Ihre Mails landen im Spam: Ursachen finden und beheben

Zwei sehr unterschiedliche Probleme laufen unter demselben Stichwort. Das eine ist teuer und wird zu spät bemerkt: Angebote, Rechnungen und Newsletter erreichen den Empfänger nicht, und niemand fragt nach, warum keine Antwort kam. Das andere ist täglicher Ärger: ein Postfach voll Werbung, dazwischen versteckt die eine echte Anfrage.

Teil 1: Ihre eigenen Mails kommen nicht an

Wonach Postfachanbieter über Posteingang oder Spam entscheiden

Ein empfangender Server fragt im Kern vier Dinge: Kommt diese Nachricht wirklich von der Domain im Von-Feld? Haben Domain und IP-Adresse eine Vorgeschichte? Wollten die Empfänger die Nachricht? Und wie reagieren sie — öffnen, ignorieren, löschen, als Spam melden?

Die erste Frage beantworten SPF, DKIM und DMARC. Die anderen drei sind Reputation, und die bauen Sie über Monate auf oder in einer einzigen Aussendung ab.

Die häufigsten Ursachen, warum Mails im Spam landen

• Fehlende oder halbe Authentifizierung. Der häufigste Befund: SPF vorhanden, DKIM nicht, DMARC gar nicht. Oder alles vorhanden, aber der Newsletter-Dienst fehlt im SPF-Eintrag. Wie Sie das reparieren, steht im Beitrag SPF, DKIM und DMARC einrichten.
• Alignment schlägt fehl. SPF und DKIM bestehen, DMARC trotzdem nicht — weil der Versanddienst mit seiner eigenen Domain signiert, die nicht zu Ihrer Von-Adresse passt. Im Nachrichtenkopf steht dann spf=pass, dkim=pass und dmarc=fail.
• Schlechte Absenderreputation. Beschwerden, Zustellversuche an nicht existierende Adressen und plötzliche Volumensprünge zahlen darauf ein. Google nennt eine harte Grenze: Die in den Postmaster Tools gemeldete Spam-Rate soll unter 0,3 % liegen; empfohlen wird in derselben Dokumentation, unter 0,10 % zu bleiben und 0,30 % nie zu erreichen. Yahoo nennt ebenfalls „Keep your spam rate below 0.3%“.
• Gekaufte oder zusammengesammelte Verteiler. Sie enthalten tote Adressen und aufgegebene Postfächer, die Anbieter als Spam-Fallen weiterbetreiben. Ein einziger Import kann die Domain-Reputation dauerhaft beschädigen.
• Kein Double-Opt-in. Ohne bestätigte Anmeldung stehen fremde und falsch getippte Adressen im Verteiler — und wer sich nicht erinnert, sich angemeldet zu haben, drückt auf „Spam“.
• Nur ein Bild und kaum Text. Kein großer Anbieter veröffentlicht ein Verhältnis, ab dem es kippt. Eine Mail, die im Wesentlichen aus einer Grafik besteht, hat für den Filter aber nichts Prüfbares und entspricht genau dem Muster, mit dem Spam Textanalysen umgeht. Jede Mail braucht echten Text, Alt-Texte und einen sinnvollen Betreff.
• Defekte oder versteckte Abmeldelinks. Wer nicht abbestellen kann, meldet als Spam.
• Blocklisten. Landet Ihre Versand-IP oder Domain auf einer verbreiteten Blockliste, sperren viele Anbieter gleichzeitig. Die Betreiber führen in der Regel eine kostenlose Abfrage und ein Verfahren zur Streichung; die Ursache muss davor abgestellt sein, sonst erfolgt die Neulistung sofort.
• Geteilte IP beim Massenversender. In den günstigen Tarifen teilen sich viele Kunden dieselben ausgehenden IP-Adressen — verhält sich einer auffällig, trifft es Ihre Zustellung mit. Eine dedizierte IP lohnt sich erst ab regelmäßig hohem Volumen; bei kleinen Listen ist sie nachteilig, weil sich ohne konstanten Versand keine Reputation aufbaut.
• Weiterleitungen. Microsoft weist darauf hin, dass Weiterleitungen die SPF-Prüfung regelmäßig zerstören, weil sich der Umschlagabsender ändert, und dass DKIM nur übersteht, solange der Nachrichtentext unverändert bleibt.

