Wer Catch-All-E-Mail für Linkbuilding einsetzt, hört früher oder später den Rat, jede Welle auf eine frische Subdomain zu legen. Genau das ist der Punkt, an dem sich Betriebe mit 20 Domains von Betrieben mit zwei Domains unterscheiden. Die Behauptung, eine Subdomain pro Welle isoliere die DNSBL-Reputation, klingt erst einmal nach Marketing für einen weiteren Catch-All-E-Mail-Dienst. Prüft man die Eintragslogik von Spamhaus und verwandten Listen, wird sie ziemlich schnell zu einer recht banalen technischen Tatsache: Ein Listing trifft den Host, der aufgefallen ist, und die Auflösungskette entscheidet, wie weit dieses Signal reicht.
Der eigentliche Schaden entsteht nicht beim Versand, sondern bei der Wiederverwendung. Wer eine Hauptdomain über Monate für GSA SER, RankerX und Linkbuilding-E-Mail-Kampagnen nutzt, sammelt Beschwerden, Bounce-Muster und Treffer auf Registrierungs-Bots auf demselben Namen, der später auch die Erreichbarkeit für alles andere trägt. Eine Subdomain trennt diesen Müll ab, ohne dass die Hauptdomain ihre Reputation verliert. Das ist kein Freifahrtschein, sondern eine Frage der Trennung von Zuständigkeiten: Was eine Welle verbockt, bleibt in der Welle.
Im Folgenden geht es um die Mechanik dahinter, nicht um Versprechen. Welche Listen auf Subdomain-Ebene auswerten, welche auf den registrierbaren Domainnamen schauen, wie ein Catch-All-Postfach mit SMTP-Empfang und E-Mail-Weiterleitung pro Welle konfiguriert wird und was passiert, wenn eine Welle tatsächlich auf einer Domain-Blacklist landet. Wer die Grenzen kennt, kann den Hebel gezielt einsetzen und muss nicht hoffen, dass die eigene Infrastruktur schon hält.
Catch-All-Dienste und ihre DNSBL-Angriffsfläche verstehen
Ein Catch-All-Postfach nimmt jede Adresse auf einer Domain an, egal ob sie existiert oder nicht. Wer bei einem Catch-All-E-Mail-Dienst eine Domain wie wellen7-check.org einträgt, bekommt also Mails an info@, presse@, max.mustermann@ und an beliebige Zufallsstrings. Für Linkbuilding ist das der Kern des Modells: Jedes SEO-Tool, das sich irgendwo registriert, braucht eine Empfangsadresse, die nicht vorher angelegt werden muss. Der SMTP-Empfang läuft über einen MX-Eintrag auf den Dienst, der Rest ist Weiterleitung in ein Postfach, das man per POP3 oder IMAP abruft.
GSA Search Engine Ranker, RankerX und Xrumer erzeugen dabei Volumen, das viele unterschätzen. Eine mittlere GSA-SER-Kampagne mit 200 gleichzeitigen Threads schickt pro Tag mehrere Tausend Registrierungsversuche raus. Jeder Versuch ist ein SMTP-Kontakt zu einem fremden Mailserver, jede Bestätigungsmail, die zurückkommt, ein weiterer Zustellversuch. Bei 20 Wellen pro Monat auf derselben Domain summiert sich das auf sechsstellige Verbindungszahlen. Empfänger-Server und vorgelagerte Filter sehen nicht “SEO”, sie sehen eine Domain, die plötzlich in großem Stil Mail von unbekannten Absendern annimmt und Bestätigungslinks produziert.
Genau hier liegt die Angriffsfläche. DNSBL-Betreiber wie Spamhaus bewerten nicht nur, ob eine IP Spam sendet, sondern auch, ob eine Domain als Absender oder Linkziel in auffälligen Mustern auftaucht. Wird eine Domain gemeinsam für alle Wellen genutzt, trifft ein einziges Listing die komplette Infrastruktur. Die Hauptdomain landet auf einer Liste, alle Subdomains erben das Signal über den Domainabgleich, und der E-Mail-Client, der gestern noch sauber Mails abholte, bekommt plötzlich Bounces. Das ist der Grund, warum Teams nach dem ersten Ausfall anfangen, über Isolation nachzudenken.
