- Ihre E-Mail ist nicht authentifiziert. Der empfangende Server kann nicht bestätigen, dass die Nachricht tatsächlich von Ihrer Domain stammt. In der Regel fehlt ein Eintrag, ein neues Tool (CRM, Rechnungsstellung, Newsletter, Website-Formular, Helpdesk oder sogar ein Scanner) wurde nie hinzugefügt, oder der SPF-Eintrag hat sein Limit überschritten und funktioniert nun für alle Fälle nicht mehr, ohne dass dies bemerkt wird.
- Die Nachricht sieht nach Spam aus. Link-Kürzer, viele Bilder und wenige Wörter, Großbuchstaben, eine Signatur mit sechs Logos, unerwünschte Anhänge oder eine Betreffzeile, die wie eine Werbeanzeige verfasst ist. Filter bewerten jedes dieser Merkmale.
- Die Reputation Ihrer Domain hat einen Rückschlag erlitten. Ein E-Mail-Postfach wurde gehackt und versendete ein Wochenende lang Spam, jemand versandte über Outlook eine Mitteilung an 400 Empfänger, wobei alle in „Bcc“ standen, oder Ihre E-Mails werden über einen gemeinsam genutzten Server mit einem „schlechten Nachbarn“ versendet.
- Die Empfängerseite. Eine Regel, ein volles Postfach, eine Weiterleitung an eine private E-Mail-Adresse oder ein Filter, der Ihre Adresse einmal als Spam eingestuft hat. Seltener als man denkt, und nur der Empfänger kann das Problem beheben.
Warum Ihre Unternehmens-E-Mails im Spam-Ordner landen und wie Sie dieses Problem endgültig beheben können
Die vier Gründe, warum geschäftliche E-Mails im Spam-Ordner landen, was SPF, DKIM und DMARC tatsächlich bewirken, welche Anforderungen Gmail und Outlook mittlerweile an jeden Absender stellen und eine Überprüfung, die Sie in 20 Minuten durchführen können.
8 Minuten LesezeitAktualisiert
Kurz gesagt
In neun von zehn Fällen liegt die Ursache in der Authentifizierung: Ihre Domain teilt der Außenwelt nicht mit, welche Dienste E-Mails in Ihrem Namen versenden dürfen, oder ein neues Tool wurde hinzugefügt, ohne dass diese Einträge aktualisiert wurden. Gmail und Outlook erwarten mittlerweile von jedem Absender einen SPF-, DKIM- und einen DMARC-Eintrag und leiten E-Mails stillschweigend in den Spam-Ordner weiter, wenn etwas fehlschlägt. Korrigieren Sie die Einträge, aktivieren Sie DKIM in jedem Tool, das im Namen Ihrer Domain E-Mails versendet, richten Sie DMARC zur Überwachung ein, und die meisten Zustellungsprobleme verschwinden innerhalb von ein oder zwei Tagen.
Vier Gründe, geordnet nach ihrer Wahrscheinlichkeit
Was SPF, DKIM und DMARC eigentlich bewirken
Bei allen drei handelt es sich um kleine Text-Einträge im DNS Ihrer Domain. Niemand in Ihrem Unternehmen sieht sie, aber jeder Mailserver, an den Sie eine E-Mail senden, überprüft sie.
| Aufzeichnen | Im Klartext | Was ohne diese Lösungen schiefgehen kann |
|---|---|---|
| SPF | Eine Liste der Dienste, die E-Mails unter Ihrer Domain versenden dürfen, beispielsweise Microsoft 365 und Ihr Rechnungsstellungstool. | E-Mails von einem Dienst, der nicht in der Liste aufgeführt ist, schlagen fehl. Eine Liste mit mehr als zehn Abfragen führt zu Fehlern bei allen Einträgen. |
| DKIM | Eine digitale Signatur, die jeder Nachricht hinzugefügt wird und belegt, dass sie von Ihrer Domain stammt und unterwegs nicht verändert wurde. | Die Nachrichten gehen ohne Signatur ein und unterscheiden sich äußerlich nicht von einer Fälschung. |
| DMARC | Ihre Anweisungen an die Empfänger: Was ist zu tun, wenn eine Nachricht, die vorgibt, von Ihnen zu stammen, die oben genannten Prüfungen nicht besteht, und wohin sind Meldungen zu senden? | Die Empfänger ahnen nichts davon, und jeder kann in Ihrem Namen E-Mails versenden, ohne dass Sie davon erfahren. |
Ein Detail ist entscheidend: die Übereinstimmung. Die Domain in der Absenderadresse, die die Empfänger sehen, muss mit der Domain übereinstimmen, die die SPF- oder DKIM-Prüfung bestanden hat. Ein Newsletter-Tool, das unter Ihrer Domain versendet, aber mit seiner eigenen Domain signiert, besteht die DKIM-Prüfung für sich selbst, versagt jedoch weiterhin bei der DMARC-Prüfung für Sie.
