Transaktions-E-Mails: So sichern Sie ihre Zustellbarkeit

Warum landet eine Bestellbestätigung, auf die der Kunde wartet, trotzdem im Spam-Ordner? Weil Gmail und Yahoo die Absenderdomain nach ihrer Authentifizierung und ihrer Beschwerderate beurteilen. Die Transaktions-E-Mails (Bestellbestätigung, Passwort-Reset, Rechnung), die nach einer Nutzeraktion automatisch verschickt werden, genießen keinerlei Sonderbehandlung: Bei einer nicht authentifizierten Domain oder einer Spam-Rate nahe 0,30 % in den Postmaster Tools droht der Spam-Ordner. Google verlangt, unter 0,10 % zu bleiben. Dieser Leitfaden listet die Einstellungen, die Sie prüfen sollten, mit den von Google und Yahoo veröffentlichten Schwellenwerten, Stand Oktober 2026.

Warum landet eine erwartete E-Mail im Spam?

Ein Passwort-Reset durchläuft dieselben Filter wie eine Werbeaktion: Sie bewerten die Authentifizierung der Domain, die Historie der IP, das Beschwerdevolumen und die Bounce-Rate. Es gibt 4 typische Ursachen. Die Domain ist nicht authentifiziert. Marketing- und Transaktionsversand teilen sich dieselbe Reputation, sodass eine schlecht zielgerichtete Kampagne die Bestellbestätigungen mit herunterzieht. Die Formulare akzeptieren falsche oder falsch getippte Adressen: Jede fehlerhafte Anmeldung erzeugt einen Hard Bounce. Und schließlich schwankt das Volumen von einem Tag auf den anderen stark, typischerweise beim Black Friday.

Die folgenden Abschnitte behandeln diese Ursachen in der Reihenfolge, in der Sie sie beheben. Der Inhalt der Mail selbst (Betreff, Gestaltung) hat einen eigenen Artikel: die 5 unverzichtbaren Praktiken für Transaktions-E-Mails.

Was Gmail und Yahoo seit 2024 verlangen

Seit dem 1. Februar 2024 muss jeder Absender an Gmail seine Domain mit SPF oder DKIM authentifizieren, einen gültigen PTR-Eintrag (Reverse-DNS) veröffentlichen, den Versand per TLS verschlüsseln und seine Spam-Rate in den Postmaster Tools unter 0,3 % halten. Ab 5.000 Nachrichten pro Tag an persönliche Gmail-Konten werden SPF, DKIM und DMARC alle drei Pflicht, und die Domain im From-Header muss mit der SPF- oder DKIM-Domain übereinstimmen. Die Nachrichten müssen außerdem dem Format der RFC 5322 entsprechen. Die DMARC-Richtlinie darf bei p=none bleiben.

Laut der FAQ zu den Google-Richtlinien werden die 5.000 Nachrichten pro Hauptdomain gezählt: 2.500 Sendungen von beispiel.com und 2.500 von promo.beispiel.com ergeben zusammen 5.000. Google zählt alle Nachrichten einer Hauptdomain, auch die transaktionalen. Eine separate Subdomain isoliert die Reputation jedes Versandstroms, hebt die DMARC-Pflicht aber nicht auf.

„Halten Sie die in den Postmaster Tools angezeigten Spam-Raten unter 0,10 % und vermeiden Sie es, eine Spam-Rate von 0,30 % oder mehr zu erreichen.“ (Richtlinien für Absender, Google)

Yahoo setzt seit Februar 2024 dieselbe Grenze von 0,3 % und empfiehlt dringend ein rua-Tag im DMARC-Eintrag, um die Berichte zu erhalten (Yahoo Sender Hub). Über den Complaint Feedback Loop von Yahoo lassen sich Beschwerden verfolgen, sobald DKIM eingerichtet ist.

SPF, DKIM, DMARC: die 3 DNS-Einträge, die Sie veröffentlichen müssen

Diese 3 Protokolle werden als TXT-Einträge im DNS veröffentlicht und sind in den RFCs 7208 (SPF), 6376 (DKIM) und 7489 (DMARC) genormt. SPF listet die Server auf, die für Ihre Domain senden dürfen. DKIM signiert jede Nachricht mit einem Schlüssel, den der Empfänger im DNS prüft. DMARC legt fest, was geschieht, wenn beide scheitern, und wohin die Berichte gehen.

Legen Sie bei Ihrem DNS-Anbieter einen TXT-Eintrag auf _dmarc.ihredomain.de an, mit dem Wert v=DMARC1; p=none; rua=mailto:dmarc@ihredomain.de und einer TTL von 3600 Sekunden. Prüfen Sie die Veröffentlichung mit dig TXT _dmarc.ihredomain.de. Lassen Sie das 14 bis 28 Tage laufen, lesen Sie die Aggregatberichte und wechseln Sie zu quarantine, sobald alle legitimen Quellen bestehen. Ein direkter Sprung auf reject schaltet ein vergessenes Tool (CRM oder Buchhaltung) ohne Vorwarnung ab.

