E-Mails landen im Spam: SPF, DKIM und DMARC prüfen

Wenn deine E-Mails im Spam landen, liegt das meist an fehlender oder fehlerhafter Absender-Authentifizierung. Prüfe zuerst SPF, DKIM und DMARC deiner Domain, denn Gmail und Outlook werten diese drei Einträge aus, bevor sie über Posteingang oder Spam entscheiden.

Warum landen geschäftliche E-Mails im Spam-Ordner?

Mailanbieter prüfen bei jeder eingehenden Nachricht, ob der sendende Server für die Absenderdomain sprechen darf und ob die Nachricht unterwegs verändert wurde. Fehlen diese Nachweise, wirkt die Mail wie eine Fälschung. Dazu kommen Reputation, Inhalt und Beschwerden der Empfänger.

Bei Selbstständigen und kleinen Firmen sind es selten die Inhalte. Typischer ist ein technischer Bruch, der beim Einrichten nicht auffällt:

• Neuer Dienst, alter SPF-Eintrag: Rechnungen kommen plötzlich aus der Buchhaltungssoftware, der Newsletter aus einem Versandtool, aber im DNS steht nur der ursprüngliche Mailserver.
• DKIM nie aktiviert: Bei manchen Hostern und bei Microsoft 365 muss DKIM für die eigene Domain erst aktiviert und per DNS-Eintrag freigeschaltet werden.
• Website verschickt Mails selbst: Kontaktformulare und Shop-Bestätigungen laufen über den Webserver statt über das Postfach.
• Hohe Beschwerdequote: Wer Empfänger ohne saubere Einwilligung anschreibt, wird oft als Spam markiert, und das zählt bei Google direkt mit.

Die gute Nachricht: Die ersten drei Punkte lassen sich mit wenigen DNS-Einträgen beheben. Wie sich das in die übrige Absicherung deines Betriebs einfügt, beschreibt IT-Sicherheit für kleine Unternehmen: Die wichtigsten Schutzmaßnahmen.

Was machen SPF, DKIM und DMARC genau?

Die drei Verfahren sind TXT-Einträge im DNS deiner Domain, die empfangende Server abfragen. SPF nennt erlaubte Absenderserver, DKIM liefert den öffentlichen Schlüssel zur Signaturprüfung, DMARC sagt, was bei einem Fehlschlag passieren soll und wohin Berichte gehen.

Der entscheidende Begriff ist die Ausrichtung (Alignment). SPF prüft technisch nur die Rücklaufadresse, die der Empfänger nicht sieht. Erst DMARC verlangt, dass die geprüfte Domain zur Domain im sichtbaren „Von“-Feld passt. Kurzdefinitionen findest du im Glossar unter SPF, DKIM und DMARC.

Bei DKIM lohnt ein Blick auf die Schlüssellänge. RFC 8301 schreibt RSA-Schlüssel mit mindestens 1.024 Bit vor und empfiehlt mindestens 2.048 Bit. Signaturen mit kürzeren Schlüsseln als 1.024 Bit dürfen Empfänger nicht als gültig werten. Wenn dein Anbieter die Wahl lässt, nimm 2.048 Bit.

Wie prüfst du, ob deine Domain richtig eingerichtet ist?

Am schnellsten geht es mit einer Testmail an ein eigenes Gmail-Konto und der Funktion „Original anzeigen“. Dort stehen SPF, DKIM und DMARC jeweils mit PASS oder FAIL. Ergänzend fragst du die TXT-Einträge deiner Domain mit einem DNS-Prüfwerkzeug ab.

Damit du nichts übersiehst, arbeite den 5-Punkte-Zustell-Check der Reihe nach ab:

1. Absender inventarisieren: Liste jeden Dienst, der mit deiner Domain im Absender verschickt: Postfach, Website, Shop, Newsletter-Tool, Rechnungsprogramm, Terminbuchung, Ticketsystem.
2. SPF prüfen: Gibt es genau einen Eintrag, der mit v=spf1 beginnt? Sind alle Dienste aus Punkt 1 enthalten? Bleibt die Zahl der DNS-Abfragen bei höchstens 10?
3. DKIM prüfen: Signiert jeder Dienst mit deiner eigenen Domain (d=deinedomain.de im Header), nicht mit der des Anbieters?
4. DMARC prüfen: Existiert unter _dmarc.deinedomain.de ein Eintrag mit Berichtsadresse (rua=)? Zeigen die Testmails „DMARC: PASS“?
5. Reputation prüfen: Hat der Server einen gültigen Reverse-DNS-Eintrag, läuft die Verbindung über TLS, und wie hoch ist die Spamquote in den Google Postmaster Tools?

