selbstbedienungs-Entfernung existiert, an eine feste Adresse, einen echten Mailserver und korrekte Einträge in beide Richtungen geknüpft – und der Ausschluss einer einzelnen Adresse läuft nach einem Jahr ab und kehrt sich um, sobald Spam auftaucht.
Wegen tatsächlichem Spam von Ihrer Adresse gelistet	Die Liste	Teilweise	Beheben Sie zuerst die Ursache, denn eine gewährte und erneut verwirkte Entfernung ist schlimmer als der ursprüngliche Eintrag. Gehört die Geschichte einem früheren Mieter statt Ihnen, ist die Lösung eine andere Adresse, kein Widerspruch.
Das ganze /24 von einem Pay-to-remove-Betreiber gelistet	Nur die Liste	Nein	Tun Sie nichts, und zahlen Sie insbesondere nicht. Betrachten Sie den Eintrag als Information über die Liste, nicht über Sie, und prüfen Sie, ob irgendein Anbieter, der Ihnen wirklich wichtig ist, sie überhaupt abfragt. Meist tut das keiner.
Besucher von einem fremden CDN vor die Challenge-Seite gestellt	Jemand anderes	Nein	An Ihrer Maschine ändert sich dadurch nichts, weil dort auch nichts darüber entschieden wird. Es ist eine weitere Sache, die eine Schicht über Ihnen geregelt wird, neben der Registry und dem Proxy.
Mail trotz sauberer Listen und korrekter Einträge abgelehnt	Eigentlich niemand	Teilweise	Das ist Reputation, kein Listing, und Reputation entsteht durchs Versenden: erst geringes Volumen, echte Empfänger, und Wochen statt Tage. Oder Sie geben es auf, sie auf dieser Adresse aufzubauen, wovon der nächste Abschnitt handelt.

Alle fünf verbessern sich enorm, sobald Sie aufhören zu raten. Drei Werkzeuge kosten nichts und sind an einem Nachmittag eingerichtet: ein Postmaster-Dashboard bei den großen Anbietern, das Ihre Spam-Rate und Ihre Authentifizierungsquote gegen deren eigene Zahlen zeigt statt gegen Ihre; Feedback-Loops, die Ihnen sagen, wer sich beschwert hat, damit Sie diese Adressen aus dem Verteiler nehmen, bevor sich die Quote bewegt; und die Gewohnheit, Unzustellbarkeitsmeldungen tatsächlich zu lesen. Ein 4xx-Code ist eine vorübergehende Ablehnung und oft ein Rate-Limit – drosseln Sie. Ein 5xx ist eine Entscheidung, und der Text daneben nennt meist die Liste oder die Richtlinie, die sie getroffen hat. Die meisten löschen beides ungelesen und nennen das Ergebnis dann rätselhaft.

Ein Aufbau, der eine schlechte Adresse übersteht

Eine Entscheidung wiegt schwerer als jeder Eintrag in diesem Leitfaden, und es ist eine Entscheidung über Architektur, nicht über Konfiguration: Versenden Sie Ihre Mail nicht von der Maschine, auf der Ihre Anwendung läuft. Schicken Sie sie über ein Relay, dessen Reputation die Vollzeitaufgabe von jemandem ist, gepflegt über einen Pool von Adressen, die eingebrannt, überwacht und ersetzt werden. Sie lagern damit kein Problem aus, das Sie selbst hätten lösen können; Sie verzichten darauf, auf einer einzigen Adresse in einem geteilten Bereich etwas nachzubauen, das ein eigenes Team braucht, um am Laufen zu bleiben.

Damit bleibt der Offshore-Maschine genau das, wofür der Rechtsraum eigentlich bezahlt wurde – den Dienst hosten, die Daten halten, online bleiben, wenn eine Beschwerde eintrifft –, und die Zustellbarkeit landet dort, wo sie bereits ein eigenes Produkt ist. Die beiden Anliegen sind nicht mehr gekoppelt, was bedeutet: Ein schlechter Monat für die Adresse ist kein schlechter Monat mehr für Ihre Passwort-Resets.

Wenn Sie heute anfangen, zählt die Reihenfolge mehr als die Liste. Setzen Sie zuerst den Rückwärtseintrag und bestätigen Sie, dass er auf Sie zurück auflöst, denn alles Weitere wird daran gemessen. Veröffentlichen Sie SPF und DKIM, dann DMARC auf none, damit Sie Berichte erhalten, ohne die Zustellung zu gefährden, während Sie sie lesen. Versenden Sie hundert echte Nachrichten an echte Menschen und lesen Sie die Ergebnisse. Entscheiden Sie erst dann, ob diese Adresse überhaupt eine Sendeadresse werden soll, und falls die Antwort Nein lautet, entscheiden Sie das jetzt – nicht erst, nachdem Sie eine Warteschlange auf dieser Annahme aufgebaut haben.

Wenn Sie Mail zwingend selbst hosten müssen, trennen Sie die Adressen: eine für das öffentliche Web, eine, die nichts anderes tut als senden. Ein /29 macht das trivial und kostet weniger als ein Monat Fehlersuche, warum ein Passwort-Reset von Ihrer Marketing-IP gefiltert wird. Fragen Sie danach, bevor Sie es brauchen, nicht währenddessen.

Der größere Punkt ist der, den diese Seite immer wieder in anderen Worten macht. Offshore zu gehen kauft eine bestimmte Sache und berechnet sie in Ökosystem-Reibung, und so sieht diese Reibung von innen aus statt als Aufzählungspunkt auf einer Vergleichsseite. Braucht Ihr Risikoprofil den Rechtsraum nicht, ist eine saubere Adresse bei einem gewöhnlichen Anbieter mehr wert für Sie als alles auf dieser Seite. Braucht es ihn doch, kaufen Sie den Rechtsraum und mieten Sie die Reputation von jemand anderem – und wenn Sie Mail wirklich selbst hosten wollen, fangen Sie mit einer Maschine an, die ihren eigenen Adressblock mitbringt, statt mit einer Adresse in der Menge.

Geschrieben von den Ingenieuren, die die Plattform betreiben, und zuletzt überprüft heute. Wenn hier etwas falsch ist oder veraltet, sagen Sie es über das Kundenpanel — von dort stammt etwa die Hälfte davon.