Newsletter von Ihrer eigenen Domain

Modul 7: Newsletter und Mail von Ihrer Website · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie einen Versanddienst so koppeln, dass Ihr Newsletter im Namen Ihrer eigenen Domain durch SPF, DKIM und DMARC kommt, und Sie können anhand der Header kontrollieren, ob das gelungen ist.

Kernbegriffe: Versanddienst, From-Domain, Return-Path (Bounce-Domain), DKIM-Domain (d=), Alignment (Ausrichtung), eigene Bounce-Domain über CNAME, DKIM über CNAME, Subdomain für Marketing, Versandlimit, Aufwärmen (Warm-up)

Warum ein Newsletter etwas anderes ist als normale Mail

Eine Mail an einen Kunden oder Kollegen versenden Sie aus Ihrem eigenen Postfach. Ein Newsletter geht an Hunderte oder Tausende Personen gleichzeitig. Für Empfänger wie Gmail, Outlook.com und T-Online ist das eine andere Art von Verkehr: Massenmail (Bulk-Mail). Sie prüfen das strenger, weil fast aller Spam ebenfalls Bulk-Mail ist.

Drei Dinge machen den Unterschied zwischen einem Newsletter, der im Posteingang landet, und einem, der im Spam verschwindet:

1. Technik: die Mail muss nachweisbar von Ihrer Domain kommen. Das regeln SPF, DKIM und DMARC, und vor allem das Alignment dazwischen.
2. Reputation: die Server und die Domain, mit denen Sie versenden, müssen einen guten Ruf haben (Lektion 5.2).
3. Verhalten Ihrer Empfänger: öffnen sie Ihre Mail, oder klicken sie auf „Das ist Spam“? Das hängt von Ihrer Liste und von der Einwilligung ab (Lektion 7.2).

Diese Lektion behandelt den ersten Punkt. Die Grundlagen der Records finden Sie im DNS-Kurs, Lektion 7.4. Hier schauen wir, wie Sie in der Praxis kontrollieren, ob alles stimmt.

Warum nicht einfach über Ihr eigenes Postfach?

Es mag verlockend sein, einen Newsletter per BCC aus Ihrem gewöhnlichen E-Mail-Programm zu versenden, oder mit einer Mailingliste in Ihrem Hostingpaket. Für einen kleinen Verein mit dreißig Mitgliedern, die sich kennen, ist eine Mailingliste völlig in Ordnung. Für einen echten Newsletter nicht, aus vier Gründen:

• Versandlimits. Fast jeder Anbieter begrenzt, wie viel Mail ein Postfach oder Paket pro Tag versenden darf, um Missbrauch einzudämmen. Bei WebOké sehen Sie dieses Limit in DirectAdmin bei den Benutzerstatistiken; bei anderen Anbietern steht es in den Bedingungen oder im Kundenpanel. Ein Newsletter an 2.000 Personen geht da deutlich darüber hinaus.
• Geteilte Reputation. Sie teilen sich den Versandserver mit anderen Kunden. Beschweren sich Empfänger über Ihren Newsletter, betrifft das auch deren Mail, und umgekehrt.
• Kein Abmeldebutton und keine Bounce-Verwaltung. Ein Versanddienst setzt automatisch die Abmelde-Header in jede Mail (Lektion 7.2), entfernt nicht mehr existierende Adressen von Ihrer Liste und bearbeitet Beschwerden. Das machen Sie von Hand nie richtig gut.
• Datenschutz. Ein falscher Klick, und Sie verschicken allen gegenseitig ihre Adresse im An-Feld.

Ein Versanddienst (Newsletter-Dienst wie Laposta, Brevo, MailerLite oder Mailchimp, oder ein Transaktionsdienst für Bestätigungen und Rechnungen) ist für diese Aufgabe gemacht. Aber dann versendet jemand anderes im Namen Ihrer Domain, und das müssen Sie nachweisen.

Drei Domains in einer Mail

Jede Mail hat mindestens drei Stellen, an denen eine Domain steht. Bei gewöhnlicher Mail aus Ihrem eigenen Postfach sind diese meist gleich. Bei einem Versanddienst nicht automatisch.