Welche Fehler stecken am häufigsten im SPF-Eintrag?

Die zwei klassischen Fehler sind mehrere SPF-Einträge für dieselbe Domain und zu viele verschachtelte DNS-Abfragen. Beides führt nach RFC 7208 zu einem permanenten Fehler, und dann gilt SPF als nicht bestanden, auch wenn der eigentliche Server erlaubt wäre.

Der erste Fehler entsteht, wenn jeder neue Dienst laut Anleitung „einen SPF-Eintrag anlegen“ lässt. Eine Domain darf aber nur einen Eintrag haben. Die Lösung: alle Angaben in einen Eintrag zusammenführen, etwa v=spf1 include:anbieter-a include:anbieter-b -all.

Der zweite Fehler ist tückischer. RFC 7208 begrenzt die Mechanismen include, a, mx, ptr, exists und den Modifikator redirect auf zusammen 10 DNS-Abfragen. Weil jedes include eines Anbieters selbst weitere include enthalten kann, ist die Grenze schnell erreicht. Prüfe die Gesamtzahl mit einem SPF-Testwerkzeug und streiche Dienste, die du nicht mehr nutzt. ip4 und ip6 zählen nicht mit.

Wie führst du DMARC schrittweise ein?

Starte mit p=none und einer Berichtsadresse, werte die Berichte einige Wochen aus und verschärfe dann auf quarantine und reject. So erkennst du vergessene Absender wie Rechnungs- oder Newsletter-Tools, bevor deren Mails später abgewiesen werden.

Die täglichen Aggregatberichte zeigen, welche Server im Namen deiner Domain gesendet haben und ob SPF und DKIM ausgerichtet bestanden. Taucht ein legitimer Dienst mit Fehlschlag auf, korrigierst du dessen Einrichtung. Taucht ein unbekannter Server auf, versucht womöglich jemand, deine Domain für Phishing zu missbrauchen.

Seit Mai 2026 ist DMARC ein vollwertiger IETF-Standard: RFC 9989 ersetzt RFC 7489, die Berichte sind in RFC 9990 und 9991 ausgelagert. Bestehende Einträge mit v=DMARC1 bleiben gültig. Eine Änderung betrifft aber Stufenpläne: Den Prozent-Tag pct ignorieren Empfänger nach RFC 9989. Ein Eintrag wie p=reject; pct=10 wirkt dort wie volles reject. Für eine Testphase sieht der neue Standard stattdessen t=y vor, das die Richtlinie eine Stufe milder anwendet.

💬 Meine Einschätzung

Viele halten das Thema für erledigt, sobald ein DMARC-Eintrag mit p=none im DNS steht, weil Google für Großversender genau das als Minimum nennt. Ich halte das für eine Zwischenstation, nicht für ein Ziel. p=none bittet Empfänger ausdrücklich, bei Fehlschlägen nichts zu unternehmen. Gefälschte Mails mit deiner Domain kommen also weiter an. Schutz vor Missbrauch entsteht erst mit quarantine oder reject, und dorthin kommst du nur, wenn du die Berichte auch liest.

Was verlangen Gmail und Outlook von Absendern?

Google verlangt seit 1. Februar 2024 von allen Absendern an private Gmail-Konten SPF oder DKIM, gültige DNS-Einträge, TLS und eine Spamquote unter 0,3 %. Wer an einem Tag annähernd 5.000 Mails an Gmail-Konten schickt, braucht zusätzlich SPF, DKIM, DMARC und Ein-Klick-Abmeldung.

Google empfiehlt als Ziel sogar eine Spamquote unter 0,1 %. Laut Googles FAQ verschärft Gmail seit November 2025 schrittweise die Durchsetzung, nicht konforme Nachrichten werden vorübergehend oder dauerhaft abgewiesen. Wichtig für wachsende Listen: Wer die Grenze einmal erreicht, gilt bei Google dauerhaft als Großversender, und Mails von Subdomains zählen zur Hauptdomain. Microsoft kündigte an, nicht konforme Nachrichten von Großversendern zunächst in den Junk-Ordner zu verschieben und sie später abzuweisen.

Warum landen Mails von WordPress und Online-Shops im Spam?

