Warum Ihre Geschäfts-E-Mails im Spam landen (und wie SPF, DKIM und DMARC das beheben)

Sie senden eine Rechnungserinnerung, ein Angebot oder Ihren monatlichen Newsletter – und Ihr Kunde sieht sie nie. Kein Bounce, kein Fehler, nur Stille. Sie landete im Spam.

Wenn Ihnen das bekannt vorkommt, sind Sie nicht allein. Gmail, Yahoo und Outlook lehnen E-Mails von Domains, die keine drei DNS-Einträge eingerichtet haben, ab oder sortieren sie in den Spam-Ordner: SPF, DKIM und DMARC. Seit Februar 2024 müssen Massenabsender (etwa 5.000 oder mehr Nachrichten pro Tag an Gmail-Konten) alle drei authentifizieren, eine Ein-Klick-Abmeldung anbieten und Spam-Beschwerden unter 0,3 % halten. Die Durchsetzung wurde bis 2025 verschärft, und 2026 spüren auch Absender mit geringem Volumen die Auswirkungen: Ohne Authentifizierung werden Ihre Angebote, Rechnungen und Terminbestätigungen mit deutlich höherer Wahrscheinlichkeit markiert.

Die gute Nachricht: Die Behebung dauert etwa eine Stunde, kostet nichts und verbessert die Zustellbarkeit dauerhaft. Hier erfahren Sie, was jeder Eintrag bewirkt, wie Sie sie einrichten und welche Fehler kleine Unternehmen im Spam-Ordner halten.

Was SPF, DKIM und DMARC tatsächlich tun​

Betrachten Sie diese drei Einträge als Identitätsprüfungen für Ihre E-Mail. Jeder beantwortet eine andere Frage, die ein empfangender Server stellt, bevor er Ihre Nachricht zustellt.

SPF: Welche Server dürfen für Ihre Domain senden?​

SPF (Sender Policy Framework) ist ein TXT-Eintrag im DNS Ihrer Domain, der jeden Server auflistet, der berechtigt ist, E-Mails als Sie zu senden. Wenn Gmail eine Nachricht erhält, die angeblich von [email protected] stammt, sucht es Ihren SPF-Eintrag und prüft, ob die IP-Adresse des sendenden Servers auf der Liste steht.

Beispiel-SPF-Eintrag für ein Unternehmen mit Google Workspace und einem Rechnungstool:

v=spf1 include:_spf.google.com include:servers.mcsv.net ~all

• v=spf1 kennzeichnet den Eintrag als SPF.
• Jedes include: autorisiert die Server eines Anbieters.
• ~all (Soft Fail) weist Empfänger an, nicht gelistete Server mit Misstrauen zu behandeln; -all (Hard Fail) weist sie an, sie direkt abzulehnen.

SPF allein reicht nicht, da es nur den Envelope-Absender (den versteckten Return-Path) validiert, nicht die Adresse, die Ihr Kunde im Feld „Von“ sieht. Weiterleitung bricht SPF ebenfalls. Deshalb benötigen Sie auch DKIM.

DKIM: Eine manipulationssichere Signatur auf jeder Nachricht​

DKIM (DomainKeys Identified Mail) fügt den Headern jeder ausgehenden Nachricht eine kryptografische Signatur hinzu. Ihr sendender Anbieter hält einen privaten Schlüssel; Sie veröffentlichen den zugehörigen öffentlichen Schlüssel als DNS-TXT-Eintrag. Der empfangende Server verifiziert die Signatur, um zu bestätigen, dass die Nachricht wirklich von Ihrer Domain stammt und unterwegs nicht verändert wurde.

Im Gegensatz zu SPF übersteht DKIM die Weiterleitung, was es zum dauerhafteren der beiden Signale macht. Google verlangt von Massenabsendern, dass sowohl SPF als auch DKIM bestehen, wobei mindestens eines mit der Absenderdomain übereinstimmen muss.