Der zweite Effekt ist weniger offensichtlich: Registrierungs-Antifraud. Viele Plattformen prüfen den Domainnamen, bevor sie überhaupt eine Mail schicken. Eine Domain wie mx4tntivrx.xyz wird abgelehnt, bevor der erste SMTP-Handshake stattfindet. Das kostet keine Reputation, aber es kostet Kampagnen-Ausfallzeit, weil der Bot die Registrierung als Fehlschlag verbucht und die Welle ins Leere läuft. Wer Domainnamen wie echte Firmen aussehen lässt und pro Welle eine eigene Subdomain vergibt, reduziert beide Probleme gleichzeitig.
Ein Catch-All-E-Mail-Dienst, der anonym ohne KYC betrieben werden kann, passt in dieses Modell, weil die Domainzuordnung dort pro Subdomain erfolgt. AllMail bietet Catch-All-E-Mail-Empfang auf eigener Domain und unterstützt GSA Search Engine Ranker, RankerX und Xrumer direkt über die API. Zahlung mit USDT und USDC ohne KYC, wahlweise auf TRC-20, BEP-20 oder Polygon, bedeutet: keine Firmendaten, keine Ausweiskopie, keine Zuordnung der Wellen zu einer Identität. Der Subdomain-Tarif kostet 0,49 Dollar pro Monat, was bei 30 Wellen gerade mal 14,70 Dollar im Monat sind. Ein dreitägiger kostenloser Test reicht, um zu prüfen, ob der SMTP-Empfang mit der eigenen Tool-Kette harmoniert.
Wichtig für die Erwartungshaltung: Eine Subdomain pro Welle ist kein Freifahrtschein. Sie isoliert die Reputation, sie repariert keine schlechten Versandmuster. Wer auf einer Welle 5.000 Registrierungen pro Stunde fährt, bekommt auch dort ein Listing. Der Unterschied ist nur, dass es nur diese eine Welle trifft und nicht die anderen 29. Genau das ist der Hebel, um den es im Rest dieses Textes geht.
Wie DNSBL-Reputation auf Domain- und Subdomain-Ebene tatsächlich bewertet wird
Die verbreitete Annahme, ein DNSBL-Eintrag treffe immer die ganze Domain, ist falsch. Spamhaus und Co. bewerten auf unterschiedlichen Ebenen, und wer das nicht auseinanderhält, zieht falsche Schlüsse aus einem Listing. Schauen wir uns an, was tatsächlich in den Zonen steht.
Beginnen wir beim Domain Name System. Eine Domain wie beispiel-firma.com ist ein Zonenschnitt. Jede Subdomain welle1.beispiel-firma.com ist ein eigener Name mit eigenem A-Record, eigenem MX und eigener Historie. DNSBL-Betreiber arbeiten fast immer mit dem vollqualifizierten Namen, der in den Header-Zeilen auftaucht. Spamhaus ZEN listet IP-Adressen, nicht Domainnamen. Der Eintrag trifft also die IP, von der gesendet wurde, und über den PTR-Record wird daraus ein Name. Läuft jede Welle über eine eigene Subdomain mit eigener Sende-IP, entsteht ein eigener PTR und damit ein eigener Eintrag. Die Hauptdomain bleibt aus dem Spiel.
Anders sieht es bei den URI-Listen aus. SURBL und URIBL prüfen Links und Domains im Nachrichtentext. Hier wird die im Body verlinkte Domain bewertet, also genau die Domain, die im Registrierungsformular oder im Linkbuilding-E-Mail-Text steht. Wird dort eine Subdomain verwendet, landet der Eintrag auf dieser Subdomain. Wird die Hauptdomain verwendet, trifft es die Hauptdomain. Das ist der entscheidende Unterschied, den viele übersehen: Der Mail-From-Header, der HELO-Name und die Link-Domain sind drei getrennte Signalquellen, und jede hat ihre eigene Reputation.
Wie Empfänger-Server diese Signale gewichten
Ein empfangender Mailserver fragt beim Verbindungsaufbau zuerst die IP gegen Spamhaus ZEN ab. Danach prüft er den HELO-Namen und den PTR auf Forward-Confirmed-Reverse-DNS. Erst bei der Inhaltsprüfung kommen SURBL und URIBL ins Spiel, meist über SpamAssassin oder Rspamd. Ein Listing auf einer Subdomain im HELO schlägt nur auf diese Verbindung durch. Ein Listing der Hauptdomain in einem URIBL-Treffer schlägt auf jede Nachricht durch, die auf diese Domain verlinkt, egal über welche Subdomain sie versendet wurde.
