01 / Ratgeber
E-Mails landen im Spam: was tun? Die kurze Antwort
Prüfe zuerst, ob deine Domain authentifiziert ist. Schick eine Mail an eine Gmail-Adresse, öffne sie dort, klick auf die drei Punkte und wähle Original anzeigen. Oben stehen drei Zeilen: SPF, DKIM und DMARC. Steht überall PASS, liegt das Problem woanders. Steht irgendwo FAIL, NONE oder fehlt eine Zeile, hast du die Ursache gefunden.
Die Lösung sind dann drei Textzeilen in den DNS-Einstellungen deiner Domain, dort wo du sie registriert hast, zum Beispiel bei IONOS, Strato, Hostinger oder Cloudflare. Das klappt meist ohne Programmierkenntnisse, solange du genau weißt, was hineingehört. Genau das zeigt dieser Ratgeber. Wenn gleichzeitig Postfächer umziehen oder eine Website den Hoster wechselt, zeigt die Übersicht Server-Einrichtung für kleine Unternehmen, wie alles zusammenhängt.
02 / Ratgeber
Warum landen meine Mails im Spam-Ordner? Die häufigsten Ursachen
- Kein SPF-, DKIM- oder DMARC-Eintrag: Der Empfänger kann nicht prüfen, ob die Mail wirklich von dir kommt
- Zwei SPF-Einträge: Wer nach einem Anbieterwechsel einen zweiten Eintrag anlegt statt den alten zu ergänzen, macht beide ungültig
- Das Kontaktformular der Website sendet in fremdem Namen: Es verschickt Mails mit der Adresse des Besuchers als Absender über den Webserver, was jede Prüfung durchfallen lässt
- Neuer Dienst nicht eingetragen: Newsletter-Tool, Rechnungsprogramm oder Shop senden mit deiner Adresse, stehen aber nicht im SPF und signieren nicht mit DKIM
- Schlechter Ruf der IP-Adresse: Auf günstigem Shared Hosting teilst du dir den Server mit Fremden, die Spam verschicken. Eine Blacklist-Abfrage zeigt das
- Beschwerden und Massenversand: Wer viele Werbemails ohne Abmeldelink verschickt oder oft als Spam markiert wird, verliert Vertrauen bei Gmail und Outlook
- Inhalt: Nur ein großes Bild ohne Text, Link-Kürzer, Anhänge mit Makros. Das ist selten die Hauptursache, kommt aber dazu
03 / Ratgeber
Schritt 1: Prüfen, was beim Empfänger ankommt
- 01
Testmail an Gmail senden
Schick eine normale Mail aus deinem Postfach an eine private Gmail-Adresse. Wenn auch das Kontaktformular betroffen ist, schick zusätzlich eine Formular-Anfrage dorthin.
- 02
Original anzeigen
In Gmail die Mail öffnen, drei Punkte oben rechts, „Original anzeigen“. Du siehst SPF, DKIM und DMARC jeweils mit PASS oder FAIL und der geprüften Domain.
- 03
Bei Outlook den Header lesen
In Outlook die Nachricht öffnen, Datei, Eigenschaften, Internetkopfzeilen. Such nach „Authentication-Results“: dort stehen spf=, dkim= und dmarc= mit dem Ergebnis.
- 04
DNS-Einträge nachsehen
Mit einem DNS-Prüfwerkzeug wie dem MX-Check der Google Admin Toolbox oder MXToolbox siehst du, welche SPF-, DKIM- und DMARC-Einträge für deine Domain veröffentlicht sind.
- 05
Blacklists prüfen
Prüf die IP-Adresse deines Mailservers und deine Domain gegen gängige Sperrlisten wie Spamhaus. Ein Treffer erklärt plötzliche Probleme trotz korrekter Einträge.
04 / Ratgeber
Schritt 2: SPF-Eintrag erstellen und prüfen
SPF (Sender Policy Framework) ist ein TXT-Eintrag auf deiner Domain, der aufzählt, welche Server Mails in deinem Namen verschicken dürfen. Jeder Dienst, der mit deiner Adresse sendet, muss darin vorkommen. Den passenden Baustein (include) nennt dir jeder Anbieter in seiner Hilfe.
Wichtig: Pro Domain darf es nur einen SPF-Eintrag geben. Neue Dienste werden in den bestehenden Eintrag eingefügt. Außerdem darf ein SPF-Eintrag beim Prüfen höchstens 10 DNS-Abfragen auslösen. Jedes include, a und mx zählt mit, und verschachtelte includes zählen ebenfalls. Wer fünf Dienste einträgt, landet schnell darüber, und dann ist SPF ungültig.
