Newsletter landet im Spam? SPF, DKIM und DMARC einfach erklärt

Seit November 2025 schiebt Gmail schlecht authentifizierte Massen-Mails nicht mehr nur in den Spam, sondern lehnt sie zunehmend ganz ab. 2026 sind diese Regeln voll durchgesetzt. Eine Zahl solltest du dir merken: 0,1 %. So niedrig muss deine Spam-Beschwerdequote dauerhaft bleiben, sonst leidet die Zustellung.

Dein Newsletter landet im Spam, weil dem empfangenden Server zwei Dinge fehlen: Vertrauen und Beweis. Den Beweis lieferst du mit drei DNS-Einträgen (Konfigurations-Zeilen bei deinem Domain-Anbieter): SPF, DKIM und DMARC. Das Vertrauen baust du dir mit sauberer Praxis auf: Bestätigte Empfänger, gepflegte Listen, ein einfacher Abmeldeweg. Dieser Leitfaden erklärt beides, verständlich und ohne Technik-Kauderwelsch.

Warum landet mein Newsletter im Spam?

Mailbox-Anbieter wie Gmail, Outlook oder GMX entscheiden in Millisekunden, ob eine Mail in den Posteingang wandert, in den Spam fällt oder gleich abgelehnt wird. Diese Gründe wiegen am schwersten:

• Fehlende Authentifizierung. Ist die Domain nicht per SPF, DKIM und DMARC abgesichert, wirkt der Absender unecht. Die Mail wird abgewertet oder seit Ende 2025 zunehmend ganz zurückgewiesen.
• Kein Double-Opt-In. Wer an Adressen sendet, die den Empfang nie aktiv per Klick bestätigt haben, erzeugt Beschwerden und das schädigt den Ruf der Absender-Domain.
• Inaktive oder tote Adressen. Viele Bounces (unzustellbare Mails) und nie geöffnete Nachrichten verraten eine ungepflegte Liste.
• Spam-typische Inhalte. Reine Bild-Mails, irreführende Betreffzeilen, viele Links oder ein fehlender Abmeldelink lösen Filter aus.
• Schlechter Ruf der Versand-IP. Wer über eine belastete Infrastruktur sendet, zieht seine eigene Zustellung mit runter.

Die ersten beiden Punkte sind mit Abstand die häufigsten. Beide lassen sich sauber lösen.

Was ist SPF?

SPF (Sender Policy Framework) ist ein Eintrag bei deiner Domain, der festhält, welche Server in deinem Namen Mails verschicken dürfen. Bekommt ein Mailserver eine Nachricht von deiner Domain, prüft er, ob der sendende Server auf dieser erlaubten Liste steht. Steht er nicht drauf, ist das ein deutliches Fälschungs-Signal.

In der Praxis hinterlegst du einen TXT-Eintrag, der deinen Versanddienst als erlaubten Absender benennt. Eine Sache ist dabei wichtig: Pro Domain darf es nur einen SPF-Eintrag geben. Nutzt du mehrere Dienste, etwa dein Postfach und deinen Newsletter-Versand, werden sie in diesem einen Eintrag kombiniert.

Was ist DKIM?

DKIM (DomainKeys Identified Mail) hängt an jede ausgehende Mail eine digitale Unterschrift. Der passende Schlüssel dazu liegt als Eintrag bei deiner Domain. Der empfangende Server prüft die Unterschrift und weiß danach zweierlei: Die Mail stammt wirklich von deiner Domain und sie wurde unterwegs nicht verändert.

SPF prüft nur den sendenden Server, DKIM bestätigt die Mail selbst. Darum gehören beide zusammen.

Was ist DMARC?

DMARC (Domain-based Message Authentication, Reporting and Conformance) ist die Klammer um SPF und DKIM. Per Eintrag legst du fest, was passieren soll, wenn eine Mail die Prüfung nicht besteht: Nur beobachten (p=none), in den Spam verschieben (p=quarantine) oder ganz ablehnen (p=reject).

DMARC bringt dir zwei Dinge. Es schützt deine Domain davor, dass Fremde in deinem Namen Phishing versenden und es liefert dir Berichte darüber, wer überhaupt unter deiner Domain sendet. Als Minimum ist p=none gefordert, also das reine Beobachten. Strenger und damit das eigentliche Ziel sind später p=quarantine oder p=reject.

SPF, DKIM oder DMARC: Was brauche ich?

