Früher galt: Eine schlecht konfigurierte Mail landet im schlimmsten Fall im Spam-Ordner. Ärgerlich, aber nicht dramatisch. Genau dieser Automatismus funktioniert inzwischen nicht mehr zuverlässig: Google, Yahoo und Microsoft weisen nicht-konforme Massen-Mails direkt ab – mit dem Fehlercode 550. Die Nachricht kommt gar nicht erst an, weder im Posteingang noch im Spam.
Für Versender, die ihre technischen Grundlagen nicht im Griff haben, bedeutet das: Kampagnen verschwinden lautlos, und die E-Mail-Zustellbarkeit sinkt, ohne dass auf den ersten Blick klar wird, warum. Keine Öffnungsrate, keine Klicks, keine Rückmeldung – nur eine Zustellstatistik, die plötzlich einbricht.
Ablehnung statt Aussortierung: Ein schleichender, aber konsequenter Wandel
Bereits im Februar 2024 hatten Google und Yahoo strengere Absenderrichtlinien eingeführt, Microsoft zog im Mai 2025 für outlook.com und hotmail.com nach. Seit November 2025 setzen die großen Provider diese Richtlinien konsequent durch: Wer ab etwa 5.000 E-Mails pro Tag an Gmail-, Yahoo- oder Microsoft-Adressen versendet und die Vorgaben nicht erfüllt, riskiert seither die harte Abweisung statt einer milden Einsortierung in den Spam-Ordner – die E-Mail-Zustellbarkeit sinkt damit schlagartig.
Grundlage dafür sind vier Bausteine: eine gültige SPF- und DKIM-Signatur, eine DMARC-Richtlinie mit korrektem Alignment zur sichtbaren Absenderadresse, eine niedrige Spam-Beschwerderate sowie eine Ein-Klick-Abmeldung direkt im Postfach. Fehlt einer dieser Bausteine, reicht das aus, damit die Zustellung komplett verweigert wird.
Schritt für Schritt zu mehr E-Mail-Zustellbarkeit
- SPF einrichten: Der DNS-Eintrag legt fest, welche Server im Namen der Domain versenden dürfen. Ohne diesen Eintrag lässt sich die Herkunft einer Mail nicht verifizieren.
- DKIM korrekt signieren: Jede Mail erhält eine digitale Signatur, die bestätigt, dass sie unterwegs nicht verändert wurde. Der Versanddienstleister richtet diesen Eintrag meist automatisch ein – geprüft werden sollte er trotzdem.
- DMARC mit Alignment setzen: DMARC verknüpft SPF und DKIM mit der sichtbaren Absenderadresse und legt fest, was bei einer nicht bestandenen Prüfung passiert. Eine reine „p=none“-Richtlinie beobachtet nur – erst „p=quarantine“ oder „p=reject“ wirkt tatsächlich schützend.
- Beschwerderate im Blick behalten: Die Spam-Beschwerdequote sollte dauerhaft unter 0,3 Prozent liegen, besser unter 0,1 Prozent. Wer das nicht selbst misst, sollte die kostenlosen Postmaster-Tools von Google und Microsoft nutzen.
- Ein-Klick-Abmeldung einbauen: Werbliche Mails benötigen eine Abmeldemöglichkeit direkt im Postfach nach RFC 8058. Abmeldungen müssen innerhalb von zwei Tagen umgesetzt werden – nicht erst zum nächsten Versandtermin.
Diese fünf Punkte lassen sich in der Regel innerhalb weniger Tage umsetzen, sofern die Zuständigkeiten klar sind. Der eigentliche Aufwand liegt selten in der Technik selbst, sondern darin, sie einmal vollständig und sauber zu dokumentieren. Wer sich bei diesen technischen Details unsicher fühlt, muss das nicht allein herausfinden: Die eigene IT-Abteilung, der Hosting-Provider oder der E-Mail-Marketing-Dienstleister kennen sich mit SPF, DKIM und DMARC in der Regel aus und können die Einrichtung übernehmen oder überprüfen.
Erste Erfahrungen: Was der Blick auf Deutschland zeigt
Bei den 250 größten deutschen Unternehmen setzen laut einer Auswertung von dmarcian aus dem August 2026 bereits 55 Prozent eine durchsetzbare DMARC-Richtlinie ein, 40 Prozent sogar die strengste Schutzstufe. Nur 12 Prozent haben noch gar keinen DMARC-Eintrag. Die Fortschritte gegenüber Oktober 2025 fallen dabei eher gering aus: Der Anteil mit vollständigem Schutz legte lediglich um 3 Prozentpunkte zu.