Fehlersuche in sieben Schritten

1. Testnachricht verschicken und den Nachrichtenkopf öffnen. Schicken Sie eine Mail an ein Postfach bei einem großen Anbieter und rufen Sie dort die Original- oder Quelltextansicht auf. In der Zeile Authentication-Results stehen die Ergebnisse für spf, dkim und dmarc. Das ist Ihr Ausgangsbefund.
2. Bei fail: die Authentifizierung reparieren. Ein einziger SPF-Eintrag mit allen Versanddiensten, DKIM überall aktiviert, DMARC zunächst mit p=none und Berichtsadresse — die Reihenfolge und die Stolperstellen stehen im Authentifizierungs-Leitfaden.
3. Bei dreimal pass: Reputation prüfen. Melden Sie Ihre Domain in den kostenlosen Google Postmaster Tools an; dort sehen Sie die gemeldete Spam-Rate und deren Entwicklung. Prüfen Sie parallel, ob Versand-IP oder Domain auf einer bekannten Blockliste stehen.
4. Die Liste ansehen, nicht den Text. Wie viele Adressen sind älter als zwei Jahre ohne jede Reaktion? Wie viele Zustellungen scheitern hart? Wie viele stammen aus einem Import, dessen Herkunft niemand mehr kennt? Inaktive Adressen gehören aussortiert.
5. Den Versandweg trennen. Eine eigene Subdomain für den Massenversand schützt die Zustellung Ihrer Angebote und Rechnungen, falls beim Marketing etwas schiefgeht.
6. Das Volumen langsam aufbauen. Nach einem Anbieterwechsel oder einer langen Pause erst die aktivsten Empfänger anschreiben, dann in Stufen erweitern.
7. Messen statt raten. Öffnungsraten sind seit den Datenschutzfunktionen der großen Anbieter unzuverlässig. Aussagekräftiger sind harte Zustellfehler, Abmeldungen, Spam-Beschwerden und Klicks auf den eigentlichen Link.

Was Google und Yahoo seit Februar 2024 verlangen

Google und Yahoo haben zum 1. Februar 2024 verbindliche Anforderungen eingeführt. Für alle Absender verlangt Google mindestens SPF oder DKIM, gültige Forward- und Reverse-DNS-Einträge, TLS beim Transport und eine Spam-Rate unter 0,3 %; Yahoo formuliert „Implement SPF or DKIM at a minimum“.

Für Massenversender — laut Googles FAQ „any email sender that sends close to 5,000 messages or more to personal Gmail accounts within a 24-hour period“, und dieser Status endet nicht mehr: „Bulk sender status doesn’t have an expiration date“ — kommen hinzu: SPF und DKIM, ein DMARC-Eintrag (die Policy darf laut Google auf none stehen), Alignment der Von-Domain mit der SPF- oder DKIM-Domain und eine Ein-Klick-Abmeldung über die Kopfzeilen List-Unsubscribe und List-Unsubscribe-Post: List-Unsubscribe=One-Click. Google nennt 48 Stunden für die Umsetzung einer Abmeldung, Yahoo schreibt „Honor unsubscribes within 2 days“.

Ein modernes Newsletter-Tool erledigt diese Kopfzeilen automatisch — ein selbstgebautes Versandskript im Shop oder CRM in der Regel nicht. Die Vorgaben werden gelegentlich nachgeschärft; prüfen Sie vor der nächsten großen Aussendung die Originalseiten.

