Die wahre Ursache: nicht dein Text
Wenn E-Mails im Spam landen, suchen die meisten den Fehler im Inhalt: zu viele Links? Falsche Wörter? Das ist fast immer die falsche Fährte. Das eigentliche Problem ist, ob die Postfach-Anbieter deiner Domain überhaupt vertrauen.
Stell dir vor, jemand ruft bei dir an und behauptet, von deiner Bank zu sein — aber die Nummer ist unterdrückt und der Name unbekannt. Genau so behandeln Gmail, Outlook und Yahoo eine E-Mail, deren Absender-Domain sich nicht ausweisen kann. Fehlen die Authentifizierungs-Records SPF, DKIM und DMARC, gibt es für die Anbieter jeden Grund, deine Nachricht mit Misstrauen zu behandeln — egal, wie seriös der Inhalt ist.
Früher waren SPF, DKIM und DMARC „Best Practice“. Heute sind sie Pflicht. Google und Yahoo führten Anfang 2024 verbindliche Absender-Anforderungen ein, Microsoft (Outlook, Hotmail, Live) folgte im Mai 2025. Seit November 2025 lehnt Gmail nicht-authentifizierte Massen-Mails hart ab (permanente 5xx-Abweisung) — sie erreichen nicht einmal mehr den Spam-Ordner. Diese drei Anbieter decken rund 90 % aller E-Mail-Nutzer ab. Ohne Authentifizierung löst du also das falsche Problem, wenn du am Text feilst.
SPF, DKIM & DMARC einfach erklärt
Die drei arbeiten zusammen wie ein Vertrauensnachweis für deine Domain. Am einfachsten mit einer Analogie:
Der Clou: Erst alle drei zusammen ergeben verlässliche Zustellbarkeit. SPF sagt, wer senden darf. DKIM beweist, dass die Nachricht echt und unverändert ist. DMARC verbindet beide, prüft, ob der sichtbare Absender zur geprüften Domain passt (das sogenannte „Alignment“), und sagt dem Empfänger-Server, was zu tun ist, wenn etwas nicht stimmt.
SPF einrichten — mit Beispiel
SPF ist ein TXT-Eintrag im DNS deiner Domain. Er listet alle Server und Dienste auf, die legitim in deinem Namen senden — dein Hosting, dein Newsletter-Tool (z. B. Brevo, Mailchimp), Microsoft 365 oder Google Workspace. Ein Beispiel:
v=spf1 include:_spf.google.com include:spf.brevo.com ~all
Das bedeutet: Erlaubt sind Google Workspace und Brevo. Das ~all am Ende heißt „alles andere ist verdächtig“ (Softfail). Wichtig: Du darfst pro Domain nur EINEN SPF-Record haben. Nutzt du mehrere Dienste, werden sie mit weiteren include: in denselben Eintrag geschrieben — nicht in mehrere separate Records.
SPF scheitert am häufigsten, wenn Unternehmen über die Jahre immer neue Tools hinzufügen, ohne die alten Einträge aufzuräumen. Ein aufgeblähter oder doppelter SPF-Record (mehr als 10 DNS-Abfragen oder zwei separate SPF-Einträge) lässt die Authentifizierung komplett scheitern. Weniger ist hier mehr: Nur eintragen, was wirklich sendet.
DKIM einrichten — mit Beispiel
DKIM fügt jeder ausgehenden E-Mail eine digitale Signatur hinzu. Der Empfänger-Server prüft mit einem öffentlichen Schlüssel (der in deinem DNS liegt), ob die Nachricht wirklich von dir stammt und unterwegs nicht manipuliert wurde. Der DNS-Eintrag sieht vereinfacht so aus:
v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4G... (langer öffentlicher Schlüssel)
Den konkreten Eintrag bekommst du von deinem E-Mail-Dienst (Google Workspace, Microsoft 365, Brevo & Co.) — du musst ihn nur ins DNS kopieren. Der selector ist eine Art Namensschild, das dein Dienst vorgibt (z. B. google oder brevo1). Der große Vorteil von DKIM: Die Signatur überlebt auch Weiterleitungen, bei denen SPF oft bricht.
DMARC einrichten — mit Beispiel
DMARC ist der Dirigent. Es legt fest, was passieren soll, wenn SPF oder DKIM fehlschlagen, und schickt dir Berichte darüber, wer in deinem Namen E-Mails versendet — auch Betrüger. Der Eintrag liegt unter _dmarc.deinedomain.at:
v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.at
Die entscheidende Stellschraube ist die p=-Policy — und zwar in dieser Reihenfolge:
p=none— reines Monitoring. Nichts wird blockiert, du sammelst nur Berichte. Der ideale Start.p=quarantine— verdächtige Mails wandern in den Spam-Ordner.p=reject— verdächtige Mails werden komplett abgewiesen. Das Ziel für maximalen Schutz.