05 / Ratgeber
Beispiel-Einträge für SPF
Ersetze deinefirma.de durch deine Domain. Im Feld Name steht bei vielen Anbietern @ für die Domain selbst.
| Fall | Typ und Name | Wert |
|---|---|---|
| Google Workspace | TXT, @ | v=spf1 include:_spf.google.com ~all |
| Microsoft 365 | TXT, @ | v=spf1 include:spf.protection.outlook.com -all |
| Google Workspace plus Newsletter-Tool | TXT, @ | v=spf1 include:_spf.google.com include:WERT-DES-TOOLS ~all |
| Domain, die nie Mails sendet | TXT, @ | v=spf1 -all |
Zum Ende des Eintrags: ~all (Softfail) bedeutet „andere Server sind verdächtig“, -all (Fail) bedeutet „andere Server sind nicht erlaubt“. Beides ist in Ordnung, sobald DMARC dazukommt. Verwende nie +all, damit erlaubst du jedem Server der Welt, in deinem Namen zu senden.
07 / Ratgeber
Schritt 3: DKIM einrichten
DKIM (DomainKeys Identified Mail) unterschreibt jede ausgehende Mail mit einem privaten Schlüssel. Den passenden öffentlichen Schlüssel veröffentlichst du in deinem DNS unter einem Namen wie selektor._domainkey.deinefirma.de. Den Schlüssel erzeugt immer dein E-Mail-Anbieter, du kopierst ihn nur in die DNS-Einstellungen.
Google Workspace: In der Admin-Konsole unter Apps, Google Workspace, Gmail, „E-Mails authentifizieren“ einen Schlüssel mit 2048 Bit erzeugen. Google schlägt den Selektor google vor. Den angezeigten TXT-Eintrag unter google._domainkey anlegen und danach in der Admin-Konsole auf „Authentifizierung starten“ klicken.
Microsoft 365: Im Microsoft Defender-Portal unter E-Mail und Zusammenarbeit, Richtlinien und Regeln, Bedrohungsrichtlinien, Einstellungen für die E-Mail-Authentifizierung, Reiter DKIM, die Domain auswählen. Microsoft zeigt zwei CNAME-Einträge für selector1._domainkey und selector2._domainkey an. Beide anlegen, ein paar Minuten warten, dann DKIM aktivieren.
Hoster wie IONOS, Strato oder Hostinger: DKIM wird im Kundenbereich bei den E-Mail- oder Domain-Einstellungen aktiviert. Liegt die Domain beim selben Anbieter, setzt er den Eintrag oft selbst. Liegt sie woanders, kopierst du ihn von Hand. Newsletter-Tools haben eigene DKIM-Einträge, die zusätzlich dazukommen.
08 / Ratgeber
Schritt 4: DMARC einrichten
DMARC verbindet SPF und DKIM mit der Absenderadresse, die der Empfänger sieht. Eine Mail besteht DMARC, wenn SPF oder DKIM bestanden wird und die geprüfte Domain zur Domain in der Absenderzeile passt. Diese Übereinstimmung heißt Alignment. Genau daran scheitern Kontaktformulare und Tools, die zwar signieren, aber mit ihrer eigenen Domain.
Der DMARC-Eintrag ist ein TXT-Eintrag unter dem Namen _dmarc. Fang immer mit der Richtlinie p=none an. Sie ändert nichts an der Zustellung, schickt dir aber täglich Berichte, welche Server in deinem Namen senden und ob sie bestehen. Wenn nach zwei bis vier Wochen alle legitimen Absender bestehen, stellst du auf quarantine und später auf reject um.
09 / Ratgeber
Beispiel-Einträge für DMARC
| Phase | Typ und Name | Wert |
|---|---|---|
| Start: nur beobachten | TXT, _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@deinefirma.de |
| Verdächtiges in den Spam | TXT, _dmarc | v=DMARC1; p=quarantine; pct=100; rua=mailto:dmarc@deinefirma.de |
| Volle Schutzwirkung | TXT, _dmarc | v=DMARC1; p=reject; rua=mailto:dmarc@deinefirma.de |
Die Berichte kommen als XML-Dateien in einem ZIP-Anhang, oft mehrere am Tag. Leg dafür eine eigene Adresse an und nutz einen DMARC-Auswertungsdienst, der sie lesbar macht. Viele bieten für kleine Domains einen kostenlosen Tarif.
11 / Ratgeber
Die Regeln von Google und Yahoo seit 2024 (und Microsoft seit 2025)
Im Februar 2024 haben Google und Yahoo verbindliche Regeln für Absender eingeführt. Als Massenversender gilt bei Google, wer an einem Tag annähernd 5.000 oder mehr Mails an private Gmail-Adressen schickt, und diese Einstufung bleibt dauerhaft. Microsoft verlangt seit dem 5. Mai 2025 für Outlook.com, Hotmail und Live.com dasselbe von Absendern mit mehr als 5.000 Mails am Tag.
