Ratgeber · AT-R09REV. 2026-A
Warum landen meine E-Mails im Spam? SPF, DKIM und DMARC verständlich erklärt
Der Anruf kommt meistens so: „Der Kunde sagt, er hat unser Angebot nie bekommen. Bei uns steht es aber im Gesendet-Ordner.“
Und ja, es wurde gesendet. Es wurde nur nicht zugestellt. Zumindest nicht dorthin, wo jemand hinschaut.
Das ist deutlich teurer als es klingt. Eine Rechnung im Spam wird nicht bezahlt. Ein Angebot im Spam wird nicht angenommen. Und Sie erfahren es in der Regel gar nicht, weil niemand anruft, um Ihnen zu sagen, dass er nichts von Ihnen gehört hat.
Was auf der Gegenseite passiert
Wenn Ihre Mail beim Empfänger ankommt, stellt dessen Server drei Fragen, bevor er sie ins Postfach legt:
Durfte dieser Server überhaupt in Ihrem Namen senden?
Wurde die Mail unterwegs verändert?
Und was soll ich tun, wenn eine der beiden Antworten nein lautet?
Für jede dieser Fragen gibt es einen Eintrag, den Sie in Ihrem DNS hinterlegen. Das ist der Ort, an dem die Einstellungen zu Ihrer Domain liegen, meistens beim Hoster. Fehlen die Einträge, muss der Empfängerserver raten. Und im Zweifel rät er zu Ihren Ungunsten.
SPF: Wer darf in Ihrem Namen senden?
SPF ist eine Liste. Darin steht, welche Server Mails mit Ihrer Absenderadresse verschicken dürfen. Kommt eine Mail von einem Server, der nicht auf der Liste steht, ist das ein Warnsignal.
Klingt simpel, und ist es auch. Zwei Fallen gibt es trotzdem.
Erstens: Es darf pro Domain nur einen SPF-Eintrag geben. Wir finden regelmäßig zwei oder drei, weil bei jedem neuen Dienst einfach ein weiterer angelegt wurde. Das Ergebnis ist nicht doppelt so gut, sondern kaputt. Alles muss in einen Eintrag.
Zweitens: Denken Sie an alles, was in Ihrem Namen sendet. Nicht nur den Mailserver. Auch das Newsletter-Tool, das Buchhaltungsprogramm, das Rechnungen verschickt, das Kontaktformular auf der Website, den Ticketsystem-Anbieter. Wird einer davon vergessen, landet ausgerechnet dieser Versand im Spam.
DKIM: Das Siegel auf dem Umschlag
DKIM setzt eine digitale Signatur auf jede ausgehende Mail. Der Empfänger prüft diese Signatur gegen einen Schlüssel, den Sie in Ihrem DNS veröffentlicht haben.
Passt sie, weiß er zwei Dinge: Die Mail stammt tatsächlich aus Ihrem Haus, und unterwegs hat niemand daran herumgeschrieben.
Die Einrichtung übernimmt in der Regel der Mailanbieter. Bei Microsoft 365 oder Google Workspace sind das ein paar Klicks plus zwei DNS-Einträge. Der lästige Teil ist wieder derselbe: Jeder Dienst, der in Ihrem Namen sendet, braucht seinen eigenen Schlüssel.
DMARC: Die Anweisung, was im Zweifel passieren soll
SPF und DKIM stellen nur fest, ob etwas nicht stimmt. Was dann geschehen soll, sagt DMARC.
Sie hinterlegen eine von drei Anweisungen:
- none heißt: nichts tun, nur berichten
- quarantine heißt: ab in den Spam-Ordner
- reject heißt: gar nicht erst annehmen
Und hier ist der Punkt, an dem die meisten stehenbleiben. DMARC wird auf „none“ gesetzt, weil das ungefährlich ist, und dann bleibt es dort. Für immer. Damit haben Sie zwar einen Eintrag, aber keinerlei Schutz. Jeder kann weiterhin Mails mit Ihrer Adresse verschicken.
DMARC bringt außerdem Berichte mit. Sie bekommen regelmäßig eine Aufstellung darüber, wer in Ihrem Namen sendet. Da tauchen dann Dienste auf, die längst niemand mehr nutzt. Und gelegentlich Absender, die nie etwas mit Ihnen zu tun hatten.
So prüfen Sie, ob es funktioniert
Dafür brauchen Sie kein Werkzeug und keinen Dienstleister. Schicken Sie sich eine Mail von Ihrer Firmenadresse an ein Gmail-Konto. In Gmail öffnen Sie die Nachricht, klicken auf die drei Punkte und wählen „Original anzeigen“.
Oben stehen dann drei Zeilen: SPF, DKIM, DMARC. Dahinter jeweils PASS oder FAIL.
Dreimal PASS ist das Ziel. Alles andere ist eine Aufgabe.
Der Test dauert zwei Minuten und sagt Ihnen mehr als jede Vermutung. Machen Sie ihn auch nach jeder Änderung noch einmal, und machen Sie ihn für jeden Versandweg getrennt. Der Server kann sauber sein, während das Newsletter-Tool durchfällt.
Woran es bei uns meistens hakt
Zwei oder drei SPF-Einträge gleichzeitig. Kommt öfter vor, als man denkt.
Der Newsletter-Versand oder das ERP-System steht in keinem der Einträge, weil beides erst zwei Jahre nach der Mail-Einrichtung dazukam.
DMARC steht seit drei Jahren auf „none“ und niemand liest die Berichte.
Der SPF-Eintrag hat zu viele Verweise. Es sind maximal zehn Abfragen erlaubt, und jeder eingebundene Dienst zählt mit. Darüber hinaus wird der Eintrag komplett ungültig, ohne dass irgendwo eine Fehlermeldung erscheint.
Und der Klassiker: Es wurde alles eingerichtet, aber nie jemand hat geprüft, ob es tatsächlich greift.
Was das nicht löst
Ehrlich gesagt: Selbst mit dreimal PASS können Mails im Spam landen. Die Technik ist die Voraussetzung, nicht die Garantie. Wenn Ihre Betreffzeile nach Werbung klingt, wenn Sie plötzlich zweitausend Mails auf einmal verschicken oder wenn Ihre Domain erst seit letzter Woche existiert, hilft der beste DNS-Eintrag wenig.
Aber ohne die Einträge haben Sie von vornherein verloren. Und ab 2024 verlangen Google und Microsoft für größere Versandmengen ohnehin, dass alle drei vorhanden sind.
Die Reihenfolge
- Alle Systeme auflisten, die in Ihrem Namen Mails verschicken. Wirklich alle.
- Einen einzelnen SPF-Eintrag anlegen, der sie alle abdeckt. Vorhandene Duplikate entfernen.
- DKIM beim Mailanbieter aktivieren und für jeden weiteren Versanddienst einrichten.
- DMARC zunächst auf „none“ setzen und die Berichte ein paar Wochen auswerten.
- Wenn nichts Wichtiges mehr durchfällt, auf „quarantine“ hochstufen. Später auf „reject“.
- Gmail-Test. Nach jeder Änderung.
Punkt 4 ist der, den man nicht überspringen sollte. Wer direkt auf „reject“ geht, blockiert im Zweifel den eigenen Rechnungsversand.