Alle drei. Sie greifen ineinander: SPF und DKIM beweisen die Echtheit, DMARC setzt durch und macht den Versand sichtbar. Seit Februar 2024 ist das bei Gmail und Yahoo für Absender mit höherem Volumen (Richtwert ab rund 5.000 Mails pro Tag) sogar Pflicht, zusammen mit einer Ein-Klick-Abmeldung (List-Unsubscribe nach RFC 8058) und einer niedrigen Spam-Beschwerdequote. Microsoft (Outlook, Hotmail) zog im Mai 2025 mit denselben Anforderungen nach.

Den Aufwand hast du dabei genau einmal pro Domain. In bemailed führt dich die Versand-Einrichtung Schritt für Schritt durch die passenden DNS-Einträge, erkennt deinen Anbieter und prüft automatisch, sobald alles steht. Jede künftige Mail ist danach abgedeckt.

8 weitere Hebel für sichere Zustellung

1. Double-Opt-In nutzen. Sende nur an Adressen, die den Empfang per Klick bestätigt haben. Das senkt Beschwerden und ist in Deutschland ohnehin Pflicht.
2. Listen sauber halten. Entferne harte Bounces (dauerhaft unzustellbare Adressen) sofort und inaktive Empfänger regelmäßig. Eine kleinere, aktive Liste schlägt eine große, tote.
3. Ein-Klick-Abmeldung sauber umsetzen. Sichtbarer Abmeldelink plus List-Unsubscribe-Header. Vergiss dabei den List-Unsubscribe-Post-Header nicht, das ist der häufigste Umsetzungsfehler. Abmeldungen musst du binnen 2 Tagen verarbeiten.
4. Spam-Quote unter Kontrolle halten. Die Beschwerdequote gehört dauerhaft unter 0,1 %. Den Wert von 0,3 % solltest du nie erreichen.
5. Von einer eigenen Domain senden. Eine verifizierte Marken-Domain als Absender wirkt vertrauenswürdiger als eine generische Freemail-Adresse.
6. Inhalt ausgewogen gestalten. Text und Bild im Verhältnis, klare Betreffzeile ohne Clickbait, keine reinen Bild-Mails.
7. Volumen langsam steigern. Eine neue Domain langsam „aufwärmen“, statt sofort an Zehntausende zu senden.
8. Zustellung beobachten. Behalte Bounce- und Beschwerdequoten im Blick und reagiere früh, statt erst beim Einbruch der Öffnungsrate.

Schnell-Check: Bist du startklar?

• Ist für deine Versand-Domain ein SPF-Eintrag hinterlegt?
• Ist DKIM aktiv und signiert jede Mail?
• Existiert ein DMARC-Eintrag (Start mit p=none)?
• Sendest du ausschließlich an Double-Opt-In-Empfänger?
• Werden harte Bounces automatisch entfernt?
• Hat jede Mail eine Ein-Klick-Abmeldung inklusive List-Unsubscribe-Post-Header?
• Liegt deine Spam-Beschwerdequote dauerhaft unter 0,1 %?
• Sagt „Original anzeigen“ in Gmail bei SPF, DKIM und DMARC jeweils PASS?

Mit bemailed ist das schon eingebaut

Das komplette Fundament aus diesem Artikel richtet bemailed automatisch ein, du hakst den Schnell-Check oben nicht von Hand ab:

• SPF, DKIM, DMARC: geführte Versand-Einrichtung mit automatischer Prüfung, fertig, sobald deine Domain startklar ist.
• Double-Opt-In: standardmäßig aktiv und protokolliert.
• Harte Bounces: fliegen automatisch raus, tote Adressen kommen nicht zurück.
• Ein-Klick-Abmeldung: Abmeldelink plus List-Unsubscribe-Header (inklusive List-Unsubscribe-Post, RFC 8058) in jeder Mail, Abmeldungen sofort verarbeitet.
• EU-Hosting: Versand aus Frankfurt.

Zustellbarkeit hat zwei Seiten: Ein sauberes technisches Fundament und einen respektvollen Umgang mit deiner Liste. Beides bekommst du in bemailed ab Werk, du landest im Posteingang, ohne DNS-Handarbeit. Wie du dabei rechtlich sauber bleibst, liest du im DSGVO-Leitfaden; worauf es beim Wechsel zu einem Anbieter mit EU-Hosting ankommt, im Mailchimp-Alternative-Leitfaden.