Zustellbarkeit Newsletter: Warum Mails im Spam landen

Was ist Absenderreputation?

Absenderreputation ist kein Gesetzesbegriff, sondern ein Wert, den Postfachanbieter intern führen. Google beschreibt Reputation als Bewertung der Qualität der Domains und IP-Adressen, über die E-Mails gesendet werden. Sie werde durch das Sendeverhalten bestimmt, und Internet- und E-Mail-Anbieter überwachten den Ruf der Absender. Nachrichten von Absendern mit hoher Reputation werden laut Google mit höherer Wahrscheinlichkeit in den Posteingang statt in den Spam-Ordner zugestellt.⁹

Die Postmaster Tools zeigen die Bewertung für IP-Adressen und Domains in vier Stufen: „Schlecht“, „Gering“, „Mittel“ und „Hoch“. „Hoch“ bedeutet bisher sehr niedrige Spamraten und Einhaltung der Gmail-Richtlinien für Absender. Bei „Schlecht“ werden E-Mails von dieser Adresse laut Google fast immer als Spam markiert oder abgelehnt.⁹

Daraus folgen zwei Dinge. Erstens hat jede Domain und jede IP-Adresse ihren eigenen Ruf: Yahoo schreibt, dass jede IP-Adresse und jede DKIM-Domain eine Reputation hat, und rät deshalb, Marketing-Mails nicht über dieselben IP-Adressen zu senden wie Nutzer-, Transaktions- oder Alarmmails.¹⁰ Zweitens teilen sich Absender auf einer gemeinsamen IP-Adresse einen Ruf, denn nach Google wirken sich die Aktivitäten aller Absender einer gemeinsamen IP-Adresse auf den Ruf aller aus.⁷

Warum landen Newsletter im Spam?

Die Hilfeseiten von Google, Yahoo und Microsoft nennen ähnliche Ursachen. Die wichtigsten:

• Fehlende Authentifizierung. Nachrichten, die nicht mit SPF, DKIM oder DMARC authentifiziert sind, werden laut Google möglicherweise als Spam markiert oder mit dem Fehler 5.7.26 abgelehnt.⁷
• Hohe Spamrate. Werden E-Mails einer Domain regelmäßig als Spam gemeldet, steigt nach Google die Wahrscheinlichkeit, dass künftige Nachrichten als Spam markiert werden.⁷
• Empfänger, die nichts erhalten wollen. Google rät, E-Mails nur an Personen zu senden, die Nachrichten erhalten möchten.⁷ Yahoo rät davon ab, Adresslisten zu kaufen oder Empfänger über ein automatisch angekreuztes Kontrollkästchen anzumelden.¹⁰
• Irreführende Gestaltung. Betreff, Header und Anzeigename müssen Absender und Inhalt genau darstellen. Mit HTML und CSS verborgene Inhalte können nach Google dazu führen, dass Nachrichten als Spam markiert werden.⁷
• Technische Mängel. Fehlende gültige PTR-Einträge, fehlendes TLS oder ein Format abseits von RFC 5322 führen laut Google zu Fehlercodes oder zur Zustellung in den Spamordner.⁸
• Unbeachtete Abmeldungen. Das Dashboard „Abmeldungen respektieren“ kann laut Google auf „Verbesserung nötig“ stehen, wenn Abmeldeanfragen nicht innerhalb von 48 Stunden bearbeitet werden.⁹

Eine Zahl täuscht leicht: Die Spamrate im Postmaster-Dashboard ist der Anteil der Nachrichten, die an den Posteingang aktiver Empfänger zugestellt und dann als Spam markiert wurden. Verschiebt Gmail viele Nachrichten automatisch in den Spamordner, kann die angezeigte Rate niedrig wirken, weil weniger Empfänger sie im Posteingang sehen.⁹ Meine Folgerung: Eine niedrige Spamrate allein beweist keine gute Zustellung.

SPF, DKIM, DMARC: Was Authentifizierung leistet und was nicht

Die drei Verfahren beantworten drei verschiedene Fragen:

Welcher RFC gilt für DMARC?

