SPF, DKIM, DMARC: warum E-Mails im Spam landen

Jede Firma kennt das: Angebote, Rechnungen und Antworten landen beim Empfänger im Spam-Ordner. Die üblichen Ratschläge — weniger Links, keine Großbuchstaben, das Wort „kostenlos“ vermeiden — greifen zu kurz. Sie beschreiben Signale, die es gibt, aber nicht die Prüfung, an der es zuerst scheitert. Die steht nicht in deiner Mail, sondern in deiner Domain.

Das Wichtigste in Kürze

• Drei Einträge im Domain-Namenssystem entscheiden mit über die Zustellung: SPF, DKIM und DMARC. Google verlangt von jedem Absender mindestens SPF oder DKIM, alle drei erst von Massenversendern.
• Massenversender ist bei Google, wer innerhalb von 24 Stunden etwa 5.000 Nachrichten oder mehr an private Gmail-Konten schickt. Diese Einstufung gilt anschließend dauerhaft.
• Die Spamrate muss nach Googles Richtlinie unter 0,3 Prozent bleiben. Als Zielwert nennt Google 0,1 Prozent.
• Wer die Schwellen reißt, wird abgewiesen statt aussortiert: Outlook.com mit der Meldung 550 5.7.515, Gmail seit November 2025 mit verschärfter Durchsetzung.
• Die Einträge selbst kosten nichts. Sie stehen in der DNS-Verwaltung deiner Domain — nach meiner Erfahrung ist die Einrichtung an einem Tag machbar, die Auswertung braucht Wochen.

Worüber der Spam-Filter wirklich entscheidet

Ein Spam-Filter beantwortet vor allem eine Frage: Stammt diese Nachricht nachweislich aus der Domain, die im Absender steht? Das Mailprotokoll SMTP erlaubt es bis heute jedem Server, beliebige Absender zu behaupten — wer „rechnung@deine-firma.de“ in eine Mail schreibt, muss mit dieser Firma nichts zu tun haben. Deshalb wurden Verfahren nachgerüstet, die diese Behauptung überprüfbar machen.

E-Mail-Authentifizierung ist die Sammelbezeichnung für Einträge in deiner Domain, mit denen der Empfänger prüfen kann, ob eine Nachricht in deinem Namen verschickt werden durfte. Fehlen sie, bleibt ihm nur eine Bewertung nach Ruf und Inhalt.

Dieser Ruf ist der zweite Faktor, und Google nennt dafür eine harte Zahl: Die in den Postmaster Tools ausgewiesene Spamrate muss unter 0,3 Prozent bleiben. Als Zielwert empfiehlt Google 0,1 Prozent. Diese Rate wird täglich berechnet und beruht auf dem, was Empfänger selbst als Spam markieren — nicht auf Rückläufern.

SPF, DKIM und DMARC in verständlich

Die drei Verfahren beantworten drei verschiedene Fragen. Sie ersetzen sich nicht gegenseitig, sie bauen aufeinander auf:

• SPF beantwortet: Welcher Server darf für diese Domain einliefern? Der Eintrag ist eine Gästeliste in deiner Domain. Geprüft wird die technische Rücksendeadresse im Umschlag der Nachricht, nicht der Absender, den der Empfänger sieht — ein Unterschied, der gleich noch wichtig wird. Und der Eintrag hat eine harte Grenze: Nach RFC 7208 darf er höchstens zehn Einträge enthalten, die ihrerseits eine DNS-Abfrage auslösen — jedes include eines Dienstleisters zählt dazu. Wer vier, fünf Dienstleister einträgt, reißt diese Grenze schneller, als er denkt.
• DKIM beantwortet: Wurde diese Nachricht von deiner Domain signiert — und ist sie seitdem unverändert? Dein Mailserver unterschreibt jede ausgehende Nachricht digital, der Gegenschlüssel liegt öffentlich in deiner Domain. Die Unterschrift belegt beides: Herkunft und Unversehrtheit. Bricht sie, muss das keine Manipulation sein — Weiterleitungen und Verteilerlisten verändern Nachrichten regelmäßig und zerstören die Signatur dabei.
• DMARC beantwortet: Was soll passieren, wenn die Prüfung scheitert? Der Eintrag verbindet SPF und DKIM mit einer Anweisung an den Empfänger — nichts tun, Spam-Ordner oder ablehnen — und schickt dir Berichte, wer in deinem Namen Mails verschickt.

Der Punkt, an dem es in der Praxis scheitert, heißt Ausrichtung: Die Domain im sichtbaren Absenderfeld muss zu der Domain passen, die SPF oder DKIM bestätigt haben. Wer über ein Newsletter-Werkzeug verschickt, das im Hintergrund seine eigene Domain nutzt, besteht die Einzelprüfungen und fällt trotzdem bei DMARC durch.

