SPF, DKIM, DMARC: So landet der Newsletter nicht im Spam

SPF, DKIM und DMARC sind drei DNS-Einträge für Ihre Domain, mit denen Postfächer prüfen, ob eine Mail wirklich von Ihnen kommt. Fehlen sie, landet Ihr Newsletter eher im Spam oder wird abgelehnt. Google verlangt laut seinen Richtlinien für E-Mail-Absender von allen Absendern an Gmail-Konten mindestens SPF oder DKIM, von Absendern mit mehr als 5.000 Nachrichten am Tag alle drei plus eine Abmeldung mit einem Klick. Die Einträge legen Sie einmal bei Ihrem Domain-Anbieter an; die Werte nennt Ihnen Ihr Newsletter-Tool.

Meist aus einem dieser Gründe:

Die Absenderdomain ist nicht authentifiziert. Das Tool verschickt in Ihrem Namen, aber Ihre Domain sagt nirgends, dass es das darf.
Sie verschicken mit einer Freemail-Adresse. Ein Newsletter von verein@gmail.com über ein Newsletter-Tool besteht SPF und DKIM für gmail.com nicht, weil diese Domain dem Tool den Versand nicht erlaubt. Google untersagt in seinen Richtlinien außerdem, Gmail-Absender im From-Header vorzutäuschen.
Die Liste ist schlecht. Alte, gekaufte oder nie bestätigte Adressen erzeugen Bounces und Spam-Beschwerden.
Viele Empfänger markieren die Mail als Spam. Etwa weil sie sich nicht an die Anmeldung erinnern oder keinen Abmeldelink finden.
Der Inhalt wirkt wie Spam. Reißerische Betreffzeilen, nur ein großes Bild, verkürzte Links.

Die ersten beiden Punkte lösen Sie mit ein paar Einträgen im DNS und einer Absenderadresse Ihrer eigenen Domain. Die anderen sind Listenpflege und Handwerk.

Was sind SPF, DKIM und DMARC?

SPF (Sender Policy Framework) ist eine Liste der Server, die Mails im Namen Ihrer Domain verschicken dürfen. Sie steht als TXT-Eintrag in Ihrer Domain. Nutzen Sie ein Newsletter-Tool, muss es auf dieser Liste stehen, meist über einen Eintrag der Form include:…, den das Tool vorgibt.

DKIM (DomainKeys Identified Mail) ist eine digitale Signatur. Das Tool unterschreibt jede Mail mit einem privaten Schlüssel, und den passenden öffentlichen Schlüssel veröffentlichen Sie im DNS. Das Postfach prüft die Unterschrift und weiß dann, dass die Mail unterwegs nicht verändert wurde. Google verlangt laut seinen Richtlinien für Gmail-Empfänger einen Schlüssel mit mindestens 1.024 Bit und empfiehlt 2.048 Bit, wenn Ihr Domain-Anbieter das unterstützt.

DMARC verbindet beides. Der Eintrag sagt Postfächern, was sie mit Mails tun sollen, die weder SPF noch DKIM passend zu Ihrer Absenderadresse bestehen: nichts (p=none), in den Spam (p=quarantine) oder ablehnen (p=reject). Außerdem können Sie sich Berichte schicken lassen, wer in Ihrem Namen Mails verschickt.

Wichtig ist das Wort „passend“: Für DMARC muss die Domain in Ihrer Absenderadresse zur SPF- oder zur DKIM-Domain passen. Deshalb reicht es nicht, dass Ihr Tool seine eigene Domain authentifiziert hat. Ihre Domain muss mitspielen.

Laut den Richtlinien für E-Mail-Absender gilt seit Februar 2024:

Für alle Absender an Gmail-Konten

SPF oder DKIM für die Absenderdomain
gültige Reverse-DNS-Einträge für die versendenden Server und Versand über TLS
eine Spamrate in den Postmaster Tools unter 0,3 %; Google rät, unter 0,1 % zu bleiben
Mails im Format nach RFC 5322 und keine vorgetäuschten Gmail-Absender im From-Header

Zusätzlich für Absender mit mehr als 5.000 Nachrichten am Tag

SPF und DKIM
DMARC, wobei die Richtlinie p=none genügt
die Domain im From-Header passt zur SPF- oder zur DKIM-Domain
Abmeldung mit einem Klick für Marketing-Mails, mit einem gut sichtbaren Link in der Mail

Reverse-DNS und TLS erledigt Ihr Newsletter-Tool, weil es die Server betreibt. Die Abmeldung mit einem Klick liefert in der Regel ebenfalls das Tool; prüfen Sie das in dessen Hilfe. Ihre Aufgabe sind die DNS-Einträge Ihrer Domain und eine saubere Liste.

