Warum Ihre E-Mails im Spam landen.

E-Mail wurde in einer Zeit entworfen, in der niemand log. Als Absender lässt sich deshalb bis heute eintragen, was man will — technisch hindert Sie nichts daran, eine Nachricht im Namen einer fremden Firma zu verschicken. Weil das so ist, prüfen die großen Anbieter nicht mehr die Nachricht, sondern die Domain: Darf dieser Server überhaupt für diesen Absender senden?

Drei Einträge beantworten das. Sie stehen alle im DNS Ihrer Domain, kosten nichts und sind an einem Nachmittag eingerichtet. Ohne sie landen Ihre Nachrichten bei manchen Empfängern im Spam-Ordner — und jeder andere kann in Ihrem Namen schreiben.

SPF: welche Server dürfen senden

SPF ist eine Liste erlaubter Absenderserver, veröffentlicht als TXT-Eintrag auf Ihrer Domain. Ein typischer Eintrag sieht so aus:

v=spf1 a mx include:_spf.example-hoster.de -all

Gelesen wird das als: erlaubt sind der Server hinter der Domain selbst, der eingetragene Mailserver und alles, was der genannte Hoster freigibt — und sonst nichts. Das letzte Zeichen ist die eigentliche Aussage:

Die zweite Falle ist eine Obergrenze: Während der Prüfung dürfen höchstens zehn DNS-Abfragen anfallen. Jedes include, a, mx, ptr, exists und redirect zählt mit — und ein include kann seinerseits weitere auslösen. Wer Newsletter-Dienst, CRM, Buchhaltung und Hoster einträgt, reißt die Grenze schnell; auch dann schlägt die Prüfung fehl. ip4: und ip6: zählen nicht mit, feste Adressen sind also der sparsame Weg. Daneben gilt eine weniger bekannte Grenze: Höchstens zwei der Abfragen dürfen ins Leere gehen, etwa weil ein eingetragener Dienstleister seinen Eintrag gelöscht hat.

DKIM: die Unterschrift unter der Nachricht

DKIM setzt eine kryptografische Signatur in den Kopf jeder ausgehenden Nachricht. Der passende öffentliche Schlüssel liegt im DNS, unter einem Namen nach dem Muster auswahl._domainkey.ihre-domain.de. Der Empfänger holt ihn dort und prüft, ob Absenderzeile und Inhalt unterwegs unverändert geblieben sind.

Eingerichtet wird DKIM beim versendenden Dienst — Ihrem Hoster, Microsoft 365, dem Newsletter-Anbieter. Der gibt Ihnen den Eintrag vor, Sie tragen ihn im DNS ein. 1024 Bit sind dabei die verbindliche Untergrenze: Signaturen mit kürzeren Schlüsseln dürfen Empfänger laut Standard gar nicht erst als gültig werten. Empfohlen sind 2048 Bit.

Der Vorteil gegenüber SPF: DKIM hängt an der Nachricht, nicht am Server. Eine schlicht weitergeleitete Nachricht behält ihre Signatur deshalb in der Regel. Verlassen kann man sich darauf allerdings nicht: Wird der Inhalt unterwegs verändert — ein Betreff-Zusatz, eine angehängte Fußzeile, eine Umkodierung —, wird die Signatur ungültig. Genau das tun Mailinglisten üblicherweise.

DMARC: was passieren soll, wenn es nicht passt

SPF und DKIM stellen fest. DMARC sagt, was daraus folgt, und lässt sich Berichte darüber schicken. Der Eintrag steht unter _dmarc.ihre-domain.de:

v=DMARC1; p=none; rua=mailto:dmarc@ihre-domain.de

Die Richtlinie p kennt drei Stufen: none beobachtet nur, quarantine bittet um Einsortieren in den Spam-Ordner, reject um Abweisung. Dazu kommt die Übereinstimmung: Es genügt nicht, dass SPF oder DKIM bestehen — die dabei geprüfte Domain muss auch zu der Absenderadresse passen, die der Empfänger im Programm sieht. Genau diese Lücke schließt DMARC.

Warum Weiterleitungen SPF zerstören

Ein Kunde lässt seine Nachrichten auf eine andere Adresse weiterleiten. Der weiterleitende Server verschickt die Nachricht erneut — nun von seiner eigenen IP-Adresse, die in Ihrem SPF-Eintrag natürlich nicht steht. SPF schlägt fehl, obwohl niemand etwas falsch gemacht hat. Dasselbe passiert bei vielen Mailinglisten.

Die DMARC-Spezifikation zieht daraus eine klare Konsequenz: Wer p=reject veröffentlicht, darf sich nicht allein auf SPF verlassen und muss seine Nachrichten mit DKIM signieren. Denn die Signatur übersteht eine einfache Weiterleitung, die Serverprüfung nicht.

Was Google und Microsoft verlangen

Für Absender mit größerem Volumen gelten ausdrückliche Regeln: bei Google seit Februar 2024, bei Microsoft seit Mai 2025. Die Schwelle ist bei beiden dieselbe — etwa 5.000 Nachrichten pro Tag an Empfänger des jeweiligen Privatkundendienstes, bei Microsoft also an outlook.com, hotmail.com, live.com und msn.com.

Beide setzen das inzwischen auch durch. Google verschärft den Vollzug seit November 2025: Nicht regelkonforme Nachrichten werden verzögert oder abgewiesen, und für die Authentifizierungsfehler gibt es eigene Fehlercodes. Microsoft weist Nachrichten von nicht regelkonformen Absendern mit der Meldung 550 5.7.515 zurück. Eine abgewiesene Nachricht landet beim Empfänger nicht im Spam-Ordner — sie kommt gar nicht an, und der Absender bekommt eine Unzustellbarkeitsmeldung.

Auch unterhalb der Schwelle sind das die Regeln, nach denen sortiert wird. Wer 200 Rechnungen im Monat verschickt, fällt nicht unter die Pflicht — profitiert aber von denselben drei Einträgen.

Wie Sie vorgehen

1. Bestandsaufnahme: Wer verschickt alles in Ihrem Namen? Hoster, Microsoft 365, Newsletter-Werkzeug, Shop, Buchhaltung, Kontaktformular der Website. Diese Liste ist fast immer länger als gedacht.
2. SPF als einen einzigen Eintrag anlegen, der alle diese Dienste enthält, zunächst mit ~all.
3. DKIM bei jedem dieser Dienste aktivieren und die vorgegebenen Einträge im DNS hinterlegen.
4. DMARC mit p=none und einer Berichtsadresse veröffentlichen. Damit ändert sich an der Zustellung nichts.
5. Vier Wochen Berichte lesen. Sie sehen dort, welche Server in Ihrem Namen senden — auch die, die niemand mehr auf dem Schirm hatte.
6. Erst wenn alles Legitime sauber besteht: auf quarantine und später auf reject gehen, SPF auf -all ziehen.

Die Berichte kommen als XML-Dateien und sind von Hand kaum lesbar. Es gibt kostenlose Dienste, die sie auswerten — oder Sie lassen sich das Ergebnis einmal im Monat zusammenfassen.

Stand: 2026-09-22. Die Angaben habe ich zu diesem Zeitpunkt anhand der Dokumentation der jeweiligen Hersteller geprüft. Anbieter ändern Adressen, Bezeichnungen und Menüwege ohne Ankündigung; prüfen Sie im Zweifel die Angaben Ihres Anbieters. Wer an fremden Systemen arbeitet, braucht die Erlaubnis des Betreibers.