Eine Adresse zu verifizieren verschickt keine Nachricht: Die SMTP-Sitzung endet vor dem Befehl DATA, der den Inhalt überträgt (RFC 5321, Abschnitt 4.1.1.4). Dieser wenig bekannte Mechanismus erklärt die meisten Mythen über die E-Mail-Verifizierung, denen man entweder zu viel Macht zuschreibt oder Eingriffe unterstellt, die sie nicht begeht.
Am besten belegt ist ihre Wirkung auf den Hard Bounce: Sie sortiert nicht existierende Adressen vor dem Versand aus. Auf Spam-Beschwerden und Engagement hat sie keinen Einfluss. Die 9 Mythen unten lassen sich jeweils mit einem veröffentlichten Schwellenwert oder mit der Funktionsweise des SMTP-Protokolls klären.
Verifizierung und Validierung: der Unterschied in Kürze
Die Validierung prüft die Form einer Adresse: ein „@“, eine Domain, eine Syntax nach RFC 5322. Die Verifizierung befragt anschließend die Domain über ihren MX-Eintrag, dann den Mailserver selbst, und erkennt Wegwerfadressen. Die einzelnen Schritte beschreibt der Artikel über den Unterschied zwischen Validierung und Verifizierung.
9 Mythen zur E-Mail-Verifizierung auf dem Prüfstand
Ist eine verifizierte Adresse eine risikofreie Adresse?
Nein. Ein Verifizierer ordnet Adressen in Kategorien ein (gültig, ungültig, Catch-all, riskant), weil „gültig“ nicht jeden Fall abdeckt. Wegwerfadressen sind ein solcher Fall: Das Postfach existiert und antwortet am Tag des Tests, danach wird es aufgegeben. Die Dienste erkennen sie anhand von Listen von Wegwerfdomains, die der Artikel über Wegwerf-E-Mail-Adressen vergleicht. Die Spam Trap ist der heimtückischste Fall: Sie wird von einem Mailanbieter oder einer Anti-Spam-Organisation betrieben und nimmt Nachrichten an. Der SMTP-Test sieht darin also ein gewöhnliches Postfach. Die Dokumentation von Amazon SES weist darauf hin, dass solche Fallen auch ehemals gültige Adressen sein können, die nach langer Zeit voller Bounces aufgegeben wurden.
Kann man ein Postfach prüfen, ohne ihm eine E-Mail zu schicken?
Ja. Eine SMTP-Transaktion besteht aus 3 Befehlen: MAIL FROM nennt den Absender, RCPT TO den Empfänger, DATA übermittelt den Nachrichteninhalt (RFC 5321, Abschnitt 3.3). Der Server antwortet auf RCPT TO, bevor DATA überhaupt gesendet wird; ein Verifizierer hört an dieser Stelle auf und beendet die Verbindung. Der Code 250 bedeutet „akzeptiert“, 550 „Postfach unbekannt“, ein Code im 4xx-Bereich eine vorübergehende Ablehnung, die man erneut versuchen kann.
Der MX-Eintrag zeigt, wo die Frage zu stellen ist. Nach Abschnitt 5.1 der RFC 5321 wird eine Domain ohne MX behandelt, als hätte sie einen impliziten MX, der auf ihren eigenen Host verweist. Ein fehlender MX bleibt daher ein Signal, das mit den übrigen Ergebnissen abzugleichen ist. Dieses Verfahren hat eine bekannte Schwachstelle, die weiter unten behandelt wird: Manche Domains antworten auf alles mit 250.
Ist die Verifizierung invasiv?
Der Inhalt bleibt unerreichbar: Es wird keine Nachricht übertragen oder gelesen, denn die Sitzung endet vor DATA. Bleibt die Frage der DSGVO: Eine personenbezogene Adresse bleibt ein personenbezogenes Datum. Die CNIL legt die Regeln für den Zeitpunkt der Werbeansprache fest. Sie verlangt im B2C eine vorherige Einwilligung und im B2B ein Widerspruchsrecht. Sie empfiehlt, beides über ein standardmäßig nicht angekreuztes Kästchen einzuholen (das vorangekreuzte Kästchen ist untersagt). Jede Ansprache muss die versendende Organisation nennen und eine einfache Ablehnung ermöglichen (Seite der CNIL zur Direktwerbung per E-Mail, Seite auf Französisch, Stand 10. Juni 2026).
Beweist ein Catch-all, dass die Adresse existiert?
Nein. Eine Catch-all-Domain nimmt Post an jeden beliebigen Namen vor dem At-Zeichen an: jean.dupont@ und azertyuiop@ erhalten dasselbe 250 auf den Befehl RCPT TO.
