SURBL erklärt Cold E-Mail den Krieg: Warum 90 % der getesteten Domains schon gelistet sind

Cold E-Mail hat einen neuen Gegner, und er kommt von unerwarteter Seite: eine Blacklist, die früher still im Hintergrund lief und vor allem dafür bekannt war, Phishing-Links abzufangen. 2026 ist SURBL zu einer der folgenreichsten Bedrohungen für Kaltakquise per E-Mail geworden, und kaum jemand, der Cold E-Mails versendet, beobachtet sie genau genug.

Wir wollten hier nicht spekulieren. Deshalb haben wir Live-Daten zu 2.679 aktiven Cold-E-Mail-Versanddomains gezogen und jede einzelne direkt gegen die SURBL-Multi-Blacklist (multi.surbl.org) geprüft, abgeglichen mit SURBLs eigener permanenter Testdomain, um sicherzugehen, dass die Ergebnisse echt waren und nicht bloß Rate Limiting. Das haben wir gefunden.

90 % der getesteten Domains sind bereits gelistet

Von 2.679 geprüften aktiven Cold-E-Mail-Versanddomains waren 2.419 (90,3 %) auf SURBL Multi gelistet. Nur 260 Domains, knapp unter 10 %, waren sauber.

Wenn Sie 2026 Cold E-Mails versenden und Ihre Domains in letzter Zeit nicht gegen SURBL geprüft haben, spricht die Grundrate dafür, dass Sie bereits betroffen sind, bis Sie tatsächlich nachgesehen haben.

Kein Phishing. Keine Malware. Jedes Mal Abuse.

SURBL Multi ist eigentlich ein kombinierter Feed aus mehreren Unterlisten: unter anderem Phishing (PH), Malware (MW), kompromittierte oder gehackte Websites (CR) und Abuse (AB). Jede markiert eine andere Art von Problem.

Wir haben für jede der 2.419 gefundenen Listungen die Unterliste entschlüsselt. Jede einzelne, 100 %, stand auf der Unterliste AB (Abuse). Null Phishing-Treffer. Null Malware-Treffer.

Das ist wichtig, denn es schließt die Erklärung aus, zu der viele Absender zuerst greifen („SURBL hält meine Domain für eine Phishing-Doppelgängerin“). Es geht um Abuse-Meldungen: die Art Signal, die aus Spam-Beschwerden und Spam-Trap-Treffern entsteht, nicht aus irgendetwas, das einer Betrugsseite ähnelt.

Entscheidend ist nicht der Inhalt, sondern die Infrastruktur

Dieser Befund erklärt das Muster tatsächlich. Wir haben die Domains nach ihrer Versandinfrastruktur in zwei Gruppen aufgeteilt: Domains auf einem geteilten, gepoolten Versand-Setup (dieselben ausgehenden Mailserver, die gleichzeitig von vielen verschiedenen Kunden und Domains genutzt werden) und Domains auf getrennter, dedizierter oder anderweitig nicht gepoolter Infrastruktur.

Das ist ein fast vierfacher Unterschied, und der Wert für gepoolte Infrastruktur liegt direkt an der Obergrenze: 99,6 bis 100 % gelistet, egal wie wir die Daten aufgeteilt haben. Wir haben außerdem etwas gefunden, das den Mechanismus greifbar macht: Die Domain der geteilten Mailinfrastruktur selbst war direkt auf SURBL Multi gelistet, auf derselben Abuse-Unterliste, unabhängig von jeder einzelnen Kundendomain.

Die naheliegende Deutung: Wenn viele verschiedene Versanddomains dieselben ausgehenden Mailserver teilen, genügt ein Bruchteil dieses Pools, der Spam-Beschwerden erzeugt oder Spam-Traps trifft, damit die Reputation des gesamten Pools leidet. Jede Domain auf dieser Infrastruktur erbt dann den Schaden, ob sie selbst etwas falsch gemacht hat oder nicht. Es ist ein Problem geteilter Reputation, kein Inhaltsproblem einzelner Domains.

Zwei beliebte Theorien, die wir geprüft und widerlegt haben

Zwei Erklärungen kursieren derzeit ständig in Cold-E-Mail-Communities. Wir hatten die Daten, um beide zu prüfen.

„Das liegt daran, dass alle ihre Domains am selben Tag in großen Mengen kaufen.“ Wir haben die Domains danach gruppiert, wie viele am selben Tag eingerichtet wurden (als Näherung für Massenkäufe), und die Listungsraten verglichen. Sobald man berücksichtigt, ob eine Domain auf geteilter Infrastruktur liegt, spielt die Chargengröße keine Rolle mehr: Domains auf geteilter Infrastruktur sind schon zu ~100 % gelistet, egal ob sie einzeln oder in einer Charge von 50 gekauft wurden. Massenkäufe sagen eine Listung nicht eigenständig voraus; sie gehen nur mit geteilter Infrastruktur einher.

„Das liegt an Alias-Domainnamen im Stil get-/try-/use-.“ Diese Theorie hören wir am häufigsten: dass SURBL gezielt sekundäre Domains im Alias-Stil ins Visier nimmt. Wir haben jede Domain auf gängige Alias-Präfixe markiert und die Listungsraten verglichen. Auf geteilter Infrastruktur waren Domains mit Alias-Präfix zu 99,4 % gelistet, Domains ohne Alias-Präfix zu 99,9 %, also praktisch kein Unterschied. Außerhalb geteilter Infrastruktur waren Domains mit Alias-Präfix sogar seltener gelistet als solche ohne (18,4 % gegenüber 31,5 %), also genau umgekehrt, als die Theorie vorhersagt. In den Daten finden wir keine Stütze für diese Theorie.

Und Weiterleitungen?

