E-Mails landen im Spam: Die Ursachen und wie man sie behebt

Das Wichtigste in Kürze

Die Ursache liegt fast nie im Inhalt, sondern in der Authentifizierung: Der empfangende Server kann nicht prüfen, ob die Mail wirklich von eurer Domain stammt.
Drei Einträge im DNS lösen das Problem: SPF sagt, wer senden darf. DKIM unterschreibt die Nachricht. DMARC legt fest, was bei Nichtübereinstimmung passiert.
Die Reihenfolge ist wichtig. DMARC scharf zu schalten, bevor SPF und DKIM sauber laufen, blockiert die eigenen Mails.
Nach der Einrichtung braucht es zwei bis vier Wochen Beobachtung, bevor man von „behoben" sprechen kann.

Die Frage kommt in fast jedem Projekt: Warum landen unsere E-Mails im Spam-Ordner? Die häufigste Vermutung – zu werblicher Text, zu viele Links, das Wort „kostenlos" – trifft in den seltensten Fällen zu. Moderne Spamfilter bewerten zuerst etwas anderes: ob die Nachricht überhaupt echt ist.

Denn das E-Mail-Protokoll stammt aus einer Zeit, in der niemand mit Missbrauch rechnete. Im Ursprungszustand kann jeder Rechner der Welt eine Mail verschicken, die als Absender eure Domain trägt. Die drei Einträge, um die es hier geht, schließen genau diese Lücke.

Leuchtende Formen passieren drei durchsichtige Prüfschwellen, einzelne werden abgelenkt — Drei Prüfungen, bevor eine Mail im Postfach landet. Fällt eine davon durch, entscheidet der Empfänger nach Verdacht.

Die drei Einträge und was sie tun

SPF, DKIM und DMARC in je einem Satz

SPF – wer darf senden: Ein Eintrag im DNS, der auflistet, welche Server im Namen eurer Domain versenden dürfen. Der Empfänger schlägt nach: Kam die Mail von einem dieser Server?
DKIM – ist sie unterwegs verändert worden: Der versendende Server unterschreibt die Nachricht kryptografisch. Der öffentliche Schlüssel dazu liegt im DNS. Der Empfänger prüft die Unterschrift.
DMARC – was passiert bei Nichtübereinstimmung: Eure Anweisung an den Empfänger: nichts tun, in den Spam verschieben oder ablehnen. Zusätzlich schickt der Empfänger Berichte darüber, was er gesehen hat.

Wusstest du schon?

SPF und DKIM allein reichen nicht. Beide prüfen jeweils nur einen Teil, und beide können bestanden werden, während die für den Empfänger sichtbare Absenderadresse trotzdem gefälscht ist.

Erst DMARC verknüpft die Prüfungen mit der Adresse, die im Postfach angezeigt wird. Deshalb ist es der Eintrag, der die eigentliche Wirkung hat – und deshalb ist er auch der, den man zuletzt scharf stellt.

Die richtige Reihenfolge

Drei geometrische Formen drehen sich in eine Linie, ein Lichtstrahl geht hindurch — Erst wenn alle drei ausgerichtet sind, geht die Prüfung sauber durch. Vorher blockiert man sich selbst.

Achtung Der häufigste Fehler ist, DMARC direkt auf Ablehnung zu setzen. Wenn dann ein Dienst versendet, der noch nicht in SPF steht – die Buchhaltungssoftware, das Bewerbungsportal, das Ticketsystem –, verschwinden dessen Mails ersatzlos. Ohne Fehlermeldung beim Absender.

Bestandsaufnahme. Wer versendet alles in eurem Namen? Meist mehr als gedacht: der Mailanbieter, das Newsletter-Werkzeug, das CRM, der Webserver für Formularbestätigungen, die Buchhaltung. Jeder davon muss in SPF stehen.
SPF setzen. Ein einziger Eintrag je Domain, der alle berechtigten Versender aufführt. Mehrere SPF-Einträge sind ein Fehler und führen dazu, dass die Prüfung gar nicht erst durchläuft.
DKIM einrichten. Beim jeweiligen Versanddienst aktivieren, den bereitgestellten Schlüssel ins DNS eintragen. Jeder Dienst bekommt seinen eigenen.
DMARC beobachtend starten. Zuerst mit der Anweisung „nichts tun" und einer Adresse für die Berichte. Zwei bis vier Wochen laufen lassen.
Berichte auswerten. Sie zeigen, welche Versender durchfallen. Fehlt einer in SPF oder DKIM, jetzt nachtragen.
Erst dann verschärfen. Von „nichts tun" auf „in den Spam" und später auf „ablehnen". Zwischen den Schritten jeweils zwei Wochen beobachten.

Wie man den Ist-Zustand prüft

Vor jeder Änderung sollte klar sein, was aktuell gilt. Zwei Wege, beide ohne Zusatzsoftware:

Über eine empfangene Mail. Öffnet eine Mail von eurer eigenen Domain in einem beliebigen Postfach und lasst euch die vollständigen Kopfzeilen anzeigen. Dort steht in einer Zeile namens Authentication-Results, ob SPF, DKIM und DMARC bestanden wurden. Drei Mal „pass" heißt: die Technik stimmt.

Über eine DNS-Abfrage. Auf jedem Rechner mit Kommandozeile lassen sich die Einträge direkt abfragen. Damit sieht man, was tatsächlich veröffentlicht ist – nicht, was in der Verwaltungsoberfläche stehen sollte.

Prüfbefehle

# SPF ansehen
nslookup -type=TXT eure-domain.de

# DMARC ansehen
nslookup -type=TXT _dmarc.eure-domain.de

# DKIM ansehen (Auswahl je Dienst, hier Beispiel "standard")
nslookup -type=TXT standard._domainkey.eure-domain.de

Wenn bei DMARC nichts zurückkommt, existiert der Eintrag nicht. Das ist der häufigste Befund – und zugleich der am leichtesten zu behebende.

