Ein Unternehmensserver, der auf Ihren SMTP-Befehl DATA mit „250 OK“ antwortet, hat die Nachricht noch in keinem Postfach abgelegt. Microsoft 365 kann sie in Quarantäne schicken, wo sie je nach Richtlinie nur der Administrator freigeben kann. Es kann sie auch nach einer Regel, die Sie nie zu sehen bekommen, im Ordner des Nutzers ablegen. Ihr E-Mail-Tool zeigt „zugestellt“. Die Öffnungsrate (open rate) bricht im B2B-Segment ein. Der Inbox Placement hängt vom Empfängertyp ab. Im B2B entscheidet das empfangende Unternehmen über die Sortierung. Im B2C bewertet ein Webmail-Dienst die Sender Reputation und das Engagement. Messung und Liste lassen sich also nur Segment für Segment steuern.
Was passiert mit einer E-Mail, die der Server des Unternehmens akzeptiert hat?
Oft durchläuft sie zwei Filter, bevor sie das Postfach erreicht: das Sicherheits-Gateway des Unternehmens, dann das Mailsystem selbst. Nehmen Sie eine Nachricht an vorname.nachname@unternehmen.de. Der MX record der Domain bestimmt die erste Station. Er kann auf einen gehosteten Dienst wie Microsoft 365 oder Google Workspace zeigen. Er kann auch auf einen eigenen Server oder ein Sicherheits-Gateway zeigen, einen Filter vor dem Mailsystem, der die Post prüft, bevor sie das Postfach erreicht (Proofpoint und Mimecast sind bekannte Beispiele). Zeigt der MX auf einen solchen Filter (mit Exchange Online Protection dahinter, zum Beispiel), kommt die Nachricht mit der IP-Adresse des letzten Hops in Microsoft 365 an, also der des Filters. Die Option Enhanced Filtering for Connectors existiert, um die ursprüngliche IP wiederherzustellen und manche DKIM-Signaturfehler aufzufangen, die Filter verursachen, wenn sie die Nachricht verändern.
Eine akzeptierte Nachricht kann also zweimal beurteilt werden: vom Gateway und danach vom dahinterliegenden Mailsystem, jeweils mit eigenen Regeln. Welches Mailsystem welche Unternehmen einsetzen, zeigt der Artikel über die E-Mail-Anbieter, die Unternehmen nutzen.
„Vom Server akzeptiert“ und „für den Empfänger sichtbar“ sind zwei getrennte Ereignisse, und das zweite hängt vom lokalen Filter ab.
Was der Administrator ändern kann, ohne Sie zu informieren
Die Quarantäne eines Microsoft-365-Tenants gehört dem Administrator. Quarantäne-Richtlinien legen fest, was der Nutzer mit seinen zurückgehaltenen Nachrichten tun darf und ob er Benachrichtigungen erhält, die in einem Rhythmus von 4 Stunden bis zu einer Woche verschickt werden. Eine Nachricht, die als Phishing mit hoher Sicherheit eingestuft wird, landet immer in der Quarantäne. Der Nutzer kann sie nicht selbst freigeben: Er kann nur die Freigabe anfordern (Microsoft-Dokumentation zu Quarantäne-Richtlinien). Schadsoftware folgt derselben Regel, ohne Einstellmöglichkeit. Eine Nachricht, die eine Anti-Spam-Richtlinie zurückhält, bleibt standardmäßig 15 Tage in Quarantäne, bei den vordefinierten Richtlinien Standard und Strict 30 Tage; danach verschwindet sie endgültig. Ein Administrator kann auch den Ordner „Junk-E-Mail“ statt der Quarantäne wählen: Dieselbe Nachricht landet dann ohne Benachrichtigung im Spam-Ordner des Nutzers.