DMARC wurde zunächst in RFC 7489 beschrieben, einem Dokument der Kategorie „Informational“ vom März 2015.⁴ Der RFC-Editor führt RFC 7489 als überholt und verweist auf RFC 9989, RFC 9990 und RFC 9991.⁴ RFC 9989 beschreibt das Protokoll selbst, ist ein Dokument der Standards Track, erschien im Mai 2026 und löst neben RFC 7489 auch RFC 9091 ab.³ RFC 9990 regelt die Aggregate Reports, mit denen Empfänger dem Domaininhaber berichten.⁵

Eine Stolperstelle

Nach RFC 7208 darf eine SPF-Auswertung höchstens zehn Begriffe enthalten, die DNS-Abfragen auslösen (include, a, mx, ptr, exists und redirect). Wird die Grenze überschritten, lautet das Ergebnis „permerror“.¹

Die DMARC-Richtlinie kennt drei Werte: „none“ (der Domaininhaber äußert keine Präferenz), „quarantine“ (er hält solche Mail für verdächtig) und „reject“ (er sieht darin ein klares Zeichen für eine ungültige Nutzung der Domain).³ Microsoft rät, schrittweise von „none“ über „quarantine“ zu „reject“ vorzugehen, um unbeabsichtigten Mailverlust zu vermeiden.¹²

Was Authentifizierung nicht beweist

Ein bestandenes DMARC besagt nach RFC 9989 nur, dass die Nutzung der Absenderdomain für diese Nachricht als vom Domaininhaber autorisiert validiert wurde. Es enthalte keine Wertaussage über die Nachricht oder den Domaininhaber, und Empfänger dürften auch bestandene Nachrichten ablehnen oder in Quarantäne stellen.³ Microsoft formuliert es so: Authentifizierung stellt sicher, dass E-Mails von Ihnen stammen, aber die Wahrnehmung der Nutzer zählt weiterhin.¹² Meine Einschätzung: Authentifizierung ist die Eintrittskarte. Ob Sie hereinkommen und bleiben, entscheidet Ihr Verhalten.

Sie schützt zugleich Ihre Domain: Mit DMARC-Berichten erkennen Sie laut Google Absender, die Ihre Domain missbräuchlich verwenden.⁷ Zum Missbrauch von Marken siehe Fake-Shops erkennen: Wenn eine Marke zur Täuschung benutzt wird.

Zustellbarkeit Newsletter: Was Gmail, Yahoo und Outlook.com verlangen

Die drei Anbieter stellen Anforderungen, die sich im Kern ähneln. Auszug aus ihren Hilfeseiten:

Gmail im Detail

Google nennt als Absender von Massen-E-Mails, wer innerhalb von 24 Stunden etwa 5.000 Nachrichten oder mehr an private Gmail-Konten sendet. Alle Nachrichten derselben primären Domain werden zusammengezählt, und der Status gilt dauerhaft.⁸ In Googles Beispiel ergeben 2.500 Nachrichten von einer Domain und 2.500 von einer Subdomain zusammen 5.000. Eine Subdomain ändert an der Zählung also nichts.⁸

Zur Spamrate schreibt Google: Sie werde täglich berechnet, Absender sollten sie unter 0,1 % halten und 0,3 % oder mehr unbedingt vermeiden. Schon Raten über 0,1 % wirkten sich für Absender von Massen-E-Mails negativ auf die Zustellung in den Posteingang aus, Raten ab 0,3 % noch stärker.⁸

Die Abmeldung mit einem Klick gilt für Marketing- und Werbenachrichten, nicht für Transaktionsnachrichten wie das Zurücksetzen eines Passworts.⁸ Technisch beschreibt RFC 8058: Die Nachricht enthält ein Header-Feld List-Unsubscribe mit einer HTTPS-URI und ein Feld List-Unsubscribe-Post mit dem Wert „List-Unsubscribe=One-Click“. Beide Felder müssen von einer gültigen DKIM-Signatur abgedeckt sein, und der Absender darf auf die Anfrage nicht mit einer HTTPS-Weiterleitung antworten.⁶

Yahoo und Outlook.com

Yahoo weist auf seiner Seite selbst darauf hin, dass sich die Anforderungen ändern können.¹⁰ Microsofts Schwelle gilt für seine Verbraucherdienste, darunter Outlook.com, Hotmail und Live.com.¹¹ Prüfen Sie Schwellen und Fristen deshalb direkt auf den verlinkten Seiten.