Ein Blick auf die breite deutsche Domainlandschaft zeigt ein deutlich anderes Bild: Eine Untersuchung von rasotec, die über 11,6 Millionen aktive .de-Domains ausgewertet hat, kommt auf nur rund 14 Prozent mit gültigem DMARC-Eintrag – und selbst davon nutzt der Großteil lediglich die wirkungslose Beobachtungsstufe, die noch nichts blockiert (siehe Info-Box). Der Unterschied zu den großen Unternehmen liegt auf der Hand: Wer über eigene IT-Sicherheitsteams verfügt, hat meist schon nachgerüstet und seine E-Mail-Zustellbarkeit im Griff. Der breite Mittelstand und viele kleinere B2B-Absender liegen dagegen häufig noch zurück – und genau hier zeigt sich in der Praxis das größte Risiko.
Was das für Agenturen bedeutet
Wer E-Mail-Marketing für mehrere Kunden verantwortet, steht vor einer zusätzlichen Herausforderung: Jede Absender-Domain benötigt eine eigene, korrekt konfigurierte SPF-, DKIM- und DMARC-Einrichtung. Eine zentrale Lösung für die E-Mail-Zustellbarkeit aller Kunden gibt es nicht – wohl aber einen zentralen Prozess.
Sinnvoll ist eine regelmäßige, dokumentierte Prüfung aller betreuten Domains, statt sich auf einzelne Rückmeldungen zu verlassen, wenn eine Kampagne plötzlich schlechter performt. Wer als Agentur frühzeitig auf fehlende oder zu schwache DMARC-Richtlinien hinweist, positioniert sich nicht nur technisch, sondern auch strategisch als verlässlicher Partner – gerade weil viele Kunden diese Anforderungen bisher gar nicht auf dem Schirm hatten.
Ausblick: Der nächste Schritt heißt BIMI
Wer SPF, DKIM und DMARC bereits mit einer strikten, durchsetzbaren Richtlinie betreibt, hat die Grundlage für den nächsten Schritt schon gelegt: BIMI (Brand Indicators for Message Identification) zeigt das verifizierte Firmenlogo direkt neben authentifizierten E-Mails im Posteingang an. Google unterstützt BIMI bereits, weitere große Postfach-Anbieter dürften folgen. Für Unternehmen, die ihre Zustellbarkeit schon sauber aufgestellt haben, ist das ein naheliegender nächster Ausbauschritt – und ein Vorteil gegenüber Wettbewerbern, die sich noch mit den Grundlagen beschäftigen.
Zustellbarkeit ist kein Nice-to-have mehr
Was früher als technisches Detail für Administratoren galt, entscheidet heute direkt darüber, ob eine Kampagne überhaupt ankommt. Wer SPF, DKIM und DMARC sauber einrichtet, die Beschwerderate im Blick behält und die Abmeldung so einfach wie möglich macht, ist für die aktuellen und kommenden Anforderungen von Google, Yahoo und Microsoft gut aufgestellt.
Wie stark sich Zustellbarkeit auch saisonal auf die Probe stellen lässt, zeigen wir in unserem Beitrag zur Zustellbarkeit in der Peak-Season.
93 Prozent aller .de-Domains sind anfällig für E-Mail-Spoofing
Eine Untersuchung von rasotec hat über 11,6 Millionen aktive .de-Domains direkt per DNS-Abfrage geprüft: Nur 14,08 Prozent besitzen überhaupt einen gültigen DMARC-Eintrag. Von diesen wiederum ist der Großteil (47,05 Prozent aller gültigen Einträge) auf eine wirkungslose Beobachtungsstufe eingestellt, die keine betrügerische Mail blockiert. Nur etwa 7,65 Prozent aller gültigen DMARC-Einträge nutzen eine tatsächlich wirksame Richtlinie. In Summe gelten damit rund 93 Prozent aller .de-Domains als anfällig für E-Mail-Spoofing – und riskieren damit auch ihre eigene E-Mail-Zustellbarkeit. Wer bei der eigenen Domain unsicher ist, wie es dort aussieht, findet die Antwort mit einer einzigen DNS-Abfrage – oder fragt beim eigenen IT- oder E-Mail-Dienstleister nach.
