Modul 4 · 4.1

Deutsch

Nederlands Deutsch

Warum Mail im Spam landet

Modul 4: Zustellbarkeit: SPF, DKIM und DMARC in der Praxis · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie die vier Ebenen benennen, auf denen ein Empfänger eine eingehende Mail beurteilt, erklären, warum "bei mir kommt sie doch an" nichts beweist, und mit einem Test feststellen, in welcher Ebene ein Problem liegt.

Kernbegriffe: Zustellbarkeit (deliverability), Zustellung vs. Posteingang, technische Sauberkeit, Authentifizierung (SPF, DKIM, DMARC), Alignment, IP-Reputation, Domainreputation, Inhalt, Empfängerverhalten (Beschwerden, Öffnen, Löschen), Filter je Empfänger, Authentication-Results, Testmail, Messtools

Zugestellt ist nicht dasselbe wie angekommen

Wenn Ihr Server eine Mail an den Server des Empfängers übergeben hat und dieser mit 250 OK geantwortet hat, dann ist die Mail zugestellt. Damit wissen Sie noch nicht, ob sie im Posteingang landet. Der empfangende Server kann sie danach in den Spamordner legen, in einen Tab "Werbung", in Quarantäne, oder sogar stillschweigend verwerfen.

Zustellbarkeit (auf Englisch deliverability) geht um diesen zweiten Schritt: Kommt Ihre Mail dort an, wo sie hingehört? Und das entscheidet jeder Empfänger selbst. Gmail gewichtet anders als Microsoft, und ein Unternehmen mit eigenem Spamfilter wiederum anders. Es gibt keine zentrale Liste von Regeln. Die Ebenen, auf denen beurteilt wird, sind jedoch überall ungefähr dieselben.

Ebene 1: technische Sauberkeit

Bevor ein Filter sich den Inhalt ansieht, prüft er die Verbindung:

Hat die IP-Adresse des versendenden Servers einen sauberen Reverse-DNS (PTR), der auf dieselbe Adresse zurückverweist? (Lektion 5.1.)
Stellt sich der Server ordentlich mit einem echten Namen in EHLO vor?
Wird die Verbindung mit TLS verschlüsselt?
Hält sich der Server an die Regeln von SMTP, und versucht er es nach einer vorübergehenden Ablehnung erneut?

Bei einem Postfach eines Hosting-Unternehmens oder eines großen Mail-Dienstes ist das so gut wie immer in Ordnung. Es wird zu einem Punkt, wenn Sie selbst einen Server betreiben, etwa einen VPS, der direkt mailt, oder einen Drucker oder eine Kamera, die selbst Mail versendet.

Ebene 2: Authentifizierung

Dies ist die Ebene, auf der Sie als Domaininhaber am meisten tun können, und um die es in diesem Modul geht:

SPF (Lektion 4.2): darf dieser Server im Namen der Domain Mail versenden?
DKIM (Lektion 4.3): ist die Mail signiert, und stimmt die Signatur?
DMARC (Lektion 4.4): gehört die bestandene Prüfung zur Domain in der Von-Adresse (Alignment), und was soll der Empfänger tun, wenn das nicht der Fall ist?

Die Grundlagen dieser drei Records stehen im DNS-Kurs, Modul 4. Hier geht es um die Praxis: alle Dienste, die in Ihrem Namen mailen, in den Blick zu bekommen und die Richtlinie Schritt für Schritt zu verschärfen.

Fehlt die Authentifizierung, sinkt die Bewertung. Seit 2024 und 2025 ist es bei den großen Empfängern auch eine harte Anforderung: Gmail, Yahoo und Microsoft verlangen von jedem mindestens SPF oder DKIM, und von Massenversendern SPF, DKIM und DMARC mit Alignment. Das wird in Lektion 5.3 ausführlich behandelt.

Ebene 3: Reputation

Ein Empfänger merkt sich, was er zuvor von einem Absender erhalten hat. Dabei achtet er auf:

IP-Reputation: Was kam zuvor von dieser IP-Adresse? Bei Shared Hosting und großen Mail-Diensten teilen sich viele Absender eine IP; ein schlechter Absender kann dann alle treffen. Eine neue IP ohne Historie wird vorsichtig behandelt.
Domainreputation: Was kam zuvor von dieser Domain (der Domain in der Von-Adresse und der DKIM-Domain)? Dies wiegt zunehmend schwerer, gerade weil DKIM und DMARC eine Domain zuverlässig erkennbar machen. Eine gute Domainreputation nehmen Sie mit, wenn Sie den Server wechseln.
Blocklisten: öffentliche Listen mit IP-Adressen oder Domains, die Spam versendet haben (Lektion 5.2).

Reputation bauen Sie langsam auf und verlieren Sie schnell.

Ebene 4: Inhalt und Verhalten

Erst zuletzt schaut ein Filter auf die Mail selbst und darauf, was Empfänger damit tun:

Inhalt: Links zu Domains mit schlechtem Ruf, gekürzte Links, nur ein großes Bild ohne Text, Anhänge mit Makros, ein Betreff, der nichts mit dem Inhalt zu tun hat, kaputte Formatierung.
Empfängerverhalten: Dies wiegt bei den großen Mail-Diensten am schwersten. Klicken viele Empfänger auf "Das ist Spam", sinkt Ihre Reputation. Werden Ihre Mails geöffnet, beantwortet oder aus dem Spamordner geholt, steigt sie. Gmail verlangt, dass weniger als 0,3% der Empfänger Ihre Mail als Spam markieren, und am liebsten weniger als 0,1%.