Wenn die Technik stimmt und es trotzdem klemmt

Ist die Authentifizierung sauber und die Zustellung trotzdem schlecht, kommen vier andere Ursachen infrage.

Neue Domain ohne Versandhistorie

Eine Domain, die noch nie versendet hat, gilt als unbekannt. Wer am ersten Tag zehntausend Mails verschickt, wird gebremst – zu Recht.

Was hilft: Menge über zwei bis vier Wochen steigern, mit den engagiertesten Empfängern beginnen.

Erkennbar an: schlechter Zustellung nur bei großen Aussendungen

Alte, inaktive Adressen im Verteiler

Empfänger, die seit einem Jahr nichts geöffnet haben, sind ein negatives Signal. Manche stillgelegten Adressen werden von Anbietern sogar als Fallen wiederverwendet.

Was hilft: Wer zwölf Monate nichts geöffnet hat, bekommt eine letzte Mail – und wird danach entfernt.

Erkennbar an: sinkender Öffnungsrate über Monate

Versand über eine geteilte Adresse

Bei günstigen Versanddiensten teilen sich viele Kunden dieselben Versandserver. Der Ruf dieser Server hängt dann auch am Verhalten der anderen.

Was hilft: Ab einigen zehntausend Mails im Monat eine eigene Versandadresse – darunter selten wirtschaftlich.

Erkennbar an: plötzlichen Einbrüchen ohne eigene Änderung

Fehlende Abmeldemöglichkeit im Kopf

Große Anbieter erwarten bei Massenversand eine Abmeldung, die mit einem Klick funktioniert und technisch in den Kopfzeilen hinterlegt ist – nicht nur als Link im Fußtext.

Was hilft: Im Versandwerkzeug aktivieren; die meisten unterstützen es, aber nicht alle standardmäßig.

Erkennbar an: Problemen speziell bei großen Freemail-Anbietern

Aus der Praxis

Bei der Einrichtung unseres eigenen Versands haben wir die Reihenfolge eingehalten und trotzdem einen Fehler gemacht: Der Server konnte sein Versandprotokoll zunächst nicht schreiben, weil die Dateiberechtigungen es nicht zuließen. Wir haben also erfolgreich versendet – nur ohne Nachweis.

Aufgefallen ist es erst, als wir prüfen wollten, an welche Adresse eine Testmail tatsächlich gegangen war. Die Lehre: Das Protokoll ist kein Beiwerk. Ohne es lässt sich im Zweifelsfall nicht belegen, was passiert ist – und genau darauf kommt es an, wenn ein Kunde sagt, er habe nichts bekommen.

Tipp Richtet für den Versand eine eigene Unterdomain ein, etwa mail.eure-domain.de. Dann bleibt der Ruf des Marketingversands vom Ruf eurer normalen Geschäftskorrespondenz getrennt. Geht bei einer Aussendung etwas schief, ist nicht gleich die ganze Firmenkommunikation betroffen.

Fazit

Zustellbarkeit ist kein Textproblem, sondern ein Nachweisproblem. Wer die drei Einträge in der richtigen Reihenfolge setzt, löst damit die überwiegende Mehrheit der Fälle – und zwar dauerhaft, weil es sich um eine einmalige Einrichtung handelt.

Der Aufwand liegt bei wenigen Stunden, verteilt über vier bis sechs Wochen, weil die Beobachtungsphasen dazugehören. Wer sie überspringt und direkt scharf stellt, spart die Wochen und riskiert dafür, dass wichtige Mails still verschwinden.

Häufige Fragen

Warum landen meine E-Mails im Spam-Ordner?

In der überwiegenden Zahl der Fälle, weil der empfangende Server nicht überprüfen kann, ob die Nachricht wirklich von eurer Domain stammt. Dafür braucht es drei DNS-Einträge: SPF, DKIM und DMARC. Am Inhalt liegt es deutlich seltener als angenommen.

Was sind SPF, DKIM und DMARC?

SPF listet auf, welche Server in eurem Namen versenden dürfen. DKIM unterschreibt jede Nachricht kryptografisch, damit Veränderungen auffallen. DMARC verknüpft beide Prüfungen mit der sichtbaren Absenderadresse und legt fest, was der Empfänger bei Nichtübereinstimmung tun soll.

In welcher Reihenfolge richtet man sie ein?

Erst SPF, dann DKIM, dann DMARC im beobachtenden Modus. Nach zwei bis vier Wochen die Berichte auswerten, fehlende Versender nachtragen und erst dann DMARC schrittweise verschärfen. Wer DMARC zuerst scharf stellt, blockiert die eigenen Mails.

Wie prüfe ich, ob die Einträge korrekt sind?

Am schnellsten über die vollständigen Kopfzeilen einer empfangenen Mail: In der Zeile Authentication-Results muss bei SPF, DKIM und DMARC jeweils „pass" stehen. Ergänzend lassen sich die Einträge per DNS-Abfrage direkt ansehen.

Wie lange dauert es, bis eine Änderung wirkt?

DNS-Änderungen sind je nach Einstellung nach Minuten bis 24 Stunden sichtbar. Der Ruf einer Domain verbessert sich langsamer – rechnet mit zwei bis vier Wochen, bevor sich die Zustellquote messbar bewegt.

Braucht man eine eigene Unterdomain für den Versand?

Nicht zwingend, aber es ist sinnvoll. Sie trennt den Ruf des Marketingversands von dem eurer normalen Geschäftskorrespondenz. Geht bei einer Aussendung etwas schief, ist nicht die gesamte Firmenkommunikation betroffen.