Warum E-Mails trotz korrektem DNS im Spam landen

Warum landen E-Mails im Spam? Ursachen jenseits der DNS-Einträge

mail-tester.com vergibt Bestnoten. SPF, DKIM und DMARC sind erfolgreich. Bekannte Blocklisten zeigen keinen Eintrag. Trotzdem landen Nachrichten im Spam oder fehlen ganz. Um das zu beheben, müssen Sie verstehen, was solche Tester erfassen und was nicht.

Die unbequeme Wahrheit: 2026 ist Authentifizierung nur eine Grundlage. Google, Yahoo und Microsoft berücksichtigen außerdem Versandverhalten, Historie und möglicherweise die Reputation gemeinsamer Versand-IPs. Dieser Artikel untersucht, warum Mail trotz scheinbar korrektem DNS im Spam landen kann und welche Maßnahmen sinnvoll sind.

Die dauerhafte Massenversendereinstufung

Zunächst ist wichtig, wie Anbieter Sie einstufen. Googles Massenversenderstatus ist nicht bloß ein Tageszähler, der nachts zurückgesetzt wird. Nach Erreichen des historischen Volumenkriteriums kann die Einstufung bestehen bleiben. Eine saisonale Kampagne oder einmalige Sendung an 10,000 Nutzer kann relevant sein; entscheidend sind die tatsächlich an persönliche Gmail-Konten gesendeten Mengen und Googles aktuelle Definition.

Kleine Unternehmen denken oft, zusätzliche Anforderungen beträfen nur Millionenversender. Die Kriterien liegen jedoch deutlich niedriger, und die Einstufung muss anhand der tatsächlichen Versandhistorie beurteilt werden.

Man kann dies als Höchststandsregel beschreiben. Nach einmaligem Erreichen kann Google die Domain weiter als Massenversender behandeln. Selbst wenn später nur 50 Nachrichten täglich gesendet werden, kann dieser Status fortbestehen. Die jeweils anwendbaren zusätzlichen Anforderungen bleiben zu prüfen. Der Status allein beweist allerdings nicht, dass eine alte Kampagne die heutige Spamplatzierung verursacht.

Subdomains sind kein garantierter Reputationsschutz

Marketing über promo.company.com zu trennen, kann sinnvoll sein. Eine vollständige Abschirmung von company.com folgt daraus nicht. Google fasst Versandmengen auf Ebene der Hauptdomain zusammen; Reputationssignale können ebenfalls gemeinsame Domains und IPs betreffen.

Hohe Beschwerden bei promo.company.com können auch die Bewertung der Hauptdomain beeinflussen. Eine wichtige Vertragsnachricht kann dadurch beeinträchtigt werden, doch der Zusammenhang ist nicht automatisch bewiesen. Prüfen Sie gemeinsame Versandwege und weitere Empfängersignale.

Eigenständige Domains können Verantwortlichkeiten und Ströme deutlicher trennen, garantieren aber wegen gemeinsamer IPs oder anderer Zusammenhänge keine vollständige Isolation. Der hier genannte Vergleich von $6-$30 je Nutzer und Monat bei Google Workspace ist eine illustrative, möglicherweise überholte Angabe. Bei TrekMail können Pauschaltarife mehrere Domains umfassen. Ob fünf Domains ohne Mehrkosten passen, hängt von aktuellen Tarifgrenzen und Nutzung ab.

Verborgene Authentifizierungsfehler bei SPF, DKIM und DMARC

Wenn Grundtests erfolgreich sind, können dennoch einzelne Versandwege falsch authentifiziert sein. Ein grünes Testresultat ist nur eine Momentaufnahme des getesteten Pfads, keine vollständige Prüfung aller SaaS-Dienste und Empfänger. Authentifizierung ist eine wichtige mögliche Ursache, aber nicht pauschal die häufigste.

SPF: Das Budget von 10 Abfragetermen

SPF begrenzt relevante DNS-abfragende Mechanismen und Modifikatoren auf dem ausgewerteten Pfad auf 10. Bei include:sendgrid.net, include:_spf.google.com und include:mailgun.org müssen auch verschachtelte Terme geprüft werden; ihre bloße Anzahl beweist keine Überschreitung. Bei 11 relevanten Termen entsteht PermError, sodass SPF keinen Erfolg liefert. Gültiges ausgerichtetes DKIM kann weiterhin DMARC ermöglichen. Weiterleitung kann SPF wegen der anderen Verbindungs-IP scheitern lassen. Nach RFC 7208 ergibt das Überschreiten des Budgets einen permanenten Fehler. Anbieterwerte müssen aktuell geprüft werden.