Wir haben auch getestet, ob Domains, die auf ein anderes Ziel weiterleiten, häufiger gelistet sind. Diese Theorie deckt sich mit SURBLs eigener veröffentlichter Sorge, dass Weiterleitungsseiten genutzt werden, um bereits blockierte Ziele „reinzuwaschen“ und zu verschleiern. Unsere Stichprobe war hier klein, und mehrere Domains hatten gar keine aktive Website zum Testen, deshalb geben wir in keine Richtung ein Urteil ab. Wenn Sie Ihre eigenen Domains testen, lohnt es sich, das Domain für Domain zu prüfen, statt anzunehmen, dass es eine Rolle spielt oder eben nicht.

Was das bedeutet, wenn Sie 2026 Cold E-Mails versenden

Die Daten führen zu einem klaren, umsetzbaren Schluss: Ihre eigene Listenhygiene und Ihre Inhalte zählen hier weniger als die Frage, mit wem Sie Ihre Versandinfrastruktur teilen. Eine Domain mit perfektem SPF/DKIM/DMARC und null Links im E-Mail-Text kann trotzdem in eine Abuse-Listung geraten, wenn sie auf einer Infrastruktur läuft, die sie mit Absendern teilt, die Beschwerden erzeugen.

Einige Punkte, die sich daraus ergeben:

Prüfen Sie jede aktive Versanddomain direkt gegen SURBL, statt anzunehmen, dass Sie es schon merken würden. Die meisten Absender erfahren es erst, nachdem ihr Inbox-Placement still eingebrochen ist. Wenn Sie ein geteiltes oder gepooltes Versand-Setup nutzen, fragen Sie direkt nach, wie Ihre Reputation von der aller anderen in diesem Pool getrennt ist. Und verfolgen Sie weder die Theorie der Alias-Domainnamen noch die der Massenkäufe als Ursachenbehebung, denn die Daten stützen keine von beiden als eigentlichen Treiber.

SURBL beantwortet keine Anfragen über öffentliche DNS-Resolver mehr, deshalb kann unser kostenloser Blacklist-Checker SURBL nicht abfragen; was SURBL genau ist und wie das Delisting funktioniert, sehen Sie aber vollständig auf unserer SURBL-Wiki-Seite.

FAQ

Was ist SURBL Multi? SURBL Multi (multi.surbl.org) ist eine kombinierte DNS-basierte Blacklist, die mehrere Unterlisten (Abuse, Phishing, Malware und kompromittierte Websites) in einer einzigen Abfrage bündelt. Eine Domain kann von jeder dieser Unterlisten markiert werden und erscheint dann auf Multi als „gelistet“.

Wie prüfe ich, ob meine Domain auf SURBL steht? Prüfen Sie sie mit einem Blacklist-Checker, der multi.surbl.org direkt abfragt, wie unserem kostenlosen Blacklist-Checker, oder fragen Sie yourdomain.com.multi.surbl.org selbst ab und prüfen Sie, ob der Name aufgelöst wird.

Wie werde ich bei SURBL delistet? Beheben Sie zuerst die eigentliche Ursache. Die Prüfer von SURBL suchen nach Belegen, dass das Problem behoben wurde, nicht nur nach einer Beschwerde, die Listung sei unfair. Reichen Sie dann über SURBLs eigene Lookup- und Removal-Seite einen Antrag auf Entfernung ein. Liegt die Ursache in der Reputation einer geteilten Infrastruktur, hält das Delisting einer einzelnen Domain womöglich nicht, solange die geteilte Infrastruktur nicht angegangen wird.

Wirkt sich SURBL auf Gmail und Outlook gleich aus? Beide nutzen SURBL-Daten als einen von vielen Faktoren in ihrer Spam-Filterung, gewichten sie aber nicht identisch. Eine SURBL-Listung ist bei beiden Providern ein starkes negatives Signal, aber keine garantierte, universelle Blockierung. Behandeln Sie eine Listung als dringend, egal bei welchem Provider Sie gerade Fehler suchen.

Ist eine SURBL-Listung dasselbe wie eine Phishing-Markierung? Nicht unbedingt. SURBL Multi kombiniert mehrere Unterlisten (Abuse, Phishing, Malware, kompromittierte Websites). In unserem Datensatz stand jede einzelne gefundene Listung auf der Abuse-Unterliste und nicht auf der Phishing-Liste. Prüfen Sie also immer, auf welcher Unterliste eine Domain tatsächlich steht, bevor Sie Annahmen über die Ursache treffen.

Fazit

SURBL sitzt nicht mehr still im Hintergrund. 2026 ist sie eine der folgenreichsten Blacklists, auf die Absender von Cold E-Mails stoßen, und 9 von 10 Domains in unserem eigenen unabhängigen Test sind bereits darin gefangen. Die Daten sagen, dass es überwiegend ein Problem der Infrastruktur-Reputation ist, kein Problem von Inhalten oder Namenskonventionen. Wenn Sie Cold E-Mails versenden und Ihre Domains diesen Monat nicht gegen SURBL geprüft haben, ist das das Erste, was Sie angehen sollten.

👉 Weiterlesen: Woran erkenne ich, ob ich auf einer Blacklist stehe? · IP- vs. Domain-Blacklists · Inbox-Placement für Cold E-Mail verbessern

Quellen

• SURBL reputation lists, die Unterlisten in multi.surbl.org (ABUSE, PH, MW, CR, CT, DM), die Bitmaske, die sie kodiert, und der Weg zur Entfernung.
• RFC 5782: DNS Blacklists and Whitelists, wie Domain-Blocklisten wie SURBL über DNS abgefragt werden.
• Email sender guidelines (Gmail Help), Googles Hinweis, dass die Reputation einer geteilten IP von allen Absendern darauf geteilt wird.