WordPress verschickt Mails standardmäßig über die PHP-Funktion des Webservers, also von einem Server, der weder im SPF-Eintrag steht noch mit deiner Domain per DKIM signiert. Kontaktformulare, Passwort-Mails und Bestellbestätigungen fallen dadurch bei der DMARC-Prüfung durch.

Die übliche Lösung ist ein SMTP-Plugin. Damit sendet die Website über dein reguläres Postfach oder über einen Versanddienst, der DKIM für deine Domain unterstützt. Achte auf drei Punkte:

• Absenderadresse: Verwende eine echte Adresse deiner Domain, nicht die Adresse des Formularausfüllers im „Von“-Feld. Die Kundenadresse gehört ins Feld „Antwort an“.
• Eigene Subdomain für Massenversand: Newsletter oder Shop-Mails lassen sich über eine Subdomain wie news.deinedomain.de trennen. Das schützt die Reputation des Hauptpostfachs, zählt bei Google aber weiter zur Hauptdomain.
• Einwilligung: Für Newsletter gehört ein bestätigtes Anmeldeverfahren dazu, siehe Double-Opt-in. Das senkt Beschwerden und damit die Spamquote.

Wer seinen Mailanbieter ohnehin neu auswählt, findet Alternativen in E-Mail-Anbieter außerhalb der USA. Für den Gesamtaufbau der Website hilft Website erstellen für Selbstständige.

Häufige Fragen zu E-Mails im Spam-Ordner

Wie lange dauert es, bis neue DNS-Einträge wirken?

Das hängt von der TTL des Eintrags ab, also der Zeit, die Server ihn zwischenspeichern dürfen. Neue Einträge sind oft innerhalb weniger Minuten bis Stunden sichtbar, Änderungen an bestehenden erst nach Ablauf der alten TTL. Prüfe erst danach per Testmail.

Brauche ich DMARC, wenn ich nur wenige Mails verschicke?

Google verlangt DMARC nur von Großversendern. Für kleine Firmen liegt der Hauptnutzen woanders: DMARC macht sichtbar, wer deine Domain missbraucht, und erlaubt mit reject, gefälschte Mails in deinem Namen abweisen zu lassen.

Meine Mails bestehen SPF, DKIM und DMARC und landen trotzdem im Spam. Warum?

Authentifizierung beweist nur die Herkunft, nicht die Erwünschtheit. Dann zählen Reputation von Domain und Server, Beschwerden der Empfänger und Inhalt. Prüfe die Spamquote in den Google Postmaster Tools, bereinige alte Adresslisten und biete eine gut sichtbare Abmeldung an.

Muss ich bei einem Hosterwechsel SPF und DKIM neu einrichten?

Ja, sobald sich der sendende Server ändert. Übernimm den SPF-Eintrag des neuen Anbieters, aktiviere DKIM dort neu und lösche alte Einträge erst, wenn keine Mails mehr über den alten Server laufen. Hinweise zur Auswahl bietet das Glossar unter Hosting.

Quellen

Stand der Recherche: Oktober 2026.

• Email sender guidelines · support.google.com · Anforderungen für alle Absender und Großversender, Spamquoten 0,1 % und 0,3 % (abgerufen Oktober 2026).
• Email sender guidelines FAQ · support.google.com · Verschärfte Durchsetzung ab November 2025, Zählung der 5.000er-Grenze, dauerhafter Großversender-Status (abgerufen Oktober 2026).
• Microsoft Outlook to Enforce Stricter Email Authentication Rules for High-Volume Senders · petri.com · Outlook-Anforderungen ab 05.05.2025, Junk-Einstufung (07.04.2025).
• New Microsoft rules · docs.contactlab.com · Betroffene Domains Outlook.com, Hotmail.com, Live.com, DMARC-Minimum p=none (09.05.2025).
• RFC 7208 – Sender Policy Framework (SPF) · rfc-editor.org · Grenze von 10 DNS-Abfragen, Verbot mehrerer Einträge (April 2014).
• RFC 8301 – Cryptographic Algorithm and Key Usage Update to DKIM · rfc-editor.org · Mindestschlüssellänge 1.024 Bit, Empfehlung 2.048 Bit (Januar 2018).
• DMARCbis is now published as RFC 9989, 9990, 9991 · suped.com · Ablösung von RFC 7489, Umgang mit pct, neue Tags t und np (2026).
• TR-03182 E-Mail-Authentifizierung · bsi.bund.de · Technische Richtlinie des BSI für E-Mail-Diensteanbieter (abgerufen Oktober 2026).