Das ist der Grund, warum das Problem so hartnäckig ist: Die einzelnen Bausteine sehen grün aus, und die Ausrichtung scheitert trotzdem. Solange deine Domain auf „nichts tun“ steht, merkst du davon nur in den Berichten etwas. Sobald du auf Spam-Ordner oder Ablehnung stellst — oder ein Empfänger von sich aus strenger filtert — wird daraus ein Zustellproblem.

Was Google und Microsoft inzwischen voraussetzen

Google unterscheidet in seinen Absenderrichtlinien zwei Stufen, und der Unterschied wird oft unterschlagen:

• Für jeden Absender: mindestens SPF oder DKIM, gültige Vorwärts- und Rückwärtseinträge im Namenssystem, verschlüsselte Übertragung und eine Spamrate unter 0,3 Prozent. DMARC ist hier nicht verlangt.
• Für Massenversender: zusätzlich SPF und DKIM, ein DMARC-Eintrag, die passende Ausrichtung der Absenderdomain und bei Werbe- oder Abo-Mails eine Abmeldung mit einem einzigen Klick.

Massenversender ist nach Googles Definition, wer innerhalb von 24 Stunden etwa 5.000 Nachrichten oder mehr an private Gmail-Konten schickt. Zwei Details werden dabei regelmäßig übersehen: Nachrichten aus allen Subdomains zählen auf dieselbe Hauptdomain ein, und die Einstufung ist dauerhaft — wer die Schwelle einmal erreicht hat, behält den Status, egal wie viel er danach versendet.

Bei den Einträgen verlangt Microsoft dasselbe, in derselben Größenordnung: ab 5.000 Nachrichten an seine Privatkundendienste — Outlook.com, Hotmail, Live.com, MSN. SPF, DKIM, DMARC, und die Prüfung muss bestanden werden. Die Hilfeseite beschreibt die Folge unmissverständlich: 550 5.7.515 Access denied, sending domain <domain> does not meet the required authentication level. Der Empfänger sieht diese Nachrichten gar nicht erst, der Absender bekommt eine Unzustellbarkeitsmeldung.

Google geht denselben Weg. In den eigenen Antworten zu den Absenderrichtlinien steht: Seit November 2025 verschärft Gmail die Durchsetzung gegenüber nicht konformem Verkehr, bis hin zu vorübergehenden und dauerhaften Abweisungen. Für Massenversender ist die Zeit vorbei, in der eine fehlende Authentifizierung nur den Spam-Ordner bedeutete.

Unterhalb der Schwellen greifen die Massenversender-Zusätze nicht. Die Anforderungen an jeden Absender schon — und wer sie nicht erfüllt, überlässt die Entscheidung dem Filter, ohne dass ein einziges Argument für ihn spricht.

In sechs Schritten zur sauberen Zustellung

Alle drei Einträge liegen in der DNS-Verwaltung deiner Domain, meist bei dem Anbieter, bei dem sie registriert ist. Du brauchst kein Werkzeug und keinen Vertrag, nur Zugriff:

1. Ist-Zustand prüfen. Schick eine Mail an eine Gmail-Adresse, öffne sie im Browser und lass dir den Originaltext anzeigen. Dort stehen die Ergebnisse für SPF, DKIM und DMARC. Steht bei einem davon etwas anderes als pass, hast du deinen Ansatzpunkt. Ob überhaupt ein DMARC-Eintrag existiert, prüfst du direkter: _dmarc.deine-domain.de als TXT-Eintrag abfragen.
2. Alle Versender auflisten. Schreib auf, was in deinem Namen Mails verschickt: Mailprogramm, Website-Formular, Shop, Newsletter-Werkzeug, Buchhaltung, CRM. Jedes vergessene System fällt später durch.
3. SPF setzen — genau einen Eintrag. Alle Versender kommen in einen einzigen. Zwei Einträge nebeneinander erzeugen einen dauerhaften Fehler: Im Kopf der Nachricht steht dann permerror statt pass, so schlecht wie gar kein Eintrag.
4. DKIM je System aktivieren. Jedes Versandsystem liefert dir einen eigenen Schlüssel, den du als Eintrag hinterlegst. Das ist der mühsamste Schritt und der mit dem größten Effekt.
5. DMARC vorsichtig starten. Beginne mit der Einstellung „nichts tun“ und einer Adresse für die Berichte. Nach meiner Erfahrung zeigt sich innerhalb weniger Wochen, welches System noch durchfällt — und erst dann wird verschärft.
6. Nachschärfen. Wenn alle eigenen Systeme sauber durchlaufen, stellst du auf Spam-Ordner und später auf Ablehnung. Wer bei „nichts tun“ stehen bleibt, hat die Berichte, aber keinen Schutz.

Der Fehler, den ich am häufigsten sehe, steckt in Schritt fünf: DMARC sofort auf Ablehnung, weil das am sichersten klingt. Dann verschwinden die eigenen Rechnungen, weil das Buchhaltungssystem nie in den SPF-Eintrag aufgenommen wurde. Erst messen, dann verschärfen.

