Deliverability-Grundlagen: SPF, DKIM, DMARC und Warmup

E-Mail-Deliverability heißt: ob deine Nachricht im Posteingang ankommt — nicht ob der empfangende Server sie angenommen hat. Das Zweite ist Zustellung, und fast jedes Sendetool meldet es als „zugestellt“. Eine Nachricht, die direkt in den Spam-Ordner einsortiert wird, gilt als zugestellt. In dieser Lücke verlieren Absender Monate.

Mailbox-Anbieter entscheiden pro Nachricht anhand von Signalen aus drei Gruppen. Identität: Lässt sich beweisen, wer das gesendet hat? Reputation: Wie haben Empfänger bisher auf Mail von dieser Domain und dieser IP reagiert? Inhalt: Sieht die Nachricht aus wie Mail, über die sich Leute beschwert haben? Die Identität klären SPF, DKIM und DMARC, und sie liegt vollständig in deiner Hand. Reputation wird langsam verdient und schnell verloren. Der Inhalt zählt am wenigsten — deshalb behebt das Umschreiben von Betreffzeilen selten ein Platzierungsproblem.

Die praktische Folge: Bring zuerst die Authentifizierung in Ordnung, denn das ist ein Nachmittag Arbeit mit dauerhaftem Nutzen. Alles danach ist Reputationsmanagement. Es gibt keinen Header, keinen Eintrag und keine Einstellung, die Mail an eine schlechte Liste in den Posteingang bringt.

SPF ist ein TXT-Eintrag auf deiner Domain, der die Server auflistet, die damit Mail senden dürfen. Ein minimaler Eintrag sieht so aus: v=spf1 include:_spf.dein-anbieter.example ~all. Der empfangende Server nimmt den Envelope-Absender — den Return-Path, nicht die sichtbare From-Adresse —, liest den SPF-Eintrag dieser Domain und prüft, ob die verbindende IP autorisiert ist.

Drei Details verursachen die meisten SPF-Fehler:

• Das Limit von zehn Lookups. Jedes include, a, mx und redirect kostet einen DNS-Lookup, und verschachtelte Includes zählen mit. Über zehn liefert der Eintrag einen permanenten Fehler, den Empfänger als Fehlschlag werten dürfen. Prüf ihn jedes Mal neu, wenn du ein Tool hinzufügst.
• Nur ein Eintrag. Zwei SPF-TXT-Einträge auf derselben Domain sind ein Fehler, keine Zusammenführung. Fass sie zu einem zusammen.
• ~all gegen -all. Softfail markiert nicht autorisierte Mail; Hardfail bittet Empfänger, sie abzulehnen. Wechsle erst zu -all, wenn du sicher bist, dass jeder legitime Absender gelistet ist.

SPF bricht beim Weiterleiten, weil die IP des weiterleitenden Servers nicht in deinem Eintrag steht. Das ist kein Fehler, den du beheben kannst — und genau deshalb gibt es DKIM und akzeptiert DMARC ein Bestehen aus einem der beiden Verfahren.

DKIM setzt eine kryptografische Signatur in die Nachrichten-Header. Du veröffentlichst einen öffentlichen Schlüssel als TXT-Eintrag unter selector._domainkey.deinedomain.de; deine Sendeplattform hält den privaten Schlüssel und signiert jede Nachricht. Der Empfänger holt den öffentlichen Schlüssel, prüft die Signatur und weiß dann, dass die Nachricht von der Domain im d=-Tag autorisiert und unterwegs nicht verändert wurde.

Praktische Punkte:

• Nutz einen 2048-Bit-Schlüssel, wo dein DNS-Anbieter ihn unterstützt. 1024 Bit verifiziert weiterhin, ist aber die schwächere Option.
• Gib jeder Sendeplattform ihren eigenen Selector, damit du einen rotieren oder entfernen kannst, ohne die anderen anzufassen.
• Die signierende Domain in d= sollte zu deiner From-Domain passen, sonst scheitert die DMARC-Ausrichtung, obwohl DKIM selbst bestanden hat.
• Rotier Schlüssel regelmäßig und lösch Selectors für Tools, die du nicht mehr nutzt — ein ungenutzter Schlüssel ist eine offene Einladung.