Eine Falle aus der Praxis: Jedes Versandtool fügt dem SPF sein eigenes include hinzu. Die RFC 7208 begrenzt eine Auswertung auf 10 DNS-Abfragen, verschachtelte Includes eingeschlossen. Darüber meldet SPF einen dauerhaften Fehler, und die Prüfung schlägt fehl.

Separate Subdomain, dedizierte oder gemeinsam genutzte IP

Nehmen Sie in jedem Fall eine separate Subdomain. Eine dedizierte IP lohnt sich nur bei regelmäßigem Versand. Trennen Sie die Versandströme von Anfang an: notifications.ihredomain.de für Transaktionsmails und news.ihredomain.de für Marketing. Prüfen Sie anschließend den PTR der IP mit dem Dig-Tool der Google Admin Toolbox. Yahoo rät davon ab, Marketing von denselben IPs wie Transaktionsmails zu versenden, weil jede IP ihre eigene Reputation hat.

Bei einigen hundert Nachrichten pro Tag und Pausen am Wochenende bleibt die Historie einer dedizierten IP dünn: Ein gut verwalteter gemeinsamer Pool eines seriösen Versanddienstleisters liefert dann in der Regel bessere Ergebnisse. Vermeiden Sie außerdem die Adresse des Firmenpostfachs als Absender für Anwendungsmails sowie „noreply“-Adressen ohne Auswertung. Google verlangt zudem, die From-Header von Gmail nicht zu fälschen: Ein Anwendungsversand mit einer gmail.com-Adresse verstößt dagegen.

Eine dedizierte IP aufwärmen, ohne gedrosselt zu werden

Google rät, mit geringem Volumen an engagierte Empfänger zu beginnen, es schrittweise zu steigern, ohne es über Nacht zu verdoppeln, und dabei die Serverantworten und die Spam-Rate zu beobachten. Gmail lehnt Nachrichten typischerweise mit dem SMTP-Code 4.7.28 ab, wenn es eine ungewöhnliche Rate unerwünschter E-Mails von der IP feststellt: Senken Sie das Volumen, statt in einer Schleife neu zu versuchen.

Ein Praxistipp für Transaktionsversand: Leiten Sie zuerst die am sehnlichsten erwarteten Mails (Bestellbestätigung, Login-Link) über die neue IP und nehmen Sie die nachrangigen Benachrichtigungen stufenweise dazu. Das IP Warm-up einer dedizierten IP dauert in der Regel mehrere Wochen, mit täglichen Stufen, die Sie in den Google Postmaster Tools kontrollieren können.

Abmeldung mit einem Klick: Transaktionsmails sind ausgenommen

Google beschränkt die Ein-Klick-Abmeldung auf Marketing- und Werbenachrichten, mit einer Frist zum 1. Juni 2024 für Absender, die bereits einen Abmeldelink anboten. Als ausgenommene Transaktionsmails nennt Google selbst Passwort-Zurücksetzungen, Buchungsbestätigungen und Formularbestätigungen. Für Ihre Newsletter empfiehlt Google, jede Anfrage innerhalb von 48 Stunden zu bearbeiten. Technisch wird der List-Unsubscribe-Header gemäß RFC 8058 umgesetzt.

Ein Vorbehalt bleibt: Über die Art einer Nachricht entscheidet der Empfänger. Eine Bestellbestätigung mit Werbebanner kann als Marketing wahrgenommen und dann als Spam gemeldet werden.

Was in der Mail selbst zählt

Verwenden Sie einen erkennbaren Absender, dessen Adresse Antworten annimmt (warum Sie noreply-Adressen vermeiden sollten). Schreiben Sie einen Betreff, der das Ereignis benennt („Ihre Bestellung Nr. 4821 ist bestätigt“), mit einem Tracking-Link auf Ihrer eigenen Domain.

Überwachen: Die Signale, die dem Spam-Ordner vorausgehen

Die Absenderreputation verschlechtert sich selten schlagartig. 4 Signale gehen ihr voraus, die Sie jede Woche erfassen sollten.

Zuerst kommen die Google Postmaster Tools: Sie zeigen die Spam-Rate Ihrer Domain bei Gmail. Peilen Sie unter 0,10 % an. Seit Juni 2024 ist ein Massenversender über 0,30 % nicht mehr für Entschärfungsmaßnahmen zugelassen. Sie kehren erst nach 7 aufeinanderfolgenden Tagen unter dieser Schwelle zurück (Google-FAQ, siehe oben). Ein interner Alarm bei 0,20 % lässt Spielraum.