Die Einrichtung von DKIM umfasst normalerweise:

1. Aktivieren der DKIM-Signierung bei Ihrem Anbieter (Google Workspace, Microsoft 365, Mailchimp und ähnliche Tools haben alle einen Ein-Klick-Aktivierungsschritt).
2. Kopieren des TXT-Eintrags, den sie Ihnen geben (ein Selektor plus ein langer öffentlicher Schlüssel), in Ihr DNS.
3. Warten auf die Propagierung und anschließendes Verifizieren im Anbieter-Dashboard.

DMARC: Ihre Richtlinie für den Fall, dass Prüfungen fehlschlagen​

DMARC (Domain-based Message Authentication, Reporting, and Conformance) verbindet SPF und DKIM. Es ist ein TXT-Eintrag auf _dmarc.ihrefirma.de, der empfangenden Servern sagt, was sie tun sollen, wenn eine Nachricht, die angeblich von Ihnen stammt, die Authentifizierung nicht besteht – und wohin Berichte darüber gesendet werden sollen.

Ein Einstiegs-DMARC-Eintrag im Überwachungsmodus:

v=DMARC1; p=none; rua=mailto:[email protected]; pct=100;

• p=none bedeutet, noch keine Maßnahme zu ergreifen, nur Berichte zu senden. Beginnen Sie hier.
• rua= gibt an, wohin aggregierte Berichte gehen. Nutzen Sie ein Postfach, das Sie tatsächlich prüfen.
• Sobald legitime E-Mails konsistent durchgehen, wechseln Sie zu p=quarantine (Fehlschläge in den Spam senden), dann zu p=reject (sie blockieren). Diese Abstufung verhindert, dass Spoofer Ihre Domain imitieren.

DMARC erfordert auch Ausrichtung: Die Domain im „Von“-Header muss der Domain entsprechen, die SPF oder DKIM bestanden hat. Diesen Schritt übersehen viele Unternehmen – SPF und DKIM können beide „bestanden“ zeigen, während DMARC dennoch fehlschlägt, weil die Domains nicht übereinstimmen.

Die Gmail- und Yahoo-Regeln, die Sie einhalten müssen​

Auch wenn Sie niemals 5.000 Nachrichten pro Tag senden, behandeln Sie diese als Ihre Grundlage. Gmail zählt alle E-Mails von derselben primären Domain (einschließlich Subdomains) zur Massenschwelle, der Status „Massenabsender“ verfällt nie, sobald er zugewiesen wurde, und jeder Absender – ob Masse oder nicht – muss sich authentifizieren.

Hier ist die praktische Checkliste für 2026:

• Mindestens mit SPF oder DKIM authentifizieren; beides, wenn Sie Massen senden. Massenabsender benötigen SPF und DKIM plus einen veröffentlichten DMARC-Eintrag (mindestens p=none) mit Ausrichtung auf die Absenderdomain.
• Spam-Beschwerden unter 0,3 % halten. Die Google Postmaster-Tools zeigen Ihre Rate; dauerhaft über 0,3 % führt zu Filterung. Zielen Sie darauf, deutlich unter 0,1 % zu bleiben.
• Abmeldung bei Marketing-E-Mails einfach machen. Fügen Sie einen sichtbaren List-Unsubscribe-Header mit Ein-Klick-Abmeldung hinzu und erfüllen Sie Anfragen innerhalb von zwei Tagen.
• Gültiges Forward- und Reverse-DNS sowie eine konsistente Absenderdomain verwenden. Senden Sie keine Geschäfts-E-Mails von kostenlosen Postfach-Adressen oder ständig wechselnden „Von“-Namen.
• Gmail-Header nicht imitieren und keine Listen kaufen. Unaufgeforderte E-Mails erzeugen die Beschwerden, die Ihren Ruf am schnellsten ruinieren.

Yahoo und Outlook setzen im Wesentlichen denselben Satz durch, sodass eine korrekte Einrichtung alle drei abdeckt.

Alles in etwa einer Stunde einrichten​

Sie müssen dafür kein Technikexperte sein – Sie benötigen nur Zugriff auf Ihren DNS-Host (wo Sie Ihre Domain gekauft haben oder wohin Ihre Nameserver zeigen) und Admin-Zugriff auf Ihren E-Mail-Anbieter.

