Die zweite Achse: Domain-Reputation für Mail-Filter

Ich betreibe seit Jahren Mail-Hosting. Und was oft unterschätzt wird: viele Spam-Filter arbeiten stark über IP-Reputation, RBLs und Verhalten. Die Absender-Domain selbst wird dabei selten als eigenständiger Signalträger genutzt.

Ich habe genau dort angesetzt und das Ganze in mein rspamd integriert. Seitdem landen weniger legitime Mails im Spam – und unerwünschte bleiben noch zuverlässiger draußen.

Daraus ist ein Domain-Reputation-Service entstanden.

Was klassische Filter stark macht – und wo sie dünn werden

Die gängigen Spam-Filter beantworten vor allem eine Frage:

„Verhält sich dieser Absender wie ein Spammer?“

Das funktioniert gut bei Massenspam, kompromittierten Systemen und lauten Angriffen – also überall dort, wo Signatur, Volumen und IP-Historie ausreichen.

Schwächer wird es bei:

• gut vorbereiteten Phishing-Kampagnen
• sauber aufgesetzten Scam-Infrastrukturen
• neuen Domains ohne Historie

Und es kostet Operator-Zeit: jede neue Welle bedeutet manuelle Pflege der lokalen Blacklist, bis der Rest des Ökosystems nachzieht.

Die zweite Achse: die Domain selbst

Statt zu fragen „wie verhält sich der Absender?“, fragt der Service:

„Wirkt diese Domain wie eine glaubwürdige Entität?“

Dabei werden ausschließlich technische und strukturelle Signale bewertet – keine Inhalte, keine einzelnen Mails, keine Empfänger-History. Unter anderem:

• DNS- und Mail-Konfiguration (MX, SPF, DMARC)
• TLS-Zertifikat: Issuer, Subject-Org, Alter
• Web-Präsenz und ihre Konsistenz: Impressum, Policy-Seiten, Meta-Daten
• historische Stabilität einer Domain
• aggregierte Traffic-Signale aus Top-Ranglisten

Das Ergebnis ist ein Score von 0 (BAD) bis 9 (TOP). Hoch = glaubwürdig, niedrig = verdächtig. Die genaue Gewichtung bleibt bewusst intern – das Ergebnis ist stabil und nachvollziehbar, aber nicht gezielt auf-trainierbar. Wer seinen Score heben will, muss eine glaubwürdige Domain aufbauen.

So nutzt man ihn

Zwei Wege, den Service anzusprechen:

1. DNS-RBL – der Klassiker für Mail-Server. Eine einfache DNS-Abfrage gegen unsere Zone, Antwort ist ein 127.0.0.x mit dem Score im letzten Oktett:

dig +short vodafone.com.dnsbl.bsnsoft-hostings.de A
# → 127.0.0.2   (Score 7: HIGH)

Kein Agent, kein Proxy, kein SDK – unsere Zone als zusätzlicher RBL-Eintrag im bestehenden Filter genügt.

2. Direkt im Browser unter dnsbl.bsnsoft-hostings.de. Domain eingeben, Score bekommen. Für manuelle Prüfung oder schnelle Zweitmeinung.

Wo der Nutzen im Alltag sitzt

Konkretes Beispiel aus dem eigenen Mail-Hosting: eine Welle von Absender-Domains, die noch kein klassischer Filter kennt. Früher hieß das: Operator in die Logs, Domain manuell in die lokale Blacklist eintragen, Wiederholung für die nächste Welle, und die übernächste.

Mit der Reputation-Zone passiert das ohne Zutun: ab der zweiten Welle liefert der DNS-Query den Score direkt aus, der Filter klassifiziert die Mails ohne manuelle Pflege korrekt. Weniger Incident-Response, weniger After-Hours-Pflege.

Unabhängig von IP und Infrastruktur

Der entscheidende Unterschied zu klassischen IP-RBLs: der Score gilt der Domain, nicht der sendenden IP. Das bedeutet:

• Ein Absender, der zwischen IP-Pools wechselt, behält seinen Score.
• Ein Scam-Kampagnenbetreiber, der frische IPs nutzt, bekommt trotzdem den niedrigen Domain-Score ins Gesicht.
• Seriöse Absender, die hinter einem gemeinsamen Shared-Sender sitzen, werden nicht durch fremde Nachbarn im Pool blockiert.

Selbst ausprobieren

Einfach die eigene Domain oder die Absender-Domain einer Spam-Mail durchlaufen lassen – entweder per dig-Befehl oder im Browser. Mich interessiert, wo ihr landet. Überraschungen dabei?

Reputation prüfen