Teil 2: Zu viel Spam im eigenen Postfach

Was Filter und Quarantäne leisten — und was nicht

Jeder ernstzunehmende Anbieter filtert bereits vor der Zustellung. Was durchkommt, landet im Spam-Ordner oder in einer Quarantäne, aus der sich Nachrichten einzeln freigeben lassen. Das BSI empfiehlt ausdrücklich, „den Spam-Schutz Ihres E-Mail-Programms“ zu aktivieren, weist in seinen FAQ aber auf die Kehrseite hin: Bei eigenen Filterregeln ist „die Trefferquote gering“ und es besteht ein „gewisses Risiko“, gewollte E-Mails zu verlieren.

Daraus folgt eine unbequeme Routine: Schauen Sie regelmäßig in den Spam-Ordner. Dort liegen erfahrungsgemäß die Kundenanfragen, die scheinbar nie gekommen sind. Und markieren Sie echten Spam über den „Spam“-Knopf, statt ihn nur zu löschen — nur so lernt der Filter dazu. Absender-Blocklisten im eigenen Postfach helfen gegen wiederkehrende, echte Absender; gegen Massenspam sind sie stumpf, weil Absenderadressen ohnehin gefälscht und bei jeder Welle gewechselt werden.

Warum „abmelden“ bei echtem Spam riskant ist

Der entscheidende Unterschied ist die Herkunft. Bei einem Newsletter, den Sie selbst abonniert haben, ist der Abmeldelink der richtige Weg — bei größeren Absendern muss er sogar per Ein-Klick funktionieren.

Bei unaufgefordertem Spam von einem unbekannten Absender ist dagegen jede Reaktion eine Rückmeldung. Das BSI schreibt unmissverständlich: „Antworten Sie nicht auf Spam-verdächtige E-Mails. Dadurch erkennen Betrüger, dass Ihre E-Mail-Adresse aktiv ist, und Sie erhalten in der Folge noch mehr Spam.“ Dasselbe gilt für Bilder in HTML-Mails: Laut BSI stellt der Abruf eines Bildes stets eine Verbindung zum Server des Absenders her, der daran erkennt, dass die Adresse aktiv ist. Stellen Sie Ihr Programm so ein, dass Bilder nicht automatisch geladen werden. Unerwünschte Werbe-E-Mails lassen sich laut BSI zum Beispiel bei der Internet-Beschwerdestelle melden.

Die Faustregel: Abmelden nur, wo Sie sich nachweislich angemeldet haben. Im Zweifel melden und löschen.

Weiterleitungen: die unterschätzte Falle

Zwei Konstruktionen machen regelmäßig Ärger. Die erste ist der Catch-all: ein Postfach, das jede beliebige Adresse Ihrer Domain annimmt. Bequem — und ein Geschenk an jeden Spammer, der Adressen durchprobiert. Legen Sie stattdessen die Postfächer an, die Sie wirklich brauchen.

Die zweite ist die automatische Weiterleitung an eine private Adresse. Sie leiten damit auch den empfangenen Spam weiter, und zwar von Ihrem Server aus: Ihre Domain wird zum Absender fremder Nachrichten. Dazu kommt das technische Problem, auf das Microsoft hinweist — Weiterleitungen zerstören die SPF-Prüfung, weil sich der Umschlagabsender ändert. Besser ist es, das Postfach direkt im Mailprogramm einzubinden.

Gefährlich wird es, wenn eine Weiterleitungsregel nicht von Ihnen stammt. Eine still eingerichtete Regel, die Kopien aller Nachrichten nach außen schickt, ist ein klassisches Zeichen für einen übernommenen Zugang. Prüfen Sie die Regeln in Ihrem Postfach mindestens jährlich. Was im Ernstfall zu tun ist, steht unter Website gehackt und im Beitrag Website gehackt: Erste Hilfe in 10 Schritten.