Keine Methode klärt das sicher: Ob die Nachricht in einem echten Postfach landet oder verworfen wird, hängt von der Konfiguration der Domain ab. Seriöse Dienste stufen diese Adressen als risky ein (bei manchen „accept-all“), was eine tatsächliche Unsicherheit ausdrückt. Ein Testversand an dieses Segment, mit Auswertung des Hard Bounce vor der Ausweitung, ist besser als blindes Aussortieren.
Genügen ein kostenloses Tool oder eine einfache Syntaxprüfung?
Nein. „gmial.com“ erfüllt alle Syntaxregeln. Die nächste Prüfung, der MX-Eintrag, eliminiert nicht existierende Domains, lässt aber eine reale Domain durch, auf der das Postfach nicht existiert. Erst das SMTP-Gespräch befragt die Adresse selbst. Ein kostenloses Tool beurteilt man deshalb nach der Tiefe seiner Prüfung: Syntax und Domain auf der einen Seite, SMTP mit Catch-all-Erkennung auf der anderen. Die Validierung allein sagt nichts über den Zustand des Posteingangs aus.
Sind verifizierte Adressen immer aktiv?
Nein. „Gültig“ bedeutet: Der Server hat die Adresse zum Zeitpunkt des Tests akzeptiert. Danach kann ein Postfach monatelang ohne Leser bleiben. Es kann auch volllaufen und Soft Bounces erzeugen. Amazon SES empfiehlt deshalb, den Versand an Empfänger einzustellen, die weder öffnen noch klicken: Eine inaktive Adresse bounct nicht, sie belastet das Engagement.
Reicht eine Verifizierung pro Jahr?
Eine allgemeingültige Zahl für den Rhythmus gibt es nicht. Er hängt davon ab, wie schnell sich der Bestand erneuert und was ein Bounce kostet (Schwellenwerte weiter unten). Für Kontakte, die lange nicht angeschrieben wurden, rät SES, nur einen kleinen Anteil in jeden Versand aufzunehmen. Die Seite über die Häufigkeit der Verifizierung einer E-Mail-Liste behandelt den passenden Rhythmus. Ein Double Opt-in und eine Verifizierung bei der Eingabe stoppen Tippfehler schon am Eingang; die Bereinigung der bestehenden Liste ergänzt diese beiden Schutzmaßnahmen.
Garantiert die Verifizierung die Zustellbarkeit?
Nein, sie wirkt auf nur eine Zeile der Bilanz. Für Spam-Beschwerden gilt bei Gmail seit dem 1. Februar 2024 für alle Absender diese Regel:
„Halten Sie die in Postmaster Tools angezeigten Spam-Raten unter 0,10 % und vermeiden Sie eine Spam-Rate von 0,30 % oder mehr.“
Diese Vorgabe steht in den Richtlinien von Google für Absender, die von allen Absendern SPF oder DKIM verlangen und ab 5.000 Nachrichten pro Tag an Gmail zusätzlich DMARC. Ein vollkommen gültiger Empfänger, der auf „Als Spam melden“ klickt, belastet die Absenderreputation, ohne dass eine Verifizierung das verhindern könnte; die Definition von Spam und die Fehler bei der Zustellbarkeit decken diese andere Hälfte des Themas ab.
Bei den Bounces liefert dieselbe Seite von Amazon SES eine gut lesbare Skala: unter 2 % Hard Bounces für gute Ergebnisse, Überprüfung des Kontos ab 5 %, mögliche Sperrung ab 10 %. Vorübergehende Bounces, etwa bei einem vollen Postfach, zählen in dieser Rechnung nicht.
Sind alle Verifizierungsdienste gleichwertig?
Nein. Die Dienste unterscheiden sich im Umgang mit Catch-all-Adressen, in der Aktualität ihrer Listen von Wegwerfdomains und in der Feinheit ihrer Statuswerte. Ein Dienst, der nur „gültig“ oder „ungültig“ zurückgibt, verdeckt die unsicherste Kategorie, die der Catch-all-Adressen. Der aussagekräftigste Test dauert wenige Minuten: einige hundert Adressen einreichen, deren Ergebnis man bereits kennt, und die zurückgegebenen Status vergleichen. Die Stichprobe mischt aktive interne Postfächer, erfundene Adressen auf realen Domains und eine bekannte Catch-all-Domain.
Was eine verifizierte Liste offenlässt
Der Test misst weder den Inhalt der Nachricht noch die Einwilligung der Empfänger. Über die Lust am Lesen sagt er ebenfalls nichts. Eine Stichprobe aus dem ältesten Segment, vor der nächsten Kampagne durch Captain Verify geschickt, liefert den Anteil ungültiger Adressen dieser Datenbasis, zum Vergleich mit der Bounce-Schwelle von 2 % bei Amazon SES.