Danach folgen die Bounces. Ein Hard Bounce (nicht existierende Adresse) muss die sofortige Löschung der Adresse auslösen. Ein Soft Bounce (volles Postfach, Server nicht erreichbar) wird einige Male wiederholt, bevor man aufgibt. Die Unzustellbarkeitsberichte (NDR) liefern den genauen Code jeder Ablehnung: Ein Code der Form 5.x.x steht für einen endgültigen Fehler, ein Code der Form 4.x.x für einen vorübergehenden, gemäß dem Standard der erweiterten SMTP-Statuscodes. Der oben genannte Gmail-Code 4.7.28 gehört zur zweiten Familie. Archivieren Sie diese Codes pro Empfängerdomain, um die Domain zu finden, die Sie ausbremst.

Auch der Eintrag auf einer Sperrliste zählt. Fragen Sie die IP und die Versanddomain regelmäßig bei den wichtigsten Blacklists ab: Eine Sperre zeigt sich dort oft, bevor sie Ihre Statistiken belastet.

Bleiben die Spam Traps, Adressen ohne echten Nutzer, die Anti-Spam-Organisationen beobachten, um Sendungen an schlecht gepflegte Listen zu erkennen. Sie schleichen sich in alte oder importierte Listen ein. Das Mittel ist Listenhygiene: inaktive Kontakte entfernen und Adressen vor dem Versand prüfen, um solche auszusortieren, die zurückprallen würden. Lassen Sie vor dem nächsten großen Versand eine Stichprobe Ihrer Datenbank prüfen: Der Anteil ungültiger Adressen zeigt sich sofort.

Die technische Checkliste vor dem Livegang

1. SPF veröffentlicht, nur eine TXT-Zeile, höchstens 10 DNS-Abfragen.
2. DKIM auf der Versanddomain aktiv, Schlüssel getestet.
3. DMARC auf p=none mit einer rua-Adresse, danach Verschärfung nach Lektüre der Berichte.
4. Separate Subdomain für Transaktionsmails, PTR und Forward-DNS stimmig.
5. Dedizierte IP nur bei regelmäßigem Volumen, mit einem Plan für die Steigerung.
6. Verschlüsselter Versand per TLS vom Server oder von der Plattform.
7. Kein Werbeinhalt in rein transaktionalen Mails, die von der Pflicht zur Ein-Klick-Abmeldung ausgenommen sind.
8. Spam-Rate unter 0,10 % in den Postmaster Tools, mit internem Alarm bei 0,20 % (Praxisempfehlung).
9. Hard Bounces beim ersten Auftreten entfernt.
10. Wöchentliche Kontrolle der Blacklists und der Unzustellbarkeitsmeldungen.
11. Adressen beim Import einer Liste geprüft und Inaktive bereinigt.
12. Test mit einem echten Versand per Seed-Testing oder mit Mail-Tester vor jedem Wechsel des Versandtools.

Häufige Fragen

Mein Volumen an Gmail ist gering: Betrifft mich das?

Ja, bei den Grundanforderungen. Unter 5.000 Nachrichten pro Tag ist DMARC nicht Pflicht; die übrigen Anforderungen bleiben bestehen: SPF- oder DKIM-Authentifizierung, TLS, PTR und eine Spam-Rate unter 0,3 %. Die Marke von 0,10 % gilt für alle.

Wie lange dauert es, eine beschädigte Reputation wiederherzustellen?

Google gibt an, dass sich Verbesserungen der Spam-Rate nur mit Verzögerung in der Einstufung niederschlagen. Rechnen Sie nach eigener Schätzung mit mehreren Wochen. Ein Massenversender ist nach 7 aufeinanderfolgenden Tagen unter 0,3 % wieder für Entschärfungsmaßnahmen zugelassen (Regel seit Juni 2024).

Garantiert ein Mail-Tester-Score von 10/10 die Inbox?

Nein. Mail-Tester bewertet eine Nachricht mit einer Note von 10: Dieser punktuelle Test prüft die Authentifizierung und den Inhalt eines einzelnen Versands, inklusive eines Abgleichs der IP mit Sperrlisten. Er sagt nichts über die Versandhistorie oder das Verhalten der Empfänger bei Gmail aus. Ergänzen Sie ihn durch das Monitoring in den Postmaster Tools.

Kann ich meine Transaktionsmails über ein Gmail-Postfach versenden?

Das ist nicht geeignet. Ein Mailpostfach hat keine Versand-API und meldet Bounces nicht in verwertbarer Form zurück. Nutzen Sie eine Versandplattform, die per DKIM auf Ihrer Domain signiert.

Wie prüfen Sie Ihre Einstellung in zwei Minuten?

Um Ihre eigene Einstellung zu prüfen, senden Sie eine Testnachricht an eine Gmail-Adresse, öffnen Sie das Menü „Original anzeigen“ und kontrollieren Sie, dass SPF, DKIM und DMARC PASS anzeigen. Der Leitfaden zur E-Mail-Zustellbarkeit führt diese Checkliste beim Thema Inbox Placement weiter.