Die konkrete Einrichtung erklärt der Leitfaden SPF-Einträge richtig konfigurieren.

DKIM: Schlüssellänge und Integrität der signierten Daten

Google nennt für DKIM mindestens 1024 Bit. Ein alter 512-Bit-Schlüssel kann diese Anforderung nicht erfüllen. Falsche Selektoren oder unvollständige Schlüsselwechsel können die Prüfung verhindern. Neue Selektoren sollten vor Nutzung veröffentlicht und alte öffentliche Schlüssel für noch unterwegs befindliche Nachrichten erhalten werden. Änderungen nach der Signierung, etwa ein angehängter Footer, können DKIM ungültig machen, sofern signierte Daten betroffen sind; nicht jede Änderung bricht jede Kanonisierung.

DMARC: Die Alignment-Falle

SPF und DKIM können einzeln erfolgreich sein, während DMARC wegen fehlendem Alignment scheitert. Für SPF muss die geprüfte Envelope-Domain zur From-Domain ausgerichtet sein. Bei DKIM gilt das für die Domain in d=. Relaxed kann passende organisatorische Domains berücksichtigen, strict verlangt genaue Übereinstimmung. Fehlendes DMARC-Alignment kann zur Spamplatzierung beitragen; mindestens eine gültige ausgerichtete Methode genügt für DMARC.

Beispiel: Mailchimp authentifiziert einen Versand, aber die Return-Path-Domain ist bounce.mailchimp.com und die From-Domain mycompany.com. SPF ist nicht ausgerichtet. Fehlt auch gültiges ausgerichtetes DKIM, scheitert DMARC. Ablehnung hängt von veröffentlichter Richtlinie und Empfängerentscheidung ab. Die DMARC.org-Übersicht erläutert das Prinzip.

Warum 0.3% Beschwerden wichtig sind

Spam-Beschwerden sind 2026 ein wichtiges Signal, aber kein universeller alleiniger Maßstab. Google empfiehlt unter 0.1% und das Vermeiden von 0.3%. Bei betroffenen Absendern können entsprechende Werte Maßnahmen zur Problembehebung beeinträchtigen. Daraus folgt keine automatische sofortige Spamplatzierung bei Google und Yahoo. Prüfen Sie tägliche Daten, Nenner und anwendbare Regeln.

Yahoo berechnet die Rate anhand der Posteingangszustellung, nicht einfach aller Sendungen. Ein Beispiel: 1,000 Nachrichten werden gesendet, 900 gelangen in Spam und 100 in den Posteingang. Ein Nutzer meldet Spam: 1.0% statt 0.1%. Das ist eine relevante Abweichung, aber kein Beweis für eine sofortige vollständige Blockierung.

Deshalb sollten Sie verfügbare Platzierungs- und Beschwerdesignale prüfen, bevor Sie das Volumen steigern. Domainreputation und Absenderreputation helfen bei der Risikobewertung, sind aber keine Zustellversicherung.

Ein-Klick-Abmeldung nach RFC 8058

Seit Juni 2024 gelten bei Google entsprechende Vorgaben für anwendbare Werbepost betroffener Massenversender. Eine Fußzeile mit einem anmeldungspflichtigen Einstellungszentrum erfüllt sie nicht allein. Unter anderem gehört dieser technische Header dazu:

List-Unsubscribe-Post: List-Unsubscribe=One-Click

Zusammen mit einem passenden List-Unsubscribe-Header, einer gültigen DKIM-Signatur über beide Header und einem funktionierenden HTTPS-POST-Endpunkt ermöglicht er unterstützenden Clients eine native Abmeldung. Die Anzeige eines Buttons ist nicht garantiert. Der POST muss die vorgesehene Abmeldung verarbeiten; ein bloßer GET sollte keine versehentliche Abmeldung durch Scanner auslösen. Fehlende Umsetzung kann Regeln verletzen und Beschwerden begünstigen.

Der Zusammenhang ist nachvollziehbar: Ohne einfachen Ausstieg melden Nutzer unerwünschte Mail möglicherweise als Spam. Eine Abmeldung respektiert den Wunsch des Empfängers; eine Beschwerde kann die Reputation beeinträchtigen. Googles Absenderrichtlinien nennen Ein-Klick-Abmeldung für betroffene Massenversender und entsprechende Nachrichten.

Unterschiedliche Anbieterregeln

Google, Microsoft und Yahoo sollten nicht als identische Filter behandelt werden. Jeder Anbieter bewertet unterschiedliche Signale; Erfolg bei Gmail garantiert nicht denselben Ausgang bei Outlook.