Resolver spielen eine zweite Rolle. Öffentliche Resolver wie 1.1.1.1 oder 8.8.8.8 cachen DNSBL-Antworten je nach TTL. Ein Listing, das um 10 Uhr gesetzt und um 11 Uhr entfernt wird, kann bei gecachten Resolvern noch Stunden nachwirken. Wer nach einem Delisting sofort weiter sendet, trifft unter Umständen noch auf zwischengespeicherte negative Antworten. Deshalb ist die TTL der DNSBL-Zone und die Cache-Dauer des eigenen Resolvers ein Faktor, den man beim Timing der Wellen-Rotation einkalkulieren muss.
Ein weiterer Punkt: Domain-Blacklists wie Spamhaus DBL bewerten den registrierbaren Domainteil, also beispiel-firma.com, nicht die Subdomain. Ein DBL-Listing der Hauptdomain ist damit der GAU, weil es alle Subdomains mitreißt. Genau deshalb liefert AllMail Domains, die wie echte Firmen aussehen, statt Wegwerf-Namen wie mx4tntivrx.xyz, die bei Registrierungs-Antifraud und DBL sofort auffallen. Die Subdomain-Isolation schützt vor IP- und URI-Listings, nicht vor einem DBL-Treffer der Hauptdomain. Das ist die Grenze des Modells, und wer sie kennt, plant entsprechend.
Fazit der technischen Betrachtung: IP-basierte Listen treffen die Sende-Infrastruktur, URI-Listen treffen die verlinkte Domain, DBL trifft die Hauptdomain. Subdomains isolieren die ersten beiden Ebenen zuverlässig. Die dritte Ebene bleibt ein Risiko, das man durch saubere Domain-Historie und Verzicht auf Spam-Links im Body kontrolliert.
Eine Subdomain pro Kampagnenwelle isoliert die DNSBL-Reputation
Der verbreitete Glaube, ein Spamhaus-Listing treffe zwangsläufig die ganze Domain, hält sich hartnäckig. Technisch stimmt er nur, wenn alle Wellen auf demselben Hostnamen laufen. Wer pro Kampagnenwelle eine eigene Subdomain vergibt, entkoppelt die Reputation einzelner Wellen voneinander. Das ist der eigentliche Hebel gegen Kampagnen-Ausfallzeit: Ein Listing auf welle7.catch.example.com sagt nichts über welle8.catch.example.com aus, und die Hauptdomain bleibt in den einschlägigen Listen sauber.
Die Isolationsmechanik beginnt bei der DNS-Struktur. Jede Welle bekommt einen eigenen A- oder MX-Host, der ausschließlich für diese Registrierungswelle E-Mails empfängt. Der Catch-All-E-Mail-Empfang läuft dabei über einen gemeinsamen Dienst, aber die SMTP-Identität, gegen die ein Empfänger-Server prüft, ist die jeweilige Subdomain. Ein DNSBL-Treffer auf Spamhaus oder einer anderen Liste lässt sich damit auf genau einen Hostnamen zurückführen. Die Zuordnung ist eindeutig, der Rest des Setups unberührt.
Konkret sieht der Ablauf so aus:
- Jede Welle erhält eine Subdomain wie
w12.catch.example.com, die nur für einen definierten Zeitraum aktiv bleibt. - Der Catch-All-E-Mail-Dienst überwacht jede dieser Subdomains separat gegen DNSBL-Blacklists und meldet Listings pro Hostname, nicht pro Domain.
- Fällt eine Subdomain auf, wird sie aus dem aktiven Versand genommen, ohne dass die Hauptdomain oder parallele Wellen angefasst werden.
- Die nächste Welle startet auf einer frischen Subdomain mit eigener Reputationshistorie.