DMARC (Lektion 4.4) genehmigt eine Mail, wenn SPF oder DKIM erfolgreich ist, und die Domain, die erfolgreich war, mit der From-Domain ausgerichtet (aligned) ist. Ausgerichtet bedeutet bei der Standardeinstellung (relaxed), dass es dieselbe Organisationsdomain ist: mail.example.com ist mit example.com ausgerichtet, aber sender.example nicht.

Ohne eigene Einstellungen sieht ein Newsletter dann so aus:

Return-Path: <bounce-8f3a@mail.sender.example>
From: Nieuws <nieuws@example.com>
DKIM-Signature: v=1; a=rsa-sha256; d=sender.example; s=s1; ...
Authentication-Results: mx.example.net;
       spf=pass smtp.mailfrom=mail.sender.example;
       dkim=pass header.d=sender.example;
       dmarc=fail header.from=example.com

SPF ist erfolgreich und DKIM ist erfolgreich, aber beide für die Domain des Dienstes. Keines von beiden ist mit example.com ausgerichtet, also schlägt DMARC fehl. Steht Ihre DMARC-Richtlinie auf p=none, merken Sie davon nur etwas in Ihren Berichten (Lektion 4.5). Steht sie auf quarantine oder reject, landet Ihr Newsletter im Spam oder wird abgelehnt.

Die Lösung: Domain beim Dienst authentifizieren

Jeder seriöse Versanddienst hat einen Schritt, der „Domain authentifizieren“, „Domain verifizieren“ oder „Absenderdomain einrichten“ heißt. Der Dienst gibt Ihnen dann einige Records, die Sie in Ihrem DNS eintragen. Meist sind das:

1. DKIM über CNAME, zum Beispiel s1._domainkey.example.com auf einen Namen beim Dienst. Danach signiert der Dienst Ihre Mail mit d=example.com. Dies ist der wichtigste Record: damit ist DMARC über DKIM erfolgreich.
2. Eine eigene Bounce-Domain, oft ein CNAME auf einer Subdomain, zum Beispiel bounce.example.com auf den Dienst. Dann wird der Return-Path ...@bounce.example.com. SPF dieser Subdomain verweist über den CNAME auf den Dienst, und SPF ist dann ebenfalls ausgerichtet. Nicht jeder Dienst bietet dies an; DKIM allein genügt für DMARC.
3. Manchmal ein SPF-Include in Ihrem eigenen Record, wenn der Dienst Ihre Hauptdomain als Return-Path verwendet. Tun Sie das nur, wenn der Dienst danach fragt, und immer in Ihrem bestehenden SPF-Record (Lektion 4.2).
4. Manchmal ein Verifizierungs-TXT, um zu belegen, dass die Domain Ihnen gehört.

Nach den richtigen Einstellungen sieht derselbe Newsletter so aus:

Return-Path: <bounce-8f3a@bounce.example.com>
From: Nieuws <nieuws@example.com>
DKIM-Signature: v=1; a=rsa-sha256; d=example.com; s=s1; ...
Authentication-Results: mx.example.net;
       spf=pass smtp.mailfrom=bounce.example.com;
       dkim=pass header.d=example.com;
       dmarc=pass header.from=example.com

Übernehmen Sie die Namen und Ziele immer wörtlich aus dem Dashboard Ihres Dienstes. Sie unterscheiden sich je nach Dienst und manchmal je nach Konto.

Eine eigene Subdomain für Marketing?

Große Versender nutzen oft eine eigene Subdomain für Newsletter, wie nieuws.example.com oder info.example.com, mit nieuwsbrief@nieuws.example.com als Absender. Die Idee: die Reputation Ihrer Marketingmail steht dann getrennt von Ihrer gewöhnlichen Mail. Geht eine Kampagne schief, leidet Ihre tägliche Mail mit Kunden weniger darunter.

Für diejenigen, die ein paar Mal im Monat einen Newsletter versenden, ist das nicht nötig. Es macht die Verwaltung komplizierter: die Subdomain benötigt eigenes DKIM, und Ihre DMARC-Richtlinie für Subdomains (sp=) muss dazu passen. Erwägen Sie es, wenn Sie viel versenden oder neben Newslettern auch viel Transaktionsmail (Bestellungen, Passwörter) haben. Die soll nie unter einer missglückten Aktion leiden.