Die Vorstellung, dass einzelne "Spamwörter" wie gratis oder Angebot Ihre Mail aufhalten, ist größtenteils ein Mythos. Moderne Filter gewichten das Gesamtbild. Ein Newsletter mit dem Wort gratis von einem Absender mit guter Authentifizierung und gutem Ruf kommt problemlos an; ein sauberer Text von einem unbekannten Server ohne SPF nicht.

Warum "bei mir kommt sie doch an" nichts aussagt

Sie senden eine Testmail an Ihre eigene Gmail-Adresse und sie landet im Posteingang. Ist also alles gut? Nicht unbedingt:

Sie haben wahrscheinlich schon früher Mail mit dieser Adresse ausgetauscht. Ein Filter vertraut einem Absender, mit dem Sie bereits Kontakt haben, mehr.
Ein Empfänger ist nicht der andere. Microsoft kann eine Mail ablehnen, die Gmail annimmt.
Eine Mail ist nicht tausend. Ein Newsletter an tausend Adressen wird anders beurteilt als eine einzelne Mail.

Eine Testmail ist durchaus nützlich, aber dann, um die Header zu lesen (Lektion 1.5). Dort steht genau, was der Empfänger festgestellt hat:

Authentication-Results: mx.google.com;
       dkim=pass header.i=@example.com header.s=x header.b=Ab12Cd34;
       spf=pass (google.com: domain of info@example.com designates 192.0.2.25 as permitted sender) smtp.mailfrom=info@example.com;
       dmarc=pass (p=NONE sp=NONE dis=NONE) header.from=example.com

Hier bestehen alle drei Prüfungen. Steht dort spf=softfail, dkim=none oder dmarc=fail, wissen Sie, in welcher Ebene Sie suchen müssen. So stellen Sie das Problem fest, statt zu raten.

Ein Vorgehen in drei Schritten

Überprüfen Sie Ihr DNS mit einem Tool, das MX, SPF, DKIM, DMARC und Blocklisten prüft. Beispiele: die E-Mail-Prüfung und Domain-Gesundheit von WebOké, internet.nl, MXToolbox. Diese zeigen, was im DNS steht, aber nicht, wie eine echte Mail beurteilt wird.
Senden Sie eine echte Testmail an eine Adresse bei Gmail und bei Outlook.com, oder an einen Testdienst wie mail-tester, und lesen Sie die Header oder den Bericht. So sehen Sie, ob die Mail in der Praxis durch SPF, DKIM und DMARC kommt.
Schauen Sie sich Reputation und Verhalten an, wenn die Technik stimmt: Steht Ihre IP auf einer Blocklist? Versenden Sie Newsletter an Menschen, die darum gebeten haben? Als großer Versender können Sie bei Google Postmaster Tools und Microsoft SNDS mitschauen.

In der Praxis: so sieht es in einem Panel aus

Auf der Website von WebOké steht die kostenlose E-Mail-Prüfung (www.weboke.de/emailcheck): Sie geben eine Domain ein und sehen eine Bewertung mit MX, SPF, DMARC und der Blocklistprüfung des ersten Mailservers, mit Empfehlungen. In Mein WebOké prüft Domain-Gesundheit dasselbe für Ihre eigenen Domains, mit Reparaturknöpfen. Es sind zwei Tools von vielen; internet.nl und MXToolbox führen vergleichbare Prüfungen durch, und jeder Anbieter hat seine eigene Version. Nutzen Sie ein paar nebeneinander: Kein einzelnes Tool sieht alles.

Zusammenfassung

Zugestellt bedeutet nur, dass der empfangende Server die Mail angenommen hat; ob sie im Posteingang landet, entscheidet der Empfänger.
Empfänger beurteilen auf vier Ebenen: Technik, Authentifizierung, Reputation und Inhalt/Verhalten.
Authentifizierung (SPF, DKIM, DMARC) haben Sie selbst in der Hand und ist bei großen Empfängern eine harte Anforderung.
Beschwerden von Empfängern wiegen schwerer als einzelne Wörter in Ihrem Text.
Lesen Sie den Header Authentication-Results einer Testmail, um zu sehen, wo es hakt.

Quiz

Aufgabe

Aufgabe Z4.1: Ihre Domain durch die E-Mail-Prüfung schicken. Geben Sie Ihre eigene Domain ein (oder, falls Sie keine haben, internet.nl). Das Programm prüft MX, SPF, auffindbare DKIM-Selektoren, DMARC und die Blocklistprüfung des ersten Mailservers. Tragen Sie anschließend selbst ein: welches SPF-Ende die Domain hat, welche DMARC-Richtlinie, und ob der erste Mailserver auf einer Blocklist steht. Das Programm stellt Ihre Antworten dem Live-Ergebnis gegenüber. Erklären Sie in einem Satz, in welcher der vier Ebenen Ihre Domain am meisten Verbesserungsbedarf hat.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Panels von WebOké; bei anderen Anbietern funktioniert es ähnlich.

Cookies bei WebOké

Cookie-Einstellungen

Notwendig

Marketing