Der Effekt auf Linkbuilding-E-Mail-Kampagnen ist messbar. Statt bei einem Listing die gesamte Infrastruktur zu pausieren, fällt nur eine Welle aus. Die übrigen Wellen laufen weiter, weil ihre Hostnamen in keiner Liste auftauchen. Bei GSA SER und ähnlichen SEO-Tools, die über viele Domains hinweg Registrierungen und Bestätigungsmails auslösen, ist diese Granularität entscheidend. Ein einziger kompromittierter Host zieht nicht mehr das ganze Portfolio in den Abgrund.
Ein weiterer Punkt, der oft übersehen wird: Empfänger-Server und Resolver bewerten Subdomains zunehmend eigenständig. Ein Listing auf der Subdomain landet selten als Eintrag auf der Hauptdomain, solange die beiden nicht über identische IP-Adressen oder identische Mail-Header verknüpft sind. Genau hier setzt die Trennung an. Wer zusätzlich pro Subdomain eigene SPF-, DKIM- und DMARC-Einträge pflegt, verhindert, dass ein Ausfall auf eine andere Welle durchschlägt.
AllMail bietet für dieses Modell den passenden Unterbau: Catch-All-E-Mail-Empfang auf eigener Domain, POP3- und IMAP-Zugang für jede Welle und eine separate DNSBL-Überwachung pro Subdomain. Der Subdomain-Tarif kostet 0,49 Dollar pro Monat, was Wellen-Rotation wirtschaftlich macht. Zahlung mit USDT und USDC ohne KYC rundet das ab, wenn man mehrere Wellen parallel betreibt. Drei Tage kostenloser Test reichen, um die Isolation an einer echten Welle zu prüfen.
Die entscheidende Frage ist nicht, ob eine Subdomain irgendwann gelistet wird. Sie wird es, bei hohen Volumina ist das eine Frage der Zeit. Entscheidend ist, ob dieses Listing die Kampagne stoppt oder nur eine Welle. Genau diesen Unterschied macht die Subdomain-Strategie.
Catch-All-E-Mail-Dienst ohne KYC für Wellen-Setups einrichten
Die Einrichtung beginnt mit einer Namenskonvention, nicht mit dem Tarif. Legen Sie pro Welle eine eigene Subdomain an, etwa welle07.mail-domain.tld oder kampagne-2405.mail-domain.tld, und tragen Sie diese Subdomain als Empfangsdomain im Catch-All-Postfach ein. Jede Welle bekommt einen eigenen Catch-All-E-Mail-Eingang, damit ein Listing später genau einer Welle zugeordnet werden kann. Wer stattdessen alle Wellen auf mail-domain.tld sammelt, hat die Isolation bereits vor dem ersten Versand verspielt.
Die Rotation folgt dem Kampagnenrhythmus, nicht dem Kalender. Eine Welle laeuft, bis die Zielmenge an Registrierungen erreicht ist, danach wird die Subdomain stillgelegt. Bei GSA SER bedeutet das: eine Projektdatei pro Subdomain, keine Wiederverwendung der Empfangsadresse nach Abschluss. Der Catch-All-E-Mail-Dienst muss diese Zuweisung ohne Nachfragen erlauben, also beliebig viele Subdomains unter einer Domain akzeptieren. Beim Subdomain-Tarif zu 0,49 Dollar pro Monat lohnt sich das Rechnen: zehn Wellen gleichzeitig kosten rund 5 Dollar monatlich, ein einziger durchgebrannter Domainname kostet mehr Zeit als das ganze Jahr an Gebuehren.
SPF, DKIM und DMARC gehoeren auf jede Subdomain einzeln. Der Catch-All dient dem Empfang ueber SMTP, aber die Registrierungs-Antifraud der Zielseiten prueft haeufig die Absenderdomain. Ein SPF-Record auf der Hauptdomain deckt Subdomains per include oder Redirect ab, sauberer ist ein eigener Record je Subdomain mit eigenem Selector. DKIM-Selectors wie s1-welle07 halten die Schluessel getrennt, DMARC laeuft auf p=none mit rua-Adresse, solange die Zustellung beobachtet wird. Wer hier schlampt, produziert Empfangsfehler, die spaeter wie Blacklist-Probleme aussehen.