Weil die Signatur mit der Nachricht reist, übersteht DKIM einfaches Weiterleiten, das SPF bricht. Wenn du nur eines von beiden einrichten würdest, wäre DKIM das wertvollere. Richte trotzdem beides ein: Empfänger gewichten sie unterschiedlich, und DMARC ist viel robuster, wenn beide die Ausrichtung tragen können.

DMARC bindet SPF und DKIM an die Adresse, die der Leser tatsächlich sieht. Eine Nachricht besteht DMARC, wenn SPF oder DKIM besteht und die authentifizierte Domain zur From-Domain passt. Diese Übereinstimmung heißt Ausrichtung, und genau die wird übersehen: Eine Nachricht kann SPF auf der Domain eines Anbieters perfekt bestehen und trotzdem an DMARC scheitern, weil im From-Header etwas anderes steht.

Der Eintrag ist ein TXT-Record unter _dmarc.deinedomain.de, zum Beispiel v=DMARC1; p=none; rua=mailto:[email protected]. Das Policy-Tag sagt Empfängern, was mit Fehlschlägen passieren soll:

• p=none — nur beobachten. Fang hier an, um zu sehen, wer in deinem Namen sendet.
• p=quarantine — Fehlschläge gehen in den Spam. Wechsle hierhin, sobald die Reports sauber sind.
• p=reject — Fehlschläge werden rundheraus abgelehnt. Der Zielzustand — und der, der andere daran hindert, deine Domain zu fälschen.

Die Aggregat-Reports, die an deine rua-Adresse kommen, sind XML und roh unangenehm zu lesen; irgendein DMARC-Report-Parser tut es. Lies sie ein paar Wochen, bevor du die Richtlinie verschärfst. Die veröffentlichten Anforderungen von Google und Yahoo an Massenversender erwarten inzwischen einen DMARC-Eintrag, ausgerichtete Authentifizierung, Ein-Klick-Abmeldung und niedrige Beschwerdequoten. Sobald du in Menge sendest, ist davon nichts mehr optional.

Eine neue Domain hat keine Reputation, und Mailbox-Anbieter begegnen fehlender Reputation mit Misstrauen. Warmup baut eine Sendehistorie auf: Fang mit einer Handvoll Nachrichten pro Postfach und Tag an, steiger über zwei bis vier Wochen langsam und sorg dafür, dass ein nennenswerter Teil dieser frühen Mail geöffnet und beantwortet wird.

Warmup belegt, dass diese Domain Mail sendet, mit der Menschen interagieren. Was es nicht kann: eine schlechte Liste reparieren, eine hohe Bounce-Rate auffangen oder Spam-Beschwerden ausgleichen. Wärm eine Domain sorgfältig auf und schick ihr dann eine alte gekaufte Liste — dann hast du dich nur schneller in den Absturz aufgewärmt.

Praktische Regeln:

• Authentifizier vor dem Aufwärmen, nicht danach. Nicht authentifizierte Mail im Warmup lehrt Empfänger das Falsche.
• Vervielfach das Volumen nicht an dem Tag, an dem das Warmup endet. Steiger Woche für Woche.
• Verteil echtes Kampagnenvolumen über mehrere Postfächer, statt eines hart zu treiben.
• Beobachte die Posteingangsplatzierung während des Anstiegs und pausier ihn, wenn sie abrutscht, statt durchzudrücken.

Das Outreach- und Marketing-Automation-Modul von Growmindr übernimmt Warmup, Drosselung pro Domain und Sendefenster gleich neben den Sequenzen selbst — was vor allem hilft, damit Volumenaufbau und Kampagnenplan sich nicht gegenseitig in die Quere kommen.

Ein Hard Bounce ist eine dauerhafte Ablehnung: Das Postfach existiert nicht, oder die Domain nimmt gar keine Mail an. Ein Soft Bounce ist vorübergehend — Postfach voll, Server ausgelastet, Greylisting — und ein paar Wiederholungen wert, bevor du aufgibst.