Inhaltsbezogene Warnsignale

Filter bewerten nicht nur vermeintliche Spamwörter wie in manchen Ratgebern von 2010. Struktur, Verweise und Kontext können ebenfalls relevant sein. Auch unauffälliger Text kann solche Signale enthalten.

Gemeinsame Versand-IPs und ihre Risiken

Für Agenturen ist die Versandarchitektur ein wichtiger, aber nicht der einzige Hebel. Gemeinsame IPs können Risiken anderer Kunden teilen. Missbrauch kann etwa eine Spamhaus-Meldung auslösen und legitime Post beeinträchtigen. Nicht jede gemeinsame oder günstige Infrastruktur hat schlechte Reputation; tatsächliche IP, Listenquelle und Empfängerantwort müssen geprüft werden.

Eine dedizierte IP kann mehr Kontrolle geben, braucht aber ausreichendes Volumen und Pflege. Der hier genannte SendGrid-Preis von $89+ pro Monat ist eine zu prüfende Quellenangabe, keine aktuelle Zusicherung. Bei 50 Kunden sollten tatsächliche Tarife und Betriebsaufwand verglichen werden.

TrekMail bietet je nach Tarif verwaltetes SMTP mit Missbrauchskontrollen und BYO SMTP. Letzteres kann Versand über ein eigenes Amazon-SES- oder Mailgun-Konto ermöglichen, während Postfächer bei TrekMail liegen. Ob die externe IP dediziert oder gemeinsam ist, hängt vom Anbieter ab. Das trennt Betriebsaufgaben, garantiert keine vollständige Isolation und ist kein ausschließlich TrekMail vorbehaltenes Modell.

Diagnose mit belastbaren Prüfungen

Raten Sie nicht. Um mögliche Ursachen der Spamplatzierung Ihrer Domain einzugrenzen, prüfen Sie die tatsächlichen Versandwege in dieser Reihenfolge:

1. Header prüfen. Senden Sie an Gmail und öffnen Sie das Original über das Menü. Prüfen Sie SPF: PASS, DKIM: PASS und DMARC: PASS anhand vertrauenswürdiger Empfängerergebnisse. FAIL oder SOFTFAIL verlangt Untersuchung; ein SPF-Fehler allein erfordert bei gültigem ausgerichtetem DKIM nicht automatisch einen Stopp aller Sendungen.

2. Seed-Tests. GlockApps kann Posteingang, Spam oder Werbungskategorie in ausgewählten Testpostfächern zeigen, nicht bei allen tatsächlichen Empfängern. Die Werbungskategorie ist eine legitime Posteingangskategorie, kein Spam; Mail-Tester prüft technische und inhaltliche Signale, ersetzt aber keine vollständige Platzierungsmessung. Kostenlose Optionen, Preise und Verfügbarkeit sind zu prüfen. Blocklistenabfragen erfassen nur bestimmte Quellen.

3. Bounce-Protokolle prüfen. 5xx bezeichnet permanente Fehler des Versuchs: 550 5.1.1 weist meist auf unbekannte Benutzer, 550 5.7.1 auf verschiedene Richtliniengründe hin. 4xx ist temporär; 421 kann Drosselung oder andere vorübergehende Probleme bedeuten. Lesen Sie jeweils den vollständigen Text.

Zustellung nicht als einmalige Einrichtung behandeln

2026 gibt es viele mögliche Ursachen, einschließlich DNS. Reputation, Nutzerverhalten, Inhalt und Versandarchitektur wirken zusammen. Wer die Ebenen versteht, kann Risiken reduzieren, aber keine dauerhafte Abwesenheit aus dem Spamordner garantieren.

Nutzerwünsche sind ein wichtiges Signal. Gestalten Sie den Ausstieg einfach und setzen Sie RFC 8058 bei anwendbarer Mail korrekt um. Das kann Beschwerden reduzieren, garantiert aber keine Reputation.

Ströme bewusst trennen. Planen Sie Marketing, Transaktionen und Geschäftspost mit passenden Domains und Versandwegen. Eigenständige Domains können helfen, schützen aber nicht automatisch gegen gemeinsame Reputationsrisiken.

Infrastruktur nachvollziehbar betreiben. Wählen Sie Architektur nicht allein nach Nutzerpreisen. Für eine Domain oder 100 Kunden kann TrekMail passende Pauschaltarife und technische Optionen bieten. Prüfen Sie aktuelle Grenzen und Gesamtkosten; Spamresistenz und Einsparungen sind nicht garantiert.

Weitere Grundlagen zum Schutz Ihrer Versandpraxis finden Sie im Leitfaden sichere E-Mail für Unternehmen.