E-Mail-Zustellbarkeit: So landen Ihre Mails nicht im Spam (SPF, DKIM, DMARC)

E-Mail-Zustellbarkeit ist heute deutlich anspruchsvoller als früher. Große Mailanbieter wie Google, Microsoft, Yahoo und andere prüfen eingehende Nachrichten sehr streng. Dabei geht es nicht nur darum, ob eine E-Mail technisch versendet wurde, sondern auch darum, ob der Absender vertrauenswürdig ist, ob die Domain korrekt authentifiziert wurde und ob die Nachricht nicht nach Spam, Phishing oder Spoofing aussieht.

Gerade für Unternehmen ist das wichtig: Wenn Angebote, Rechnungen, Support-Antworten, Kontaktformular-Nachrichten oder Bestellbestätigungen im Spam landen, wirkt das unprofessionell und kann direkt Umsatz kosten. Die wichtigsten technischen Grundlagen für eine saubere E-Mail-Authentifizierung sind SPF, DKIM und DMARC.

Warum landen E-Mails im Spam?

Eine E-Mail kann aus vielen Gründen im Spam-Ordner landen oder sogar komplett abgelehnt werden. Häufige Ursachen sind fehlende oder fehlerhafte DNS-Einträge, ein schlecht konfigurierter Mailserver, verdächtige Inhalte, zu viele Beschwerden von Empfängern oder der Versand über nicht autorisierte Systeme.

Besonders kritisch ist, wenn ein Mailserver nicht überprüfen kann, ob eine Nachricht wirklich von der angegebenen Domain stammt. Spammer und Betrüger versuchen oft, fremde Domains als Absender zu missbrauchen. Genau hier setzen SPF, DKIM und DMARC an.

Die drei wichtigsten Schutzmechanismen im Überblick

SPF: Wer darf für Ihre Domain senden?

SPF ist ein DNS-TXT-Eintrag, der festlegt, welche Server E-Mails im Namen Ihrer Domain versenden dürfen. Wenn Ihre Domain beispielsweise über CURIAWEB E-Mails versendet, muss der CURIAWEB-Mailserver im SPF-Eintrag erlaubt sein. Wenn zusätzlich externe Dienste wie Newsletter-Systeme, CRM-Tools oder Buchhaltungssoftware E-Mails mit Ihrer Domain versenden, müssen auch diese Dienste korrekt berücksichtigt werden.

Ein SPF-Eintrag beantwortet aus Sicht des empfangenden Mailservers die Frage: „Darf dieser Server E-Mails für diese Domain versenden?“ Wenn die Antwort nein lautet oder der SPF-Eintrag fehlerhaft ist, kann die Nachricht als verdächtig eingestuft werden.

DKIM: Die digitale Signatur Ihrer E-Mail

DKIM ergänzt SPF um eine digitale Signatur. Der sendende Mailserver versieht ausgehende Nachrichten mit einer kryptografischen Signatur. Der öffentliche Schlüssel zur Prüfung dieser Signatur wird als DNS-Eintrag veröffentlicht. Der empfangende Mailserver kann damit prüfen, ob die E-Mail seit dem Versand verändert wurde und ob die Signatur zur Domain passt.

DKIM ist besonders wertvoll, weil es nicht nur den sendenden Server betrachtet, sondern die Nachricht selbst signiert. Das verbessert die technische Vertrauenswürdigkeit Ihrer E-Mails und ist bei modernen Mailanbietern ein wichtiger Bestandteil der Authentifizierung.

DMARC: Regeln für fehlgeschlagene Prüfungen

DMARC baut auf SPF und DKIM auf. Es legt fest, was empfangende Mailserver tun sollen, wenn eine E-Mail die Authentifizierungsprüfung nicht besteht oder nicht zur sichtbaren Absenderdomain passt. DMARC kann außerdem Berichte ermöglichen, mit denen Sie sehen können, welche Systeme E-Mails im Namen Ihrer Domain versenden.

DMARC kann mit unterschiedlichen Richtlinien betrieben werden:

E-Mail-Zustellbarkeit in cPanel prüfen

cPanel bietet mit E-Mail-Zustellbarkeit eine praktische Funktion, um die wichtigsten Authentifizierungsdaten Ihrer Domain zu prüfen. cPanel zeigt an, ob Probleme bestehen, welche Einträge empfohlen werden und ob SPF, DKIM oder DMARC installiert werden können.

Schritt-für-Schritt: SPF, DKIM und DMARC in cPanel prüfen

1. Melden Sie sich in Ihrem cPanel-Konto an.
2. Öffnen Sie im Bereich E-Mail die Funktion E-Mail-Zustellbarkeit oder Email Deliverability.
3. Suchen Sie die gewünschte Domain in der Liste.
4. Wenn cPanel Probleme meldet, klicken Sie auf Verwalten oder Manage.
5. Prüfen Sie die vorgeschlagenen Einträge für SPF, DKIM und DMARC.
6. Wenn cPanel die DNS-Zone verwaltet, können Sie die vorgeschlagenen Datensätze meist direkt installieren.
7. Wenn die DNS-Zone extern verwaltet wird, kopieren Sie die vorgeschlagenen Werte und setzen Sie diese beim externen DNS-Anbieter.
8. Warten Sie die DNS-Aktualisierung ab und prüfen Sie die Domain anschließend erneut.

Externe Versanddienste korrekt einbinden

Viele Unternehmen versenden E-Mails nicht nur über das normale Hosting-Postfach. Häufig kommen zusätzliche Dienste zum Einsatz, zum Beispiel Newsletter-Tools, CRM-Systeme, Support-Software, Buchhaltungssysteme, Shop-Systeme oder Terminbuchungsplattformen.

