UCEPROTECT-Blacklist: Level 1, 2, 3 und was du tun kannst

Die Ablehnung sieht ungefähr so aus: 550 … blacklisted at dnsbl-3.uceprotect.net. Andere Mailserver formulieren es anders, ein Postfix-Server antwortet standardmäßig mit dem Code 554, aber der Name der Zone steht immer drin, und die Ziffer darin ist das Wichtigste an der ganzen Meldung. dnsbl-1 heißt: Deine IP-Adresse hat etwas getan. dnsbl-2 heißt: Der Netzblock, in dem deine Adresse liegt, ist gelistet. dnsbl-3 heißt: Dein ganzer Provider ist gelistet, und du mit ihm.

Das unterscheidet UCEPROTECT von den meisten anderen Listen. Spamhaus, SpamCop oder Barracuda listen Adressen, die aufgefallen sind. UCEPROTECT eskaliert von der Adresse auf den Block und vom Block auf den Provider, nach einer veröffentlichten Formel, und bietet gleichzeitig gegen Geld an, einzelne Adressen davon auszunehmen. Deshalb landen hier regelmäßig Leute, die nie eine Spam-Mail verschickt haben.

Drei Level, drei verschiedene Aussagen#

Die Regeln stehen auf uceprotect.net, auf Deutsch und Englisch. Zusammengefasst:

Der Betreiber beschreibt die drei Stufen selbst als „Conservative“, „Strict“ und „Draconic“. Zu Level 3 steht dort wörtlich, die Liste sei für „HARDLINERS“ gemacht und werde beim Blockieren von E-Mail „wahrscheinlich Kollateralschäden bei unschuldigen Nutzern“ verursachen. Für Level 1 empfiehlt er den Einsatz dort, wo die Zustellung normaler Mails wichtiger ist als die Spamabwehr. Das ist eine ehrliche Selbstbeschreibung, und sie ist das stärkste Argument, das du einem Empfänger vorlegen kannst, der dich wegen Level 2 oder 3 ablehnt.

Was zu den Treffern führt, ist nicht nur Spam. UCEPROTECT zählt ausdrücklich auch Weiterleitungen, die den SPF-Eintrag des ursprünglichen Absenders brechen, und seit 2007 führt es Backscatter und Sender-Callouts (Rückfragen beim Absenderserver, ob eine Adresse existiert) auf einer eigenen Liste, backscatterer.org. Hornetsecurity, ein großer Mailfilter aus dem deutschsprachigen Raum, erklärt in einem Support-Artikel, warum auch seine Adressen bei UCEPROTECT auftauchen: automatische Antworten wie Unzustellbarkeitsmeldungen an gefälschte Absender und genau solche Prüfmechanismen.

So prüfst du, ob und wo du gelistet bist#

Zuerst die Adresse: Bei einer Ablehnung steht die sendende IP meist in der Rückläufer-Mail. Sonst steht sie in jeder angekommenen Mail im Header, in der obersten Received-Zeile des Empfängers; wie man die liest, steht in E-Mail-Header lesen. Bei einer Website, die Mails verschickt, ist es die Adresse des Webservers.

Dann die Abfrage. UCEPROTECT hat eine eigene Prüfseite, die nur von Hand benutzt werden darf, und alle drei Listen sind per DNS abfragbar, so wie es RFC 5782 für solche Listen beschreibt: Die Oktette der Adresse werden umgedreht und vor die Zone gesetzt. Für 203.0.113.7:

7.113.0.203.dnsbl-1.uceprotect.net   A     127.0.0.2  = gelistet; keine Antwort (NXDOMAIN) = nicht gelistet
7.113.0.203.dnsbl-1.uceprotect.net   TXT   Begründung, mit Verweis auf die Prüfseite

Mit dig +short 7.113.0.203.dnsbl-1.uceprotect.net oder unter Windows nslookup -type=A 7.113.0.203.dnsbl-1.uceprotect.net, dann dasselbe für dnsbl-2 und dnsbl-3. Dass die Zonen antworten, habe ich am 13.10.2026 mit dem Testeintrag geprüft, den RFC 5782 für jede solche Liste vorschreibt: 2.0.0.127 liefert bei allen drei Zonen 127.0.0.2, der TXT-Eintrag dazu lautet „Test Record. UCEPROTECT.NET LEVEL 1 List is active.“ Abgefragt über DNS-over-HTTPS bei Cloudflare. Eine Einschränkung: Nach dem Erfahrungsbericht von Arno Welzel aus dem Jahr 2021 kennt die Abfrage keine IPv6-Adressen.