Was Gmail, Outlook und Yahoo nun verlangen
Seit 2024 veröffentlichen die großen E-Mail-Anbieter Regeln, anstatt auf Vermutungen zurückzugreifen, und Ende 2025 verschärfte Google die Durchsetzung mit einer höheren Anzahl an Ablehnungen. Ihre veröffentlichten Anforderungen, Stand Oktober 2026:
| Anforderungen | Gmail-E-Mails (alle Absender) | Outlook.com und Yahoo |
|---|---|---|
| SPF und DKIM | Beide werden eingerichtet | Beides ist für alle vorgesehen, die täglich etwa 5.000 Nachrichten oder mehr versenden; von allen anderen wird dies nachdrücklich erwartet |
| DMARC-Eintrag | Veröffentlicht, mindestens p=none | Veröffentlicht, mindestens p=none, abgestimmt auf SPF oder DKIM |
| Aus dem Bereich | Ja, mit SPF oder DKIM | Ja |
| Reverse-DNS und TLS | Erforderlich | Erwartet |
| Spam-Beschwerdequote | Unter 0,3 Prozent, Zielwert 0,1 | Auf einem niedrigen Niveau gehalten; Microsoft beobachtet die Reputation genau |
| Abmeldung mit einem Klick | Marketing-E-Mails von Massenversendern | Marketing-E-Mails von Massenversendern |
Diese Regeln gelten offiziell für E-Mails, die an private Gmail-, Outlook.com- und Yahoo-Adressen gesendet werden. In der Praxis wenden Microsoft 365 und Google Workspace dieselben Prüfungen auch auf geschäftliche Postfächer an, sodass die Lösung unabhängig davon, welchen Dienst Ihre Kunden nutzen, dieselbe ist.
Der 20-minütige Check
- Listen Sie alles auf, was unter Ihrer Domain versendet wird. Microsoft 365 oder Google Workspace, die CRM-, Rechnungsstellungs- und Lohnabrechnungs-Tools, die Newsletter-Plattform, das Kontaktformular der Website, der Helpdesk, Kalender- und Buchungstools sowie jener eine Drucker, der per E-Mail scannt. Die meisten Domains verfügen über fünf bis acht davon.
- Lesen Sie Ihren SPF-Eintrag. Es darf genau einer vorhanden sein. Er sollte alle Dienste aus der Liste enthalten, die Anzahl der DNS-Abfragen auf unter zehn beschränken und mit „-all“ oder „~all“ enden. Ein zweiter SPF-Eintrag oder eine elfte Abfrage führt zum Scheitern aller Anforderungen.
- Aktivieren Sie DKIM überall. In Microsoft 365 finden Sie diese im Defender-Portal unter „E-Mail-Authentifizierungseinstellungen“; in Google Workspace unter „Apps“, „Google Workspace“, „Gmail“, „E-Mail authentifizieren“. Jedes Drittanbieter-Tool verfügt über eigene DKIM-Einstellungen, für die Sie zwei oder drei DNS-Einträge hinzufügen müssen.
- DMARC-Einstellungen auf Überwachungsebene veröffentlichen. Ein Datensatz mit p=none und einer Berichtsadresse ändert zunächst noch nichts, doch innerhalb weniger Tage zeigen die Berichte alle Dienste an, die in Ihrem Namen E-Mails versenden, einschließlich derer, die Sie vergessen haben, und aller, die sich als Sie ausgeben.
- Senden Sie einen Test und lesen Sie das Ergebnis. Senden Sie eine E-Mail an ein persönliches Gmail-Konto, öffnen Sie die Nachricht, wählen Sie „Original anzeigen“ und suchen Sie nach „SPF: PASS“, „DKIM: PASS“ und „DMARC: PASS“. Outlook.com zeigt dieselben Angaben in den Nachrichtenkopfzeilen an. Ein einziger „FAIL“-Eintrag gibt Ihnen genau an, welchen Eintrag Sie korrigieren müssen.
- DMARC schrittweise verschärfen. Nach zwei bis vier Wochen mit einwandfreien Berichten wechseln Sie zu „p=quarantine“ und anschließend zu „p=reject“. Bei „reject“ kann niemand mehr E-Mails in Ihrem Namen versenden, und die Empfänger vertrauen Ihren E-Mails stärker.
Probleme, die wie Authentifizierung aussehen, es aber nicht sind
- Ein kompromittiertes Postfach. Sollte die Zustellrate über Nacht eingebrochen sein, überprüfen Sie als Erstes die Anmeldeprotokolle und Posteingangsregeln der betroffenen Konten. Angreifer fügen eine Regel hinzu, die Antworten ausblendet, und versenden Spam über das echte Konto.