Schritt 1: Inventarisieren, wer als Sie E-Mails sendet​

Listen Sie jeden Dienst auf, der E-Mails mit Ihrer Domain sendet: Ihren E-Mail-Anbieter, Ihr Website-Kontaktformular, Ihr Rechnungs- oder Buchungssystem, Ihr Newsletter-Tool, Ihr CRM. Jeder muss in SPF enthalten oder durch eine eigene DKIM-Signatur abgedeckt sein. Wenn Sie einen verpassen, schlagen dessen E-Mails fehl.

Schritt 2: SPF veröffentlichen, ohne das 10-Lookup-Limit zu überschreiten​

SPF hat ein hartes Limit von 10 DNS-Lookups. Jedes include: kann mehrere auslösen, und das Stapeln von Anbietern (E-Mail + Marketing + Helpdesk + Rechnungsstellung) kann Sie stillschweigend darüber hinaus treiben – ab dann gibt SPF einen Fehler zurück und Empfänger behandeln es als Fehlschlag.

• Beginnen Sie mit dem empfohlenen Eintrag Ihres Anbieters; fügen Sie keine zufälligen Schnipsel aus Blogbeiträgen zusammen.
• Halten Sie alle sendenden Quellen in einem einzigen SPF-TXT-Eintrag auf der Root-Domain. Mehrere SPF-Einträge machen alle ungültig.
• Wenn Sie nahe am Limit sind, fragen Sie Anbieter nach abgeflachten Includes oder entfernen Sie Dienste, die Sie nicht mehr nutzen.
• Validieren Sie mit einem kostenlosen SPF-Checker, bevor Sie fortfahren.

Häufiger SPF-Aufbau:

Schritt 3: DKIM überall aktivieren, wo Sie senden​

Aktivieren Sie die DKIM-Signierung in jeder Sendeplattform und veröffentlichen Sie jeden Selektor-Eintrag, den sie Ihnen gibt. Eine Domain hat oft mehrere DKIM-Selektoren (einen pro Anbieter) – das ist normal. Verifizieren Sie, dass jeder in der Anbieterkonsole als aktiv angezeigt wird, und senden Sie eine Testnachricht an eine Gmail-Adresse, um zu bestätigen, dass der Authentication-Results-Header dkim=pass zeigt.

Rollen Sie Schlüssel, wenn Ihr Anbieter dazu auffordert; kaputte Rotationen zeigen sich als allmählicher Zustellbarkeitsverfall. Bestätigen Sie daher, dass der neue Schlüssel validiert, bevor Sie den alten entfernen.

Schritt 4: DMARC im Überwachungsmodus veröffentlichen, dann durchsetzen​

1. Veröffentlichen Sie _dmarc mit p=none und einer rua=-Adresse.
2. Beobachten Sie zwei bis vier Wochen lang aggregierte Berichte. Kostenlose DMARC-Berichtsleser wandeln das XML in lesbare Tabellen um, die zeigen, welche Server bestehen und welche fehlschlagen.
3. Beheben Sie jede legitime Quelle, die fehlschlägt (normalerweise eine fehlende DKIM-Signatur oder eine Ausrichtungsabweichung).
4. Wechseln Sie zu p=quarantine, beobachten Sie einen weiteren Zyklus, dann wechseln Sie zu p=reject.

Direkt am ersten Tag zu p=reject zu springen, ist der häufigste selbstverschuldete Ausfall in diesem gesamten Prozess – legitime Rechnungen und Belege werden blockiert, weil ein übersehener Absender nie authentifiziert wurde.