Die Positiv- und Negativliste des Tenants, die Tenant Allow/Block List, wird im Microsoft-Defender-Portal unter security.microsoft.com eingestellt (Email & collaboration > Policies & rules > Threat policies > Tenant Allow/Block Lists). Sperreinträge haben Vorrang vor Erlaubniseinträgen. Ein gesperrter Link oder eine gesperrte Domain in einer Nachricht kann dazu führen, dass sie als Phishing mit hoher Sicherheit eingestuft wird, selbst wenn der Absender legitim ist. Bei Google Workspace bietet die Einstellung „Spam“ in der Admin-Konsole eine „Positivliste für E-Mails“ für IP-Adressen und eine „Liste genehmigter Absender“. Der Administrator kann IP-Adressen zulassen und Absender genehmigen, deren Nachrichten die Spamfilter von Gmail umgehen. Er kann auch bestimmte Nachrichten zur Prüfung in Quarantäne schicken. Ein genehmigter Empfänger sieht trotzdem unter Umständen den Hinweis „Diese E-Mail wirkt verdächtig“.
Dieselbe E-Mail, zwei Unternehmen, zwei Schicksale: Quarantäne beim einen, Hauptpostfach beim anderen. Kein Test sagt eine Konfiguration voraus, die nur der Administrator kennt. Ein einzelnes Seed-Postfach zeigt nur einen Fall.
Safe Links und umgeschriebene Links
Safe Links, eine Funktion von Microsoft Defender for Office 365, analysiert URLs während der Zustellung, schreibt die Links eingehender Nachrichten um und prüft die Adresse beim Klick erneut. Es verarbeitet nur die Formate HTTP, HTTPS und FTP, schützt keine Nachrichten im RTF-Format und ignoriert S/MIME-signierte Nachrichten. Ist keine Safe-Links-Richtlinie konfiguriert, deckt der vordefinierte Schutz „Built-in protection“ bereits alle Empfänger einer Organisation ab, die mindestens eine Defender-for-Office-365-Lizenz besitzt. Der umgeschriebene Link hat die Form einer Adresse unter safelinks.protection.outlook.com, sichtbar im Quelltext der Nachricht: Der Empfänger liest den Link, den Sie eingefügt haben, nicht mehr.
Beim Timing gilt: Mit der empfohlenen Option bleibt eine Nachricht mit URLs bis zum Ende der Analyse zurückgehalten und kommt daher später an. Auf Administratorseite sieht eine Liste „Do not rewrite the following URLs“ Ausnahmen vor, mit höchstens 3 Platzhaltern (*) pro Eintrag; Teams und die Office-Webanwendungen erkennen sie nicht. Steht die Domain Ihres Tracking-Links auf einer Sperrliste des Tenants, droht der gesamten Nachricht die Quarantäne.
Wie Gmail, Yahoo und die französischen Webmail-Dienste im B2C sortieren
Gmail veröffentlicht Zahlengrenzen für Absender an @gmail.com. Seit dem 1. Februar 2024 müssen alle Absender an persönliche Gmail-Konten die in den Postmaster Tools angezeigte Spamrate unter 0,3 % halten. Wer mehr als 5.000 Nachrichten pro Tag versendet, muss zusätzlich DMARC veröffentlichen (eine Policy mit p=none genügt), die Absenderdomain per SPF oder DKIM abgleichen und die Abmeldung mit einem Klick anbieten. Google nennt das eigentliche Ziel:
„Halten Sie die in den Postmaster Tools angezeigten Spamraten unter 0,10 % und vermeiden Sie es, eine Spamrate von 0,30 % oder mehr zu erreichen.“
Die Richtlinien von Google für Absender ergänzen technische Anforderungen. Die Verbindung muss per TLS mit einem gültigen PTR-Eintrag laufen, und die DKIM-Schlüssel haben 1024 Bit oder mehr (empfohlen sind 2048 Bit). Google kann eine nicht authentifizierte Nachricht mit dem Fehler 5.7.26 ablehnen. Yahoo wendet seine Vorgaben seit Februar 2024 mit derselben Obergrenze von 0,3 % an und gibt einen Hinweis für Teams, die ihre Complaint Rate berechnen: Die Spamrate wird auf die Post berechnet, die im Posteingang zugestellt wurde. Der Sender Hub von Yahoo warnt außerdem, dass das Anschreiben von Nutzern, die Nachrichten nicht lesen oder melden, die Zustellmetriken und die Reputation verschlechtert. Yahoo verlangt zudem, Abmeldungen innerhalb von 2 Tagen zu verarbeiten.