Einwilligung und Abmeldung: Was in Österreich und nach der DSGVO gilt

Die Anbieterregeln betreffen die Zustellung, nicht die Rechtmäßigkeit des Versands. Für die Zusendung elektronischer Post zu Werbezwecken regelt in Österreich § 174 TKG 2021 die Einwilligung. Er enthält drei Aussagen, die für Newsletter wichtig sind:

• Nach Abs. 3 ist die Zusendung elektronischer Post, einschließlich SMS, ohne vorherige Einwilligung des Empfängers unzulässig, wenn sie zu Zwecken der Direktwerbung erfolgt.¹⁴
• Abs. 4 nennt eine Ausnahme, bei der die vorherige Einwilligung nicht notwendig ist. Sie verlangt kumulativ, dass der Absender die Kontaktinformation im Zusammenhang mit dem Verkauf oder einer Dienstleistung an seine Kunden erhalten hat, dass die Nachricht der Direktwerbung für eigene ähnliche Produkte oder Dienstleistungen dient, dass der Empfänger bei der Erhebung und bei jeder Übertragung klar und deutlich die Möglichkeit hatte, die Nutzung kostenfrei und problemlos abzulehnen, und dass er die Zusendung nicht von vornherein abgelehnt hat.¹⁴
• Nach Abs. 5 ist die Zusendung unter anderem jedenfalls unzulässig, wenn die Identität des Absenders verschleiert oder verheimlicht wird oder wenn keine authentische Adresse vorhanden ist, an die der Empfänger eine Aufforderung zur Einstellung solcher Nachrichten richten kann.¹⁴

Die DSGVO ergänzt das: Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person eingewilligt hat (Art. 7 Abs. 1). Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3). Bei Direktwerbung kann die betroffene Person jederzeit widersprechen (Art. 21 Abs. 2), und die Daten werden danach nicht mehr für diese Zwecke verarbeitet (Art. 21 Abs. 3).¹⁵ Mehr zu den Betroffenenrechten steht im Beitrag Auskunft, Löschung, Auslistung: Was die DSGVO wirklich durchsetzbar macht.

Meine Einschätzung für die Praxis: Halten Sie Zeitpunkt und Herkunft jeder Einwilligung fest, und machen Sie die Abmeldung nicht schwerer als die Anmeldung. Google rät, Empfänger aktiv zustimmen zu lassen und jedem Empfänger vor der Aufnahme in den Verteiler eine Bestätigungsanfrage zu schicken.⁷ Yahoo empfiehlt ebenfalls, Anmeldungen per Bestätigungsmail bestätigen zu lassen.¹⁰ Ob ein Verfahren in Ihrem Fall rechtlich genügt, ist eine Frage des Einzelfalls.

Listenhygiene und Postmaster-Werkzeuge: Was sie zeigen

Listenhygiene wirkt unmittelbar auf die Kennzahlen, nach denen Postfachanbieter bewerten:

• Inaktive Empfänger: Google rät, Empfänger, die Ihre E-Mails nicht öffnen oder lesen, aus dem Verteiler zu nehmen.⁷ Yahoo empfiehlt, inaktive Empfänger zu beobachten und ihnen gegebenenfalls regelmäßig eine Mail zur erneuten Bestätigung zu senden.¹⁰ Als Richtwert für die Bereinigung nennt Microsoft monatlich oder vierteljährlich.¹²
• Bounces: Google rät, Empfänger automatisch zu entfernen, von denen mehrfach Unzustellbarkeitsnachrichten eintreffen.⁷ Yahoo empfiehlt, harte und weiche Bounces zu beobachten und ungültige Empfänger zügig zu entfernen.¹⁰
• Beschwerden: Beschwerden sind von Empfängern als Spam markierte Nachrichten. Yahoo bietet dafür einen Complaint Feedback Loop an, und Googles Postmaster Tools haben ein Dashboard „Feedback Loop“.¹⁰⁹

Was Google Postmaster Tools anzeigen

Die Postmaster Tools bieten Dashboards für Compliancestatus, Spamrate, IP-Reputation, Domain-Reputation, Feedback Loop, Authentifizierung, Verschlüsselung und Zustellungsfehler.⁹ Nach Googles Hilfeseite sind die Daten keine Echtzeitdaten und werden normalerweise innerhalb von 24 Stunden aktualisiert. Einige Dashboards zeigen nur DKIM-authentifizierte Nachrichten, und an Tagen mit geringem Volumen können Daten fehlen.⁹