Auch wenn Sie weit unter 5.000 Mails am Tag bleiben: Richten Sie alle drei Einträge ein. Der Aufwand ist derselbe, und andere Postfächer prüfen dieselben Einträge.

So richten Sie SPF, DKIM und DMARC ein

Absenderdomain im Tool hinterlegen. Im Newsletter-Tool gibt es meist einen Bereich „Domains“ oder „Absender authentifizieren“. Tragen Sie dort die Domain ein, mit der Sie verschicken, etwa ihrefirma.de.
DNS-Einträge abschreiben. Das Tool zeigt Ihnen die Einträge für SPF und DKIM, manchmal auch einen Vorschlag für DMARC.
Bei Ihrem Domain-Anbieter eintragen. Im Kundenbereich Ihres Hosters oder Registrars finden Sie die DNS-Verwaltung. Gibt es schon einen SPF-Eintrag, etwa für Ihr Postfach bei Microsoft oder Google, ergänzen Sie ihn um das include des Tools. Eine Domain darf nur einen SPF-Eintrag haben.
Im Tool prüfen lassen. DNS-Änderungen brauchen etwas Zeit. Das Tool zeigt an, sobald die Einträge erkannt wurden.
Testmail schicken. An eine Gmail-Adresse; dort zeigt „Original anzeigen“ im Menü der Mail, ob SPF, DKIM und DMARC bestanden sind.

Wie Sie den Absender beim Start eines Newsletters einrichten, zeigt auch Schritt 3 der Anleitung Newsletter erstellen.

Wie richte ich DMARC ein?

Starten Sie vorsichtig. Ein DMARC-Eintrag ist ein TXT-Eintrag unter _dmarc.ihrefirma.de, zum Beispiel:

v=DMARC1; p=none; rua=mailto:dmarc@ihrefirma.de

p=none heißt: Postfächer ändern nichts an der Zustellung, schicken Ihnen aber Berichte an die angegebene Adresse. In diesen Berichten sehen Sie, welche Dienste in Ihrem Namen verschicken: Ihr Postfach, das Newsletter-Tool, vielleicht der Shop oder das Buchhaltungsprogramm. Erst wenn alle legitimen Absender SPF oder DKIM bestehen, verschärfen Sie auf p=quarantine und später p=reject.

Springen Sie nicht direkt auf reject. Sonst landen Rechnungen aus einem Dienst, an den niemand gedacht hat, bei Ihren Kunden nicht mehr an.

Was Sie über die Technik hinaus tun können

Nur bestätigte Adressen anschreiben. Double-Opt-In hält vertippte und fremde Adressen von der Liste fern.
Inaktive Kontakte aussortieren. Wer lange nichts geöffnet hat, bekommt eine letzte Mail und fliegt dann raus. Weil die Öffnungsrate durch Apple Mail verfälscht ist, schauen Sie dabei auch auf Klicks, siehe Newsletter-Öffnungsrate.
Abmelden leicht machen. Wer sich nicht abmelden kann, klickt auf „Spam“. Das schadet Ihnen mehr als eine Abmeldung.
Betreff ehrlich formulieren. Der Betreffzeilen-Check zeigt riskante Wörter und wie der Betreff im Postfach abgeschnitten wird.
Regelmäßig schreiben. Wer nach einem Jahr Pause plötzlich an alle verschickt, erzeugt Beschwerden von Leuten, die sich nicht mehr erinnern.

Liegt es am Tool?

Selten allein. Zustellraten einzelner Tools haben wir nicht gemessen, und Herstellerangaben dazu übernehmen wir nicht. Die Einträge oben und Ihre Liste entscheiden mehr als die Wahl zwischen zwei etablierten Anbietern. Was Sie beim Tool prüfen können: ob es die Authentifizierung Ihrer eigenen Domain unterstützt und Sie Schritt für Schritt durch die DNS-Einträge führt. Die Anbieter im Vergleich finden Sie unter Newsletter-Tool-Vergleich.