7 Fehler, die kleine Unternehmen im Spam halten​

1. Überhaupt kein SPF, DKIM oder DMARC. Immer noch der häufigste Befund bei kleinen Unternehmensdomains. Prüfen Sie Ihre mit einem kostenlosen Authentifizierungstester, bevor Sie annehmen, Ihr Anbieter habe es „erledigt“.
2. Zwei SPF-Einträge. DNS erlaubt nur einen. Führen Sie alles in einem einzigen TXT-Eintrag zusammen, der mit v=spf1 beginnt.
3. SPF über dem Lookup-Limit. Zu viele Includes führen zu SPF-Fehlern. Auditieren Sie jährlich und entfernen Sie tote Anbieter.
4. DKIM in der App aktiviert, aber nie im DNS veröffentlicht. Der Signierungs-Schalter ohne den TXT-Eintrag bewirkt nichts.
5. DMARC scheitert an der Ausrichtung. SPF oder DKIM besteht, aber unter einer anderen Domain als Ihrer „Von“-Adresse – häufig, wenn Newsletter von der Domain eines Anbieters statt von Ihrer gesendet werden. Konfigurieren Sie eine benutzerdefinierte Sendedomain, damit die Ausrichtung besteht.
6. Niemand liest DMARC-Berichte. Das rua=-Postfach füllt sich, Warnungen über ein fehlschlagendes neues Tool bleiben unbemerkt, und das Problem fällt erst auf, wenn Kunden sich beschweren.
7. Listenhygiene und Inhalt untergraben gute Authentifizierung. Gekaufte Listen, kein Abmeldelink, irreführende Betreffzeilen und reine Bild-E-Mails erzeugen die Beschwerden, die den Ruf ruinieren – selbst mit perfektem DNS.

Woran Sie erkennen, dass es funktioniert hat​

• Senden Sie Test-E-Mails an Gmail-, Yahoo- und Outlook-Adressen (einschließlich eines frischen Kontos, das nie mit Ihnen interagiert hat) und bestätigen Sie die Platzierung im Posteingang, nicht im Spam.
• Prüfen Sie Header. Öffnen Sie in Gmail die Nachricht, wählen Sie „Original anzeigen“ und bestätigen Sie spf=pass, dkim=pass und dmarc=pass mit ausgerichteter Domain.
• Registrieren Sie sich bei den Google Postmaster-Tools. Fügen Sie Ihre Domain hinzu, verifizieren Sie den Besitz und beobachten Sie in den folgenden Wochen Spam-Rate, Authentifizierungserfolgsquoten und Ruf.
• Verfolgen Sie echte Metriken. Vergleichen Sie Öffnungsraten, Antwortraten und – am wichtigsten – Kundenbeschwerden wie „Ich habe Ihre Rechnung nie bekommen“ vor und nach der Änderung.

Was das mit Ihren Büchern zu tun hat​

E-Mail-Zustellbarkeit ist ein Cashflow-Problem, das als IT-Aufgabe getarnt ist. Wenn Rechnungen im Spam landen, zahlen Kunden verspätet, ohne dass es ihre Schuld wäre, Ihre Forderungslaufzeit (Days Sales Outstanding) steigt, und Sie verschwenden Stunden damit, Zahlungen hinterherzujagen, die nie gesehen wurden. Dasselbe gilt für Angebote, die nie beantwortet werden, und Zahlungserinnerungssequenzen, die ins Leere laufen.

Behandeln Sie authentifizierte Sendedomains wie den Bankabgleich: eine langweilige Kontrolle, die Geld in Bewegung hält. Protokollieren Sie, welcher Anbieter was sendet (Rechnungen, Belege, Marketing), damit jeder Strom authentifiziert bleibt, und verfolgen Sie verspätete Zahlungen gegen das Datum, an dem der Kunde die Rechnung tatsächlich gesehen hat – nicht nur das Datum, an dem Ihr System sie gesendet hat. Saubere Zustellungsaufzeichnungen machen sowohl Ihre Nachverfolgung als auch Ihre Bücher ehrlicher.

Weitere Informationen zur straffen Forderungsverwaltung finden Sie in den /docs/-Leitfäden zu Rechnungsworkflows und in den /fava/-Dashboard-Ansichten, die überfällige Salden auf einen Blick zeigen.

Vereinfachen Sie Ihre Finanzverwaltung​

Sobald Ihre Rechnungen zuverlässig im Posteingang ankommen, stellen Sie sicher, dass der nächste Schritt genauso sauber ist: klare Aufzeichnungen darüber, was in Rechnung gestellt, bezahlt und ausstehend ist. Beancount.io bietet Textdatei-Buchhaltung, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt – keine Blackboxen, keine Anbieterbindung. Starten Sie kostenlos und halten Sie jeden Euro von der Rechnung bis zum Hauptbuch nachvollziehbar.