Wenn Ihre Firmen-E-Mail im Spam landet: SPF, DKIM und DMARC

Verhindert eine Änderung des E-Mail-Textes, dass sie im Spam landet?

Landet Unternehmens-E-Mail im Spam, ist der erste Reflex, die Formulierung zu ändern: weniger Großbuchstaben, das Wort „kostenlos“ streichen, weniger Links. Das macht gelegentlich einen kleinen Unterschied, doch die Entscheidung fällt früher. Der empfangende Server fragt zuerst: Kommt diese Nachricht wirklich von dieser Domain?

Die Antwort auf diese Frage steht im DNS, nicht im Text. Fehlt sie, gilt die Nachricht als nicht authentifizierter Absender, so sauber ihr Inhalt auch sein mag — und die meisten Unternehmensempfänger legen solche Nachrichten entweder in den Spam oder gleich in den Papierkorb.

Was sind SPF, DKIM und DMARC und worin unterscheiden sie sich?

Die drei müssen zusammenwirken. Ein Unternehmen mit nur SPF verliert die Authentifizierung, sobald eine Nachricht weitergeleitet wird. Eines mit nur DKIM erfährt nie, wer in seinem Namen sendet. Und ein Setup ohne DMARC ist wehrlos gegen Spoofing in Ihrem Namen — die häufigste Form des Rechnungsbetrugs.

Was verlangt Gmail von Massenversendern?

Google hat die Latte mit Absenderanforderungen angehoben, die im Februar 2024 in Kraft traten. Von allen, die an private Gmail-Konten senden, werden SPF oder DKIM erwartet, gültige Vorwärts- und Rückwärts-DNS-Einträge, Übertragung über TLS und eine Spam-Beschwerderate unter 0,3 %.

Für alle, die mehr als 5.000 Nachrichten am Tag senden, steigt die Latte: SPF und DKIM zusammen, dazu DMARC (die Richtlinie darf `p=none` sein), Übereinstimmung zwischen der Domain im From:-Header und der SPF- oder DKIM-Domain sowie Ein-Klick-Abmeldung bei Werbenachrichten. Ein Unternehmen, das diese Schwelle mit unvollständigen Einträgen überschreitet, kann seine Zustellung über Nacht verlieren.

Was sind die häufigsten Fehler im SPF-Eintrag?

• Zwei SPF-Einträge auf derselben Domain — der Eintrag gilt als ungültig und die Authentifizierung scheitert.
• Beim Hinzufügen einer neuen Sendequelle das Lookup-Limit überschreiten; mit wachsender Kette hört der Eintrag stillschweigend auf zu funktionieren.
• DMARC direkt mit `p=reject` starten und damit legitime Quellen stummschalten, von denen niemand wusste.
• DMARC ohne Berichtsadresse veröffentlichen — womit die Daten, die zum Verschärfen der Richtlinie nötig sind, nie zusammenkommen.
• Subdomains vergessen: Wird Post über `invoices.firma.com` verschickt, braucht dieser Host eigene Einträge.

Warum erreichen Rechnungs-E-Mails die Kunden nicht?

Zwei Punkte stechen heraus. Erstens die e-Rechnungs- und Buchhaltungsintegratoren: Sie können Benachrichtigungen von Ihrer Domain versenden und sind der Posten, der in der Bestandsaufnahme am häufigsten fehlt. Erreicht eine e-Rechnungsbenachrichtigung einen Kunden nicht, liegt es meist nicht am Integrator, sondern daran, dass der Integrator in Ihrer SPF-Liste fehlt.

Zweitens die Massenversandseite: Wer kommerzielle elektronische Nachrichten verschickt, unterliegt nationalen Pflichten zur Nachrichtenverwaltung, die von der technischen Zustellung getrennt sind, denselben Versand aber betreffen. Der Abmeldelink muss technisch mit einem Klick funktionieren und im System als Datensatz verarbeitet werden; wird er getrennt oder gar nicht nachgehalten, steigt die Beschwerderate und die Zustellung verschlechtert sich selbst bei korrekten Einträgen.

Wie lange dauert die Einrichtung von SPF, DKIM und DMARC?

Die Einträge zu schreiben ist eine Stunde Arbeit; die DNS-Verbreitung dauert einige Stunden. Was die Sache verlängert, ist die Zuhörphase: Die Richtlinie zu verschärfen, ohne mindestens zwei Wochen lang DMARC-Berichte zu lesen, riskiert, legitime Post abzuschneiden. Ein realistischer Plan ist Einrichtung am ersten Tag, zwei bis vier Wochen Beobachtung, dann stufenweises Verschärfen.

Kann ich von einer brandneuen Domain E-Mails versenden?

Sie können, aber versenden Sie nicht sofort in Masse. Tausende Nachrichten, die auf einmal eine neue Domain verlassen, wirken selbst mit korrekten Einträgen verdächtig. Was funktioniert, ist Aufwärmen: in der ersten Woche einige Dutzend am Tag, dann allmählich steigend. Ein übereilter erster Massenversand kann den Ruf einer Domain so beschädigen, dass die Reparatur Monate dauert.

Ist es ein Problem, Geschäftspost über privates Gmail zu senden?

Für die Zustellbarkeit nicht, für das Vertrauen schon. Ein Angebot von einer kostenlosen Adresse liest sich nicht wie ein Unternehmensgegenüber, und Unternehmensfilter behandeln Anhänge von unbekannten Freemail-Adressen strenger. Korrespondenz von einer privaten Adresse liegt außerdem nicht im Firmenarchiv; verlässt die Person das Unternehmen, geht die Historie mit.

Sollte ich für Massen-E-Mail eine eigene Domain nutzen?

Ist das Marketingvolumen nennenswert, ja — aber als Subdomain. Wenn die Hauptdomain, die Rechnungen und Angebote trägt, von der Subdomain mit dem Newsletter getrennt ist, beschädigt eine Newsletter-Beschwerde den Ruf der Hauptdomain nicht. In Unternehmen, die nicht trennen, schickt eine schlechte Kampagne auch Rechnungsbenachrichtigungen in den Spam.

Wer soll die DMARC-Berichte lesen?

Die Rohberichte sind XML und nicht dafür gemacht, von Hand gelesen zu werden; ein Dienst zur Berichtsauswertung ist praktisch Pflicht. Bei geringem Volumen genügen kostenlose Tarife. Ein ungelesener Bericht ist dasselbe wie kein Eintrag: Sieht niemand die Daten, die zum Verschärfen der Richtlinie nötig sind, wird `p=none` dauerhaft und bietet keinen Schutz vor Spoofing.

Führt ein Bild in der Signatur zu Spam?

Für sich genommen nicht, aber es trägt dazu bei. Schwere Grafiken, viele ausgehende Links und Signaturen, die nur aus einem Bild bestehen, verlieren bei Filtern Punkte. Die praktische Regel: Die Signatur muss als Text lesbar sein, und es darf keine Information verloren gehen, wenn Bilder nicht laden. Das ist zugleich eine Anforderung der Barrierefreiheit.

“Ein Spam-Problem steckt fast nie im Text; der empfangende Server prüft die Identität, bevor er ein Wort liest.”