Newsletter landet im Spam? SPF, DKIM und DMARC einfach erklärt

Seit November 2025 schiebt Gmail Massenmails ohne saubere Absicherung nicht mehr in den Spam. Es weist sie ab, mit einem dauerhaften Fehler, der nicht wiederholt wird. Microsoft macht seit Mai 2025 dasselbe. Und eine Zahl entscheidet mit: 0,1 Prozent. Darunter muss der Anteil der Leser bleiben, die deine Mail als Spam melden. Bei 0,3 Prozent lehnt Gmail ab.

Dein Newsletter landet im Spam, weil dem empfangenden Server zwei Dinge fehlen: der Beweis, dass du es bist, und das Vertrauen, dass deine Leser dich wollen. Den Beweis lieferst du mit drei Einträgen bei deinem Domain-Anbieter, SPF, DKIM und DMARC. Das Vertrauen kommt aus bestätigten Anmeldungen, gepflegten Listen und einem einfachen Abmeldeweg. Beides steht hier, mit den Einträgen zum Abschreiben.

Warum eine Mail im Spam landet

• Die Domain ist nicht abgesichert. Ohne SPF, DKIM und DMARC wirkt der Absender unecht. Die Mail wird abgewertet oder abgewiesen.
• Die Leser haben nie bestätigt. Wer an Adressen ohne Double-Opt-in sendet, bekommt Beschwerden, und Beschwerden schaden dem Ruf der Domain.
• Die Liste ist alt. Viele unzustellbare Adressen und nie geöffnete Mails verraten das.
• Der Inhalt sieht aus wie Spam. Reine Bild-Mails, irreführende Betreffzeilen, Linkverkürzer, kein Abmeldelink.
• Die Versandserver haben einen schlechten Ruf. Wer darüber sendet, zieht die eigene Zustellung mit runter.

SPF

SPF, Sender Policy Framework, ist ein Eintrag bei deiner Domain. Er sagt, welche Server in deinem Namen senden dürfen. Bekommt ein Mailserver eine Nachricht von deiner Domain, prüft er, ob der sendende Server auf der Liste steht. So sieht der Eintrag aus, wenn du mit Google Workspace mailst und über einen Newsletter-Dienst versendest:

v=spf1 include:_spf.google.com include:versanddienst.example ~all

Pro Domain gibt es nur einen SPF-Eintrag. Mehrere Dienste kommen als mehrere include-Teile in diesen einen Eintrag. Mehr als zehn Nachschlage-Schritte erlaubt SPF nicht, deshalb häufen sich bei vielen Diensten Fehler. Das ~all am Ende heißt: Alles andere ist verdächtig.

DKIM

DKIM, DomainKeys Identified Mail, hängt an jede Mail eine Unterschrift. Der öffentliche Schlüssel dazu liegt bei deiner Domain, unter einem Namen wie s1._domainkey.deine-domain.de. Der empfangende Server prüft die Unterschrift und weiß danach, dass die Mail von deiner Domain stammt und unterwegs nicht verändert wurde. SPF prüft den Server, DKIM prüft die Mail. Deshalb gehören beide zusammen.

DMARC

DMARC ist die Klammer um SPF und DKIM. Mit einem Eintrag legst du fest, was passiert, wenn eine Mail die Prüfung nicht besteht. Der Einstieg:

_dmarc.deine-domain.de TXT "v=DMARC1; p=none; rua=mailto:dmarc@deine-domain.de"

p=none heißt beobachten, p=quarantine in den Spam schieben, p=reject abweisen. An die Adresse hinter rua gehen täglich Berichte, wer unter deiner Domain sendet. Fang mit none an, lies die Berichte zwei Wochen mit und geh dann auf quarantine und später auf reject. Erst dann schützt DMARC deine Domain vor Fälschung.

Alignment, der Punkt, an dem es meistens scheitert

DMARC prüft nicht nur, ob SPF oder DKIM bestehen. Es prüft, ob die Domain, die der Leser im Absenderfeld sieht, zur geprüften Domain passt. Ein typischer Fehler: Der Newsletter-Dienst signiert mit seiner eigenen Domain und sendet über seine Server, im Absender steht aber deine. SPF und DKIM bestehen, DMARC fällt durch. Die Lösung ist, dass der Dienst DKIM mit deiner Domain signiert oder SPF über eine Subdomain von dir läuft. Genau das richtet eine geführte Einrichtung für dich ein.

Was Gmail, Yahoo und Microsoft 2026 verlangen

Die Regeln gelten für Absender ab rund 5.000 Mails am Tag an den jeweiligen Anbieter. Alle drei empfehlen sie jedem, und sie wirken auch bei kleineren Mengen.