Die eigene E-Mail-Adresse vor Spam schützen

Spam beginnt damit, dass jemand Ihre Adresse hat. Das BSI beschreibt den Weg: Spammer setzen Programme ein, die Webseiten und Foren automatisiert nach E-Mail-Adressen absuchen. Daraus ergeben sich vier Regeln:

• Kontaktformular statt Klartextadresse. Auf Leistungs- und Kontaktseiten gehört ein Formular hin, keine abtippbare Adresse. Was im Impressum stehen muss, ist eine rechtliche Frage und gehört anwaltlich geprüft; auf allen übrigen Seiten haben Sie freie Hand. Dass ein gutes Formular mehr Anfragen bringt als eine nackte Adresse, ist der Nebeneffekt — mehr dazu unter Webdesign.
• Formulare gegen Automaten absichern. Ein unsichtbares Honeypot-Feld und eine einfache Zeitprüfung halten den Großteil der Formular-Spammer ab, ohne echte Besucher zu stören.
• Getrennte Adressen verwenden. Eine für die geschäftliche Korrespondenz, eine für Anmeldungen bei Diensten, Newslettern und Downloads. Wegwerfadressen eignen sich für einmalige Anmeldungen — nicht für Konten, bei denen Sie später das Passwort zurücksetzen müssen.
• Rollenadressen sparsam einsetzen. info@ und kontakt@ stehen auf jeder Sammelliste.

Welche Rolle Ihr Hoster spielt

Ein großer Teil der Filterleistung entsteht, bevor eine Nachricht Ihr Postfach erreicht. Beim Hosting lohnt der Blick auf drei Punkte: Gibt es eine serverseitige Spam- und Virenprüfung mit einsehbarer Quarantäne? Sind SPF, DKIM und DMARC für Ihre Domain einrichtbar — und werden sie automatisch gesetzt? Und ist der ausgehende Versand so begrenzt, dass ein gekapertes Postfach nicht in wenigen Stunden die Server-IP verbrennt? Billighosting spart an genau diesen Stellen. Die laufende Kontrolle von DNS-Einträgen, Postfächern und Weiterleitungen ist Teil unserer Website-Pflege.

Wenn es kein Spam ist, sondern Betrug

Ein Teil dessen, was als Spam ankommt, ist keine lästige Werbung, sondern ein Angriff: gefälschte Rechnungen, angebliche Zahlungsaufforderungen, Anweisungen „vom Chef“ an die Buchhaltung. Solche Nachrichten sind heute sprachlich einwandfrei — der alte Rat, auf Rechtschreibfehler zu achten, trägt nicht mehr. Wie diese Angriffe ablaufen, woran Sie sie erkennen und was im Ernstfall zu tun ist, steht ausführlich im Beitrag Phishing, Spam und Betrugsanrufe; dieselbe Prüflogik in ihrer Shop-Variante beschreibt Fake-Shops erkennen. Und die Gegenrichtung gehört dazu: Eine gut abgesicherte eigene Domain ist für solche Fälschungen deutlich unattraktiver. Welche Grundlagen die Zugänge dahinter schützen, steht im Beitrag Virenschutz, Zwei-Faktor und Passwörter.

Häufige Fragen

Warum landen meine E-Mails plötzlich im Spam, obwohl sich nichts geändert hat? Meist hat sich doch etwas geändert — nur nicht bei Ihnen. Typische Auslöser sind ein neuer Versanddienst oder Server, ein abgelaufener DKIM-Schlüssel, ein zusätzlicher SPF-Eintrag, den ein anderes Tool angelegt hat, eine geteilte Versand-IP, auf der ein anderer Kunde auffällig geworden ist, oder eine gestiegene Beschwerderate nach einer großen Aussendung. Die Fehlersuche beginnt deshalb immer mit dem Nachrichtenkopf einer betroffenen Mail und den Ergebnissen für SPF, DKIM und DMARC.

Wie prüfe ich, woran es liegt? Schicken Sie eine Testnachricht an ein Postfach bei einem großen Anbieter und öffnen Sie dort die Original- oder Quelltextansicht. In der Kopfzeile Authentication-Results stehen die Ergebnisse für spf, dkim und dmarc. Steht dort dreimal pass, ist die Authentifizierung nicht die Ursache und Sie suchen bei Reputation, Listenqualität und Inhalt weiter. Steht irgendwo fail, fangen Sie genau dort an. Für Gmail zeigen die kostenlosen Google Postmaster Tools zusätzlich die gemeldete Spam-Rate Ihrer Domain.