BIMI: Das eigene Logo im Posteingang

BIMI zeigt in unterstützenden Postfächern das Logo des Absenders neben der Nachricht. Für Gmail nennt Google als Voraussetzungen ein VMC- oder CMC-Zertifikat, DMARC mit „quarantine“ oder „reject“ und pct=100, ein Logo als SVG-Datei sowie einen Webserver mit HTTPS. Ein VMC setzt voraus, dass das Logo als Marke eingetragen ist; ohne Markenschutz kommt ein CMC infrage.¹³ Die Produktseite von YIIO Mailer nennt als Voraussetzungen DMARC mit „quarantine“ oder „reject“, ein Logo als SVG und ein Zertifikat (bei Gmail VMC oder CMC) und weist darauf hin, dass ein eigenes Logo über alle relevanten Postfächer hinweg nur mit eingetragener Marke erreichbar ist.

Zustellbarkeit Newsletter prüfen: Checkliste für Ihre Absenderdomain

Diese Checkliste fasst die Punkte aus den verlinkten Quellen zusammen:

1. Versandarten trennen. Yahoo rät, Marketing-Mail nicht über dieselben IP-Adressen zu senden wie Nutzer- und Transaktionsmails.¹⁰ Bedenken Sie, dass Google das Volumen je primärer Domain zählt.⁸
2. SPF prüfen. Der Eintrag soll alle Absender der Domain enthalten, denn Nachrichten fehlender Drittanbieter werden laut Google eher als Spam markiert.⁷ Beachten Sie die Grenze von zehn DNS-Abfragen.¹
3. DKIM aktivieren. Google verlangt für das Senden an private Gmail-Konten einen Schlüssel mit mindestens 1.024 Bit und empfiehlt 2.048 Bit.⁷
4. DMARC veröffentlichen. Beginnen Sie mit „none“ und Berichten, und verschärfen Sie schrittweise.¹² Google empfiehlt, die DMARC-Berichterstattung einzurichten.⁷
5. Alignment prüfen. Die Domain im From-Header muss mit der SPF- oder der DKIM-Domain übereinstimmen.⁷
6. Abmeldung einrichten. One-Click nach RFC 8058 mit DKIM-signierten Headern und ohne Weiterleitung.⁶ Dazu gehören ein sichtbarer Abmeldelink und die Bearbeitung binnen zwei Tagen.¹⁰
7. Infrastruktur prüfen. Gültige PTR-Einträge, TLS und das Format RFC 5322.⁷
8. Testnachricht lesen. Microsoft empfiehlt, die Header einer empfangenen Nachricht anzusehen, um die Ergebnisse von SPF, DKIM und DMARC zu prüfen.¹¹
9. Postmaster Tools einrichten. Beobachten Sie Compliancestatus, Spamrate und Reputation, und halten Sie die Spamrate unter 0,1 %.⁸
10. Einwilligungen belegen. Halten Sie sie so fest, dass Sie die Einwilligung nachweisen können.¹⁵ Bereinigen Sie die Liste regelmäßig.¹²

Wie Absenderreputation und Ruf eines Unternehmens zusammenhängen, ordnet der Beitrag Reputationsmanagement: Was es leistet und was nicht ein.

Wo YIIO Mailer ansetzt und wo nicht

YIIO Mailer bündelt diese Voraussetzungen im Versand: Je Adresse werden Einwilligung, Zeitpunkt und Herkunft festgehalten, die Anmeldung läuft durchgehend per Double-Opt-in, und die Abmeldung mit einem Klick folgt RFC 8058. SPF, DKIM und DMARC richtet der Mailer gemeinsam mit Ihnen ein und prüft sie laufend. Die Zustellbarkeit wird über die Postmaster-Werkzeuge der Anbieter und die DMARC-Sammelberichte gemessen. Der Versand läuft über eine eigene Subdomain. Ob Ihre Empfängerliste rechtmäßig zustande gekommen ist, prüft der Mailer nicht: Dafür bleiben Sie verantwortlich.