Wehtun die Hard Bounces. Sie sagen dem empfangenden Anbieter, dass du nicht weißt, wer auf deiner Liste steht — das prägende Merkmal eines Spammers. Jede Adresse mit Hard Bounce gehört dauerhaft und sofort überall gesperrt und nie wieder versucht.

Halt die Hard-Bounce-Quote schlimmstenfalls im niedrigen einstelligen Bereich und behandle alles darüber als Stopp-und-reparieren-Signal statt als Kennzahl zum Beobachten. Die Lösung liegt fast nie im Sende-Setup, sondern in der Liste. Verifizier jede Adresse, bevor sie in eine Sequenz kommt, prüf Listen älter als ein paar Monate erneut und halt Rollenadressen wie info@, sales@ und support@ aus kalten Kampagnen heraus — sie bouncen häufiger und beschweren sich öfter, wenn sie es nicht tun.

Lies das Muster, nicht nur die Quote. Bounces, die sich auf eine Empfängerdomain konzentrieren, heißen meist, dass diese Domain dich blockiert, und nicht, dass die Adressen ungültig sind — ein anderes Problem mit einer anderen Lösung.

Eine Spam-Beschwerde ist das stärkste negative Signal, das ein Empfänger senden kann. Anbieter gewichten sie schwer und reagieren schnell. Beschwerdequoten werden in Bruchteilen eines Prozents gemessen, die Toleranz ist also weit enger, als die meisten Absender annehmen — die veröffentlichten Anforderungen von Google und Yahoo an Massenversender setzen die akzeptable Quote deutlich unter ein Prozent und erwarten, dass Absender komfortabel darunter bleiben und nicht knapp darunter.

Du siehst nicht bei jedem Anbieter Beschwerden, aber bei einigen. Melde dich für Feedback Loops an, wo sie angeboten werden, nutz die Google Postmaster Tools, um Domain-Reputation und Spam-Rate für Gmail-Traffic zu beobachten, und behandle jede Aufwärtsbewegung als dringend statt als interessant.

Positives Engagement zählt ebenfalls — deshalb schlägt Relevanz jedes Volumen. Antworten sind das stärkste positive Signal, danach Nachrichten, die aus dem Spam geholt, markiert oder abgelegt werden. Löschen ohne Öffnen ist leicht negativ. Eine lange Strecke ohne jede Reaktion ist ein Grund aufzuhören, nicht ein Grund für den fünften Versuch.

Also: Sortier Nicht-Reagierende regelmäßig aus. Eine Liste, die nur Menschen behält, die in den letzten Monaten interagiert haben, schlägt eine dreimal so große — bei Platzierung wie bei Antworten.

Deliverability verfällt leise. Irgendetwas ändert sich — ein neues Tool sendet in deinem Namen, eine DNS-Änderung kippt einen Eintrag, eine Kampagne zieht Beschwerden — und nichts kündigt es an. Eine halbe Stunde im Monat fängt fast alles davon ab.

• Authentifizierung — SPF löst innerhalb von zehn Lookups auf und existiert genau einmal; DKIM verifiziert für jede aktive Sendeplattform; der DMARC-Eintrag steht auf der Richtlinie, die du wolltest.
• DMARC-Reports — sendet eine neue Quelle unter deiner Domain? Scheitert eine legitime Quelle an der Ausrichtung?
• Reverse DNS — der PTR-Eintrag der Sende-IP löst auf einen Hostnamen auf, der wieder auf sie zurückführt.
• Blocklisten — prüf deine Sendedomains und IPs gegen die großen öffentlichen Listen.
• Bounce- und Beschwerdetrend — die Richtung zählt mehr als die Zahl eines einzelnen Monats.
• Seed-Test — schick eine echte Kampagnenmail an eigene Konten bei den großen Anbietern und notier, wo sie landet.
• Abmeldung — der Ein-Klick-Header steht in Massenmail, und Abmeldungen werden über alle Kampagnen hinweg wirklich gesperrt.

Schreib das Ergebnis jeden Monat auf. Ein Monat Zahlen sagt fast nichts; sechs Monate derselben Zahlen sagen dir genau, wann das Problem begonnen hat — und das ist meist der größte Teil der Diagnose.