Hilft es, Wörter wie „gratis“ oder „Rabatt“ zu vermeiden? Nur am Rande. Kein großer Anbieter veröffentlicht eine Liste verbotener Wörter, und moderne Filter bewerten das Gesamtbild aus Absenderreputation, Authentifizierung, Empfängerreaktion und Inhalt. Eine einzelne Formulierung entscheidet praktisch nie. Wer schlechte Zustellung mit Wortlisten reparieren will, behandelt das Symptom: Die eigentlichen Hebel sind saubere Authentifizierung, eine bestätigte Empfängerliste und wenige Beschwerden.

Darf ich gekaufte oder gesammelte Adressen anschreiben? Für Werbung per E-Mail braucht es in Deutschland grundsätzlich eine vorherige Einwilligung des Empfängers, und bei gekauften Listen lässt sich die praktisch nie nachweisen. Technisch kommt dazu: Solche Listen enthalten tote Adressen und Spam-Fallen und ruinieren die Zustellung für alle übrigen Empfänger gleich mit. Wir sind Webagentur und keine Kanzlei — lassen Sie die rechtliche Seite von Einwilligung und Werbemails anwaltlich prüfen.

Warum soll ich mich bei echtem Spam nicht abmelden? Weil die Abmeldung bei einem Betrüger keine Abmeldung ist, sondern eine Bestätigung. Das BSI schreibt dazu: „Antworten Sie nicht auf Spam-verdächtige E-Mails. Dadurch erkennen Betrüger, dass Ihre E-Mail-Adresse aktiv ist, und Sie erhalten in der Folge noch mehr Spam.“ Dasselbe gilt für das Nachladen von Bildern in einer HTML-Mail. Bei seriösen Newslettern, die Sie einmal selbst abonniert haben, ist der Abmeldelink dagegen genau der richtige Weg.

Sollte meine E-Mail-Adresse im Klartext auf der Website stehen? Im Impressum muss eine schnelle elektronische Kontaktaufnahme möglich sein — die genaue Ausgestaltung gehört anwaltlich geprüft. Auf allen übrigen Seiten ist ein Kontaktformular die bessere Wahl. Das BSI beschreibt das Problem deutlich: Spammer nutzen Programme, die Webseiten und Foren automatisiert nach E-Mail-Adressen absuchen. Eine Adresse, die nirgendwo als Klartext steht, wird von diesen Sammlern schlicht nicht gefunden.

Fazit

Zustellbarkeit ist kein Textproblem, sondern ein Infrastruktur- und Listenproblem. Wer SPF, DKIM und DMARC sauber aufsetzt, nur bestätigte Adressen anschreibt, inaktive Empfänger aussortiert und eine Ein-Klick-Abmeldung anbietet, hat den größten Teil erledigt — und muss sich über Formulierungen kaum Gedanken machen. Umgekehrt gilt: Spam im eigenen Postfach lässt sich nicht wegklicken, aber deutlich verkleinern, indem die eigene Adresse gar nicht erst auf den Sammellisten landet und niemand im Betrieb auf Spam antwortet.

Wir richten Verteiler, Versand und Authentifizierung technisch ein. Das Newsletter-Setup mit Double-Opt-in, Anmeldeformular und Marken-Template kostet 390 € einmalig zuzüglich der Gebühren Ihres E-Mail-Tools, das Bereinigen und Importieren einer bestehenden Liste 120 €, die laufende Betreuung beginnt bei 290 € im Monat. Wie eine Anmeldestrecke mit einem Lead-Magnet aufgebaut wird, steht unter E-Mail-Marketing; alle Pakete unter Preise, die Website-Seite der Sache in der DSGVO-Website-Checkliste.

nova.02:media ist inhabergeführt: Marek Stein, Strausberg, seit 2002 im Web, über 1.600 umgesetzte Projekte, deutschlandweit remote. Wenn Ihre Mails nicht ankommen, schauen wir im kostenlosen Erstgespräch gemeinsam auf Authentifizierung, Verteiler und Versandweg.