Die Belohnung: dein Logo im Posteingang

Wer die drei Einträge sauber hat und die Verschärfung aus Schritt sechs durchzieht, kann weitergehen. BIMI, die Anzeige des eigenen Markenzeichens neben dem Absendernamen, kann dafür sorgen, dass im Posteingang dein Logo steht statt des grauen Kreises mit dem Anfangsbuchstaben.

Die Voraussetzungen nennt der Leitfaden der BIMI Group eindeutig. Die Domain braucht einen DMARC-Eintrag auf Spam-Ordner oder Ablehnung, für 100 Prozent der Nachrichten. „Nichts tun“ genügt nicht — auch nicht als gesonderte Regel für Subdomains. Das Logo muss als SVG Tiny PS vorliegen, einem abgespeckten Vektorformat.

Ein Zertifikat ist im Standard optional — für Gmail führt daran kein Weg vorbei. Wer BIMI dort nutzen will, muss sein Logo mit einem Verified Mark Certificate beglaubigen lassen, das eine eingetragene Marke voraussetzt und ein Häkchen einblendet, oder seit 2024 ersatzweise mit einem Common Mark Certificate ohne Markenregistrierung. Beide stellen kommerzielle Zertifizierungsstellen aus — anders als die DNS-Einträge davor ist BIMI damit keine Null-Euro-Maßnahme. Und eine Garantie ist es auch dann nicht: Der Leitfaden hält fest, dass jeder Anbieter eigene Kriterien dafür festlegt, wann er ein Logo anzeigt.

Häufige Fragen

Ich verschicke nur zwanzig Mails am Tag. Betrifft mich das trotzdem?
Die Massenversender-Regeln nicht. Die Anforderungen an jeden Absender schon: mindestens SPF oder DKIM, saubere Namenseinträge, verschlüsselte Übertragung. Bei kleinen Mengen hilft das besonders, weil dir der über Jahre gewachsene Ruf großer Absender fehlt.

Hilft ein S/MIME-Zertifikat gegen den Spam-Ordner?
Dafür ist es nicht gebaut. Es signiert den Inhalt für den Menschen am anderen Ende und zeigt dort ein Siegel. Die Anforderungen von Google und Microsoft nennen es an keiner Stelle — dort geht es um SPF, DKIM und DMARC.

Wie lange dauert es, bis die Änderungen wirken?
Ein geänderter Eintrag wird so lange nicht überall sichtbar, wie die Gültigkeitsdauer des alten läuft — Minuten bis ein Tag. Der Ruf einer Domain baut sich langsamer auf; nach meiner Erfahrung braucht es einige Wochen gleichmäßigen Versands.

Kann ich das selbst machen?
SPF und DKIM schafft jeder, der sich in die DNS-Verwaltung traut. Bei DMARC lohnt sich Begleitung, weil die Berichte im Rohformat schwer lesbar sind und ein zu früh verschärfter Eintrag die eigene Post blockiert.

Dein nächster Schritt

Mach Schritt eins: eine Mail an eine Gmail-Adresse, Originaltext anzeigen, die Zeilen zu SPF, DKIM und DMARC lesen. Wenn dort etwas anderes als pass steht und du nicht weißt, warum, dann schau ich mir das mit dir an. Ein Erstgespräch kostet nichts.

Wenn die Zustellung steht, lohnt der Blick auf das, was der Empfänger dann sieht: eine E-Mail-Signatur erstellen, die überall hält. Und wenn die technische Grundlage insgesamt wackelt, ist ein Webseiten-Audit der Ausgangspunkt.

Quellen

• Google: Richtlinien für E-Mail-Absender. Ohne Datum. https://support.google.com/a/answer/81126, abgerufen 13.09.2026
• Google: Häufige Fragen zu den Richtlinien für E-Mail-Absender. Ohne Datum. https://support.google.com/a/answer/14229414, abgerufen 13.09.2026
• Microsoft: NDR-Fehler 550 5.7.515 in Outlook.com beheben. Ohne Datum. https://support.microsoft.com/en-us/topic/fix-ndr-error-550-5-7-515-in-outlook-com-34cfe8f8-6fbf-457e-9e8b-9e4dbaf4e0ef, abgerufen 13.09.2026
• BIMI Group: Implementation Guide. Ohne Datum. https://bimigroup.org/implementation-guide/, abgerufen 13.09.2026
• Google Workspace Updates: Gmail allows more senders to protect their brand using BIMI Common Mark Certificates. 2024. https://workspaceupdates.googleblog.com/2024/09/gmail-additional-bimi-protections.html, abgerufen 13.09.2026
• Kitterman, S.: RFC 7208 — Sender Policy Framework (SPF) for Authorizing Use of Domains in Email. 2014. https://www.rfc-editor.org/rfc/rfc7208.txt, abgerufen 13.09.2026

Simon Gläve arbeitet aus Meerbeck im Landkreis Schaumburg an Websites, Sichtbarkeit und den Prozessen dahinter — für kleine Unternehmen, die von ihrem Auftritt Ergebnisse erwarten und nicht nur Präsenz.