Typische externe Dienste sind beispielsweise:

• Newsletter-Tools wie Mailchimp oder Brevo,
• CRM- und Sales-Systeme,
• Helpdesk- oder Ticketsysteme,
• Shop- und Rechnungssoftware,
• Microsoft 365 oder Google Workspace,
• Transaktionsmail-Anbieter für automatische Systemmails.

Wenn solche Dienste E-Mails mit Ihrer Domain als Absender versenden, müssen sie korrekt in SPF, DKIM und gegebenenfalls DMARC berücksichtigt werden. Andernfalls kann es passieren, dass genau diese legitimen Nachrichten als nicht autorisiert gelten.

Typische Fehler bei SPF, DKIM und DMARC

1. Mehrere SPF-Einträge für dieselbe Domain

Mehrere SPF-Einträge sind ein häufiger Fehler. Statt mehrere TXT-Einträge mit v=spf1 anzulegen, müssen alle berechtigten Versandquellen in einem einzigen SPF-Eintrag zusammengeführt werden.

2. Externe Maildienste fehlen im SPF-Eintrag

Wenn ein Newsletter-Tool oder CRM E-Mails mit Ihrer Domain versendet, aber nicht im SPF-Eintrag berücksichtigt ist, kann die Authentifizierung fehlschlagen.

3. DKIM nicht aktiviert

Ohne DKIM fehlt eine wichtige Signaturprüfung. Viele empfangende Mailserver bewerten signierte Nachrichten vertrauenswürdiger als unsignierte Nachrichten.

4. DMARC zu streng eingerichtet

Eine direkte Policy wie p=reject kann problematisch sein, wenn noch nicht alle legitimen Versandquellen korrekt authentifiziert sind. Beginnen Sie in komplexen Setups eher mit Überwachung und verschärfen Sie die Policy erst nach Prüfung.

5. DNS wird an der falschen Stelle geändert

Wenn Ihre Domain externe Nameserver verwendet, bringen Änderungen im cPanel-Zonen-Editor möglicherweise nichts. Entscheidend ist immer die autoritative DNS-Zone.

6. Absenderdomain und Versanddienst passen nicht zusammen

Wenn die sichtbare Absenderadresse, der technische Versandweg und die authentifizierte Domain nicht zusammenpassen, kann DMARC fehlschlagen. Achten Sie daher auf eine saubere Domain-Ausrichtung.

Wie prüfen Sie Ihre E-Mail-Zustellbarkeit?

Nach Änderungen an SPF, DKIM oder DMARC sollten Sie die Konfiguration prüfen. Nutzen Sie dafür zuerst die Funktion E-Mail-Zustellbarkeit in cPanel. Zusätzlich können externe Testdienste hilfreich sein, die eine Testmail analysieren und Hinweise zu DNS, Authentifizierung, Spamfaktoren und Reputation geben.

Beachten Sie jedoch: Externe Testtools liefern immer nur eine Momentaufnahme. Eine gute Bewertung in einem Tool bedeutet nicht automatisch, dass jede E-Mail bei jedem Empfänger im Posteingang landet. Umgekehrt bedeutet eine Warnung nicht immer, dass Ihre komplette E-Mail-Konfiguration defekt ist. Entscheidend ist die fachliche Bewertung der Ergebnisse.

Gute technische Zustellbarkeit ist nur ein Teil der Lösung

Neben SPF, DKIM und DMARC gibt es weitere Faktoren, die beeinflussen, ob E-Mails im Posteingang landen:

• saubere Empfängerlisten,
• keine gekauften oder ungeprüften Adresslisten,
• realistische Versandmengen,
• geringe Beschwerderaten,
• klare Absenderidentität,
• seriöser Betreff und Inhalt,
• funktionierende Antwortadresse,
• korrekte Abmeldemöglichkeit bei Newslettern,
• keine verdächtigen Anhänge oder Links.

Die DNS-Authentifizierung ist daher die technische Basis. Gute E-Mail-Praxis bleibt trotzdem notwendig.

Häufige Fragen zu SPF, DKIM und DMARC

Muss jede Domain SPF, DKIM und DMARC haben?
Für Domains, die E-Mails versenden, ist eine korrekte Authentifizierung dringend zu empfehlen. Auch Domains, die nicht aktiv senden, können durch DMARC besser gegen Missbrauch geschützt werden.

Kann cPanel SPF, DKIM und DMARC automatisch setzen?
Ja, wenn die DNS-Zone über den cPanel-Server verwaltet wird. Wenn die Domain externe Nameserver verwendet, müssen die Einträge beim externen DNS-Anbieter gesetzt werden.

Warum zeigt cPanel weiterhin Probleme an?
Mögliche Gründe sind DNS-Propagation, externe Nameserver, falsch kopierte Einträge, mehrere SPF-Einträge oder fehlende DKIM-/DMARC-Datensätze.

Was passiert, wenn ich externe Dienste wie Mailchimp verwende?
Diese Dienste müssen korrekt authentifiziert werden. Verwenden Sie die DNS-Vorgaben des jeweiligen Dienstes und kombinieren Sie SPF-Einträge korrekt.

Kann CURIAWEB meine E-Mail-Zustellbarkeit prüfen?
Ja, der CURIAWEB-Support kann die technischen DNS-Grundlagen prüfen. Für externe Dienste werden oft deren konkrete DNS-Vorgaben benötigt.