Mein Blacklist-Check fragt UCEPROTECT bewusst nicht ab. Er prüft fünf Listen, die ohne Registrierung und ohne Gebühr abgefragt werden dürfen (SpamCop, PSBL, Mailspike, 0spam, DroneBL), und die Gründe für den Verzicht stehen auf der Seite: Wer nicht sieben Tage warten will, zahlt für das Austragen, und Level 2 und 3 listen Netze, für die der Gelistete nichts kann. Ein grünes Ergebnis dort heißt also nicht, dass UCEPROTECT dich nicht führt. Die Abfrage oben dauert eine Minute.

Level 1: Ursache finden, dann sieben Tage warten#

Steht nur deine Adresse auf Level 1, hat sie Spamfallen getroffen oder etwas getan, das UCEPROTECT als Missbrauch zählt. Die üblichen Quellen, in meiner Reihenfolge:

1. Ein übernommenes Postfach, das Spam verschickt. Erkennbar an ungewöhnlichem Versand im Protokoll des Mailservers oder bei deinem Anbieter. Passwort ändern, Zwei-Faktor-Anmeldung einschalten, Weiterleitungsregeln prüfen, die ein Angreifer angelegt hat.
2. Ein Kontaktformular ohne Schutz, über das Fremde Mails an beliebige Empfänger auslösen, etwa eine automatische Bestätigung an eine eingetragene Adresse. Wie der Versand von WordPress-Formularen sauber aussieht, steht in WordPress-Mails kommen nicht an.
3. Eine gehackte Website, die als Spamversender dient. Die Prüfliste dafür steht in WordPress gehackt.
4. Ein offenes Relay oder eine Weiterleitung, die fremde Mails mit fremdem Absender weiterschickt und damit den SPF-Eintrag des Absenders bricht. Weiterleitungen gehören über SRS oder gar nicht.
5. Backscatter: Dein Server nimmt Mails an und schickt erst danach Unzustellbarkeitsmeldungen an den gefälschten Absender. Das landet auf der Schwesterliste backscatterer.org. Abhilfe ist, unbekannte Empfänger schon im SMTP-Dialog abzulehnen.

UCEPROTECT rät, die Protokolle des Servers zum angezeigten Zeitpunkt des Treffers nach unzustellbaren ausgehenden Mails zu durchsuchen; die Ablehnungstexte seiner Server seien eindeutig. Ist die Ursache weg, braucht es laut Entfernungsregeln keinen Antrag: Der Eintrag wird gelöscht, sobald sieben Tage lang keine Spamfalle mehr getroffen wurde. Wer nicht warten will, kann die Adresse gegen eine Bearbeitungsgebühr pro IP sofort löschen lassen; die Seite nennt das ein optionales Angebot, und sie kündigt im selben Atemzug an, dass den Anspruch darauf verliert, wer das Angebot als Abzocke bezeichnet, und dass Drohungen mit Anwälten veröffentlicht werden. Sucuri bezifferte die Gebühr 2021 mit rund 89 Schweizer Franken und riet, Listen zu ignorieren, die für das Austragen Geld verlangen.

Dazu ein Detail aus der Level-1-Regel, das sich leicht vermeiden lässt: Eine Adresse ohne Reverse DNS oder mit einem generischen Namen des Hosters kann schon nach einem einzigen Treffer gelistet werden. Ein Mailserver bekommt deshalb einen PTR-Eintrag mit seinem echten Namen, der wieder auf die Adresse zeigt.

Level 2 und 3: du bist nicht gemeint, aber betroffen#

Ist dein Netzblock auf Level 2 oder dein Provider auf Level 3, steht auf der Entfernungsseite von UCEPROTECT selbst, das sei ein gutes Zeichen dafür, dass du ein unschuldiger Nutzer bist: Andere Kunden deines Providers oder der Provider haben den Eintrag verursacht, und es habe keinen Sinn, dass du die Probleme deines Providers zu lösen versuchst. Der Rat des Betreibers ist, sich beim Provider zu beschweren. Das ist richtig, aber es stellt heute keine Mail zu. Was tatsächlich hilft, nach Nutzen sortiert:

Einen anderen Weg senden. Wer seine Mails über den Mailanbieter verschickt (Microsoft 365, Google Workspace, der Mailserver des Hosters mit eigener Infrastruktur), sendet von dessen Adressen, nicht von denen des Webservers. Für Mails aus der Website ist das ohnehin der richtige Weg: SMTP über das eigene Postfach oder einen Versanddienst, mit SPF und DKIM für genau diesen Weg. Dann ist die Adresse des Webservers für den Mailempfang bedeutungslos, auch wenn sie auf Level 3 steht.