Starte mit p=none und werte die Berichte 2–4 Wochen aus — so siehst du, welche Dienste legitim in deinem Namen senden, ohne etwas zu blockieren. Dann steigere auf p=quarantine und schließlich p=reject. Dieser schrittweise Weg schützt dich vor Spoofing, ohne versehentlich eigene, legitime Mails abzuschießen. Anbieter wie Yahoo und Microsoft sind zunehmend skeptisch gegenüber Domains, die dauerhaft auf p=none bleiben.
Zu technisch? Ich zeig’s dir live.
SPF, DKIM und DMARC klingen kompliziert — sind aber in unter einer Stunde eingerichtet, wenn dir jemand Schritt für Schritt über die Schulter schauen lässt. Genau das mache ich in meinem kostenlosen Live-Workshop: gemeinsam die Records anlegen, testen, verstehen. Praktisch, an echten Beispielen, mit Zeit für deine Fragen.
Zum kostenlosen Live-Workshop anmelden →Der PASS-Test: prüfen, ob es klappt
Nach dem Einrichten willst du wissen, ob alles funktioniert. Der einfachste und überzeugendste Test dauert 30 Sekunden:
-
Test-Mail an ein privates Gmail-Konto sendenSchicke eine E-Mail von deiner Domain an eine beliebige @gmail.com-Adresse.
-
„Original anzeigen“ öffnenÖffne die Mail in Gmail, klicke oben rechts auf das Drei-Punkte-Menü und wähle „Original anzeigen“.
-
Auf drei Mal „PASS“ prüfenGmail zeigt dir die Ergebnisse für SPF, DKIM und DMARC. Steht überall PASS, ist alles korrekt eingerichtet. Ein „FAIL“ oder „SOFTFAIL“ zeigt genau, wo es noch hakt.
Zusätzlich helfen kostenlose Online-Tools wie MXToolbox oder mail-tester.com: Sie analysieren deine DNS-Records und zeigen konkrete Fehler auf. Wichtig: Nach jeder DNS-Änderung kann es einige Stunden dauern, bis sie wirksam wird — also nach Anpassungen erneut testen.
Die 5 häufigsten Fehler
-
Zwei SPF-Records: Pro Domain ist nur einer erlaubt. Ein zweiter lässt die SPF-Prüfung komplett scheitern.
-
Nur SPF, kein DKIM: 2026 verlangen die Anbieter beides. SPF allein reicht nicht mehr.
-
Gar kein DMARC: Ohne DMARC-Record fehlt das entscheidende Trust-Signal — und du bekommst keine Berichte über Missbrauch.
-
Fehlendes Alignment: Die sichtbare „Von:“-Domain muss zur SPF- oder DKIM-Domain passen. Sonst schlägt DMARC trotz gültigem SPF/DKIM fehl.
-
Neues Tool vergessen einzutragen: Ein neuer Newsletter-Dienst, der nicht im SPF steht, sendet „unautorisiert“ — und landet im Spam.
Authentifizierung ist nur der Anfang
Eine ehrliche Einordnung, damit du keine Wunder erwartest: SPF, DKIM und DMARC sind die notwendige Grundlage, aber keine Garantie. Analysen zeigen, dass selbst vollständig authentifizierte E-Mails in über 30 % der Fälle im Spam landen können, wenn andere Signale schlecht sind.
Der Grund: Authentifizierung beantwortet nur die Frage „Wer bist du?“. Was danach zählt, ist das Verhalten der Empfänger: Öffnen und lesen sie deine Mails, oder markieren sie sie als Spam? Entscheidend sind also zusätzlich:
- Saubere Empfängerlisten: keine gekauften Adressen, regelmäßig inaktive Kontakte entfernen.
- Ein-Klick-Abmeldung (RFC 8058): bei Newslettern seit 2024 Pflicht — der Abmeldelink muss direkt im E-Mail-Programm funktionieren.
- Spam-Rate unter 0,3 %: Wird sie überschritten, verlierst du bei Gmail die Zustell-Unterstützung, bis der Wert sieben Tage lang wieder darunter liegt.
- Relevanter Inhalt: Wer Mails sendet, die Menschen wollen, wird belohnt. Engagement ist das stärkste Signal.
Sobald DMARC auf p=reject steht, kannst du BIMI einrichten — damit erscheint dein Firmenlogo direkt neben dem Absendernamen im Postfach. Das steigert Vertrauen und Öffnungsraten spürbar. Ein schöner Nebeneffekt sauberer Authentifizierung — und ein sichtbares Qualitätssignal für deine Marke.
FAQ — Häufige Fragen
Die häufigste Ursache liegt nicht am Inhalt, sondern an fehlender oder falscher E-Mail-Authentifizierung. Wenn SPF, DKIM und DMARC fehlen oder falsch konfiguriert sind, behandeln Gmail, Outlook und Yahoo deine Nachrichten als verdächtig — unabhängig vom Text. Seit den verschärften Anforderungen 2024–2026 werden nicht authentifizierte Mails oft direkt aussortiert oder abgewiesen, bevor sie den Spam-Ordner erreichen. Weitere Faktoren: schlechte Domain-Reputation, hohe Spam-Beschwerderaten und fehlende Abmeldelinks.