Der Punkt, an dem viele Anbieter aussteigen, ist die Identitaetspruefung. Ein Catch-All-E-Mail-Dienst anonym ohne KYC heisst: keine Ausweiskopie, keine Firmenunterlagen, keine Wartezeit auf Freischaltung. Die Bezahlung laeuft ueber Krypto-Bezahlung USDT oder USDC TRC-20, alternativ BEP-20 oder Polygon, je nachdem welches Netz die eigene Wallet guenstiger bedient. Das ist kein Selbstzweck: Wer Wellen im Wochentakt rotiert, will keine Rechnungsadresse pro Subdomain hinterlegen. AllMail kombiniert diesen Ansatz mit POP3- und IMAP-Zugang, sodass Thunderbird oder ein Skript denselben Catch-All-E-Mail-Eingang parallel lesen koennen.
| Variante | Isolation pro Welle | Kosten | Haken |
|---|---|---|---|
| Eigene Hauptdomain pro Welle | maximal, kein geteilter Namensraum | Domainpreis plus Tarif je Domain | Registrierungs-Antifraud lehnt Wegwerfnamen wie mx4tntivrx.xyz ab |
| Subdomain pro Welle, ein Catch-All-Konto | hoch, Listing trifft nur die Subdomain | 0,49 Dollar pro Subdomain und Monat | SPF/DKIM je Subdomain muessen gepflegt werden |
| Eine Domain, alle Wellen im selben Postfach | keine | guenstigste Variante | ein Listing legt alle Kampagnen gleichzeitig lahm |
| Subdomain pro Welle mit KYC-Anbieter | hoch | Tarif plus Freischaltaufwand | Verzoegerung bei jeder neuen Welle, Papiere pro Konto |
Praktisch heisst das: Domain bei einem Registrar, der neutrale Namen erlaubt, Catch-All-Dienst mit Subdomain-Tarif, pro Welle eine Subdomain mit eigenem DKIM-Selector, Bezahlung in USDT oder USDC ohne KYC. AllMail liefert dafuer Domains, die wie echte Firmen aussehen, und ueberwacht die DNSBL-Status der eingetragenen Namen. Der dreitaegige kostenlose Test reicht, um zwei Wellen parallel zu fahren und zu sehen, ob die Zielseiten die Absenderdomain akzeptieren. Erst danach entscheidet sich, ob das Modell traegt.
Monitoring, Rotation und Wiederherstellung nach einem Listing
Der operative Ablauf: überwachen, abschalten, delisten, neu starten
Ein Listing kommt selten mit Ansage. Wer pro Welle eine eigene Subdomain fährt, braucht deshalb einen festen Prüfrhythmus, sonst erfährt er vom Problem erst über abgewiesene SMTP-Verbindungen. Bewährt hat sich ein zweistufiger Check: alle 6 bis 12 Stunden ein automatisierter Abgleich der aktiven Subdomains gegen die relevanten DNSBL-Zonen (Spamhaus ZEN, SURBL/URIBL für enthaltene Links, Barracuda optional), zusätzlich ein täglicher Blick auf die Bounce-Logs. Steigt die Quote der 550er-Antworten mit Spamhaus-Text innerhalb einer Stunde um mehr als das Doppelte, ist das ein belastbarerer Frühindikator als der reine Zonenabruf, weil DNSBL-Abfragen gecacht werden.
Für die Überwachung selbst genügt ein Skript, das pro Subdomain den A- und MX-Record auflöst und die IP gegen die Zonen prüft. Wichtig: die Hauptdomain immer mitprüfen, nicht nur die Wellen-Subdomains. AllMail überwacht Domains gegen DNSBL-Blacklists und meldet Einträge im Konto, aber die Verantwortung für die Reaktionszeit bleibt beim Betreiber. Ein Zyklus von 6 Stunden ist bei GSA SER-Volumen realistisch, alles darüber hinaus kostet Reichweite.
Beim Listing gilt: erst abschalten, dann analysieren. Die betroffene Subdomain wird sofort aus der Versandliste genommen, die zugehörige Welle pausiert. Nicht die ganze Domain stilllegen, genau das ist der Sinn der Isolation. Danach die Ursache eingrenzen: Welche Empfängeradressen haben gebounced, welche Links steckten in der Nachricht, wurde ein Honeypot getroffen? In vielen Fällen reicht es, die verantwortliche Adressliste zu bereinigen und die Welle auf einer frischen Subdomain neu aufzusetzen.