Dem Empfänger einen Satz schicken. Die Ablehnung kommt vom Mailserver des Empfängers, und dessen Administrator entscheidet, welche Listen er wie benutzt. Ein kurzer Hinweis, dass Level 3 ganze Provider listet und der Betreiber selbst vor Kollateralschäden warnt, hat Aussicht auf eine Ausnahme oder darauf, dass er Level 2 und 3 nicht mehr zum Ablehnen nimmt. HetrixTools, ein Überwachungsdienst, empfiehlt für Level 3 ausdrücklich nur eine Bewertung mit Punkten statt einer Sperre.

Ticket an den Provider, mit Adresse, Level und Zeitpunkt. Ein Provider, der seine Missbrauchsmeldungen bearbeitet, fällt nach UCEPROTECTs eigener Logik binnen Tagen wieder aus Level 2 und 3 heraus, weil die Level-1-Einträge dahinter verfallen.

Zahlen? whitelisted.org nimmt gegen ein Abo eine Adresse von Level 2 und 3 aus, solange das Abo läuft und die Adresse nicht selbst auf Level 1 steht. Der Dienst gehört laut seiner eigenen Fußzeile zum UCEPROTECT-Netzwerk. Man kauft damit also eine Ausnahme von einer Regel beim Urheber der Regel, und zwar für genau eine Adresse und nur auf Zeit. Ich zahle das nicht und rate auch niemandem dazu; das Geld ist in einem sauberen Versandweg besser angelegt. Wer trotzdem zahlt, sollte wissen, dass die Ursache beim Provider damit nicht verschwindet.

Provider wechseln ist der letzte Griff, und nur dann einer, wenn das Problem bei diesem Provider wiederkehrt. Welzel beschreibt 2021 genau diesen Fall: Server sauber, auf keiner anderen Liste, aber das AS des Hosters auf Level 3.

Wer die Liste überhaupt benutzt#

Das weiß außerhalb der Empfänger niemand genau, denn kaum ein Mailanbieter veröffentlicht, welche Listen er abfragt. UCEPROTECT selbst schreibt, dass mehrere Behörden in Deutschland, Österreich und der Schweiz zu den vertrauenswürdigen Meldern gehören und dass seine Statistiken am echten Mailverkehr von Behörden in diesen drei Ländern gemessen werden; auf der Entfernungsseite nennt er bayerische Gemeinden und Landratsämter als Quelle von Einträgen. Für einen Betrieb in Tirol heißt das: Eine Mail an eine Gemeinde oder eine Behörde kann an dieser Liste hängen bleiben, auch wenn Gmail und Outlook sie anstandslos annehmen. Ob das bei einem Empfänger so ist, steht in seiner Ablehnung, nirgends sonst.

Für Empfänger: wenn du selbst filterst#

Wer einen eigenen Mailserver oder Filter betreibt, nimmt höchstens Level 1 zum Ablehnen, so wie es der Betreiber selbst empfiehlt. Level 2 und 3 gehören, wenn überhaupt, in eine Punktebewertung, HetrixTools nennt als Beispiel zwei von fünf Punkten. Ein Postfix mit reject_rbl_client dnsbl-3.uceprotect.net lehnt dagegen jeden Kunden eines gelisteten Providers mit 554 ab, auch die eigene Bank, wenn sie dort hostet.

Was nicht hilft#

Austragen, bevor die Ursache weg ist. Der nächste Treffer listet die Adresse erneut, das sagt die Entfernungsregel ausdrücklich.

SPF, DKIM und DMARC einrichten, um von der Liste zu kommen. Die Liste führt Adressen, nicht Domains; ein korrekter Eintrag ändert nichts am Eintrag. Für den Ruf der Domain beim Empfänger sind die drei trotzdem Pflicht, und die DMARC-Berichte zeigen, welche Adressen überhaupt in deinem Namen senden, auch die, die du nicht kennst. Prüfen lässt sich das im E-Mail-Check.

Dem Betreiber drohen. Die Entfernungsseite kündigt an, solche Schreiben zu veröffentlichen.

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Der E-Mail-Schutz für 390 € richtet SPF, DKIM und DMARC beim bestehenden Anbieter ein und wertet vier Wochen lang die DMARC-Berichte aus; dabei kommt heraus, welche Server in deinem Namen senden und ob einer davon auf einer Liste steht. Den Blacklist-Check gibt es ohne Anmeldung.

Häufige Fragen#

Stand 13.10.2026. Regeln und Entfernungsbedingungen auf uceprotect.net (deutsch und englisch), whitelisted.org, RFC 5782, die Beiträge von Sucuri (2021) und Arno Welzel (2021), die Dokumentation von HetrixTools und Postfix an diesem Tag gelesen; eigene DNS-Abfrage der Testeinträge am selben Tag.