Wichtig: setzen Sie auf einer Versand-Subdomain keinen MX-Record auf den Dienst, wenn Sie das nicht benötigen, und ändern Sie nie den MX Ihrer Hauptdomain für einen Newsletter. Der MX bestimmt, wo Mail ankommt; Antworten auf Ihren Newsletter sollen ganz normal in Ihrem eigenen Postfach landen.

Aufwärmen: nicht sofort mit allem beginnen

Versenden Sie zum ersten Mal mit einem neuen Dienst oder einer neuen Domain, oder versenden Sie plötzlich zehnmal so viel wie normal? Dann kennen die Empfänger Sie noch nicht. Große Empfänger bremsen unbekannte Versender ab (bei Microsoft sehen Sie dann vorübergehende Ablehnungen wie 451 4.7.500, Lektion 6.4). Beginnen Sie deshalb klein: zuerst Ihre aktivsten Leser, danach jedes Mal einen größeren Teil. Das nennt man Aufwärmen (Warm-up). Bei einem gemeinsam genutzten Versanddienst übernimmt der Dienst vieles davon selbst, aber auch dort zählt die Reputation Ihrer Domain.

In der Praxis: so sieht es in einem Panel aus

Sie tragen die Records des Dienstes in die DNS-Verwaltung Ihrer Domain ein. Bei WebOké ist das der Reiter DNS in Mein WebOké oder DNS-Verwaltung in DirectAdmin; bei anderen Anbietern heißt es DNS-Verwaltung, Zonenverwaltung oder DNS-Records und funktioniert ähnlich. Achten Sie auf die zwei klassischen Fehler: die Domain doppelt im Namen (s1._domainkey.example.com.example.com), und das Erstellen eines TXT-Records, wo der Dienst nach einem CNAME fragt.

Fertig? Senden Sie einen Test-Newsletter an eine eigene Gmail- oder Outlook.com-Adresse und öffnen Sie die Header (Lektion 1.5). Sie möchten bei Authentication-Results sehen: dkim=pass mit header.d= Ihrer Domain, und dmarc=pass.

Zusammenfassung

• Ein Newsletter ist Massenmail (Bulk-Mail): Empfänger prüfen strenger. Nutzen Sie einen Versanddienst, nicht Ihr gewöhnliches Postfach.
• In jeder Mail stehen drei Domains: From (DMARC), Return-Path (SPF) und die DKIM-Domain d=.
• DMARC ist nur erfolgreich, wenn SPF oder DKIM für eine Domain erfolgreich ist, die mit der From-Domain ausgerichtet ist.
• Authentifizieren Sie Ihre Domain beim Dienst: DKIM über CNAME ist am wichtigsten, eine eigene Bounce-Domain ist ein Plus.
• Kontrollieren Sie mit einer Testmail: dkim=pass header.d=<Ihre Domain> und dmarc=pass. Beginnen Sie bei einem neuen Dienst klein.

Quiz

Aufgabe

Aufgabe Z7.1: Alignment eines Newsletters kontrollieren. Senden Sie einen Newsletter Ihres eigenen Versanddienstes an sich selbst (oder verwenden Sie die Beispieldatei nieuwsbrief-kopregels-1.txt aus dem Kurs) und fügen Sie die Header ein. Tragen Sie ein: die From-Domain, die Return-Path-Domain, die DKIM-Domain (d=) und ob DMARC Ihrer Meinung nach erfolgreich ist (ja/nein) und über welchen Weg (SPF, DKIM, beide oder keiner). Das Programm analysiert die Header selbst, kontrolliert den DKIM-Selector live im DNS und den DMARC-Record der From-Domain, und stellt sein Ergebnis Ihrem gegenüber.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Kostenloser DNS-Kurs 7.4: Newsletter- und Versanddienste
• Kostenloser DNS-Kurs 4.5: DMARC: was Empfänger mit gefälschter Mail tun sollen
• DirectAdmin Anleitung 5.8: DKIM aktivieren und überprüfen
• DirectAdmin Anleitung 7.10: Mailinglisten
• Limit für den E-Mail-Versand
• Dürfen Sie einen Mailversand über Ihr Hostingpaket bei WebOké durchführen?
• Google, Richtlinien für Absender (Email sender guidelines): https://support.google.com/a/answer/81126