Sie bilden zusammen den Vertrauensnachweis deiner Domain. SPF ist eine Liste im DNS, welche Server in deinem Namen senden dürfen — wie eine Gästeliste. DKIM versieht jede E-Mail mit einer digitalen Signatur, die beweist, dass sie unterwegs nicht verändert wurde — wie ein Siegel. DMARC legt fest, was passiert, wenn SPF oder DKIM fehlschlagen, und ob der sichtbare Absender zur geprüften Domain passt. Erst alle drei zusammen ergeben verlässliche Zustellbarkeit.
Die formell strengste Durchsetzung zielt auf Massenversender (über 5.000 E-Mails/Tag an private Postfächer). Aber Google, Yahoo und Microsoft empfehlen SPF, DKIM und DMARC ausdrücklich für ALLE Absender. Für kleine Unternehmen ist Authentifizierung faktisch Pflicht — nicht wegen einer Mengenschwelle, sondern weil ohne sie die Zustellbarkeit leidet und die Domain leicht von Betrügern missbraucht (gespooft) werden kann. Gerade KMU sind oft betroffen, weil ihnen die Trust-Signale fehlen.
Ein DMARC-Record ist ein DNS-TXT-Eintrag unter _dmarc.deinedomain.at. Ein einfacher Einstiegs-Record: v=DMARC1; p=none; rua=mailto:dmarc@deinedomain.at. Dabei bedeutet p=none reines Monitoring (nichts wird blockiert, du bekommst nur Berichte), p=quarantine verschiebt verdächtige Mails in den Spam und p=reject weist sie ab. Am besten mit p=none starten, Berichte einige Wochen auswerten und dann schrittweise auf p=quarantine und p=reject steigern.
Nein. SPF allein genügt 2026 nicht mehr. Die Anbieter verlangen SPF UND DKIM, plus einen DMARC-Record (mindestens p=none) und das Alignment des sichtbaren Absenders zur geprüften Domain. Fehlt eines, kann die Zustellung scheitern. Bei Newslettern ist zusätzlich ein Ein-Klick-Abmeldelink (RFC 8058) vorgeschrieben, und die Spam-Beschwerderate muss unter 0,3 % bleiben. Nur das Gesamtpaket sorgt für zuverlässige Zustellung.
Sende eine E-Mail an ein privates Gmail-Konto, öffne sie, klicke auf das Drei-Punkte-Menü und wähle „Original anzeigen“. Dort siehst du die Ergebnisse für SPF, DKIM und DMARC. Ein „PASS“ bei allen dreien bedeutet, dass alles korrekt funktioniert. Zusätzlich gibt es kostenlose Tools (MXToolbox, mail-tester.com), die deine Records analysieren und Fehler aufzeigen. Nach jeder DNS-Änderung erneut testen, da Änderungen einige Stunden brauchen können.
Nein — sie ist die notwendige Grundlage, aber keine Garantie. Selbst vollständig authentifizierte E-Mails können in über 30 % der Fälle im Spam landen, wenn andere Signale schlecht sind. Authentifizierung beantwortet „Wer bist du?“. Danach zählt das Engagement: Öffnen und lesen die Empfänger deine Mails, oder markieren sie sie als Spam? Gute Domain-Reputation, saubere Listen, relevante Inhalte und niedrige Beschwerderaten entscheiden über den Rest.
Fazit: Vertrauen ist einrichtbar
Wenn deine E-Mails im Spam landen, ist das kein Schicksal und meist kein Textproblem — es ist ein lösbares technisches Vertrauensproblem. Mit drei korrekt gesetzten DNS-Einträgen — SPF, DKIM und DMARC — legst du das Fundament, damit Gmail, Outlook und Yahoo deiner Domain vertrauen und deine Nachrichten dort ankommen, wo sie hingehören: im Posteingang.
Die Einrichtung ist keine Raketenwissenschaft, aber sie will sauber gemacht sein — ein falscher Record kann mehr schaden als nützen. Wer die häufigen Fehler kennt, den PASS-Test nutzt und DMARC schrittweise hochfährt, ist auf der sicheren Seite. Und wer sich das lieber einmal live zeigen lässt, spart sich das Ausprobieren.
Mach den Gmail-Test: Sende dir selbst eine E-Mail von deiner Firmen-Domain an ein Gmail-Konto, öffne „Original anzeigen“ und schau, was bei SPF, DKIM und DMARC steht. Drei Mal „PASS“? Perfekt. Ein „FAIL“? Dann weißt du jetzt, wo du ansetzen musst — und dass es nicht an deinem Text liegt.
Hinweis: Die gezeigten DNS-Einträge sind vereinfachte Beispiele zur Veranschaulichung (Stand August 2026). Die konkreten Werte — insbesondere SPF-Includes und DKIM-Schlüssel — hängen von deinem E-Mail-Dienst ab und müssen individuell übernommen werden. Fehlerhafte DNS-Änderungen können die E-Mail-Zustellung beeinträchtigen; im Zweifel vor Änderungen ein Backup der bestehenden Records anlegen.