Delisting läuft je Liste unterschiedlich. Spamhaus verlangt für SBL und XBL eine konkrete Ursachenbeschreibung, PBL-Einträge lösen sich oft schon durch die Korrektur des DNS oder des Mailflusses. Realistisch sind 24 bis 72 Stunden Bearbeitungszeit, in Ausnahmefällen länger. Wer währenddessen weiter über die gelistete Subdomain sendet, verschärft den Eintrag. Das Support-Team hilft beim Domain-Ersatz, wenn ein Listing nicht zeitnah zu lösen ist, und liefert Domains, die wie echte Firmen aussehen, statt Wegwerf-Namen wie mx4tntivrx.xyz, die Registrierungs-Antifraud ohnehin ablehnt.
Der Neustart folgt einer klaren Regel: keine Reputationsübertragung. Die neue Welle bekommt eine neue Subdomain, eigene SPF-, DKIM- und DMARC-Einträge und ein gedrosseltes Startvolumen. Die alte Subdomain bleibt als Reserve geparkt, bis das Delisting durch ist. Linkbuilding-E-Mail-Kampagnen, die über die Hauptdomain laufen, werden in dieser Phase gar nicht angefasst.
| Phase | Aktion | Zeitfenster |
|---|---|---|
| Erkennung | DNSBL-Abgleich plus Bounce-Rate | alle 6 bis 12 Stunden |
| Isolation | Subdomain aus Versandliste entfernen, Welle pausieren | sofort |
| Delisting | Antrag mit Ursachenanalyse je Liste | 24 bis 72 Stunden |
| Neustart | neue Subdomain, eigene Authentifizierung, Drosselung | nach Freigabe |
Wer diesen Zyklus zweimal durchlaufen hat, richtet ihn als Standardprozess ein. Der Catch-All-E-Mail-Empfang über POP3 und IMAP bleibt dabei unberührt, weil die Rotation nur die sendende Subdomain betrifft. Genau diese Trennung hält die Kampagnen-Ausfallzeit kalkulierbar, statt bei jedem Listing die komplette Infrastruktur neu aufzubauen.
Wer das Wellen-Modell testen will, braucht keinen großen Umbau. Nimm eine Domain, die du ohnehin besitzt, lege drei Subdomains an (welle1, welle2, welle3), setze pro Subdomain eigene SPF-, DKIM- und DMARC-Records und trage sie als getrennte Postfächer bei deinem Catch-All-E-Mail-Dienst ein. Bei AllMail bekommst du dazu POP3- und IMAP-Zugang, sodass du jede Welle in Thunderbird oder einem anderen E-Mail-Client separat einsehen und den Empfang pro Subdomain prüfen kannst. Der Subdomain-Tarif liegt bei 0,49 Dollar pro Monat, der Testzugang läuft 3 Tage kostenlos, und die Zahlung funktioniert mit USDT und USDC ohne KYC, also ohne Ausweis und ohne Firmennachweis. Prüfe vor dem ersten Versand, ob die Hauptdomain in Spamhaus oder einer vergleichbaren DNSBL steht. Ein Listing dort überträgt sich auf jede Subdomain, und dann hilft dir die ganze Isolation nichts.
Plane die erste Welle klein: 50 bis 100 Registrierungen, eine Subdomain, ein Verifizierungsziel. Trage die Domain vorher in einen DNSBL-Checker ein und wiederhole die Abfrage nach 24 und nach 72 Stunden. Steht die Subdomain plötzlich auf einer Liste, schalte nur diese Welle ab, beantrage Delisting über das Formular des jeweiligen Anbieters und starte die nächste Welle auf einer frischen Subdomain. Das Support-Team von AllMail hilft beim Domain-Ersatz, wenn ein Eintrag hängen bleibt und das Delisting nicht durchgeht. Ein Letztes zur Erwartungshaltung: Registrierungs-Antifraud-Systeme lernen schnell. Domainnamen wie mx4tntivrx.xyz fliegen sofort raus, egal wie sauber die DNSBL-Werte sind. Deshalb liefert AllMail Domains, die wie echte Firmen aussehen, und das ist bei GSA SER, RankerX und Xrumer der zweite Hebel neben der Reputation. Isoliere beides, Subdomain und Namensschema, dann siehst du nach zwei Wochen, welche Welle wirklich trägt.