• SPF und DKIM, dazu DMARC mindestens mit p=none, mit Alignment.
• Ein-Klick-Abmeldung nach RFC 8058 in jeder Werbe-Mail, Abmeldungen binnen zwei Tagen umgesetzt.
• Beschwerden unter 0,3 Prozent, Ziel unter 0,1 Prozent. Messbar in den Google Postmaster Tools.
• Verschlüsselte Übertragung und ein gültiger Rückwärts-DNS-Eintrag für die Versand-IP.

Seit November 2025 schickt Gmail bei Verstößen dauerhafte Fehler zurück. Die Mail wird nicht erneut versucht. Die Vorgaben stehen in Googles Richtlinien für E-Mail-Absender.

Die Ein-Klick-Abmeldung braucht zwei Header

Damit der „Abbestellen“-Knopf im Postfach erscheint, braucht jede Mail zwei Kopfzeilen:

List-Unsubscribe: <https://deine-domain.de/abmelden?id=…>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Die zweite wird am häufigsten vergessen. Ohne sie zeigt Gmail den Knopf nicht. Der sichtbare Abmeldelink im Fuß der Mail bleibt trotzdem Pflicht.

Eine neue Domain aufwärmen

Eine Domain, von der noch nie Massenmails kamen, hat keinen Ruf. Wer am ersten Tag 20.000 Mails schickt, sieht aus wie ein Spammer. Ein Plan für den Start mit einer großen Liste:

• Tag 1 bis 3: 200 bis 500 Mails am Tag, an die aktivsten Leser.
• Tag 4 bis 7: täglich verdoppeln, solange unter 2 Prozent unzustellbar sind und unter 0,1 Prozent Beschwerden kommen.
• Woche 2 bis 3: weiter verdoppeln bis zur ganzen Liste.

Bei Listen unter 2.000 Adressen aus bestätigten Anmeldungen kannst du dir das sparen.

Sieben weitere Hebel

1. Double-Opt-in. Sende nur an Adressen, die den Empfang per Klick bestätigt haben.
2. Die Liste sauber halten. Dauerhaft unzustellbare Adressen sofort sperren. Wer ein Jahr nichts geöffnet hat, bekommt eine letzte Mail und fliegt sonst raus. Eine kleine, aktive Liste schlägt eine große, tote.
3. Von der eigenen Domain senden. Eine Freemail-Adresse als Absender wirkt unglaubwürdig, und bei Gmail oder GMX als Absender greift deren DMARC.
4. Absendername und Adresse nicht wechseln. Leser und Filter kennen dich am Namen.
5. Text und Bild im Verhältnis, klare Betreffzeile, keine Linkverkürzer, keine reinen Bild-Mails.
6. Antworten zulassen. Eine Adresse, auf die man antworten kann, ist ein Vertrauenssignal. „noreply@“ ist keins.
7. Nach jedem Versand auf unzustellbare Mails und Beschwerden schauen, nicht erst, wenn die Öffnungen einbrechen.

Der Check

• Gibt es genau einen SPF-Eintrag für deine Versand-Domain?
• Signiert DKIM mit deiner Domain?
• Gibt es einen DMARC-Eintrag, mindestens mit p=none und einer Berichtsadresse?
• Passt die sichtbare Absender-Domain zu SPF oder DKIM?
• Sendest du nur an Adressen mit Double-Opt-in?
• Werden unzustellbare Adressen gesperrt?
• Hat jede Mail beide List-Unsubscribe-Header und einen sichtbaren Abmeldelink?
• Liegen die Beschwerden unter 0,1 Prozent?
• Zeigt „Original anzeigen“ in Gmail bei allen drei PASS?

So ist es bei bemailed

• Die Versand-Einrichtung führt dich durch die drei Einträge für deine Domain und prüft sie. Der Versand läuft über Amazon SES in Frankfurt.
• Double-Opt-in ist für Anmeldungen über Formular und Anmeldeseite an und wird gespeichert.
• Unzustellbare Adressen werden gesperrt. Abgemeldete landen auf der Sperrliste.
• Beide List-Unsubscribe-Header und der sichtbare Link stecken in jeder Mail. Abmeldungen wirken sofort.
• Vor dem Versand sieht bemailed den Entwurf durch, samt Links und Abmeldelink.

Das Fundament bringt bemailed mit. Die Liste pflegst du. Wie du dabei rechtlich sauber bleibst, steht im DSGVO-Leitfaden, worauf es beim Wechsel zu einem Anbieter mit Servern in der EU ankommt, im Beitrag zur Mailchimp-Alternative.