| Anforderung | Alle Absender | Massenversender |
|---|---|---|
| SPF oder DKIM | Pflicht (mindestens eins) | Beide Pflicht |
| DMARC-Eintrag | Empfohlen | Pflicht, p=none reicht |
| Absender-Domain passt zu SPF oder DKIM (Alignment) | Empfohlen | Pflicht |
| Gültiger Reverse-DNS-Eintrag (PTR) der sendenden IP | Pflicht | Pflicht |
| Verschlüsselte Verbindung (TLS) | Pflicht | Pflicht |
| Spam-Beschwerderate in den Google Postmaster Tools | unter 0,3 %, Ziel unter 0,1 % | unter 0,3 %, Ziel unter 0,1 % |
| Abmeldung mit einem Klick (List-Unsubscribe) bei Werbemails | Nicht verlangt | Pflicht, Abmeldung innerhalb von 2 Tagen umsetzen |
12 / Ratgeber
Sonderfall: das Kontaktformular deiner Website
Viele WordPress-Seiten verschicken Formular-Mails über die PHP-Funktion des Webservers, und viele Formulare setzen die Adresse des Besuchers als Absender. Für Gmail sieht das aus wie eine gefälschte Mail: Der Webserver steht in keinem SPF-Eintrag der Besucher-Domain, und DMARC fällt durch. Die Anfrage landet im Spam oder kommt gar nicht an.
Die Lösung: Absender ist immer eine Adresse deiner eigenen Domain, etwa formular@deinefirma.de, die Adresse des Besuchers kommt in das Feld Antwort-an (Reply-To). Verschickt wird über SMTP mit Anmeldung bei deinem E-Mail-Anbieter, in WordPress zum Beispiel mit einem Plugin wie WP Mail SMTP oder FluentSMTP. Danach besteht die Mail SPF, DKIM und DMARC wie jede andere aus deinem Postfach. Prüfe diesen Punkt immer, wenn über die Website kaum Anfragen kommen, zusammen mit den Grundlagen aus unserem Artikel SEO für kleine Unternehmen: Manchmal kommen die Anfragen, landen aber unbemerkt im Spam. Unsere eigenen Websites schreiben wir von Hand, ohne WordPress. Wenn wir im Rahmen von Webdesign eine neue bauen, läuft der Formularversand von Anfang an so.
13 / Ratgeber
Wenn nur bei dir Mails im Spam landen
Viele Suchen nach „Mails landen im Spam“ meinen eigentlich den eigenen Posteingang: Outlook oder Gmail sortieren erwünschte Mails aus. Dann hilft es, die Mail als „Kein Junk“ beziehungsweise „Kein Spam“ zu markieren und den Absender in die Liste sicherer Absender aufzunehmen. Prüfe außerdem eigene Filterregeln. An deinen DNS-Einträgen liegt das nicht, die betreffen nur Mails, die du verschickst.
FAQ
Häufige Fragen
01Warum landen meine Mails plötzlich im Spam, obwohl es vorher funktioniert hat?
Meist hat sich etwas geändert: ein neuer Dienst sendet mit deiner Adresse, der SPF-Eintrag wurde beim Anbieterwechsel doppelt angelegt, die IP-Adresse deines Servers steht auf einer Blacklist, oder die Empfänger haben ihre Regeln verschärft, wie Google und Yahoo 2024 und Microsoft 2025.
02Wie lange dauert es, bis SPF, DKIM und DMARC wirken?
Neue DNS-Einträge sind oft nach wenigen Minuten sichtbar, je nach TTL kann es bis zu 24 oder 48 Stunden dauern. Der Ruf deiner Domain erholt sich danach über Tage bis Wochen, je nachdem, wie viele Mails vorher abgelehnt wurden.
03Brauche ich DMARC auch als kleine Firma?
Ja. Für Massenversender ist DMARC bei Gmail und Yahoo Pflicht, und auch kleine Absender werden mit DMARC zuverlässiger zugestellt. Außerdem verhindert eine strenge DMARC-Richtlinie, dass Betrüger Rechnungen oder Phishing-Mails mit deiner Domain verschicken.
04Kann ich mehrere SPF-Einträge haben?
Nein. Gibt es zwei TXT-Einträge, die mit v=spf1 beginnen, ist SPF für die ganze Domain ungültig. Füge neue Dienste mit include in den einen bestehenden Eintrag ein und achte auf die Grenze von 10 DNS-Abfragen.
05Was ist der Unterschied zwischen ~all und -all?
~all (Softfail) markiert Mails von nicht genannten Servern als verdächtig, -all (Fail) erklärt sie für unzulässig. Mit DMARC entscheidet am Ende die DMARC-Richtlinie, was passiert. Beide Varianten sind üblich, +all dagegen ist immer falsch.
06Reichen SPF, DKIM und DMARC, damit nichts mehr im Spam landet?
Sie sind die Voraussetzung, keine Garantie. Dazu kommen ein sauberer Ruf der sendenden IP, wenige Spam-Beschwerden, ein Abmeldelink in Newslettern und Inhalte, die nicht nach Werbung aus dem Nichts aussehen.