Bei Orange, SFR, Free und La Poste zeigen nur die Seed-Postfächer weiter unten, was dort geschieht. Die Marktanteile dieser Dienste stehen in der Analyse der Webmail-Dienste, die den Markt dominieren.
Messen: ein Satz Seed-Postfächer pro Empfängertyp
Ein einziges gemischtes Seed Testing liefert einen Durchschnitt, der keine der beiden Welten beschreibt. Besser ist es, die Sets zu trennen:
- Richten Sie B2C-Seed-Postfächer bei Gmail, Outlook.com, Yahoo Mail und bei einem französischen Internetanbieter wie Orange oder Free ein.
- Bauen Sie B2B-Seed-Postfächer auf einem Microsoft-365-Tenant mit Exchange Online Protection und auf einer Google-Workspace-Domain auf, die Sie selbst administrieren, um die Quarantäne von innen zu lesen.
- Senden Sie dieselbe Nachricht an beide Sets und notieren Sie, wo sie landet: Hauptpostfach, Tab, Spam oder Quarantäne.
- Lesen Sie die Postmaster Tools nur für Gmail. Für alle anderen Anbieter prüfen Sie die NDRs und die Deferrals des Versandservers.
Zum vierten Punkt: Die Daten der Postmaster Tools gelten nur für Nachrichten an persönliche Gmail-Konten, also solche mit @gmail.com oder @googlemail.com. Auf Google Workspace gehostete Empfänger erscheinen dort nicht. Die Postmaster Tools zeigen unter anderem die Spamrate und die Domain-Reputation. Die Anleitung zur Einrichtung von Google Postmaster beschreibt die Installation im Detail.
Die Liste: Catch-all und Abgänge im B2B, verwaiste Adressen im B2C
Eine Unternehmensdomain mit Catch-all akzeptiert jede Adresse; der Server verrät nichts darüber, ob das Postfach wirklich existiert. Die Hard-Bounce-Rate bleibt dadurch trügerisch niedrig. Adressen ausgeschiedener Mitarbeiter bereiten dasselbe Problem: mal eine klare Ablehnung, mal ein Alias, der weiter Post aufsaugt. Der Artikel über Catch-all-E-Mails erklärt, wie eine solche Domain funktioniert. Eine Ablehnung durch Microsoft 365 an der Tür kommt im NDR mit dem Enhanced Status Code 5.4.1 zurück. Dafür gibt es eine eigene Seite: SMTP-Fehler 550 5.4.1.
Im B2C überwiegt das umgekehrte Risiko. Die Liste altert durch Desinteresse: verwaiste Adressen und Postfächer, die seit Monaten nie geöffnet wurden. Yahoo beschreibt diese Empfänger als schädlich für die Reputation. Kein Bounce meldet sie; die fehlende Interaktion verrät sie.
Der Versand: Volumen verteilen und Links im Blick behalten
Ein Batch mit 200 Adressen desselben Unternehmens trifft auf einen einzigen Server: Verteilen Sie ihn. Bei Gmail, wo die Schwelle von 5.000 Nachrichten pro Tag die DMARC-Pflicht auslöst, verlangt Google, das Volumen schrittweise zu steigern und dabei die Antworten des Servers zu beobachten. Spamrate und Reputation der Versanddomain behalten Sie parallel im Blick. Eine Überschreitung des Kontingents zeigt sich in der Regel durch den Code 4.7.28, nach dem Google rät, den Versand mindestens 10 Minuten auszusetzen. Beim Inhalt prüft das Gateway eine zweifelhafte Link-Domain, und Safe Links ebenfalls. Der Artikel über Inbox Placement bei hohem Volumen bündelt die Faktoren, die beide Welten gemeinsam haben. Für die Kaltakquise gibt es einen eigenen Leitfaden: B2B-Cold-Email.
Ziehen Sie eine Stichprobe aus dem B2B-Segment und eine weitere aus dem B2C-Segment. Lassen Sie beide vor der nächsten Kampagne durch die Adressprüfung laufen und vergleichen Sie dann die beiden Hard-Bounce-Raten, bevor Sie den Rest versenden.
