Was ist die Provider.tools DNSBL?
Unsere DNS-basierte Blacklist mit mehrstufigem Reputations- und Scoring-Modell verstehen — was sie ist, wie sie funktioniert und warum sie sich von herkömmlichen Blacklists unterscheidet.
Überblick
Eine DNSBL (DNS-based Blacklist, auch bekannt als RBL — Realtime Blackhole List) ist ein Dienst, der eine Liste von IP-Adressen veröffentlicht, die mit Spam, Malware, Phishing oder anderen bösartigen Aktivitäten in Verbindung stehen. Mailserver können diese Liste in Echtzeit während der SMTP-Transaktion abfragen, um zu entscheiden, ob eine eingehende Verbindung akzeptiert oder abgelehnt werden soll.
Funktionsweise
Das Grundprinzip: Ihr Mailserver führt einen DNS-Lookup gegen die DNSBL-Zone durch. Die Antwort sagt, ob die sendende IP gelistet ist:
- A-Record zurückgegeben (z.B. 127.0.0.2): Die IP ist gelistet — der Return-Code zeigt Kategorie und Konfidenz-Level an.
- NXDOMAIN (kein Record): Die IP ist sauber — nicht gelistet.
Was unsere DNSBL unterscheidet
Im Gegensatz zu herkömmlichen Blacklists, die nach dem Prinzip „eine Meldung = globale Sperre" arbeiten, verwendet die Provider.tools DNSBL ein mehrstufiges Reputations- und Scoring-Modell:
- Evidenzbasiert: Eine einzelne Meldung ist ein Signal, kein Urteil. Nur die Kombination mehrerer unabhängiger Signale oder kritische Evidenz (Malware, Phishing, Botnet, Spamtrap) kann zu einer harten Sperre führen.
- Abgestufte Reaktion: IPs durchlaufen vier Zustände — Sauber → Beobachtung → Soft-Listed → Hard-Listed — basierend auf ihrem akkumulierten Score.
- Differenzierte Return-Codes: Spam mit niedriger Konfidenz (127.0.0.2) wird klar von Spam mit hoher Konfidenz (127.0.0.3) getrennt.
- Automatischer Verfall: Scores sinken über die Zeit. Ohne neue Auffälligkeiten kehrt eine IP automatisch zum Clean-Status zurück.
- Reporter-Reputation: Meldungen von vertrauenswürdigen, verifizierten Quellen haben mehr Gewicht.
Grundregel
„Ein einzelner Report ist ein Hinweis, kein Urteil."
Die DNSBL sammelt belastbare Evidenz und reagiert abgestuft, statt bei einer einzigen Meldung global zu sperren.
Datenquellen
- Trusted Reporter Programm: Verifizierte Hosting-Anbieter und E-Mail-Administratoren melden per API-Token.
- Honeypot-Netzwerk: Speziell aufgebaute Spam-Fallen.
- Community-Reports: Nutzermeldungen, die zum Score beitragen.
- Externe Trusted Feeds: Daten von etablierten Threat-Intelligence-Quellen.
- Manuelle Verifikation: Admin-bestätigte Einträge für kritische Bedrohungen.