Deine Mails landen im Spam? SPF, DKIM und DMARC – einfach erklärt

Ein Kunde sagt: „Deine Angebotsmail ist nie angekommen.“ Und du weißt genau, dass du sie geschickt hast. Kommt dir das bekannt vor?

Dann liegt es oft nicht an dir, sondern an fehlenden Einträgen in deiner Domain. E-Mail ist alt und wurde gebaut, als sich im Internet noch alle vertraut haben. Theoretisch kann jeder jeden Absender eintragen. Damit Postfächer echte Mails von gefälschten unterscheiden können, gibt es drei Prüfverfahren: SPF, DKIM und DMARC.

Die drei Prüfungen in je einem Satz

Alle drei sind Einträge im DNS deiner Domain, also im Adressbuch des Internets. Man sieht sie nicht, aber jeder große Mailanbieter liest sie bei jeder eingehenden Mail.

Warum das gerade wichtig ist

Die großen Postfachanbieter haben die Regeln verschärft. Google verlangt seit Februar 2024 von allen Absendern an Gmail mindestens SPF oder DKIM, dazu eine verschlüsselte Verbindung und gültige DNS-Einträge. Wer mehr als 5.000 Mails am Tag schickt, braucht SPF, DKIM und DMARC sowie bei Werbemails eine Abmeldung mit einem Klick. Microsoft hat für Outlook.com, Hotmail und Live nachgezogen: Seit dem 5. Mai 2025 werden Mails großer Absender ohne bestandene Prüfung abgelehnt – mit Fehlermeldung, nicht nur in den Spam sortiert.

Du schickst keine 5.000 Mails am Tag? Dann gelten die strengsten Regeln nicht für dich. Die Prüfungen fließen aber in die Bewertung jeder Mail ein. Ohne SPF und DKIM landet auch die einzelne Angebotsmail schneller im Spam. In Deutschland empfiehlt das BSI alle drei Verfahren in seiner Technischen Richtlinie zur E-Mail-Authentifizierung (TR-03182).

So prüfst du deinen Stand

Schick eine Mail an ein Gmail- oder Outlook-Postfach und öffne dort die Detailansicht der Nachricht, meist „Original anzeigen“ oder „Nachrichtendetails“. Dort steht bei SPF, DKIM und DMARC jeweils „PASS“ oder „FAIL“. Steht überall PASS, ist die Grundlage gelegt. Steht irgendwo FAIL oder fehlt etwas, lohnt ein Blick in die DNS-Einstellungen.

Typische Stolpersteine:

• Du verschickst nicht nur über dein Postfach, sondern auch über Newsletter-Werkzeug, Shop, Rechnungsprogramm oder Ticketsystem. Jeder dieser Dienste muss im SPF stehen oder eigene DKIM-Schlüssel bekommen.
• Es gibt zwei SPF-Einträge statt einem. Das mögen Mailserver gar nicht.
• DMARC fehlt ganz. Fang mit „p=none“ an: Damit beobachtest du erst, bevor du strenger wirst.
• Der DKIM-Schlüssel ist zu kurz. Google verlangt mindestens 1.024 Bit und empfiehlt 2.048 Bit.

Schritt für Schritt strenger werden

DMARC kennt drei Stufen: „none“ (nur beobachten), „quarantine“ (verdächtige Mails in den Spam) und „reject“ (ablehnen). Wer gleich auf „reject“ springt, sperrt manchmal das eigene Rechnungsprogramm aus. Klüger ist: mit „none“ starten, die Berichte ein paar Wochen lesen, alle echten Absender eintragen und dann schrittweise verschärfen. Am Ende schützt du damit auch deine Kunden, denn Betrüger können deine Domain dann kaum noch für gefälschte Rechnungen nutzen.

Und wenn trotzdem etwas im Spam landet?

Saubere Einträge sind die Eintrittskarte, aber nicht die ganze Party. Postfächer bewerten auch den Inhalt und den Ruf deiner Domain. Ein paar Dinge, die oft helfen:

• Verschicke Rundmails nicht aus deinem normalen Postfach an hunderte Empfänger, sondern über einen Newsletter-Dienst mit Abmeldelink – und nur an Menschen, die zugestimmt haben.
• Vermeide Betreffzeilen in Großbuchstaben, viele Ausrufezeichen und Mails, die nur aus einem Bild bestehen.
• Schick große Anhänge lieber als Link zu einem sicheren Download.
• Achte auf die Spamrate: Google nennt als Grenze 0,3 Prozent Beschwerden, besser deutlich darunter.

Wenn eine wichtige Mail trotzdem verschwindet, hilft die Fehlermeldung, die oft zurückkommt. Sie wirkt kryptisch, enthält aber meist den Grund in einer Zeile. Leite sie einfach weiter – für uns ist das wie ein Röntgenbild.

DNS klingt nach Keller ohne Licht? Das E-Mail-Monster richtet SPF, DKIM und DMARC für dich ein, prüft alle Versanddienste und erklärt dir das Ergebnis in zwei Sätzen. Rund um deine Domains hilft das Domain-Monster.