- Massen-E-Mails aus einem normalen Postfach. Outlook und Gmail sind für den Austausch gedacht, nicht für Kampagnen. Aktualisierungen für Hunderte von Kontakten gehören in ein geeignetes Tool und sollten von einer Subdomain wie news.yourcompany.com versendet werden, damit ein eventueller Ausfall dort keine Auswirkungen auf Ihre Hauptdomain hat.
- Umfangreiche Signaturen und Link-Kürzer. Weniger Bilder, keine verkürzten Links und Texte, die sich so lesen, als hätte sie ein Mensch verfasst.
- Eine brandneue Domain. Domains ohne Historie werden in den ersten Wochen mit Vorsicht behandelt. Beginnen Sie mit geringem Volumen und echten Konversationen.
- Gekaufte oder gesammelte Listen. Bei Beschwerdequoten über 0,3 Prozent werden Sie jeweils für eine Woche aus der Gunst der Anbieter gestrichen, und keine Korrektur der Daten kann dies rückgängig machen.
Bitte in der richtigen Reihenfolge angeben
- Fügen Sie jedes neue Tool, das E-Mails versendet, am Tag seiner Einrichtung zu SPF und DKIM hinzu
- Lesen Sie die DMARC-Berichte monatlich oder lassen Sie sie von jemandem für Sie lesen
- Halten Sie Marketing- und Transaktions-E-Mails auf eigenen Subdomains
- Beobachten Sie die Beschwerdequote in den Google Postmaster Tools und den Absender-Tools von Microsoft
- Überprüfen Sie, wer Regeln für den Posteingang erstellen und E-Mails weiterleiten darf, da dies die ersten Einstellungen sind, die ein Angreifer ändert
Häufig gestellte Fragen
Was uns oft gefragt wird
Kurze Antworten auf die Fragen, die uns Gründer und Finanzverantwortliche am häufigsten stellen.
Stellen Sie uns eine andere FrageIn der Regel handelt es sich um eine von vier Ursachen: Ein neues Tool hat begonnen, E-Mails über Ihre Domain zu versenden, ohne in den SPF-Eintrag aufgenommen worden zu sein; der SPF-Eintrag hat das Limit von zehn Abfragen überschritten; ein Postfach wurde kompromittiert; oder ein Anbieter hat die Durchsetzung verschärft, wie es Google Ende 2025 getan hat. Die oben beschriebene 20-minütige Überprüfung ermittelt, um welche Ursache es sich handelt.
Ja. Google erwartet mittlerweile einen DMARC-Eintrag von jedem Absender, der an Gmail-Adressen schreibt, und Outlook.com erwartet diesen von größeren Absendern. Ein Eintrag mit „p=none“ ändert nichts und verursacht keine Kosten; er ist zudem die einzige Möglichkeit, festzustellen, wer in Ihrem Namen E-Mails versendet.
Nicht bei p=none. Probleme treten nur auf, wenn Sie die Quarantäne aktivieren oder eine Ablehnung vornehmen, bevor alle legitimen Dienste die Überprüfung bestanden haben; aus diesem Grund werten wir die Berichte zunächst einige Wochen lang aus.
Ja. Die Einträge befinden sich im DNS Ihrer Domain und gelten für alle Plattformen und Tools, über die Sie Ihre E-Mails versenden. Lediglich der Ort, an dem Sie DKIM aktivieren, unterscheidet sich.
Denn Microsoft 365 ist in Ihren SPF- und DKIM-Einstellungen enthalten, das CRM hingegen nicht, oder das CRM signiert mit seiner eigenen Domain anstelle Ihrer. Jedes Tool verfügt über eine DKIM-Einstellung, mit der sich dieses Problem beheben lässt.
Bei den meisten Domains können Einträge innerhalb eines Tages korrigiert werden. Die schrittweise Erhöhung der DMARC-Stufe, um E-Mails sicher zurückzuweisen, erfordert einige Wochen, in denen Berichte ausgewertet werden müssen, und eine beschädigte Reputation erholt sich erst nach Wochen des fehlerfreien Versands.
So unterstützt Sie SF3 Technologies
Wir ermitteln alle Dienste, die unter Ihrer Domain versenden, korrigieren die SPF-Einstellungen, aktivieren DKIM in Microsoft 365 und Google Workspace sowie in jedem einzelnen Tool, veröffentlichen die DMARC-Einstellungen und passen diese beim Auswerten der Berichte so an, dass unerwünschte E-Mails zurückgewiesen werden, damit Ihre E-Mails ankommen und niemand in Ihrem Namen versenden kann. Die Einträge verbleiben in Ihrem DNS und Ihrem Mandanten, unter Ihrer Kontrolle.
Die Anforderungen an Absender entsprechen den von Google und Microsoft im Oktober 2026 veröffentlichten Vorgaben und können sich im Laufe der Zeit ändern. Bitte überprüfen Sie die aktuellen Absenderrichtlinien der jeweiligen Anbieter, bevor Sie sich auf einen Schwellenwert verlassen.